Google Ads und Datenschutz: Marketing-Cookies ohne Einwilligung sind eine Abmahnung

Wer Google Ads auf seiner Website einbindet, holt sich damit einige Datenschutzpflichten ins Haus. Das Conversion-Tracking setzt Marketing-Cookies, baut beim Seitenaufruf Verbindungen zu Google-Servern auf und überträgt dabei Daten in die USA. Ohne einen korrekt konfigurierten Cookie-Banner, einen Eintrag in der Datenschutzerklärung und einen Vertrag mit Google läuft das nicht rechtssicher.

Überblick

Was ist Google Ads?

Google Ads ist das Werbeprogramm von Google, über das Unternehmen bezahlte Anzeigen in der Google-Suche, auf Websites und in anderen Google-Produkten schalten können. Über das sogenannte Conversion-Tracking misst Google Ads, welche Klicks auf eine Anzeige später zu einer gewünschten Aktion geführt haben – zum Beispiel einem Kauf oder einer Kontaktanfrage. Dafür wird ein Tracking-Code auf der Website eingebunden.

Datenverarbeitung

Was passiert datenschutztechnisch, wenn Google Ads auf meiner Website läuft?

Sobald jemand deine Website aufruft, lädt der Tracking-Code von Google Ads automatisch Skripte von Google-Servern nach. Diese Skripte legen Cookies im Browser des Besuchers ab und übermitteln Informationen darüber, wie der Besucher auf deine Website gelangt ist.

Kommt er später über eine Google-Anzeige zurück und kauft etwas oder füllt ein Formular aus, erkennt Google diesen Zusammenhang und meldet ihn als Conversion zurück. Google kann so die Browser-Daten, IP-Adresse und das Klickverhalten des Besuchers auswerten.

Diese Daten fließen zu Google Ireland Limited in Dublin – und von dort aus können sie an Google LLC in den USA weitergegeben werden. Der Anbieter, auf den du dich als Website-Betreiber verlässt, ist Google Ireland Limited. Für die Datenverarbeitung im Auftrag brauchst du einen entsprechenden Vertrag mit Google.

Cookies

Welche Cookies setzt Google Ads – und brauchen die eine Einwilligung?

Google Ads setzt mehrere Marketing-Cookies direkt in deiner eigenen Website-Domain. Das sind zustimmungspflichtige Cookies, weil sie das Verhalten einzelner Besucher über mehrere Seiten und Sitzungen hinweg verfolgen, um den Erfolg von Werbeanzeigen zu messen. Dein Cookie-Banner muss diese Cookies blockieren, bis der Besucher zugestimmt hat.

Folgende Cookies werden gesetzt:

• _gcl_au – speichert eine Kennung, um einzelne Besucher und ihre Sitzungen zu unterscheiden (90 Tage)
• _gcl_aw – verbessert die Genauigkeit des Conversion-Trackings (90 Tage)
• _gcl_dc – weiterer Conversion-Tracking-Cookie (90 Tage)
• _gac / _gac_<ID> – Conversion-Daten in Verbindung mit Google Analytics (90 Tage)
• IDE – personalisierte Werbung über das DoubleClick-Netzwerk (bis zu 13 Monate)
• Conversion – speichert einzelne Conversion-Ereignisse (90 Tage)

Keiner dieser Cookies kann über eine Einstellung in Google Ads deaktiviert werden. Der einzige Weg, sie erst nach Zustimmung zu setzen, ist ein korrekt konfigurierter Cookie-Banner.

Externe Verbindungen

Baut Google Ads Verbindungen zu externen Servern auf?

Google Ads baut beim Seitenaufruf automatisch Verbindungen zu mehreren Google-Servern auf. Das passiert, bevor der Besucher irgendetwas auf deiner Website getan hat. Diese Verbindungen entstehen beim Seitenaufruf und sind nicht für den Betrieb deiner Website notwendig – dein Cookie-Banner muss sie blockieren, bis der Besucher zustimmt.

