Der Google Tag Manager ist ein Sonderfall, und zwar ein unangenehmer. Er sammelt selbst kaum Daten, er ist eine Ladeschicht. Sein Problem ist, was er nachlädt.
In meinem Scan von 206 Schweizer KMU-Websites lief auf 38% ein Tag Manager. Das ist fast jeder zweite bis dritte Betrieb mehr, als tatsächlich wissen, was darüber alles startet.
Warum das ein blinder Fleck ist
Wenn du ein Tracking-Tool direkt in deine Seite einbaust, steht es im Quelltext. Man sieht es, man kann es deklarieren. Baust du es über den Tag Manager ein, steht im Quelltext nur der Tag Manager selbst. Was er lädt, entscheidet sich erst beim Aufruf der Seite, anhand der Konfiguration in deinem Google-Konto.
Für dich heisst das: über die Zeit sammeln sich dort Tags an. Eine Agentur hat mal ein Pixel eingerichtet, jemand hat ein Test-Tag nie entfernt, ein Kampagnen-Tracking läuft seit zwei Jahren weiter. Deine Datenschutzerklärung weiss von alldem nichts.
Der Tag Manager ist der häufigste Grund dafür, dass eine Datenschutzerklärung zum Zeitpunkt der Erstellung korrekt war und ein Jahr später nicht mehr.
Was das revDSG verlangt
Das revidierte Schweizer Datenschutzgesetz stellt die Informationspflicht ins Zentrum: Du musst nachvollziehbar sagen, welche Personendaten du bearbeitest, zu welchem Zweck und wer sie sonst noch zu sehen bekommt. Geht ein Dienst ins Ausland, kommt die Auslandbekanntgabe dazu, du musst also auch das Zielland nennen.
Seit dem 15. September 2024 anerkennt die Schweiz die USA über das Swiss-U.S. Data Privacy Framework wieder als Land mit angemessenem Datenschutzniveau, allerdings nur für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben. Für zertifizierte Dienste braucht es keine zusätzlichen Garantien mehr, für nicht zertifizierte weiterhin schon. Die Pflicht, transparent zu informieren, bleibt in beiden Fällen bestehen. Genau die wird am häufigsten übersehen.
Was du tun solltest
1. Öffne deinen Tag-Manager-Container und schau die Liste der aktiven Tags durch. Nicht die, an die du dich erinnerst, sondern die, die tatsächlich drin sind.
2. Räum auf. Was du nicht brauchst, entfernst du. Das ist der wirksamste Datenschutz-Schritt überhaupt, ein Dienst, der nicht läuft, muss auch nicht deklariert werden.
3. Deklariere den Rest, jeden einzelnen mit Namen, Zweck und Herkunftsland.
4. Nenn auch den Tag Manager selbst. Er ist ein Google-Dienst mit Sitz in den USA und gehört in die Auslandbekanntgabe.
Warum mein Scan hier an eine Grenze stösst
Ich sage das offen, weil es für die Einordnung wichtig ist: Mein Scanner liest den Quelltext deiner Seite. Dienste, die erst zur Laufzeit über den Tag Manager nachgeladen werden, sieht er nicht. Findet er bei dir einen Tag Manager, ist das also eher ein Hinweis als eine vollständige Liste.
Umgekehrt heisst das auch: die Zahl der undeklarierten Dienste in meiner Studie ist eher zu tief als zu hoch. Wenn dein Scan einen Tag Manager meldet, lohnt sich der Blick in den Container immer.