Consent Mode v2 und DSGVO: Was ein Webshop senden darf

Consent Mode v2 ist der Weg von Google, mit dem eine Website ihren Google-Tags mitteilt, ob ein Besucher Cookies und der Nutzung seiner Daten für Werbung zugestimmt hat. Er nutzt vier Signale: ad_storage, analytics_storage, ad_user_data und ad_personalization. Er holt selbst keine Einwilligung ein. Dein Cookie-Banner fragt, und Consent Mode gibt die Antwort an Google weiter.

Dieser Leitfaden erklärt die vier Signale, den Basic und den Advanced Consent Mode, was das EU-Recht von einem Webshop auf hoher Ebene verlangt, wie Server-Side-Tracking hineinpasst und wie ROASaurus mit Einwilligung umgeht.

Was ist Consent Mode v2?

Consent Mode ist eine Google-Funktion für Websites und Apps. Die Website legt für jeden Besucher einen Standard-Einwilligungsstatus fest, meist „abgelehnt“, und aktualisiert ihn, wenn der Besucher das Cookie-Banner beantwortet. Google-Tags lesen diesen Status und passen ihr Verhalten an. Mit Einwilligung arbeiten sie normal. Ohne Einwilligung lesen und schreiben sie keine Werbe-Cookies und senden je nach Setup begrenzte oder gar keine Daten.

Version 2 hat zwei Signale ergänzt, ad_user_data und ad_personalization. Google hat sie eingeführt, als es die Durchsetzung seiner EU-Richtlinie zur Einwilligung der Nutzer verschärfte. Für Besucher im Europäischen Wirtschaftsraum (EWR) müssen Werbetreibende, die Anzeigenpersonalisierung und Messung nutzen wollen, eine Einwilligung einholen und die Einwilligungssignale an Google weitergeben. Die Richtlinie selbst gilt für Besucher im EWR, im Vereinigten Königreich und in der Schweiz.

Die vier Einwilligungssignale

Ein Cookie-Banner ordnet seine eigenen Kategorien diesen Signalen zu. Eine übliche Zuordnung: Die Kategorie Marketing oder Werbung setzt ad_storage, ad_user_data und ad_personalization, und die Kategorie Analyse oder Statistik setzt analytics_storage. Prüfe, wie dein Consent-Tool das macht, denn ein einziger Zuordnungsfehler schickt die falsche Antwort an jedes Google-Tag auf deiner Website.

Basic und Advanced Consent Mode

Google bietet zwei Wege, Consent Mode umzusetzen. Der Unterschied liegt darin, was vor und ohne Einwilligung passiert.

Technisch funktioniert Consent Mode mit zwei Befehlen. Der Befehl default legt den Einwilligungsstatus fest, bevor ein Google-Tag Daten sendet. Der Befehl update ändert ihn, wenn der Besucher das Banner beantwortet.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Consent-Management-Plattformen senden diese Befehle meist für dich. Prüfe, dass sie es tun und dass sie das Update auf jeder Seite senden, nachdem der Besucher geantwortet hat, nicht nur auf der Seite, auf der das Banner angezeigt wurde.

Was das EU-Recht von einem Webshop verlangt

Zwei EU-Gesetze sind für Werbe-Tracking am wichtigsten, und Google legt eine eigene Richtlinie obendrauf. Das ist eine Zusammenfassung auf hoher Ebene.

Die ePrivacy-Regeln zu Cookies

Die ePrivacy-Richtlinie betrifft das Speichern von Informationen auf dem Gerät eines Besuchers, etwa Cookies, und das Zurücklesen. Cookies, die für einen vom Besucher gewünschten Dienst unbedingt erforderlich sind, etwa der Warenkorb oder ein Login, brauchen keine Einwilligung. Tracking-Cookies für Werbung schon. Nach den Hinweisen der EU für Unternehmen kommt die Einwilligung zuerst: Solche Cookies dürfen nicht gesetzt werden, wenn die Seite zum ersten Mal geöffnet wird. Die Einwilligung sollte pro Zweck erteilt werden, und ihr Widerruf muss so einfach sein wie ihre Erteilung.

