Consent Mode v2 einrichten: Basic oder Advanced, und was ist Pflicht?

Consent Mode v2 teilt Google mit, wozu ein Besucher Ihrer Website eingewilligt hat: Stimmt er zu, arbeiten Google Analytics und Google Ads vollständig; lehnt er ab, halten sich die Google-Tags an diese Entscheidung. Mit v2 kamen zwei neue Signale hinzu, und für Nutzer im Europäischen Wirtschaftsraum hängen Messung, Personalisierung und Remarketing in Google Ads inzwischen an diesen Signalen. Es gibt zwei Varianten: Bei Basic geht vor der Einwilligung nichts an Google, bei Advanced gehen ohne Einwilligung cookielose Signale an Google, und fehlende Daten werden genauer modelliert.

Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für Ihre Website wenden Sie sich an Ihre Datenschutzberatung.

Was ist Consent Mode v2?

Consent Mode sorgt dafür, dass die Google-Tags auf Ihrer Website, also Google Analytics, Google Ads und alles, was über den Tag Manager lädt, sich nach der Einwilligung des Besuchers richten. Google beschreibt es so: Consent Mode übermittelt den Einwilligungsstatus Ihrer Nutzer an Google, und die Tags passen ihr Verhalten an diese Entscheidung an.

Consent Mode arbeitet mit vier Signalen. Neu in v2 sind die letzten beiden:

Signal	Was es steuert
analytics_storage	Cookies für Analysezwecke (Google Analytics)
ad_storage	Cookies für Werbezwecke (Google Ads)
ad_user_data (neu in v2)	Übermittlung von Nutzerdaten an Google für Werbezwecke
ad_personalization (neu in v2)	Personalisierte Werbung, also Remarketing

Jedes Signal steht auf „erteilt“ oder „abgelehnt“. Der Cookie-Banner nimmt die Entscheidung des Besuchers entgegen; Consent Mode übersetzt sie in die vier Signale und gibt sie an die Google-Tags weiter.

Warum ist Consent Mode v2 nötig?

Consent Mode v2 ist nötig, weil Google die Werbefunktionen für Nutzer im Europäischen Wirtschaftsraum (EWR) an Einwilligungssignale gebunden hat. Laut Google Ads-Hilfe müssen Werbetreibende, die Daten von Nutzern im EWR erhalten, Einwilligungen einholen und an Google übermitteln, um Messung, Anzeigenpersonalisierung und Remarketing weiter nutzen zu können.

Dahinter steht Googles Richtlinie zur Einwilligung der Nutzer in der EU. Sie verlangt drei Dinge:

• eine wirksame Einwilligung für Cookies, wo gesetzlich erforderlich, und für die Nutzung personenbezogener Daten zur Personalisierung von Anzeigen,
• Aufzeichnungen über die erteilten Einwilligungen und eine klare Anleitung, wie Nutzer ihre Einwilligung widerrufen können,
• die klare Nennung aller Stellen, die über Google-Produkte Daten erheben oder erhalten können.

In der Praxis heißt das: Ohne Consent Mode kann Google Ads bei Besuchern aus dem EWR Conversions, Zielgruppen und Remarketing nicht mehr vollständig nutzen. In Deutschland kommt die gesetzliche Grundlage hinzu: Nach § 25 TDDDG dürfen nicht unbedingt erforderliche Cookies, also auch Analyse- und Werbe-Cookies, nur mit Einwilligung gesetzt werden.

Was unterscheidet Basic und Advanced?

Der Unterschied liegt darin, was vor der Einwilligung an Google geht. Googles Entwicklerdokumentation beschreibt es klar:

	Basic	Advanced
Tags vor der Einwilligung	Laden nicht	Laden, Standard „abgelehnt“
Vor der Einwilligung an Google	Nichts, nicht einmal der Einwilligungsstatus	Einwilligungsstatus und cookielose Messungen
Bei Ablehnung	Es geht nichts an Google	Cookielose Signale gehen an Google
Bei Zustimmung	Vollständige Messung	Vollständige Messung
Modellierung fehlender Daten	Allgemeines Modell (weniger detailliert)	Werbetreibenden-spezifisches Modell (detaillierter)

Der Reiz von Advanced ist die Modellierung: Über die cookielosen Signale von Besuchern ohne Einwilligung schätzt Google fehlende Conversions mit einem Modell, das auf Ihr Konto zugeschnitten ist. Bei Basic gehen diese Signale gar nicht erst raus, Google nutzt ein allgemeineres Modell.

Der Preis liegt auf der rechtlichen Seite: Bei Advanced geht auch dann eine Anfrage an Google, wenn der Besucher abgelehnt hat. Sie kommt ohne Cookies aus, ist aber eine Datenübermittlung. Ob das ohne Einwilligung zulässig ist, wird unterschiedlich beurteilt. Bei Basic stellt sich die Frage nicht.

