Google Ads und DSGVO: Welche Einwilligungen sind nötig?

Kurzantwort: Wofür braucht Google Ads eine Einwilligung?

Google Ads braucht eine Einwilligung, sobald mehr als technisch notwendige Cookies im Spiel sind. Conversion Tracking, Enhanced Conversions und Remarketing setzen Cookies und verarbeiten personenbezogene Daten. Als Rechtsgrundlage nennen gängige Mustertexte Art. 6 Abs. 1 lit. a DSGVO – die Einwilligung der Nutzer:innen.

Geladen werden Cookies erst nach der Zustimmung. Fehlt sie, darf das Tool nicht aktiviert werden und auch nicht messen. Der Consent-Dialog ist damit keine Dekoration, sondern die Bedingung dafür, dass Google Ads live gehen darf.

In Österreich gilt die DSGVO seit 25. Mai 2018; die nationale Ausgestaltung steht im Datenschutz-Anpassungsgesetz 2018. Dieser Text ersetzt keine Rechtsberatung – für das eigene Setup ist ein Fachanwalt oder eine Datenschutzexpertin beizuziehen.

Warum Google Ads unter die DSGVO fällt

Die DSGVO zählt Online-IDs wie IP-Adressen, Gerätekennungen und Cookie-IDs zu den personenbezogenen Daten. Beim Einsatz von Google Ads entstehen genau solche Kennungen: Wer über eine Anzeige auf die Website kommt, erhält einen Cookie; daraus entsteht ein Profil des Besuchsverhaltens, das sich einer bestimmten Person zuordnen lässt – zulässig nur mit vorheriger Einwilligung.

Besonders sensibel ist die GCLID (Google Click Identifier). Der Blog Dr. DSGVO hält fest: Wer Google Ads mit Conversion Tracking optimieren will, muss diese Kennung an Google zurückmelden; ohne Rückmeldung droht eine deutlich schlechtere Performanz der Anzeigen. Ob und in welchem Umfang die GCLID in der eigenen Konfiguration tatsächlich übermittelt wird, ist vor der Einrichtung zu klären.

Verantwortlich bleibt der Website-Betreiber. Ausnahmen für kleine Betriebe kennt die DSGVO nicht – die Pflichten treffen das Einzelunternehmen genauso wie den Mittelständler. Google prüft Websites und Apps, die auf seine Webdienste zurückgreifen, zusätzlich manuell; hält ein Partner die Richtlinien nicht ein, kontaktiert Google ihn und weist darauf hin.

Einwilligungen müssen belegbar sein: Das Unternehmen muss jederzeit nachweisen können, dass die betroffene Person in die Verarbeitung eingewilligt hat.

Cookie-Banner in Österreich: echte Wahl statt Klickpflicht

Jede Website, die nicht technisch notwendige Cookies oder Tracking-Tools einsetzt, braucht einen Cookie-Banner – praktisch also alle mit Google Ads, Google Analytics oder Facebook Pixel. Entscheidend ist laut moremedia eine echte Wahlmöglichkeit: Vorausgewählte Häkchen, Dark Patterns oder ein „Ablehnen“, das nur das Schließen des Banners bedeutet, sind unzulässig.

Skripte und Cookies werden erst nach der Zustimmung geladen. Eine noch so ausführliche Datenschutzerklärung wird ad absurdum geführt, wenn Cookies schon vorher gesetzt werden. Google-Ads-Tags und Remarketing-Codes dürfen daher erst nach dem Klick auf „Akzeptieren“ ausgelöst werden – bei Ablehnung gar nicht.

In Österreich steigt die Zahl der Abmahnungen und Beschwerden bei der Datenschutzbehörde. Jede natürliche Person kann dort Beschwerde einlegen und gegen alle an der Datenverarbeitung beteiligten Verantwortlichen rechtlich vorgehen. Bei besonders schwerwiegenden Verstößen sind Geldbußen bis zu 20 Millionen Euro oder bis zu 4 % des gesamten, weltweit erzielten Vorjahresumsatzes möglich.

Conversion Tracking, Enhanced Conversions und Remarketing: Was die Einwilligung abdecken muss

Je nach Funktion überträgt Google Ads unterschiedliche Daten. Für Conversion Tracking nennt die Muster-Datenschutzerklärung von traffic3.net insbesondere aufgerufene Seiten bzw. URLs, die Erreichung von Conversion-Zielen (etwa Kontaktanfragen, Newsletter-Anmeldungen oder Bestellungen inklusive Umsatz), die IP-Adresse, technische Informationen wie Browser, Endgerät und Bildschirmauflösung sowie eine zufallsgenerierte User-ID. Diese Daten gehen an Server von Google in den USA.

Die Einwilligung muss alle tatsächlich eingesetzten Funktionen abdecken. Wer Conversion Tracking, Enhanced Conversions und Remarketing parallel nutzt, braucht für jede Funktion eine Deckung im Consent-Dialog und in der Datenschutzerklärung – die Mustertexte behandeln Enhanced Conversions bewusst in einem eigenen, ergänzenden Abschnitt. Fehlt eine Funktion im Text oder im Cookie-Einstellungsdialog, ist sie von der Zustimmung nicht erfasst.

