Google Ads Enhanced Conversions: Datenschutzrechtliche Hürden bei der Hash-Übertragung

Google Ads Enhanced Conversions: Datenschutzrechtliche Hürden bei der Hash-Übertragung

Inhaltsverzeichnis

Einleitung: Was sind Google Ads Enhanced Conversions?

In der Marketing-Landschaft des Jahres 2026 sind präzise Daten das Fundament für erfolgreiche Werbekampagnen. Gleichzeitig stellen technologische Entwicklungen wie Intelligent Tracking Prevention (ITP) und der zunehmende Verzicht auf Drittanbieter-Cookies Werbetreibende vor immense Herausforderungen. Conversions werden ungenauer erfasst, was die Optimierung von Google Ads Kampagnen erschwert. Google bietet hierfür eine Lösung an: Enhanced Conversions (auf Deutsch: erweiterte Conversions). Diese Technologie verspricht, die Lücken in der Conversion-Messung zu schließen, indem sie First-Party-Daten der Nutzer, wie E-Mail-Adressen, verwendet.

Doch diese Effizienz birgt ein erhebliches rechtliches Risiko, insbesondere im Geltungsbereich der Datenschutz-Grundverordnung (DSGVO). Die zentrale Frage für Marketingleiter, E-Commerce-Betreiber und Google Ads Manager lautet daher: Wie lassen sich Enhanced Conversions DSGVO-konform einsetzen? Dieser Leitfaden von MUNAS Consulting erklärt die Funktionsweise, beleuchtet die datenschutzrechtlichen Fallstricke und zeigt Ihnen Schritt für Schritt, wie Sie eine rechtssichere Implementierung für 2026 und darüber hinaus gewährleisten.

Die Funktionsweise von Enhanced Conversions im Detail

Um die datenschutzrechtliche Brisanz zu verstehen, ist es entscheidend, den technischen Prozess von Enhanced Conversions genau zu kennen. Die Technologie zielt darauf ab, eine Verbindung zwischen einer Anzeigeninteraktion (z. B. einem Klick auf eine Google Ad) und einer Conversion auf Ihrer Webseite (z. B. einem Kauf oder einer Formular-Einreichung) auch dann herzustellen, wenn Cookies dies nicht zuverlässig ermöglichen.

Der Prozess läuft in der Regel wie folgt ab:

  • Schritt 1: Datenerfassung auf Ihrer Webseite: Ein Nutzer, der zuvor auf eine Ihrer Google Ads geklickt hat, führt eine Conversion auf Ihrer Webseite durch. Dies kann ein Kauf, eine Newsletter-Anmeldung oder das Absenden eines Kontaktformulars sein. Dabei gibt er personenbezogene Daten wie seine E-Mail-Adresse, seinen Namen oder seine Anschrift an.
  • Schritt 2: Hashing der Daten: Bevor diese Daten Ihre Webseite verlassen, werden sie direkt im Browser des Nutzers durch den sicheren SHA-256-Algorithmus in eine verschlüsselte Zeichenfolge (einen “Hash”) umgewandelt. Eine E-Mail-Adresse wie “max.mustermann@mail.de” wird beispielsweise zu einem langen, nicht direkt lesbaren Code.
  • Schritt 3: Übertragung an Google: Dieser gehashte Datenstring wird zusammen mit den regulären Conversion-Informationen an die Google-Server gesendet.
  • Schritt 4: Abgleich bei Google: Google vergleicht nun den erhaltenen Hash-Wert mit den Hash-Werten der E-Mail-Adressen seiner eingeloggten Nutzer. Wenn ein Nutzer zum Zeitpunkt des Anzeigenklicks in seinem Google-Konto angemeldet war, kann Google eine Übereinstimmung finden.
  • Schritt 5: Attribution der Conversion: Bei einer Übereinstimmung wird die Conversion dem entsprechenden Anzeigenklick zugeordnet und erscheint in Ihrem Google Ads Konto. Dies schließt die Lücke, die durch blockierte Cookies entstehen kann.

Datenschutzrechtliche Bewertung: Enhanced Conversions und die DSGVO

Googles Argumentation für die Datenschutzkonformität von Enhanced Conversions stützt sich maßgeblich auf den Hashing-Prozess. Doch hier ist Vorsicht geboten. Aus Sicht der DSGVO ist ein gehashter Wert keinesfalls anonym, sondern ein pseudonymisiertes personenbezogenes Datum.

Warum ist das so? Anonymisierung bedeutet, dass ein Personenbezug unwiderruflich und für niemanden mehr herstellbar ist. Bei der Pseudonymisierung wird der Personenbezug lediglich durch ein Kennzeichen (den Hash) ersetzt. Der entscheidende Punkt ist: Eine Stelle, die über die notwendigen Zusatzinformationen verfügt, kann den Bezug zur Person wiederherstellen. Im Fall von Enhanced Conversions ist diese Stelle Google selbst. Durch den Abgleich mit der eigenen, gigantischen Nutzerdatenbank kann Google den Hash-Wert sehr wahrscheinlich einer konkreten Person zuordnen.

