Einwilligung nach TDDDG und Google Consent Mode richtig umsetzen und prüfen

01Einwilligung nach TDDDG und Google Consent Mode: die kurze Antwort

Die Einwilligung nach TDDDG und Google Consent Mode greifen dann korrekt ineinander, wenn Ihre Website Google-Tags erst nach der Zustimmung lädt. Consent Mode v2 gibt diese Entscheidung zusätzlich an Google weiter. Technisch bedeutet das: einfache Implementierung, alle vier Einwilligungsparameter standardmäßig auf „denied" und eine Aktualisierung erst nach dem Klick im Banner.

Google Consent Mode, auf Deutsch Einwilligungsmodus, ist eine Funktion, mit der Ihre Website Google über den Einwilligungsstatus der Besucher informiert. Die Google-Tags passen ihr Verhalten daraufhin an. So beschreibt es die Google Analytics-Hilfe zum Einwilligungsmodus.

Der kritische Punkt ist die Wahl der Implementierung. Die erweiterte Implementierung lädt die Google-Tags schon vor dem Banner. Ohne Zustimmung senden diese Tags dann Pings ohne Cookies an Google. Wer erreichen will, dass vor der Einwilligung kein Tag auf das Endgerät zugreift, wählt deshalb die einfache Implementierung.

Dieser Beitrag erklärt die rechtliche Vorgabe, die vier Parameter, den Code für die Standardwerte und ein durchgespieltes Beispiel. Am Ende steht eine Prüfliste, mit der Sie Ihr eigenes Cookie-Banner testen.

02§ 25 TDDDG verlangt die Einwilligung vor jedem Zugriff auf das Endgerät

§ 25 TDDDG ist die Vorschrift, nach der Ihre Website Informationen auf dem Endgerät eines Besuchers nur mit dessen Einwilligung speichern oder auslesen darf. Eine Ausnahme gilt, wenn der Zugriff unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen. Ältere Quellen zitieren die Vorschrift noch unter der früheren Bezeichnung TTDSG. Für Google-Tags heißt das: Vor dem Klick im Banner darf kein Tag etwas auf dem Gerät ablegen oder von dort lesen.

Was Google-Werbetags auf dem Gerät ablegen

Googles Entwicklerdokumentation beschreibt, was der Parameter ad_storage auf „denied" verhindert. Daraus lässt sich ablesen, worauf Werbetags sonst zugreifen:

• Informationen zu Anzeigenklicks, die lokal im Browser gespeichert werden.
• Neue Werbe-Cookies, die der Tag setzt.
• Früher gesetzte Drittanbieter-Cookies auf google.com und doubleclick.net.

Auch Pings ohne Cookies setzen laufenden Google-Code voraus

Laut Google Analytics-Hilfe senden Tags bei verweigerter Einwilligung Pings an Google, statt Cookies zu speichern. Auch dafür muss der Google-Code bereits im Browser des Besuchers laufen. Ob das mit § 25 TDDDG vereinbar ist, klären Sie mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Der sichere Weg ist, vor der Zustimmung gar keinen Google-Code auszuführen.

Für Ihre Website folgt daraus eine klare Prüffrage: Läuft vor dem Klick im Banner irgendein Google-Code, der etwas auf dem Gerät ablegt oder ausliest? Wenn ja, fehlt die Einwilligung.

03Google Consent Mode gibt die Entscheidung weiter und ersetzt kein Cookie-Banner

Google Consent Mode ist eine Schnittstelle zwischen Ihrem Cookie-Banner und den Google-Diensten, kein eigenes Banner. Die Google Analytics-Hilfe formuliert es direkt: Im Einwilligungsmodus gibt es kein Einwilligungsbanner oder -Widget, er interagiert stattdessen mit ihm.

Das Banner stammt deshalb aus einer Consent Management Platform. Eine Consent Management Platform (CMP) ist das Werkzeug, das die Zustimmung der Besucher abfragt und verwaltet. Die CMP gibt die Entscheidung über die Einwilligungsbefehle an die Google-Tags weiter.

Was der Einwilligungsmodus nicht übernimmt

Der Einwilligungsmodus speichert die Entscheidung nicht. Laut Googles Entwicklerdokumentation zum Einwilligungsmodus müssen Sie den Status aktualisieren, sobald der Besucher mit Ihrer CMP interagiert. Außerdem ist standardmäßig kein Wert gesetzt. Ohne Ihre Konfiguration weiß Google also nichts über die Entscheidung.

