Inhaltsverzeichnis
Ihre Google-Ads- und Meta-Berichte stimmen nicht mehr mit den tatsächlichen Verkäufen überein, Safari löscht Ihre Cookies nach wenigen Tagen und Ihr Cookie-Banner verringert die Datenmenge zusätzlich. Server-Side-Tracking wird oft als Antwort auf alles verkauft. Es bringt tatsächlich viel, sofern Sie genau wissen, was es mit Blick auf das DSG und die DSGVO ändert, und was nicht.
Dieser Leitfaden beantwortet die Fragen, die uns Schweizer Agenturen und KMU am häufigsten stellen: Funktionsweise, Datenschutz, Werbeplattformen, Apps, CMS, CRM, Hosting und Kosten.
Kurz gesagt
Beim Server-Side-Tracking laufen Ihre Daten über Ihren eigenen Server auf einer Subdomain Ihrer Website, bevor sie an Google, Meta oder TikTok gehen.
Es macht die Messung robuster (Safari-ITP, Werbeblocker, schlankere Seiten), ersetzt aber weder Banner noch Einwilligung: Eine Ablehnung bleibt eine Ablehnung.
Datenschutzseitig liegt seine Stärke in der Kontrolle: Sie entscheiden, welche Daten (IP, Kennungen) an welches Tool gehen.
Conversion-APIs (Meta, TikTok, Offline-Conversions in Google Ads) bauen auf diesem Server auf, mit Deduplizierung über eine Event-ID.
Client-Side oder Server-Side: was sich wirklich ändert
Wie funktioniert Server-Side-Tracking mit sGTM?
Beim klassischen Tracking (Client-Side) lädt der Browser des Besuchers ein Skript pro Tool (Meta-Pixel, gtag.js, TikTok-Pixel) und sendet die Daten selbst an jede Plattform. Beim Server-Side-Tracking schickt der Browser einen einzigen Datenstrom an Ihren Container in Google Tag Manager Server-Side (sGTM), gehostet auf einem Server, den Sie kontrollieren. Dieser Server ist eine Verteilzentrale: Er empfängt das Ereignis, bereinigt es, entfernt, was nicht hinausgehen darf, und leitet es nur an freigegebene Tools weiter.
Warum ist Client-Side-Tracking so anfällig geworden?
Drei Entwicklungen haben die Zuverlässigkeit von Skripten im Browser verringert:
Die Browser: Die Intelligent Tracking Prevention (ITP) von Safari begrenzt per JavaScript gesetzte Cookies auf 7 Tage, bei bestimmten Tracking-Links sogar auf 24 Stunden. Unter iOS verlangt App Tracking Transparency (iOS 14.5, April 2021) die Zustimmung des Nutzers für App-übergreifendes Tracking.
Werbeblocker: Laut GWI (Q2 2025) nutzen 30,9 % der Schweizer Internetnutzer einen Werbeblocker, der zuerst die Skripte der Werbeplattformen blockiert.
Die Einwilligung: Wer Cookies ablehnt, darf nicht getrackt werden. Das verringert die beobachtete Datenmenge zwangsläufig.
Übrigens: Google hat im April 2025 angekündigt, Drittanbieter-Cookies in Chrome nicht abzuschaffen. Das Problem ist also kein «Ende der Drittanbieter-Cookies», sondern die Summe dieser Einschränkungen.
Was ändert eine First-Party-Subdomain?
Der sGTM-Server läuft auf einer Subdomain Ihrer Website, zum Beispiel messung.ihre-marke.ch. Die Anfragen bleiben in Ihrer eigenen Domain (First-Party), und Cookies können von Ihrem Server statt per JavaScript gesetzt werden. Damit sind sie den Laufzeitgrenzen der ITP weniger ausgesetzt. Zwei wichtige Einschränkungen:
Seit 2023 begrenzt WebKit auch Cookies auf 7 Tage, die von einem Server gesetzt werden, dessen IP-Adresse deutlich von jener der Website abweicht. Die Hosting-Architektur zählt also.