Verbindungen, die beim Seitenaufruf entstehen und eine Einwilligung benötigen:

• googletagmanager.com/gtag/js?id=AW-* – Haupt-Tracking-Skript für Google Ads
• googleads.g.doubleclick.net – Remarketing und Conversion-Tracking
• googleadservices.com/pagead/ – Conversion-Tracking-Daten
• google.de/pagead/attribution/ – Zuordnung von Conversions zu Anzeigen
• googletagmanager.com/td?id=AW-* – Floodlight-Tracking
• google.com/ccm/collect – Übermittlung von Conversion-Daten
• google.de/ads/ga-audiences – Aufbau von Remarketing-Zielgruppen

Daneben laden technische Hilfsskripte von gstatic.com/wcm/loader.js und gstatic.com/call-tracking/. Diese Verbindungen müssen ebenfalls vom Cookie-Banner blockiert werden, bis der Besucher zustimmt.

Benutzereingaben

Verarbeitet Google Ads Eingaben meiner Website-Besucher?

Google Ads verarbeitet keine Formulareingaben oder andere direkte Eingaben deiner Website-Besucher. Das Tracking läuft im Hintergrund und bezieht sich auf das Klick- und Navigationsverhalten – nicht auf Daten, die Besucher aktiv eingeben.

Drittlandtransfer

Werden durch Google Ads Daten in die USA übertragen?

Google Ads überträgt Daten in die USA. Dein Vertragspartner ist zwar Google Ireland Limited in Dublin, aber die Daten können von dort an Google LLC in den USA weitergegeben werden. Google hat mit der EU vereinbart, dass diese Übertragungen unter bestimmten Bedingungen erlaubt sind – das ändert aber nichts daran, dass du den Transfer in deiner Datenschutzerklärung erwähnen musst.

Auftragsverarbeitung

Brauche ich einen Vertrag mit Google, wenn ich Google Ads nutze?

Google Ireland Limited verarbeitet beim Conversion-Tracking Daten deiner Website-Besucher in deinem Auftrag. Dafür ist ein Auftragsverarbeitungsvertrag nach der DSGVO nötig. Google stellt diesen Vertrag direkt im Google Ads-Konto zur Verfügung. Du schließt ihn ab, indem du in deinem Google Ads-Konto unter Verwaltung → Kontodetails → Datenverarbeitungsbedingungen den Zusatz durchliest und mit „Fertig“ bestätigst.

Bei Konten, die mit einer EU-Adresse angelegt wurden, ist dieser Vertrag automatisch akzeptiert – ein kurzer Check lohnt sich trotzdem.

Datenschutzerklärung

Muss Google Ads in die Datenschutzerklärung?

Google Ads muss in deine Datenschutzerklärung, weil es Marketing-Cookies setzt, Daten zu Google überträgt und ein Drittlandtransfer in die USA stattfindet. Folgende Angaben müssen im Eintrag enthalten sein:

• Zweck: Conversion-Tracking und Erfolgsmessung von Werbeanzeigen
• Rechtsgrundlage: Einwilligung
• Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Drittlandtransfer: Daten können in die USA übertragen werden
• Speicherdauer: Cookies werden bis zu 90 Tage gespeichert, IDE bis zu 13 Monate

Alternative

Gibt es datenschutzfreundlichere Alternativen zu Google Ads?

Hier siehst du, wo Google Ads im DSGVO-Vergleich zu anderen Werbe-Tracking steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Google Ads in Sachen Datenschutz bereits gut aufgestellt ist.

DSGVO-Check

Woran erkenne ich, ob Google Ads auf meiner Website aktiv ist?

Du kannst im Browser oder mit einem Datenschutz-Scan prüfen, ob Google Ads auf deiner Website läuft. Suche in den gesetzten Cookies nach diesen Namen: _gcl_au, _gcl_aw, _gcl_dc, _gac und IDE. Wenn einer dieser Cookies bereits vor deiner Zustimmung im Cookie-Banner gesetzt wird, ist das ein Hinweis darauf, dass der Cookie-Banner nicht korrekt konfiguriert ist.

Prüfe außerdem, ob deine Website beim Laden Verbindungen zu diesen Domains aufbaut: googletagmanager.com, googleads.g.doubleclick.net, googleadservices.com, google.de und gstatic.com. Auch das lässt sich im Browser über die Entwicklertools (Netzwerk-Tab) oder mit einem automatischen Datenschutz-Scan prüfen.

Quellen und weiterführende Links

• Google Ads – offizielle Website
• Google Ads – Hilfe und Knowledge Base
• Google – Datenschutzerklärung
• Google – Informationen zu internationalen Datenübertragungen bei Werbeprodukten
• Google – Datenverarbeitungsbedingungen akzeptieren (Anleitung)