Integrierte Einwilligungsprüfungen haben die Google-Tags für Google Analytics, Google Ads, Floodlight und die Conversion-Verknüpfung. Für Anruf-Conversions in Google Ads steht die Unterstützung laut Google noch aus. Andere Tags müssen Sie selbst an die Einwilligung koppeln.

Wie das Banner selbst gestaltet sein muss, damit Ablehnen genauso leicht ist wie Zustimmen, beschreibt der Beitrag DSGVO auf der Firmenwebsite: Banner, Formulare, Tracking und Hosting.

04Die vier Einwilligungsparameter von Consent Mode v2 und ihre Wirkung

Consent Mode v2 arbeitet mit vier Parametern, die Ihre CMP jeweils auf „granted" oder „denied" setzt. Google verlangt laut Entwicklerdokumentation zwei Parameter zusätzlich zu ad_storage und analytics_storage: ad_user_data und ad_personalization.

Bei ad_storage auf „denied" nutzt Google laut Entwicklerdokumentation auch früher gesetzte Drittanbieter-Cookies auf google.com und doubleclick.net nicht. Ausgenommen sind Spam- und Betrugsfälle.

Die beiden neuen Parameter brauchen eine eigene Zuordnung im Banner. Wer Remarketing oder personalisierte Anzeigen nutzt, braucht eine Banner-Kategorie, die ad_user_data und ad_personalization ausdrücklich abdeckt. Fehlen die beiden Parameter, sendet die Website nicht, was Google für Consent Mode v2 verlangt.

05Einfache oder erweiterte Implementierung: nur die einfache hält Tags zurück

Nur die einfache Implementierung verhindert, dass Google-Tags vor der Einwilligung laden. Google unterscheidet in der Analytics-Hilfe zwei Varianten, und diese Wahl entscheidet über den Zugriff auf das Endgerät.

Einfache Implementierung

Bei der einfachen Implementierung werden die Google-Tags blockiert, bis die Einwilligung erteilt ist. Lehnt der Besucher ab, läuft kein Google-Code. Damit erfüllt diese Variante die Vorgabe, dass vor der Zustimmung nichts auf dem Gerät gespeichert oder ausgelesen wird.

Erweiterte Implementierung

Bei der erweiterten Implementierung lädt die Seite die Google-Tags, bevor der Einwilligungsdialog erscheint. Ohne Zustimmung senden die Tags Pings ohne Cookies. Das sind Ereignisse mit groben Dimensionen, anhand derer eine Person laut Google nicht direkt identifiziert werden kann.

Für § 25 TDDDG ist das trotzdem heikel. Auch ein Ping ohne Cookies setzt voraus, dass Google-Code vor der Zustimmung im Browser des Besuchers ausgeführt wird. Genau diesen Schritt will die einfache Implementierung vermeiden.

Zwei Zusatzfunktionen betreffen nur die erweiterte Variante. Mit ads_data_redaction auf „true" und ad_storage auf „denied" entfernt Google Ads Klickkennungen wie GCLID und DCLID aus den Pings. Die URL-Weitergabe (url_passthrough) überträgt Klick- und Sitzungsinformationen über URL-Parameter, wenn Cookies abgelehnt sind. Bei der einfachen Implementierung laufen beide ins Leere, weil vor der Zustimmung kein Tag aktiv ist.

06Wie sich GA4- und Google-Ads-Daten je nach Implementierung verändern

Die einfache Implementierung kostet Sie modellierte Daten in Google Analytics 4. Laut Analytics-Hilfe erhalten Sie in der GA4-Property dann keine geschätzten Daten, um die Lücken bei fehlender Einwilligung zu schließen. In Google Ads greift die Conversion-Modellierung in diesem Fall auf ein allgemeines Modell zurück.

Die erweiterte Implementierung liefert Google die Pings als Grundlage. Bei GA4 schließt Google die Lücken dann durch Conversion-Modellierung und Verhaltensmodellierung. Dieser Datengewinn ist genau der Grund, warum die erweiterte Variante beworben wird. Er beruht aber auf Code, der vor der Zustimmung läuft.

