Die zwei neuen Signale in Google Consent Mode v2

Was hat Google Consent Mode v2 verändert?

Im November 2023 hat Google Consent Mode v2 zwei Werbeparameter ergänzt, ad_user_data und ad_personalization, neben die Signale ad_storage und analytics_storage, die Google-Tags bereits gelesen haben. Googles Dokumentation zur Tag-Plattform sagt es klar: "Der Consent Mode wurde im November 2023 aktualisiert und enthält jetzt zwei zusätzliche Parameter" (Consent Mode verwalten). Die Mechanik darunter, die Befehle default und update und die Modellierung, die Google auf den Ergebnissen laufen lässt, steht in einem praktischen Leitfaden zum Consent Mode. Diese Seite bleibt bei dem, was Version 2 obendrauf gesetzt hat.

Was steuern ad_user_data und ad_personalization?

Die beiden Parameter teilen eine alte Frage in zwei. Googles gtag-Referenz definiert ad_user_data als "Legt die Einwilligung für das Senden von Nutzerdaten an Google zu Werbezwecken fest" und ad_personalization als "Legt die Einwilligung für personalisierte Werbung fest" (gtag.js-Referenz). Einer regelt die Übertragung, der andere die Nutzung. Ein Besucher kann zustimmen, dass Daten für die Conversion-Messung zu Google gelangen, und trotzdem ablehnen, damit angesprochen zu werden, und Version 2 gibt dieser Unterscheidung ein Übertragungsformat.

Über die API hinweg existieren sieben Einwilligungstypen. Googles Beschreibungen, zitiert von den eigenen Seiten:

Jeder einzelne davon akzeptiert genau zwei Werte, granted oder denied. Nichts anderes wird geparst.

Ist Google Consent Mode v2 von der DSGVO vorgeschrieben?

Nein, und diese Vermischung ist der häufigste Fehler in Texten zu diesem Thema. Google Consent Mode v2 ist eine Anforderung, die Google an Werbetreibende stellt, die seine Produkte weiter nutzen wollen, getragen von der EU-Nutzereinwilligungsrichtlinie, die für "Endnutzer im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz" gilt und Werbetreibende verpflichtet, eine Einwilligung einzuholen für "die Verwendung von Cookies oder anderem lokalen Speicher, sofern rechtlich erforderlich" und für "die Erhebung, Weitergabe und Verwendung personenbezogener Daten zur Personalisierung von Anzeigen" (EU-Nutzereinwilligungsrichtlinie). Die DSGVO und die ePrivacy-Richtlinie legen die zugrunde liegenden Rechtspflichten fest. Keine von beiden nennt einen JavaScript-Parameter.

Die praktische Folge: Eine Implementierung, die für alles granted sendet, erfüllt Googles Verkabelung und bricht trotzdem das Gesetz, wenn keine gültige Einwilligung eingeholt wurde. Was eine Einwilligung überhaupt erst gültig macht, liegt vor jeder API und steht in was als Tracking-Einwilligung zählt und in den DSGVO-Einwilligungsanforderungen für Web Analytics. Verdrahte die Signale, nachdem die Rechtsfrage geklärt ist, nicht anstelle davon.

Einfach oder erweitert: Welche Implementierung wählst du?

Google dokumentiert zwei Implementierungen des Consent Mode, und Version 2 erbt beide. Im einfachen Consent Mode wird die Site "das Laden von Google-Tags verhindern, bis ein Nutzer mit einem Einwilligungsbanner interagiert", und "vor der Einwilligung werden keine Daten gesendet". Im erweiterten Consent Mode "laden Google-Tags, sobald ein Nutzer die Website oder App öffnet", mit Standardwerten auf denied, und "wenn die Einwilligung verweigert wird, werden Einwilligungsstatus und cookielose Pings gesendet. Wird die Einwilligung erteilt, werden Cookies geschrieben" (Google Ads-Hilfe).

Der Unterschied zeigt sich in Googles Modellierung. Dieselbe Hilfeseite beschreibt den einfachen Modus als Grundlage für ein "allgemeines Modell (weniger detaillierte Modellierung)" und den erweiterten Modus als Grundlage für ein "werbetreibendenspezifisches Modell (detailliertere Modellierung)". Der erweiterte Modus erkauft bessere Conversion-Modellierung damit, dass er einen cookielosen Ping von Besuchern überträgt, die Nein gesagt haben, und das ist eine Datenschutzentscheidung, die ein Rechtsteam treffen sollte und kein Growth-Team. Was du auch wählst, das Einwilligungsbanner muss den update-Aufruf auslösen und sich nicht bloß neu zeichnen.