Welche Variante passt zu Ihnen?

Die richtige Wahl hängt von Ihrem Werbebudget und Ihrer Risikobereitschaft ab. Drei Fragen helfen:

1. Wie viel geben Sie für Google Ads aus? Bei hohem Budget und Geboten auf Basis von Conversions bringt die kontospezifische Modellierung von Advanced Geld. Bei wenig oder keiner Werbung verlieren Sie mit Basic kaum etwas.
2. Was sagt Ihre Datenschutzberatung zu cookielosen Signalen? Klären Sie das schriftlich, bevor Sie auf Advanced umstellen.
3. Wie hoch ist Ihre Einwilligungsrate? Stimmen die meisten Besucher zu, schrumpft der Unterschied zwischen beiden Varianten.

Wir haben auf unserer eigenen Website mit Basic begonnen und das als Entscheidung festgehalten: Vor der Einwilligung geht keine einzige Anfrage an Google oder Meta, selbst der Google Tag Manager lädt erst danach. Ob wir auf Advanced umstellen, hängt von der Antwort unserer Rechtsberatung ab. Der Preis dieser Wahl ist eine allgemeinere Modellierung bei Besuchern ohne Einwilligung; da wir derzeit keine Anzeigen schalten, ist er heute gering.

Wie wir es auf unserer Website umgesetzt haben

Auf unserer Website nutzen wir keine kostenpflichtige Einwilligungsplattform; der Cookie-Banner ist eigener Code. So funktioniert er:

Zwei Kategorien, vier Signale. Besucher entscheiden über zwei Kategorien: Statistik und Marketing. Die Auswahl wird so in Googles vier Signale übersetzt:

Auswahl im Banner	Signal an Google
Statistik	analytics_storage
Marketing	ad_storage, ad_user_data, ad_personalization

Vor der Einwilligung lädt nichts. Google Tag Manager, Google Analytics und das Meta Pixel werden erst nach der Einwilligung überhaupt in die Seite eingebunden. Das Meta Pixel läuft nur bei Einwilligung in Marketing.

Die Einwilligung wird gespeichert. Die Auswahl liegt in unserem einzigen notwendigen Cookie und wird nach 365 Tagen neu abgefragt. Der Eintrag trägt eine Versionsnummer: Ändern sich die Kategorien, werden alle neu gefragt. Über den Link „Cookie-Einstellungen“ im Footer lässt sich die Auswahl jederzeit ändern.

Besucherzahl ohne Einwilligung, Verhalten mit Einwilligung. Die Gesamtzahl der Besuche messen wir mit einem cookielosen Analysetool, das keine Personen wiedererkennt und daher keine Einwilligung braucht. Welche Seiten gelesen werden und woher Anfragen kommen, messen wir nur bei Besuchern mit Einwilligung in Google Analytics.

Einstellungen in Google Analytics. Daten bewahren wir 14 Monate auf; Google-Signale und die Datenfreigabe an Google sind deaktiviert.

Wie muss der Cookie-Banner in Europa aussehen?

Consent Mode holt keine Einwilligung ein, er gibt sie weiter; eingeholt wird sie im Banner. Wie ein Banner aussehen muss, hängt vom Land ab. In Europa, also für Besucher aus der EU und dem EWR, ist der Maßstab der Bericht der Cookie Banner Taskforce des Europäischen Datenschutzausschusses. Er trägt die häufigsten Probleme zusammen, und daraus folgen für Europa vier Regeln:

1. Ablehnen gehört auf die erste Ebene. Die große Mehrheit der Behörden wertet es als Verstoß, wenn es auf der Ebene mit dem Zustimmungsbutton keine Möglichkeit zum Ablehnen gibt.
2. Farben und Kontraste dürfen nicht täuschen. Ob die Gestaltung der Buttons offensichtlich in die Irre führt, wird im Einzelfall geprüft. Eine grelle Zustimmung neben einer kaum sichtbaren Ablehnung ist ein Risiko.
3. Keine vorangekreuzten Kästchen. Die Einwilligung muss durch eine aktive Handlung des Besuchers erfolgen.
4. Der Widerruf muss einfach sein. Wer seine Entscheidung ändern will, muss das von jeder Seite aus über einen Link erreichen können.

Diese Regeln gelten für Besucher in Europa; außerhalb gelten die Regeln des jeweiligen Landes. Überall zählt auch der Text: welche Werkzeuge wofür eingesetzt werden, ob Daten in Länder außerhalb der EU übermittelt werden und dass die Einwilligung freiwillig ist.

Lässt sich Google Analytics DSGVO-konform nutzen?