Die DSGVO zu personenbezogenen Daten

Die DSGVO gilt für jede Nutzung personenbezogener Daten, etwa einer E-Mail-Adresse, einer Telefonnummer oder der Angaben zu einer Bestellung. Jede Nutzung braucht eine von sechs Rechtsgrundlagen, zum Beispiel Einwilligung, Vertrag oder berechtigte Interessen. Du darfst nur die Daten verarbeiten, die du für den Zweck brauchst. Ein Dienst, der personenbezogene Daten für dich verarbeitet, etwa ein Tracking-Tool, braucht einen schriftlichen Vertrag mit dir.

Die EU-Richtlinie von Google zur Einwilligung der Nutzer

Wenn du Werbeprodukte von Google nutzt, ergänzt diese Richtlinie eine vertragliche Pflicht. Für Besucher im EWR, im Vereinigten Königreich und in der Schweiz musst du eine gültige Einwilligung für Cookies einholen, wo das Gesetz es verlangt, und für die Nutzung personenbezogener Daten zur Personalisierung von Anzeigen. Du musst Einwilligungen dokumentieren, erklären, wie sie widerrufen werden kann, und jeden Empfänger der Daten klar benennen.

Braucht Server-Side-Tracking eine Einwilligung?

Server-Side-Tracking ändert, von wo ein Event gesendet wird: von deinem Server statt vom Browser des Besuchers. Es ändert nicht, was du senden darfst. Zwei Punkte zeigen, warum.

Erstens beginnen die meisten serverseitigen Setups weiterhin im Browser. Ein Skript liest die Click-ID aus der Landing-URL und speichert sie auf dem Gerät, sodass die ePrivacy-Regeln für diesen Schritt gelten. Zweitens ist das Senden eines Kaufs mit einer gehashten E-Mail-Adresse, einer IP-Adresse oder einer Click-ID an eine Werbeplattform eine Verarbeitung personenbezogener Daten. Sie braucht eine Rechtsgrundlage nach der DSGVO, auf welchem Weg die Daten auch fließen. Unser Leitfaden, was Server-Side-Tracking ist, erklärt die technische Seite.

Datensparsamkeit und Hashing

Sende, was die Plattform braucht, um die Conversion zuzuordnen und zu zählen, nicht die ganze Bestellung. Werbeplattformen verlangen, dass personenbezogene Felder wie E-Mail-Adresse und Telefonnummer normalisiert und mit SHA-256 gehasht werden, bevor sie gesendet werden. Hashing schützt den Rohwert auf dem Weg zur Plattform, ist aber keine Anonymisierung: Die Plattform vergleicht den Hash mit ihren eigenen Nutzerdaten, um einen Treffer zu finden. Behandle gehashte Daten als personenbezogene Daten.

Was ein Webshop mit und ohne Einwilligung sendet

Als Beispiel dafür, wo ein Tool die Grenze zieht, hier, was ROASaurus in Shopify tut, wenn Respect visitor consent aktiviert ist, was die Standardeinstellung ist.

Ob die bezahlte Bestellung eines Besuchers, der abgelehnt hat, gesendet werden darf, ist eine Rechtsfrage, und die Antwort kann je nach Shop und Land unterschiedlich ausfallen. ROASaurus sendet sie standardmäßig. Sagt deine Rechtsberatung, dass auch Kauf-Events eine vorherige Einwilligung brauchen, wende dich an ROASaurus, bevor du serverseitige Käufe einschaltest. Einwilligung und Datenschutz enthält die Details für Shopify und andere Webshops.