Es geht nicht darum, die Wahl des Besuchers zu umgehen: Auch First-Party-Messung bleibt an Ihr Banner gebunden. Sie ist robust gegenüber technischen Einschränkungen, nicht gegenüber Ablehnungen.
Wie viele Daten lassen sich zurückgewinnen?
Eine allgemeingültige Zahl wäre unseriös: Der Gewinn hängt vom Anteil an Safari- und iOS-Traffic ab, von der Ablehnungsquote Ihres Banners, von Ihrem Publikum (mehr oder weniger mit Werbeblockern ausgestattet) und vom Ausgangszustand Ihres Trackings. Der richtige Reflex: vorher und nachher messen. Vergleichen Sie über einige Wochen die in Google Ads und Meta gemeldeten Conversions mit den tatsächlichen Verkäufen in Ihrem Backoffice.
Verlangsamt Server-Side-Tracking die Website?
Eher im Gegenteil. Wenn ein Teil der Werbeskripte auf den Server wandert, muss der Browser weniger JavaScript laden und ausführen. Der tatsächliche Gewinn hängt davon ab, wie viele Tags Sie im Browser entfernen: Prüfen Sie ihn in Ihren Core-Web-Vitals-Berichten, nicht auf Versprechen hin.
DSG und DSGVO: was der Server kann, und was nicht
Ist Server-Side-Tracking für die Konformität Pflicht?
Nein. Weder das DSG noch die DSGVO schreiben eine Technologie vor. Sie verlangen Grundsätze: Transparenz, Verhältnismässigkeit, Sicherheit und Respekt vor der Wahl der Betroffenen. Server-Side-Tracking ist ein Kontrollinstrument, das bei der Umsetzung hilft. Client-Side verbindet sich der Browser des Besuchers direkt mit den Servern jeder Werbeplattform, die dabei seine IP-Adresse und technische Metadaten erhalten. Mit einem Zwischenserver entscheiden Sie, was hinausgeht.
Wie schützt der Server IP-Adressen und Personendaten?
In sGTM lässt sich jedes Ereignis vor dem Versand filtern: IP entfernen oder kürzen, User-Agent streichen, URL-Parameter mit E-Mail-Adressen ausschliessen. Für den erweiterten Abgleich (Advanced Matching bei Meta, erweiterte Conversions bei Google) werden E-Mail-Adressen und Telefonnummern vor der Übermittlung mit SHA-256 gehasht.
Achtung: Hashing ist Pseudonymisierung, keine Anonymisierung. Die Plattform kann diese Werte mit ihren eigenen Nutzerkonten abgleichen: Es bleiben Personendaten, die eine Rechtsgrundlage, einen Hinweis in Ihrer Datenschutzerklärung und in der EU eine Einwilligung erfordern.
Braucht es mit Server-Side-Tracking noch ein Cookie-Banner?
Ja. Der Ort der Verarbeitung ändert sich, nicht die Pflicht. In der Schweiz verlangt Art. 45c FMG Information und ein Widerspruchsrecht (Opt-out); in der EU schreiben ePrivacy und DSGVO eine vorgängige Einwilligung für nicht notwendige Tracker vor. Und seit dem 31. Juli 2024 wendet Google seine EU-Richtlinie zur Nutzereinwilligung auf Schweizer Traffic an: Ohne korrekt gespeisten Consent Mode v2 gibt es weder Remarketing noch vollständige Werbemessung.
Wie funktioniert der Consent Mode v2 mit sGTM?
Ihre CMP übermittelt die Wahl des Besuchers über vier Parameter an die Google-Tags (ad_storage, analytics_storage, ad_user_data, ad_personalization). Im Advanced-Modus löst eine Ablehnung cookielose Pings aus, die der Server ohne Kennungen weiterleitet; Google modelliert damit fehlende Conversions. Laut Google (2021) stellt diese Modellierung im Durchschnitt über 70 % der Customer Journeys vom Anzeigenklick zur Conversion wieder her, die durch abgelehnte Cookies verloren gehen. Lassen Sie diesen Modus für die EU von Ihrem DSB bestätigen: Diese Pings bleiben ein technischer Datenfluss. Der Server muss die Einwilligung zudem auf Nicht-Google-Tags anwenden (Meta, TikTok, LinkedIn), die den Consent Mode ignorieren.
