In einer Welt, in der Datenschutz und personalisierte Werbung auf Kollisionskurs liegen, betritt der Google Consent Mode V2 die Bühne – und das Publikum hält den Atem an. Seit März 2024, unter dem strengen Blick des Digital Markets Act (DMA) der EU, müssen Unternehmen eine neue Realität navigieren, die gleichermaßen von Hoffnungen und Befürchtungen geprägt ist. Mit Versprechen auf verbesserte Nutzerkontrolle und DSGVO-konforme Datenmodellierung könnte der Google Consent Mode V2 das Rettungsboot in einem Meer von Datenschutzunsicherheiten sein.
Einleitung
Der Google Consent Mode (GCM) regelt grundsätzlich die Verarbeitung von Daten durch Google Tags (Analytics, Ads, Floodlight, Conversion Linker) basierend auf der Zustimmung des Nutzenden. Die Einführung des GCM V2 im November 2023 erfolgte aufgrund der EU-Vorgabe im Digital Markets Act (DMA), der ab dem 17. Februar 2024 für die sechs größten Konzerne weltweit, darunter Alphabet (Google), in Kraft tritt. Die Konzerne sind seit dem 7. März 2024 dazu verpflichtet, Einwilligungen von Nutzenden in die Datenerhebung und -verarbeitung einzuholen und die Zustimmung vorweisen zu können. Eine Umstellung bis Ende 2024 ist notwendig, um weiterhin Conversions zu erfassen.
Basic und Advanced Mode
Mit dem neuen GCM V2 hat Google den Consent Mode in einen „Basic Mode“ und einen „Advanced Mode“ unterteilt. Im „Basic Mode“ erfolgt das Tracking nur bei Zustimmung des Nutzenden, während der „Advanced Mode“ auch Tracking ohne Zustimmung ermöglicht.
Datenschutz im Basic Mode
Im „Basic Mode“ werden, wie bereits bekannt und bewährt, ausschließlich Daten an Google gesendet, wenn bei Besuch der Webseite dem zugestimmt hat. Ohne Zustimmung erfolgt keine Datenübermittlung. Diese Einstellung erfüllt die Datenschutzanforderungen und entspricht dem Grundprinzip der datenschutzkonformen Datenverarbeitung nach der DSGVO.
Datenschutz im Advanced Mode
Der „Advanced Mode“ des GCM V2 ermöglicht Tracking auch ohne Zustimmung – wenn auch ohne Cookies – , teilweise jedoch mit anonymisierten Datenübermittlungen. Diese Übermittlung erfolgt noch bevor eine Auswahl über Zustimmung oder Ablehnung der Third-Party-Cookies getroffen worden ist. Die Praxis des Advanced Modes wird überwiegend als nicht datenschutzkonform betrachtet. Bei clientseitiger Implementierung werden identifizierbare personenbezogene Daten, einschließlich der IP-Adresse (was als personenbezogenes Datum gilt), an Google übermittelt, was im Widerspruch zu der DSGVO steht.
Google nennt die Übermittlung dieser Daten den „Ping“. Diese Information enthält den Zeitstempel, User-den Agent und die Verweis-URL. Es werden anonyme Daten ohne Einwilligung erhoben, die Google im GCM Advanced Mode sammelt und für die Datenmodellierung nutzt, um Lücken bei der Datenerhebung zu schließen.
Serverseitige Implementierung
Eine serverseitige Implementierung des Advanced Modes ermöglicht Anpassungen vor der Datenübermittlung an Google, wie die Anonymisierung der IP-Adresse. Dies könnte die Datenschutzkonformität verbessern, ist jedoch nicht vollständig ohne Zustimmung der nutzenden Person, insbesondere bei der Übertragung von Daten in Drittstaaten, gewährleistet.
Kritikpunkte zusammengefasst
- Verpflichtung zur Implementierung: Alle Werbetreibenden, die Google Ads für personalisierte Werbung nutzen und Tracking mit Google Analytics durchführen, sind zur Nutzung des Google Consent Mode V2 verpflichtet. Dies stellt eine zusätzliche technische und datenschutzrechtliche Herausforderung dar, insbesondere für kleinere Unternehmen und Webseitenbetreibende.
- Datenschutzbedenken: Obwohl der Advanced Consent Mode ermöglicht, Datenlücken durch Modellierung zu schließen, wirft das cookielose Tracking, auch ohne direkte personenbezogene Daten, Fragen hinsichtlich des Datenschutzes und der Nutzerkontrolle auf. Es bleibt umstritten, inwiefern dieses Vorgehen den Datenschutzanforderungen, insbesondere der DSGVO, gerecht wird. Zumal die Rechtsprechung bei der Einschätzung, was ein personenbezogenes Datum ist, in der Vergangenheit weite Maßstäbe angelegt hat.
- Komplexität und Verwirrung: Die Aufteilung in Basic und Advanced Modi und die hinzugefügten Einstellungen (z.B. ad_user_data und ad_personalization) erhöhen die Komplexität der Implementierung und könnten bei Werbetreibenden und Webseitenbetreibenden für Verwirrung und Rechtsunsicherheit sorgen.
Fazit
Der Google Consent Mode V2 ist DSGVO-konform nutzbar, soweit ausschließlich der „Basic Mode“ verwendet wird, da hierbei die Datenübermittlung nur bei Zustimmung erfolgt. Der „Advanced Mode“ bewegt sich aufgrund der Übermittlung von identifizierbaren personenbezogenen Daten im Graubereich des Datenschutzrechts und ist insbesondere bei clientseitiger Implementierung als nicht DSGVO-konform einzustufen. Bei einer serverseitigen Implementierung sind jedoch Anpassungen möglich, die die Datenschutzkonformität verbessern können, jedoch sollte dennoch eine Zustimmung des Nutzenden eingeholt werden.
Insbesondere die datenschutzkonforme Einholung und Verwaltung von Nutzerzustimmungen stellen hierbei eine Herausforderung an die (Daten-)Transparenz und das Einwilligungsmanagement der Betreibenden dar.
Um Tools von Google Analytics für Ihr Marketing zu nutzen und Ihre Zielgruppe mit präziser Werbung anzusprechen, ist es entscheidend, den Consent Mode einwandfrei einzurichten.
Bei Unklarheiten bezüglich des Datenschutzes, insbesondere im Zusammenhang mit Cookies, dem Consent Mode und Tracking-Methoden, sind wir Ihre erste Anlaufstelle.
Bei Rückfragen melden Sie sich unter kontakt@rmprivacy.de
Bildnachweis: KI generiert