Sonderfall TCF und IP-Adressen

Nutzen Sie eine CMP auf Basis des TCF, eines branchenweiten Rahmenwerks für Einwilligungen, gilt eine weitere Grenze. Lehnen Besucher dort ab, kann GA4 laut Google keine Daten schätzen. Zu IP-Adressen nennt die Analytics-Hilfe zwei Angaben. GA4 speichert oder protokolliert keine IP-Adressen. Bei ad_storage auf „denied" nutzen Google Ads und Floodlight die IP nur zum Ableiten des Landes und löschen sie sofort.

Wie groß die Lücke ausfällt, hängt davon ab, wie viele Besucher zustimmen. Messen Sie diesen Anteil auf Ihrer eigenen Website, bevor Sie den Datenverlust bewerten. Wie Sie Anfragen trotzdem sauber zuordnen, zeigt der Beitrag Landingpages für Google Ads gestalten und DSGVO-konform messen.

07Standardwerte per gtag.js setzen: Code und Reihenfolge

Die Reihenfolge im Quelltext entscheidet, ob Ihre Standardwerte überhaupt wirken. Laut Google muss der Befehl gtag('consent', 'default', ...) auf jeder Seite vor jedem Befehl stehen, der Messdaten sendet, etwa config oder event. Wird der Einwilligungscode in falscher Reihenfolge aufgerufen, funktionieren die Standardwerte nicht.

Der folgende Block setzt alle vier Parameter auf „denied". Fügen Sie ihn im <head> jeder Seite ein, oberhalb des Google-Tags oder des Tag-Manager-Snippets:

<script>
  // Muss auf jeder Seite vor dem Google-Tag stehen
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}

  // Ohne Einwilligung ist alles abgelehnt
  gtag('consent', 'default', {
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied',
    'analytics_storage': 'denied',
    'wait_for_update': 500
  });
</script>

Anpassen werden Sie vor allem wait_for_update. Der Wert in Millisekunden legt fest, wie lange die Tags warten, wenn das Banner asynchron lädt. Im Beispiel von Google hat das Banner 500 Millisekunden Zeit, die Aktualisierung zu senden. Die vier Parameter bleiben in jedem Fall auf „denied".

Sobald der Besucher zustimmt, ruft Ihre CMP eine Aktualisierung auf. Diese Zeile gehört in die Rückruffunktion des Banners für die Kategorie „Statistik":

// Aufruf, sobald der Besucher der Kategorie Statistik zustimmt
gtag('consent', 'update', {
  'analytics_storage': 'granted'
});

Für eine Marketing-Kategorie ergänzen Sie dort ad_storage, ad_user_data und ad_personalization. Bei der einfachen Implementierung lädt die CMP den Google-Tag selbst erst nach dieser Zustimmung. Der Standardblock ist dann die Absicherung, falls doch ein Tag zu früh feuert.

08Beispiel: Banner mit Statistik und Marketing an Tag Manager anbinden

Ein durchgespieltes Beispiel zeigt, wie die Teile zusammenpassen. Eine Kanzleiwebsite misst Besuche mit Google Analytics 4 und Anfragen als Google-Ads-Conversion, beides über Google Tag Manager. Das Banner bietet zwei Kategorien an: „Statistik" und „Marketing".

Die Einrichtung folgt diesen Schritten:

1. Die Standardwerte werden wie oben auf allen vier Parametern mit „denied" gesetzt, vor dem Tag-Manager-Snippet.
2. Die Kategorie „Statistik" wird auf analytics_storage abgebildet.
3. Die Kategorie „Marketing" wird auf ad_storage, ad_user_data und ad_personalization abgebildet.
4. Die Tags für GA4 und Google Ads lösen erst aus, wenn die jeweilige Kategorie erteilt ist. Das ist die einfache Implementierung.
5. Ein weiterer Tag ohne integrierte Einwilligungsprüfung, etwa ein eigenes HTML-Tag, erhält die Prüfung in Tag Manager unter Erweitert > Einwilligungseinstellungen.
6. Die CMP sendet die Aktualisierung auf derselben Seite, auf der der Besucher zustimmt.

Der letzte Schritt wird oft übersehen. Google weist darauf hin, dass sonst in Google Analytics viele Sitzungen mit Einwilligung kein session_start-Ereignis haben. Die Sitzung beginnt dann erst auf der nächsten Seite, und Einstiegsseiten fehlen in den Berichten.

Lehnt ein Besucher beide Kategorien ab, lädt die Seite in diesem Beispiel weder GA4 noch den Google-Ads-Tag. Google erfährt von diesem Besuch nichts. Genau das verlangt die Vorgabe, dass vor einer Einwilligung kein Tag auf das Endgerät zugreift.