Was bricht in Googles Werbeprodukten, wenn die Signale fehlen?

Fehlen ist nicht neutral. Googles Customer-Match-Dokumentation hält fest: "Wenn diese Einwilligungen fehlen, wird der Einwilligungswert als nicht eingewilligt bestimmt", und "Daten von EWR-Nutzern ohne Einwilligung werden nicht verarbeitet und können nicht für die Anzeigenpersonalisierung über Customer Match verwendet werden" (Informationen zu Customer Match und der EU-Nutzereinwilligungsrichtlinie). Dieselbe Seite trägt die datierte Anforderung: "Ab März 2024 müssen für die Nutzung von Customer-Match-Listen im EWR beide Einwilligungsfelder vom Typ ConsentStatus auf 'GRANTED' gesetzt sein, um anzuzeigen, dass Sie die erforderliche Nutzereinwilligung erhalten haben."

Welche Tags die Signale überhaupt lesen, ist ebenfalls dokumentiert. Google nennt als Produkte, deren Tags "integrierte Einwilligungsprüfungen enthalten", Google Analytics, Google Ads, Floodlight und Conversion Linker (Consent Mode in Google Analytics). Ein Tag außerhalb dieser Liste reagiert nicht auf einen gtag('consent', ...)-Aufruf, es zu blockieren ist also deine Aufgabe.

Wie tragen die Befehle default und update die neuen Parameter?

Der Befehl default läuft, bevor irgendein Google-Tag feuert, und der Befehl update läuft, wenn der Besucher antwortet. Googles dokumentierte Form:

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});
 
gtag('consent', 'update', {
  'ad_storage': 'granted',
  'ad_user_data': 'granted',
  'ad_personalization': 'granted',
  'analytics_storage': 'granted'
});

Zwei Optionen sind für die Korrektheit wichtig. Google dokumentiert wait_for_update mit "einem Millisekundenwert, der steuert, wie lange gewartet wird, bevor Daten gesendet werden", für Einwilligungsplattformen, die asynchron auflösen, und einen region-Schlüssel, der "gemäß ISO 3166-2" im default-Befehl gesetzt wird, wobei "der mit der spezifischeren Region wirksam wird". Dass default erst läuft, nachdem gtag.js bereits einen Seitenaufruf gesendet hat, ist der Fehler, der das gesamte Setup lautlos entwertet, und dieselbe Reihenfolgefalle wird im Leitfaden zum Google-Analytics-Cookie-Hinweis auseinandergenommen.

Was hat Google nicht dokumentiert?

Google hat für den Consent Mode keinen Sanktionskatalog veröffentlicht, kein Bußgeld und keine Richtlinie zur Kontosperrung, die an die beiden Parameter geknüpft wäre. Das einzige harte Datum in Googles eigenen Seiten zu diesem Update ist die oben zitierte Customer-Match-Anforderung vom März 2024; behandle jedes andere Durchsetzungsdatum, das in Blogposts kursiert, als unbelegt, bis Google es veröffentlicht. Die dokumentierte Folge ist funktional statt strafend: EWR-Daten ohne Einwilligung werden nicht zur Personalisierung verarbeitet, und die Zielgruppen- oder Messfunktion, die davon abhing, verliert an Qualität.

Es gibt einen Weg aus dem ganzen Apparat heraus, nämlich Google überhaupt keine Werbesignale zu senden. Cookielose Analytics nimmt die Parameter aus der Frage heraus, und Flowserys datenschutzfreundliche Analytics ist cookiefrei und in der EU gehostet, es gibt also keine ad_storage-Entscheidung, um die herum modelliert werden müsste. Teams, die Google Ads betreiben, brauchen den Consent Mode für die Werbeseite weiterhin, denn ein Messwerkzeug kann nicht für die Tags eines anderen Anbieters antworten.

Häufig gestellte Fragen

Ist Google Consent Mode v2 verpflichtend?