Wie ROASaurus Einwilligung und Consent-Mode-Signale behandelt

ROASaurus setzt keine Google-Consent-Mode-Signale für deine Google-Tags. Es liest die Entscheidung des Besuchers je nach Webshop aus einer anderen Quelle:

• In Shopify lesen das Storefront-Skript und die Checkout-Pixel die Customer Privacy API von Shopify, die dein Cookie-Banner befüllt. Das Checkout-Pixel folgt auch einer Auswahl, die der Käufer während des Checkouts ändert. Der Leitfaden zu Server-Side-Tracking in Shopify zeigt Schritt für Schritt, wie das funktioniert.
• In anderen Webshops liest das ROASaurus-Skript OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB-TCF-Banner, die consent-Befehle von Google Consent Mode und die WP Consent API. Bei Google Consent Mode bedeutet Marketing-Einwilligung, dass ad_storage und ad_user_data auf granted stehen, und du kannst pro Tool weitere Kategorien zuordnen. Bei einem anderen Banner rufst du tlq('consent', true) oder tlq('consent', false) auf, wenn der Besucher entscheidet.
• Google-Ads-Conversions werden nur aus dem Shopify-Checkout gesendet. ROASaurus lädt das Google-Tag dort nur für Käufer, die Marketing-Cookies erlauben, sendet damit aber keine Consent-Mode-Signale.
• Vom Server aus gibt ROASaurus die Entscheidung in Googles eigenen Einwilligungsfeldern weiter: Events für Google Analytics 4 enthalten ad_user_data und ad_personalization, auf granted für Besucher, die eingewilligt haben, und auf denied für Bestellungen, die als anonyme Verkäufe gesendet werden, und Lead-Uploads an Google Ads enthalten die Einwilligung ad_user_data.

Deine eigenen Google-Tags brauchen weiterhin Consent Mode. Wenn du Google-Ads- oder Google-Analytics-Tags auf deiner Website einsetzt, muss dein Banner oder Consent-Tool ihnen die Signale senden. Wenn du an Besucher im EWR wirbst, kläre mit dem Anbieter deines Consent-Tools oder deinem Entwickler, ob dein gesamtes Setup, einschließlich der Google-Ads-Conversions aus dem Checkout, die Anforderungen von Google für dein Konto erfüllt.

Eine Einwilligungs-Checkliste für Webshops

1. Installiere ein Cookie-Banner

   Es muss Marketing-Cookies blockieren, und Analyse-Cookies, wo dein Recht es verlangt, bis der Besucher zustimmt. Nutze in Shopify ein Banner, das in die Customer Privacy API schreibt.

2. Ordne das Banner Consent Mode zu

   Setze die vier Signale standardmäßig auf „abgelehnt“ und aktualisiere sie über das Banner, damit deine Google-Tags der Entscheidung des Besuchers folgen.

3. Stelle dein Tracking-Tool darauf ein, die Einwilligung zu beachten

   Lass in ROASaurus Respect visitor consent in den Store settings aktiviert. Prüfe in anderen Webshops als Shopify, ob ROASaurus dein Einwilligungs-Tool ausliest, oder gib die Entscheidung mit tlq('consent', …) weiter.

4. Entscheide über serverseitige Käufe

   Frage deine Rechtsberatung, ob die bezahlten Bestellungen von Besuchern, die abgelehnt haben, gesendet werden dürfen und auf welcher Rechtsgrundlage.

5. Aktualisiere deine Datenschutzerklärung und Verträge

   Nenne jede Werbeplattform, die Daten erhält, erkläre, wie die Einwilligung widerrufen wird, und schließe mit jedem Auftragsverarbeiter eine Vereinbarung zur Auftragsverarbeitung ab.

6. Teste beide Antworten

   Lehne Cookies in einem privaten Browserfenster ab und prüfe in den Entwicklertools, dass kein Werbe-Pixel lädt und kein Besucher-ID-Cookie gesetzt wird. Stimme dann zu und prüfe, dass beides erscheint.

Quellen

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

In ROASaurus

• Hilfe: Einwilligung und Datenschutz
• Server-Side-Tracking in ROASaurus
• Google-Ads-Integration
• Shopify-Integration

Weiterlesen