09Prüfen, ob Ihr Cookie-Banner Google-Tags tatsächlich zurückhält

Ob Ihr Cookie-Banner Google-Tags wirklich zurückhält, prüfen Sie mit den Entwicklertools Ihres Browsers in wenigen Minuten. Öffnen Sie die Website dafür in einem privaten Fenster, damit keine frühere Entscheidung gespeichert ist. Gehen Sie die Prüfschritte in dieser Reihenfolge durch:

Wenn wir bei Svennis eine bestehende Website prüfen, liegt der Fehler selten im Banner selbst. Meist hat das Theme oder ein Plugin einen eigenen Google-Tag fest eingebaut, der am Banner vorbei lädt und vor jeder Entscheidung Anfragen an Google sendet.

Achten Sie im Netzwerk-Tab auch auf andere Google-Domains. Taucht dort eine Anfrage an Googles Schriftenserver auf, hilft der Beitrag Google Fonts lokal einbinden: Schritt für Schritt umstellen.

10Was die Einwilligungspflicht für Unternehmen in Deutschland bedeutet

Unternehmen in Deutschland erfüllen mit einem sauberen Banner und Consent Mode zwei Anforderungen unterschiedlicher Herkunft. Die Einwilligung vor dem Zugriff auf das Endgerät folgt aus § 25 TDDDG. Consent Mode v2 dagegen ist eine Vorgabe von Google, das laut Entwicklerdokumentation seine Richtlinie zur Einwilligung von Nutzern in der Europäischen Union strenger durchsetzt.

Ein korrekt eingerichteter Consent Mode ist der Teil von Googles Bedingungen, der die Entscheidung an Google weitergibt. Die Einwilligung selbst müssen Sie weiterhin über Ihr Banner einholen. Die gesetzliche Anforderung erfüllt erst ein Banner, das vor der Zustimmung keine Google-Tags lädt, also die einfache Implementierung. Der Einwilligungsmodus selbst liefert weder ein Banner, noch speichert er die Entscheidung.

Regionale Standardwerte richtig setzen

Manche Websites setzen Standardwerte je nach Region unterschiedlich. Google erlaubt dafür im Standardbefehl eine Region nach ISO 3166-2. Haben zwei Standardbefehle unterschiedliche Werte, gilt der Befehl mit der spezifischeren Region. Prüfen Sie in diesem Fall, dass für Besucher aus Deutschland alle vier Parameter auf „denied" stehen.

Klären Sie Sonderfälle, etwa eingebundene Dienste anderer Anbieter, mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Die technische Prüfung aus diesem Beitrag zeigt Ihnen, was tatsächlich lädt. Die rechtliche Bewertung im Einzelfall ersetzt sie nicht.

11Nächste Schritte: Tags erfassen, Standardwerte setzen, Banner testen

Die Umstellung auf eine saubere Einwilligung nach TDDDG mit Google Consent Mode lässt sich in fünf Schritten planen. Beginnen Sie mit einer Bestandsaufnahme, bevor Sie Einstellungen ändern:

1. Listen Sie alle Google-Tags auf, die auf der Website laden, auch solche aus Theme und Plugins.
2. Entscheiden Sie sich für die einfache Implementierung, wenn vor der Zustimmung kein Tag laufen soll.
3. Setzen Sie die vier Parameter standardmäßig auf „denied" und ordnen Sie jede Banner-Kategorie den passenden Parametern zu.
4. Testen Sie mit der Prüfliste aus diesem Beitrag in einem privaten Browserfenster.
5. Wiederholen Sie den Test nach jedem Update von Theme, Plugins oder CMP.

Der letzte Schritt gehört in Ihren regulären Wartungsplan, denn ein Plugin-Update kann einen Tag unbemerkt wieder vor das Banner setzen. Wie Sie solche Prüfungen über das Jahr verteilen, beschreibt der Beitrag Website-Wartung nach dem Relaunch planen.

Wenn Sie danach Banner, Formulare und Hosting im Zusammenhang prüfen möchten, ist der Beitrag DSGVO auf der Firmenwebsite technisch umsetzen der nächste sinnvolle Schritt.

12Quellen

• Google Analytics-Hilfe: Einwilligungsmodus auf Websites und in Apps
• Google for Developers: Einwilligungsmodus auf Websites einrichten