Er ist verpflichtend für Werbetreibende, deren Werbe- und Messfunktionen bei Google für Traffic aus dem EWR, dem Vereinigten Königreich und der Schweiz weiter funktionieren sollen, gemäß Googles EU-Nutzereinwilligungsrichtlinie. Er ist nicht nach der DSGVO verpflichtend, die die Einwilligung selbst regelt und nicht, wie du sie an einen Anbieter überträgst. Eine Site ohne Google-Werbetags hat von Google aus keine Consent-Mode-Pflicht.

Was passiert, wenn ich nur ad_storage und analytics_storage sende?

Googles Customer-Match-Dokumentation hält fest, dass bei fehlenden Einwilligungsfeldern "der Einwilligungswert als nicht eingewilligt bestimmt wird". Die v1-Parameter treten nicht an die Stelle der v2-Parameter. Personalisierungsfunktionen, die auf ad_user_data und ad_personalization angewiesen sind, behandeln diesen Traffic als abgelehnt.

Kann ad_user_data auf granted stehen, während ad_personalization auf denied steht?

Ja, und genau diese Kombination ist der Sinn der Aufteilung. Sie bedeutet, dass Daten zu Werbezwecken zu Google gelangen dürfen, während personalisierte Werbung abgelehnt ist. Ein Einwilligungsbanner mit getrennten Zweck-Schaltern sollte auf dieses Paar abbilden, statt beide zu einer Checkbox zusammenzufalten.

Zählt der einfache Consent Mode weiterhin als Consent Mode v2?

Ja. Einfach und erweitert sind Implementierungsentscheidungen, und beide tragen die vier Werbe- und Analytics-Parameter. Der einfache Modus blockiert Google-Tags, bis der Besucher mit dem Banner interagiert, die Parameter kommen dort also erst im update-Aufruf an.

Welche Regionen deckt Googles Anforderung ab?

Googles EU-Nutzereinwilligungsrichtlinie nennt "Endnutzer im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz". Die von Google zitierte Customer-Match-Einwilligungsanforderung bezieht sich auf den EWR. Googles Dokumentation dehnt die Anforderung nicht auf andere Regionen aus.

Stellt der Consent Mode die Daten wieder her, die Besucher abgelehnt haben?

Nein. Der Consent Mode speist Googles Conversion-Modellierung, die Schätzungen erzeugt statt Beobachtungen, und Google bezeichnet die beiden Implementierungen als Grundlage für ein allgemeines oder ein werbetreibendenspezifisches Modell. Die Einschränkungen der Modellierung und wie sie im Reporting auftauchen, stehen in dem Leitfaden zum Consent Mode.

Was unterscheidet die v1- und v2-Signale im Consent Mode?

Die v1-Signale sind ad_storage und analytics_storage. Version 2 behielt beide bei und ergänzte im November 2023 ad_user_data und ad_personalization, wodurch die frühere einzelne Consent-Entscheidung in getrennte Signale für die Datenübermittlung an Google und für die Nutzung in personalisierter Werbung aufgeteilt wurde.

Welche Google-Tags prüfen die Consent-Mode-Signale überhaupt?

Google nennt Google Analytics, Google Ads, Floodlight und Conversion Linker als die Produkte, deren Tags eingebaute Consent-Prüfungen enthalten. Ein Tag außerhalb dieser Liste reagiert nicht auf einen gtag('consent', ...)-Aufruf und feuert weiter, wenn nichts anderes es blockiert.

Was bewirkt wait_for_update im Consent Mode?

Es ist ein Parameter, den Google für den default-Befehl dokumentiert, auf einen Millisekundenwert gesetzt, der gtag.js mitteilt, wie lange Anfragen zurückgehalten werden sollen. Er ist für Consent-Management-Plattformen gedacht, die asynchron auflösen, damit Tags nicht schon beim ersten Laden feuern, bevor die Plattform eine Entscheidung gemeldet hat.

Kann der Parameter region unterschiedliche Standardwerte für verschiedene Länder setzen?

Der default-Befehl akzeptiert einen region-Schlüssel nach ISO 3166-2, und Google wendet die jeweils spezifischere passende Region an. Eine Website kann so einen Standard für den EWR und einen separaten für alle anderen Regionen im selben default-Aufruf festlegen.