Und die Datenübermittlung in die USA?
Server-Side-Tracking hebt Übermittlungen nicht auf: Wenn Sie Daten an Meta oder Google senden, gehen sie an diese Unternehmen. Es erlaubt aber, sie auf das Nötigste zu beschränken. Rechtlich gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework (der EU-US-Rahmen seit dem 10. Juli 2023): Prüfen Sie, ob Ihre Empfänger zertifiziert sind, und nennen Sie sie in Ihrer Datenschutzerklärung. Sanktionen und Pflichten im Detail: siehe unseren Leitfaden zu DSG und DSGVO.
Tipp von A-Track
Dokumentieren Sie Ihre Filterregeln in sGTM (welche Daten an welches Tool gehen, unter welcher Einwilligungsbedingung) in einer einfachen Tabelle. Gegenüber einem DSB, einem Kunden oder dem EDÖB ist das die nützlichste Unterlage, und sie dient als Referenz bei jedem Update.
Meta, Google Ads, GA4 und TikTok: Conversion-APIs und Deduplizierung
Ersetzt die Conversions API von Meta das Pixel?
Nein, sie ergänzt es. Mit der Conversions API (CAPI) sendet Ihr Server Ereignisse direkt an Meta. Meta empfiehlt ein redundantes Setup: das Pixel im Browser und die CAPI auf dem Server, für dieselben Ereignisse. Die Umsetzung Schritt für Schritt zeigt unser Leitfaden zur Facebook CAPI.
Wie vermeiden Sie, denselben Verkauf doppelt zu zählen?
Jedes Ereignis erhält eine eindeutige Kennung (event_id), identisch auf Pixel- und Serverseite. Erhält Meta zwei Ereignisse mit gleichem Namen und gleicher event_id, behält es nur eines. Laut Meta-Dokumentation wird in der Regel das zuerst empfangene behalten, sofern das zweite innert 48 Stunden eintrifft. Ohne konsistente event_id sind Ihre Conversions aufgebläht und der Algorithmus optimiert auf falsche Daten.
Was bringt die TikTok Events API?
Ein grosser Teil des TikTok-Traffics läuft über den In-App-Browser, in dem Skripte und Cookies weniger zuverlässig sind. Die TikTok Events API sendet Conversions von Ihrem Server oder Ihrem Shop (Shopify, WooCommerce): Die Attribution wird stabiler, und der Algorithmus erhält mehr Signale, um die Lernphase zu verlassen.
Was ändert GA4 Server-Side?
GA4 erhält die Daten über Ihren Server, der das Cookie _ga von Ihrer eigenen Domain aus setzen kann. Google legt dessen Standardlaufzeit auf 2 Jahre fest; serverseitig gesetzt, hält es der ITP besser stand, im Rahmen der oben beschriebenen Safari-Regeln. Das Ergebnis, sofern der Besucher eingewilligt hat: weniger doppelt gezählte Besucher und besser zugeordnete lange Customer Journeys.
Mobile Apps, Web-Apps und Server-to-Server
Wie trackt man eine iOS- oder Android-App serverseitig?
Statt pro Werbeplattform ein SDK einzubauen, sendet die App ihre Ereignisse an ein einziges Erfassungstool (Firebase oder das SDK einer Customer Data Platform), das an Ihren sGTM weiterleitet. Der Server übersetzt diese Ereignisse dann für jede Werbe-API. Unter iOS gilt App Tracking Transparency weiterhin: Server-Side-Tracking entbindet nicht davon, für App-übergreifendes Tracking um Erlaubnis zu bitten.
Braucht es noch die SDKs von Meta oder TikTok?
Je weniger, desto besser: Jedes SDK macht die App schwerer, verlangt Updates und sendet Daten, die Sie schlecht kontrollieren. Weniger Drittanbieter-SDKs zugunsten eines Server-Datenstroms vereinfachen Wartung und DSG-Dokumentation. Manche Funktionen (Installations-Attribution, SKAdNetwork von Apple) können dennoch ein SDK oder einen Mobile-Measurement-Partner erfordern: im Einzelfall abwägen.