Da es sich somit um die Verarbeitung personenbezogener Daten handelt, ist eine Rechtsgrundlage gemäß Artikel 6 DSGVO zwingend erforderlich. Ein “berechtigtes Interesse” (Art. 6 Abs. 1 lit. f DSGVO) scheidet hier in der Regel aus, da die Interessen der Nutzer am Schutz ihrer persönlichen Daten überwiegen. Die einzig tragfähige Rechtsgrundlage für den Einsatz von Enhanced Conversions nach DSGVO ist die informierte, freiwillige und aktive Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO).

Das Risiko der Hash-Übertragung von E-Mail-Adressen

Das Kernrisiko liegt in der Fehlannahme, dass “Hashing” gleich “Anonymisierung” sei. Die Übertragung selbst gehashter E-Mail-Adressen an einen Dritten wie Google stellt eine Datenweitergabe dar, die strengen Regeln unterliegt. Google agiert hier nicht als Auftragsverarbeiter, der weisungsgebunden handelt, sondern verarbeitet die Daten auch für eigene Zwecke (z. B. zur Verbesserung der eigenen Dienste). Dies macht die Situation noch komplexer.

Ohne eine gültige Einwilligung des Nutzers ist diese Datenübertragung unzulässig und kann zu empfindlichen Bußgeldern durch die Datenschutzbehörden führen. Die Verantwortung für die Einholung dieser Einwilligung liegt allein bei Ihnen als Webseitenbetreiber. Sich auf die technischen Sicherheitsmaßnahmen von Google zu verlassen, ohne eine eigene, saubere Rechtsgrundlage zu schaffen, ist ein gravierender Fehler bei der Umsetzung von Enhanced Conversions DSGVO-konform.

Die Lösung für die rechtssichere Nutzung von Enhanced Conversions ist eine transparente und granulare Einwilligung über eine professionelle Consent Management Platform (CMP), oft als “Cookie-Banner” bezeichnet. Seit der verpflichtenden Einführung des Google Consent Mode v2 im Jahr 2024 ist eine solche Lösung ohnehin Standard für personalisierte Werbung und Messung im Europäischen Wirtschaftsraum.

Für eine DSGVO-konforme Einwilligung bezüglich Enhanced Conversions muss Ihr Consent-Banner den Nutzer klar und verständlich über folgende Punkte informieren:

  • Dass die Funktion “Erweiterte Conversions” genutzt wird.
  • Welche spezifischen Daten erfasst werden (z. B. “gehashte E-Mail-Adresse, Name und Anschrift”).
  • Zu welchem Zweck dies geschieht (z. B. “zur genaueren Messung des Erfolgs unserer Werbekampagnen”).
  • An wen die Daten übermittelt werden (z. B. “an Google Ireland Ltd.”).

Der Nutzer muss die Möglichkeit haben, dieser spezifischen Datenverarbeitung aktiv und freiwillig zuzustimmen. Eine vorangekreuzte Checkbox oder eine Zustimmung durch Weitersurfen ist unzulässig. Die Einwilligung muss explizit erfolgen.

Praktische Anleitung: Enhanced Conversions DSGVO-konform einrichten

Folgen Sie diesen drei Schritten, um eine rechtssichere Implementierung zu gewährleisten. Dieser Prozess stellt sicher, dass die Anforderungen an Enhanced Conversions und DSGVO erfüllt werden.

Schritt 1: Consent Management Platform (CMP) anpassen

Überprüfen und aktualisieren Sie die Texte in Ihrer CMP. Fügen Sie einen eigenen Eintrag für Google Ads Enhanced Conversions hinzu oder ergänzen Sie den bestehenden Eintrag für Google Ads. Der Informationstext muss die oben genannten Punkte enthalten. Der Nutzer muss klar verstehen, dass seine auf der Webseite eingegebenen Daten nach einer Verschlüsselung an Google gesendet werden, um Conversions zu messen.

Schritt 2: Technische Implementierung an die Einwilligung koppeln

Die rein technische Einrichtung über den Google Tag Manager oder das Global Site Tag reicht nicht aus. Sie müssen sicherstellen, dass die Erfassung und Übermittlung der gehashten Daten erst dann erfolgt, wenn der Nutzer über die CMP seine Einwilligung erteilt hat. Im Google Tag Manager wird dies durch Trigger-Regeln erreicht, die auf den Einwilligungsstatus (z. B. `ad_storage = ‘granted’` und `analytics_storage = ‘granted’`) reagieren. Ohne diese Verknüpfung feuert das Tag unzulässigerweise für alle Nutzer.