Die Speicherdauer gehört konkret in die Beschreibung: Die genannten Quellen nennen unterschiedliche Werte – einmal 90 Tage für das Conversion-Tracking-Cookie und die beim Werbeklick gesetzte Klick-ID (gclid), einmal 30 Tage für den Conversion-Cookie. Welcher Wert gilt, ergibt sich aus der eigenen Konfiguration und ist dort zu prüfen, nicht aus einer Vorlage.

Unterschiede zwischen Google Ads-Funktionen im Hinblick auf Einwilligung

Consent Mode v2, Auftragsverarbeitung und Datenübermittlung in die USA

Consent Mode v2 von Google ist mittlerweile Pflicht für alle, die Google Ads oder GA4 einsetzen wollen. Er koppelt das Verhalten der Nutzer:innen an die erteilte oder verweigerte Zustimmung, statt Daten unabhängig davon zu erfassen.

Vertraglich notwendig ist ein Auftragsverarbeitungsvertrag mit Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet die Daten im Auftrag und verpflichtet sich zu Maßnahmen für Sicherheit und Vertraulichkeit. Der Abschluss dieses AV-Vertrags ist in der Datenschutzerklärung zu erwähnen.

Für die Übermittlung in die USA kann das EU-US Data Privacy Framework herangezogen werden: Google LLC ist unter dem DPF zertifiziert, wodurch angemessene Garantien im Sinne von Art. 45 DSGVO bestehen. Diese Rechtsgrundlage der Drittlandübermittlung gehört in die Datenschutzerklärung – ebenso die Tatsache, dass die Verarbeitung über Google Ireland Limited läuft.

Datenschutzerklärung: Pflichtangaben für Google Ads

Die Datenschutzerklärung muss sagen, welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange sie gespeichert bleiben. Dazu kommen die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch. Weitere mögliche Angaben sind die Anforderung von Kopien der gespeicherten Daten, die Datenübertragbarkeit sowie der Hinweis, dass Betroffene keiner automatisierten Entscheidungsfindung einschließlich Profiling unterliegen müssen.

Eine allgemeine Internetvorlage reicht in der Regel nicht – die Erklärung muss die tatsächlich eingesetzten Tools und Prozesse abbilden. Wer Google Ads nutzt, muss die konkreten Funktionen explizit nennen, ebenso Datenempfänger, US-Übermittlung und Speicherdauer. Auch die Funktionsweise des Ads Conversion Tracking und die Möglichkeiten, es zu deaktivieren, sind zu beschreiben.

Zwei Widerrufswege gehören ausdrücklich in die Datenschutzerklärung: der Widerruf der Einwilligung über den eigenen Cookie-Einstellungs-Dialog und die Deaktivierung der Erfassung über die Google-Anzeigeneinstellungen. Ebenso ist der abgeschlossene AV-Vertrag mit Google anzuführen.

Orientierung für Formulierungen und Pflichten bieten die WKO-Informationen: Die WKO stellt eine kostenlos herunterladbare Vorlage für das Verarbeitungsverzeichnis bereit und beantwortet in ihren FAQ zum Datenschutz in der Werbung Fragen zu Einwilligung, Auftragsverarbeitung und Informationspflichten. Nach Einschätzung von Rechtsexperten gilt die Pflicht zum Verarbeitungsverzeichnis auch für Betreiber kleinerer Websites und für Blogger.

Praktische Prüfliste für österreichische Unternehmen

Consent-Tool: Der Dialog muss ein gleichwertiges „Ablehnen“ bieten; vorausgewählte Häkchen und Dark Patterns sind unzulässig. Google-Ads-Tags, Conversion Tracking, Enhanced Conversions und Remarketing dürfen erst nach der Zustimmung geladen werden.

Technik und Verträge: Consent Mode v2 aktivieren – er ist für Google Ads und GA4 verpflichtend. Auftragsverarbeitungsvertrag mit Google Ireland Limited abschließen und die USA-Übermittlung über das EU-US Data Privacy Framework (Google LLC ist DPF-zertifiziert, angemessene Garantien nach Art. 45 DSGVO) in der Datenschutzerklärung festhalten.

Dokumentation: Datenschutzerklärung an das tatsächliche Setup anpassen – eingesetzte Funktionen, Datenarten, Zwecke, Rechtsgrundlage, Speicherdauer, Empfänger, Widerruf über den Cookie-Dialog und Deaktivierung über die Google-Anzeigeneinstellungen. Verarbeitungsverzeichnis führen, etwa mit der WKO-Vorlage. Einwilligungen so dokumentieren, dass sie jederzeit belegbar sind.

Risiko: Für kleine Betriebe gibt es keine Ausnahmen; die Beschwerden bei der Datenschutzbehörde nehmen zu, jede Person kann Beschwerde einlegen, und bei schwerwiegenden Verstößen reicht der Strafrahmen bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes. Diese Übersicht ist keine Rechtsberatung, sondern eine Orientierung für die nächsten Schritte.

Prüfliste: DSGVO-konforme Einrichtung von Google Ads in Österreich

Risiken bei Nichtbeachtung der DSGVO in Österreich

Schritte zur DSGVO-konformen Einrichtung von Google Ads