Google Analytics lässt sich datenschutzkonform einsetzen, wenn drei Dinge zusammenkommen. Erstens läuft es erst nach Einwilligung, wie oben beschrieben. Zweitens nennt die Datenschutzerklärung nach Art. 13 DSGVO Zweck, Rechtsgrundlage und Empfänger, einschließlich der Übermittlung in die USA. Drittens sind die Einstellungen bewusst gewählt: Aufbewahrungsdauer, Datenfreigaben, Google-Signale.

Für Übermittlungen in die USA hat die EU-Kommission im Juli 2023 mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss erlassen. Er regelt die Übermittlung an zertifizierte US-Unternehmen, ersetzt aber nicht die Einwilligung nach § 25 TDDDG für das Setzen von Analyse-Cookies.

Wie richten Sie Consent Mode Schritt für Schritt ein?

Die Einrichtung folgt je nach Variante zwei Wegen, beide haben aber drei gemeinsame Schritte: einen Standardzustand, eine Aktualisierung und die Bindung der Tags an die Einwilligung.

1. Standardzustand setzen. Sobald die Seite lädt und bevor ein Tag läuft, werden alle vier Signale auf „abgelehnt“ gesetzt. Fehlt dieser Schritt, können Tags laufen, als hätte der Besucher zugestimmt, obwohl er noch nichts gewählt hat.
2. Auswahl aktualisieren. Trifft der Besucher im Banner eine Entscheidung, werden die entsprechenden Signale auf „erteilt“ gesetzt. Da die Auswahl gespeichert ist, geschieht dieselbe Aktualisierung bei späteren Besuchen schon beim Laden.
3. Tags an die Einwilligung binden. Im Google Tag Manager hat jedes Tag Einwilligungseinstellungen. Google-eigene Tags lesen den Einwilligungsstatus selbst; bei anderen Tags wie dem Meta Pixel legen Sie fest, welches Signal sie brauchen. Die Einwilligungsübersicht im Tag Manager zeigt alle Tags mit ihren Signalen in einer Liste.

Bei Basic kommt eine Regel hinzu: Der Tag Manager selbst oder die Tags laden erst nach der Einwilligung. So ist es bei uns umgesetzt. Bei Advanced lädt der Tag Manager sofort, der Standard „abgelehnt“ geht mit, und die Google-Tags arbeiten bis zur Einwilligung cookielos.

Wie testen Sie, ob alles richtig läuft?

Am zuverlässigsten testen Sie Consent Mode, indem Sie sich wie ein Besucher verhalten und beobachten, was im Hintergrund passiert:

1. Mit dem Tag Assistant. Öffnen Sie Ihre Website in Googles Tag Assistant, lehnen Sie im Banner zuerst ab und stimmen Sie dann zu; bei jedem Schritt sehen Sie, wie sich Einwilligungsstatus und die vier Signale ändern.
2. Mit dem Netzwerk-Tab des Browsers. Bei Basic darf beim Laden und nach einer Ablehnung keine Anfrage an Google Analytics oder Google Ads gehen. Sehen Sie eine, laden Tags vor der Einwilligung.
3. In den Google-Konten. In den Verwaltungsbereichen von Google Analytics und Google Ads sehen Sie, ob für Nutzer im EWR Einwilligungssignale ankommen.

Testen Sie erneut, sobald im Tag Manager ein neues Tag hinzukommt oder der Banner sich ändert; der häufigste Fehler ist ein später ergänztes Tag, das ohne Einwilligungsprüfung läuft.

Lassen sich Besucher ohne Einwilligung messen?

Das Verhalten von Besuchern ohne Einwilligung lässt sich nicht per Cookie verfolgen; genau das ist der Sinn der Sache. Die Lücke lässt sich aber auf zwei legitimen Wegen verkleinern:

• Googles Modellierung. Mit Consent Mode rechnet Google fehlende Conversions und Besuche modelliert in die Berichte ein, bei Basic mit einem allgemeinen, bei Advanced mit einem kontospezifischen Modell.
• Cookielose Gesamtzählung. Ein Analysetool, das keine Cookies setzt und niemanden wiedererkennt, misst die Zahl der Besuche unabhängig von der Einwilligung. Es liefert Umfang statt Verhalten, aber die Frage „Wie viele Menschen kamen?“ hängt dann nicht mehr an der Einwilligungsrate.

Wir nutzen beides: den Umfang aus dem cookielosen Tool, das Verhalten von Besuchern mit Einwilligung. So bleiben unsere Berichte rechtskonform und vollständig genug für Entscheidungen. Welche Rolle Messung bei Werbeentscheidungen spielt, beschreiben wir im Beitrag SEO oder SEA?; welche Pflichten Onlineshops insgesamt haben, im Überblick zu den rechtlichen Anforderungen im Onlineshop.