Schritt 3: Datenschutzerklärung aktualisieren

Ihre Datenschutzerklärung ist ein rechtlich zentrales Dokument. Sie muss einen eigenen Abschnitt zu Google Ads Enhanced Conversions enthalten, der die folgenden Informationen detailliert auflistet:

  • Beschreibung des Dienstes: Erklären Sie, was Enhanced Conversions sind und warum Sie sie nutzen.
  • Verarbeitete Datenarten: Nennen Sie explizit die verarbeiteten Daten, insbesondere “gehashte E-Mail-Adresse” sowie potenziell Name, Telefonnummer und Anschrift.
  • Zweck der Verarbeitung: Die Verbesserung der Conversion-Attribution.
  • Rechtsgrundlage: Geben Sie klar die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO an.
  • Empfänger der Daten: Nennen Sie Google Ireland Limited als Empfänger.
  • Widerrufsrecht: Weisen Sie den Nutzer darauf hin, dass er seine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann, beispielsweise über die Einstellungen Ihrer CMP.

Eine professionelle und vollständige Dokumentation ist unerlässlich. Weitere Informationen zum Thema Datenschutz finden Sie auch in unserer umfassenden Datenschutzerklärung.

Rechtliche Grundlagen: TDDDG und DDG im Kontext von Enhanced Conversions

Seit 2024 bilden drei Gesetze das Fundament des digitalen Datenschutzes in Deutschland: die DSGVO, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und das Digitale-Dienste-Gesetz (DDG).

  • DSGVO (Datenschutz-Grundverordnung): Als EU-Verordnung regelt sie den grundlegenden Schutz personenbezogener Daten. Sie ist die primäre Rechtsgrundlage für die Verarbeitung und Übermittlung der gehashten Nutzerdaten an Google.
  • TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz): Insbesondere § 25 TDDDG ist hier relevant. Er regelt den Schutz der Privatsphäre in der Endeinrichtung des Nutzers (z. B. Computer oder Smartphone). Jedes Auslesen oder Speichern von Informationen auf dem Gerät des Nutzers bedarf einer Einwilligung – es sei denn, es ist technisch unbedingt erforderlich. Das Skript für Enhanced Conversions, das die Daten aus den Formularfeldern ausliest und hasht, fällt unter diese Regelung. Somit ist bereits für diesen ersten Schritt eine Einwilligung nach TDDDG erforderlich.
  • DDG (Digitale-Dienste-Gesetz): Das DDG ist der Nachfolger des Telemediengesetzes (TMG) und regelt allgemeine Pflichten für Anbieter digitaler Dienste, wie zum Beispiel die Impressumspflicht nach § 5 DDG. Es schafft den allgemeinen rechtlichen Rahmen, in dem Ihre Webseite agiert.

Alle drei Gesetze greifen ineinander: Das TDDDG erfordert die Einwilligung für den Zugriff auf das Gerät, und die DSGVO erfordert die Einwilligung für die anschließende Verarbeitung und Weitergabe der personenbezogenen Daten.

Fazit und Handlungsempfehlungen für eine DSGVO-konforme Nutzung

Google Ads Enhanced Conversions sind ein leistungsstarkes Werkzeug, um die Messgenauigkeit in einer Welt ohne Third-Party-Cookies zu erhalten und zu verbessern. Die Implementierung birgt jedoch erhebliche datenschutzrechtliche Risiken, wenn sie nicht sorgfältig und nach den Vorgaben der DSGVO und des TDDDG erfolgt.

Die zentrale Erkenntnis lautet: Hashing ist keine Anonymisierung. Die Übermittlung gehashter E-Mail-Adressen an Google ist ein zustimmungspflichtiger Vorgang. Eine rechtskonforme Nutzung ist jedoch möglich und für datengetriebene Unternehmen im Jahr 2026 unerlässlich. Der Schlüssel zum Erfolg liegt in der Transparenz und der Kontrolle durch den Nutzer.

MUNAS Consulting empfiehlt als abschließende Checkliste:

  • Transparenz schaffen: Passen Sie Ihre Consent Management Platform an und informieren Sie Nutzer klar und verständlich über die Nutzung von Enhanced Conversions.
  • Einwilligung als Bedingung: Stellen Sie technisch sicher, dass die Datenerfassung und -übermittlung nur nach einer aktiven und informierten Einwilligung erfolgt.
  • Rechtlich absichern: Aktualisieren Sie Ihre Datenschutzerklärung mit allen erforderlichen Informationen zur Funktion enhanced conversions dsgvo.
  • Regelmäßige Prüfung: Überprüfen Sie Ihre Implementierung und die rechtlichen Rahmenbedingungen regelmäßig, um konform zu bleiben.

Durch die Befolgung dieser Schritte können Sie die Vorteile von Enhanced Conversions nutzen, ohne kostspielige Bußgelder zu riskieren, und bauen gleichzeitig Vertrauen bei Ihren Kunden auf.

Empfohlene Fachartikel