Und Web-Apps (React, Vue.js, Angular)?
In einer Single Page Application lädt die Seite nicht bei jedem Klick neu. Sie pushen deshalb virtuelle Seitenaufrufe und Aktionen in den dataLayer, den der Web-Container von GTM an sGTM weiterreicht. Gut konzipiert, beeinträchtigt dieser Tagging-Plan die Reaktionsschnelligkeit der App nicht.
Lassen sich Web und App verbinden (Cross-Device)?
Ja, wenn sich der Nutzer anmeldet. Eine interne Nutzerkennung (User ID), pseudonymisiert von Website und App übermittelt, erlaubt GA4 und den Conversion-APIs, Sitzungen zusammenzuführen. Das ist eine Bearbeitung von Personendaten: Sie gehört in Ihre Datenschutzerklärung und muss die Einwilligung respektieren.
Was ist reines Server-to-Server-Tracking (S2S)?
Bei S2S sendet Ihr Backend (PHP, Node.js, Python) das Ereignis, ohne Umweg über den Browser. Oft kombinieren wir beide Ansätze: Das Backend bestätigt den Verkauf und sendet einen Webhook an sGTM, der die Verteilung an die Werbeplattformen übernimmt. Ein Webhook wird ausgelöst, wenn sich ein Status in Ihrer Datenbank ändert (Bestellung bezahlt, geliefert): Er hängt nicht von einem offenen Browser-Tab ab. Bei Headless- oder massgeschneiderten Architekturen ist das oft die zuverlässigste Methode, weil das Ereignis an der Quelle erfasst wird.
Auch S2S muss die Einwilligung respektieren: Speichern Sie die Wahl des Besuchers mit der Bestellung, damit klar ist, welche Tools das Ereignis erhalten dürfen.
Shopify, WordPress, CRM: Ihre Tools anbinden
Funktioniert Server-Side-Tracking mit Shopify?
Ja. Shopify schränkt eigene Skripte im Checkout ein, was das Client-Side-Tracking von Käufen schwächt. Lösungen führen über die Customer Events (Web Pixels) von Shopify, eine App mit Anbindung an sGTM oder Bestell-Webhooks. Der Verkauf wird dann übermittelt, sobald Shopify ihn bestätigt.
Und mit WordPress und WooCommerce?
Grundlage ist ein sauberer E-Commerce-dataLayer (oft über das Plugin GTM4WP) mit den Standardereignissen von GA4: view_item, add_to_cart, purchase. Der Web-Container sendet diesen Datenstrom an Ihren sGTM, der ihn an GA4, Google Ads, Meta oder Pinterest verteilt.
PrestaShop, Magento, Webflow oder Wix?
PrestaShop und Magento bieten vollen Backend-Zugriff: ideal, um die Datenschicht zu standardisieren und S2S für die wichtigsten Schritte zu ergänzen, mit guter Event Match Quality.
Webflow und Wix sind geschlossener, akzeptieren aber GTM: Server-Side-Tracking bleibt für Formulare und zentrale Ereignisse möglich, mit weniger Tiefe.
Wie melden Sie offline abgeschlossene Verkäufe (CRM)?
Im B2B lohnt sich Server-Side-Tracking hier oft am meisten. Ein Interessent füllt ein Formular aus, die Klick-ID (gclid, fbclid) wird im CRM gespeichert, und der Abschluss erfolgt Wochen später. Wechselt der Deal in HubSpot oder Salesforce auf «gewonnen», sendet ein Webhook Kennung und Betrag (zum Beispiel CHF 5'000) an sGTM, der sie an Google Ads oder Meta weitergibt. Der Algorithmus lernt so, nach Kunden zu suchen, nicht nur nach ausgefüllten Formularen. Die ganze Methode in unserem Leitfaden zu Offline-Conversions aus dem CRM.
Und Abonnements oder E-Mail-Marketing?
Wiederkehrende Zahlungen (Stripe, Chargebee) erfolgen ohne Website-Besuch: Nur ein Server-Webhook kann sie melden und den Kundenwert über die Zeit abbilden. Im E-Mail-Marketing (Klaviyo, ActiveCampaign) machen serverseitig gesendete Ereignisse (Warenkorb, Kauf) automatisierte Abläufe zuverlässiger, vorbehaltlich der Marketing-Einwilligung.
