Consent Mode und CMPs

Nach GDPR und ePrivacy benötigen Sie im Allgemeinen eine ausdrückliche Einwilligung, bevor Sie nicht notwendige Cookies setzen oder Daten für Werbezwecke weitergeben. Wenn Sie bei verweigerter Einwilligung jedoch alle Tags blockieren, verlieren Sie die Messung vollständig.

Google Consent Mode ist eine Brücke: Die Tags lesen die Einwilligungsentscheidungen des Nutzers und passen ihr Verhalten an. Sie senden entweder vollständige Daten, datenschutzwahrende Signale oder gar nichts.

Consent Mode v2 definiert vier zentrale Zustände. Zwei davon gab es bereits zuvor: analytics_storage und ad_storage. Zwei kamen mit v2 hinzu: ad_user_data und ad_personalization.

Jeder Zustand ist entweder 'granted' oder 'denied'. ad_user_data legt fest, ob Nutzerdaten für Werbezwecke an Google gesendet werden dürfen; ad_personalization legt fest, ob diese Daten für personalisierte Werbung und Remarketing verwendet werden dürfen.

Der Ablauf umfasst zwei Schritte. Zuerst wird ein Standardbefehl ausgeführt, bevor irgendwelche Tags ausgelöst werden; für Nutzer in der EU wird dabei üblicherweise alles auf denied gesetzt. Wenn der Nutzer anschließend auf das Banner klickt, spiegelt ein Aktualisierungsbefehl seine tatsächliche Auswahl wider.

Den Standardwert festzulegen, bevor die Tags geladen werden, ist entscheidend. Andernfalls werden Tags möglicherweise mit vollständigem Tracking ausgelöst, bevor die Einwilligung erfasst wurde – das stellt einen Verstoß dar.

Basic Consent Mode blockiert Google-Tags vollständig, bis eine Einwilligung erteilt wurde; zuvor werden keine Pings gesendet. Advanced Consent Mode lädt Tags sofort, sendet bei verweigerter Einwilligung jedoch cookieless Pings – anonyme Signale ohne Identifikatoren.

Der Advanced-Modus liefert Daten für Googles Conversion-Modellierung, mit der die Conversions geschätzt werden, die Sie nicht direkt beobachten können. Er erfasst üblicherweise mehr Daten, wirft aber größere Compliance-Fragen auf.

Im Advanced-Modus empfängt Google bei verweigerter Einwilligung weiterhin einen minimalen cookieless Ping: einen Zeitstempel, die Seiten-URL, den Einwilligungsstatus selbst und eine zufällige Kennung, die nicht gespeichert wird.

Diese Pings enthalten keine personenbezogenen Daten und setzen keine Cookies. Daher können sie rechtlich vertretbar sein. Sie liefern Googles Modellen genügend aggregierte Signale, um die nicht beobachteten Conversions zu schätzen.

Eine Consent-Management-Plattform (CMP) zeigt das Banner an, erfasst die Auswahl des Nutzers, speichert den Nachweis der Einwilligung und stellt diese Auswahl Ihren Tags zur Verfügung.

Beispiele sind Cookiebot, OneTrust, Usercentrics und Didomi. Die CMP ist die maßgebliche Quelle für den Einwilligungsstatus; Consent Mode legt fest, wie Googles Tags darauf reagieren.

Für Consent Mode v2 verlangt Google für Produkte wie Google Ads-Remarketing und Traffic aus dem EWR eine zertifizierte CMP. Eine zertifizierte CMP integriert die Signale von Version 2 korrekt und steht auf Googles Liste zugelassener CMPs.

Die CMP muss die vier Einwilligungsparameter übergeben und, wo zutreffend, in das IAB Transparency and Consent Framework (TCF) integriert sein. Die Verwendung eines nicht zertifizierten oder selbst erstellten Banners birgt das Risiko, dass Funktionen deaktiviert werden.

Das IAB Transparency and Consent Framework ist ein Branchenstandard, der Einwilligungen in einem „TC string“ codiert – einem kompakten Token, das aufführt, welche Zwecke und Anbieter der Nutzer erlaubt hat.

Ad-Tech-Partner lesen den TC string, um zu wissen, ob sie Daten verarbeiten dürfen. Viele CMPs erzeugen ihn automatisch; das Framework ist aufwendig, weshalb kleinere Websites häufig eine schlankere, von Google zertifizierte Lösung ohne vollständige TCF-Integration verwenden.

Das Integrationsmuster ist wie folgt: Die CMP wird zuerst geladen und setzt den Consent-Mode-Standardwert auf denied. Wenn der Nutzer eine Auswahl trifft, löst die CMP die Einwilligungsaktualisierung aus und feuert ein dataLayer-Ereignis.

Ihre GTM-Tags reagieren dann entweder automatisch auf Consent Mode (integrierte Einwilligungsprüfungen) oder verwenden Trigger, die an das Einwilligungsereignis gebunden sind. Die Reihenfolge ist entscheidend: CMP vor GTM, Standardwert vor Aktualisierung.

Die Einwilligung wird zusammen mit dem Ereignis an Ihren Tagging-Server übermittelt. Jeder serverseitige Tag kann den Einwilligungsstatus in der Payload prüfen, bevor er Daten an ein Ziel weiterleitet.

Daher sollte ein verweigertes ad_user_data-Signal auch nach dem Browser verhindern, dass der Meta-CAPI- oder Google-Ads-Tag Daten sendet. Die Durchsetzung der Einwilligung muss sowohl auf Client- als auch auf Serverseite erfolgen.

Richtig umgesetzt ermöglichen Consent Mode und eine zertifizierte CMP, die Auswahl der Nutzer zu respektieren und durch Modellierung trotzdem zu messen, ohne unzulässige Cookies zu setzen. Bei fehlerhafter Umsetzung wird daraus ein Feigenblatt für unzulässiges Tracking.

Prüfen Sie regelmäßig: Die Standardwerte müssen auf denied gesetzt sein, die Banner eine echte Ablehnungsoption anbieten, der Einwilligungsnachweis muss protokolliert werden und vor der Einwilligung dürfen keine identifizierenden Tags ausgelöst werden.

Consent Mode v2 verwendet vier Signale (analytics_storage, ad_storage, ad_user_data, ad_personalization), die auf granted oder denied gesetzt werden, mit einem Ablauf aus standardmäßig denied und anschließender Aktualisierung. Der Advanced-Modus sendet bei verweigerter Einwilligung cookieless Pings, um die Modellierung zu ermöglichen.

Eine von Google zertifizierte CMP ist die maßgebliche Quelle: Sie zeigt das Banner an, erfasst die Einwilligung und übermittelt diese Signale sowie den IAB TC string. Setzen Sie die Einwilligung sowohl client- als auch serverseitig durch und prüfen Sie, dass die Standardwerte vor dem Auslösen jedes Tags auf denied gesetzt sind.