Enhanced Conversions und Datenschutzerklärung

Gehashte Daten bleiben personenbezogen

Bei Enhanced Conversions werden Kundendaten wie E-Mail-Adresse oder Telefonnummer gehasht an Google übertragen, um Conversions besser zuzuordnen. Hashing macht die Daten pseudonymisiert, aber nicht anonym. Es bleiben personenbezogene Daten, und die Datenschutzpflichten gelten weiter.

Übertragen werden sollten nur die Felder, die du für die Messung wirklich brauchst. Überflüssige Felder gehören nicht in die Übertragung.

Was Enhanced Conversions technisch tun

Enhanced Conversions ergänzen eine bestehende Conversion um Daten, die ein Kunde selbst eingegeben hat, zum Beispiel die E-Mail-Adresse im Bestellformular. Diese Daten werden im Browser mit einem Verfahren namens Hashing in eine nicht lesbare Zeichenfolge umgewandelt und so an Google gesendet. Google kann sie mit den Daten eines angemeldeten Google-Kontos abgleichen und die Conversion dadurch besser einer Anzeige zuordnen. Wichtig ist der Unterschied: Der Hash verhindert, dass Dritte die Adresse direkt lesen, aber er macht die Person nicht unerkennbar, denn wer die Adresse kennt, kann denselben Hash berechnen.

Genau deshalb behandelt das Datenschutzrecht solche Daten weiter als personenbezogen. Aus der Technik folgt: Du solltest vor dem Einschalten wissen, welche Felder du übergibst, wo sie herkommen und wann sie gesendet werden.

Passend dazu: Server-Side Tracking und DSGVO

Einwilligung im Consent Mode v2

Die Übertragung sollte nur mit Einwilligung erfolgen. Im Consent Mode v2 ist dafür das Signal ad_user_data zuständig: Erst wenn es auf „erteilt“ steht, dürfen Nutzerdaten für Werbezwecke an Google gehen.

Prüfe, dass dein Banner dieses Signal sauber setzt und der Tag Manager die Enhanced-Conversions-Daten ohne Einwilligung nicht sendet. Teste das mit „Ablehnen“ und „Akzeptieren“.

• Signal ad_user_data nur bei Einwilligung auf „erteilt“.
• Im Netzwerk-Tab des Browsers prüfen, dass ohne Einwilligung nichts an Google geht.
• Nur benötigte Felder übertragen.

Was in die Datenschutzerklärung gehört

Deine Datenschutzerklärung sollte die Verarbeitung offenlegen. Dazu gehören die übertragenen Daten (zum Beispiel E-Mail-Adresse, Telefonnummer), der Zweck (Messung des Werbeerfolgs), der Empfänger (Google), die Übermittlung in Drittländer und der Hinweis, dass die Einwilligung jederzeit widerrufen werden kann.

Als Rechtsgrundlage kommt die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Betracht. Formuliere verständlich, und erwähne, dass die Daten vor der Übertragung gehasht werden.

Halte den Text konkret statt allgemein. Formulierungen wie „wir nutzen Dienste zur Verbesserung“ sagen dem Leser nichts. Beschreibe stattdessen, dass nach einem Kauf oder einer Anfrage die E-Mail-Adresse gehasht an Google übermittelt wird, damit Google den Erfolg einer Anzeige messen kann, und dass das nur nach Einwilligung geschieht. Wo der Widerruf möglich ist, etwa über die Banner-Einstellungen, gehört ebenfalls hinein.

Ein Beispiel: Praxis mit Online-Termin

Eine Praxis lässt Patienten online einen Termin anfragen, im Formular stehen Name, E-Mail und Telefonnummer. Für die Werbemessung würde es reichen, die E-Mail-Adresse zu übertragen, weitere Felder sind verzichtbar. Außerdem gilt gerade bei Gesundheitsbezug besondere Vorsicht: Je sensibler der Zusammenhang, desto genauer solltest du abwägen, ob Werbemessung mit personenbezogenen Daten überhaupt passt, und das mit jemandem klären, der Datenschutz berät. Dieser Artikel ersetzt das nicht.

Praktisch heißt das: Übertrage nur das Nötige, sende erst nach der Einwilligung, und halte in der Datenschutzerklärung fest, was passiert. Wenn der Zweck mit weniger Daten erreichbar ist, nimm die kleinere Variante.

Typische Fehler

Der häufigste Fehler ist, dass die Daten auch bei abgelehnter Einwilligung mitgesendet werden, weil der Tag den Consent-Status nicht prüft. Das erkennst du im Vorschaumodus: Lehne im Banner ab, löse die Conversion aus und sieh nach, ob das Google-Ads-Tag feuert und welche Daten es mitschickt. Der zweite Fehler ist eine Variable, die auf das falsche Formularfeld zeigt, etwa auf ein Suchfeld statt auf die E-Mail-Adresse. Dann kommen in Google Ads keine brauchbaren Daten an, und der Status der Conversion-Aktion weist darauf hin.

Ein dritter Fehler ist eine Datenschutzerklärung, die zum Tracking nicht mehr passt: Wer Enhanced Conversions später einschaltet und den Text nicht ergänzt, hat eine Lücke. Plane die Änderung am Text deshalb gleichzeitig mit der technischen Umsetzung ein.

Technische Umsetzung und Prüfung

Im Tag Manager werden die Nutzerdaten über Variablen aus der Seite an den Google-Ads-Tag übergeben. Prüfe, dass die Variablen auf die richtigen Felder zeigen. Im Netzwerk-Tab dürfen keine Klartextdaten sichtbar sein; in Google Ads zeigt der Status der Conversion-Aktion, ob die Daten ankommen.

Prüfe das Setup nach Änderungen an Banner oder Container erneut. Dieser Artikel ist keine Rechtsberatung; lass die Datenschutzerklärung bei Bedarf rechtlich prüfen.

Trackum richtet Google Ads inklusive Enhanced Conversions im Paket Performance ein, mit festen Preisen vorab und getestet mit und ohne Einwilligung.

So prüfst du es in Kurzform: Banner auf „Ablehnen“, Conversion auslösen, im Netzwerk-Tab nach Anfragen mit Nutzerdaten suchen, es darf keine geben. Dann „Akzeptieren“, wieder auslösen, die Anfrage muss jetzt mit gehashten Daten erscheinen. Nach einigen Tagen zeigt Google Ads im Status der Conversion-Aktion, ob die Daten verwertbar sind.