Hosting, Kosten und Wartung
Stape oder Google Cloud Platform?
sGTM lässt sich auf Google Cloud (GCP) hosten, doch Einrichtung, Skalierung und Überwachung erfordern DevOps-Kenntnisse, und die Kosten schwanken mit dem Traffic. Wir setzen meist Stape ein, einen spezialisierten Hoster: Serverstandorte in Europa wählbar, verständliche Preise und praktische Werkzeuge wie der Custom Loader (GTM-Skripte werden von Ihrer eigenen Domain geladen). Es gibt weitere Optionen, auch Hosting in der Schweiz: siehe unseren Vergleich Infomaniak, Google Cloud oder Stape.
Was kostet eine Einrichtung bei A-Track?
Unsere Pakete für die Ersteinrichtung (exkl. MWST, CMP-Lizenz und sGTM-Hosting):
Landingpages und kleine Websites: ab CHF 1'200.
Standard-CMS-Website (Leads und E-Commerce): ab CHF 2'400.
Massgeschneiderte Websites (Tagging-Plan, S2S, CRM): ab CHF 4'800.
Details zu Paketen und Optionen (CAPI, CRM, API) auf unserer Seite Tracking und Compliance.
Warum eine jährliche Wartung?
Ein Tracking, das beim Start korrekt war, kann unbemerkt brechen: ein API-Update bei Meta oder TikTok, eine neue Safari-Regel, ein CMP-Wechsel, ein neues Plugin, eine Gesetzesänderung oder eine neue Version des IAB-TCF-Standards. Unsere Wartungspakete beginnen bei CHF 900 pro Jahr (kleine Websites), CHF 1'800 (Standard-CMS) und CHF 3'600 (massgeschneidert), exkl. MWST: Überwachung, Korrekturen und regulatorisches Monitoring.
Welchen Return on Investment können Sie erwarten?
Der ROI hängt von Ihrem Mediabudget ab und davon, wie viele Conversions heute fehlen. Der Mechanismus ist einfach: Je mehr zuverlässige, eingewilligte Conversions die Plattformen erhalten, desto besser lernen ihre Gebotsalgorithmen. Messen Sie vor dem Projekt die Lücke zwischen gemeldeten Conversions und tatsächlichen Verkäufen: Das ist Ihre Basis, um das Ergebnis zu beurteilen. Zur Methode siehe unseren Leitfaden zur Messung der Marketing-Performance.
Wo steht A-Track?
Wir sind keine Mediaagentur: Wir reparieren und warten die «Leitungen» (CMP, Consent Mode, GTM, sGTM, Conversion-APIs), damit die Kampagnen von Agenturen und Werbetreibenden auf zuverlässigen, konformen Daten beruhen. Von Genf aus arbeiten wir auf Basis des Schweizer DSG und der DSGVO, und unsere Audits prüfen Ihre Website gegen beide Rahmen sowie gegen den Standard IAB TCF 2.3, wenn Sie ihn nutzen.
Fazit: wo Sie anfangen
Messen Sie die Lücke zwischen den von Ihren Plattformen gemeldeten Conversions und Ihren tatsächlichen Verkäufen über einen Monat.
Prüfen Sie Ihre Einwilligungsbasis: CMP, Consent Mode v2, Auslösung der Nicht-Google-Tags.
Priorisieren Sie die wichtigen Datenströme: Kauf oder Lead zuerst serverseitig, dann die Conversion-APIs von Meta und Google, dann das CRM.
Dokumentieren und überwachen: Filterregeln, Tests nach jedem Update der Website oder der CMP.
Wo beginnt Ihr Umstieg auf Server-Side-Tracking?
A-Track erfasst Ihre Plattformen (Meta, Google Ads, GA4, TikTok), Ihr CMS und Ihr CRM und schlägt Ihnen einen Migrationsplan vor, der DSG und DSGVO respektiert.
Erster Schritt: ein 30-minütiges Gespräch mit einem Experten.