Consent Mode V2: GTM, CMP, App Updates und DSGVO Nachweise für Shops

Hände, die Einstellungen für den Einwilligungsmodus konfigurieren
codenexa@outlook.de
August 29, 2026

Consent Mode V2 übermittelt vier Zustimmungssignale an Google, darunter die neuen Parameter ad_user_data und ad_personalization, die für Remarketing und Customer Match ausschlaggebend sind. Setzen Sie den Default-Consent-Status, bevor Google-Tags laden, und binden Sie Ihre Consent-Management-Plattform in den Google Tag Manager ein. Prüfen Sie zusätzlich, ob eine Advanced-Implementierung sinnvoll ist, und halten Sie die SDKs Ihrer Apps aktuell.


Kurz gesagt:

  • Ohne frühzeitiges Setzen des Default-Consent-Status im <head> blockieren Google-Tags bei Ablehnung wichtige Mess- und Zielgruppenfunktionen.
  • Das Advanced-Mode lädt Tags auch bei Ablehnungen, was genauere Modellierungen und robustere Daten für Remarketing und Conversion-Optimierung ermöglicht.
  • Für Apps sind SDK-Updates notwendig, damit neue Parameter wie ad_user_data und ad_personalization korrekt übertragen werden.
  • Fehler im Consent-Setup erkennen Sie durch Netzwerktests, Browser-Variationen und den optimalen Einsatz des Tag Managers, um falsche oder verspätete Zustimmungsdaten zu vermeiden.
  • Die Einhaltung der DSGVO bleibt durch eine wirksame CMP und Dokumentation der Default- und Testprozesse unberührt, doch eine technische Optimierung ist für korrekte Google-Integration unerlässlich.

Inhaltsverzeichnis

Der Zustimmungsmodus besteht aus vier Parametern, die jeweils den Status „granted“ oder „denied“ tragen können: analytics_storage, ad_storage, ad_user_data und ad_personalization. Jeder Parameter steuert ein eigenes Verhalten. analytics_storage entscheidet, ob Google Analytics Cookies setzen darf. ad_storage regelt Werbe-Cookies. Die beiden neuen Felder gehen weiter: ad_user_data bestimmt, ob Nutzerdaten überhaupt an Google für Werbezwecke gesendet werden dürfen, ad_personalization steuert, ob diese Daten für personalisierte Anzeigen genutzt werden.

Diagramm zur Wirkung der Parameter im Einwilligungsmodus V2

Tags passen ihr Verhalten dynamisch an diesen Status an. Bei verweigerter Einwilligung setzen Google-Tags keine Cookies, senden aber unter bestimmten Bedingungen anonymisierte, cookielose Pings. Auf Websites läuft das über gtag.js oder den Google Tag Manager, in Apps übernehmen die jeweiligen SDKs dieselbe Logik, nur technisch anders umgesetzt.

ad_user_data und ad_personalization sind keine kosmetischen Ergänzungen. Sie entscheiden direkt darüber, ob Google Ihre Kundendaten für Customer Match, Remarketing-Listen und Conversion-Optimierung verwenden darf. Fehlt eines der Signale oder steht es dauerhaft auf „denied“, schrumpft die adressierbare Zielgruppe spürbar, selbst wenn Nutzer technisch zugestimmt haben.

Google hat März 2024 als Stichdatum genannt, ab dem bestimmte Funktionen wie Customer Match für Nutzer aus dem Europäischen Wirtschaftsraum die V2-Signale zwingend voraussetzen. Das Datum selbst ist längst verstrichen, die Anforderung bleibt aber dauerhaft bestehen. Für deutsche Advertiser bedeutet das: Wer weiterhin auf die alte Consent-Mode-Version setzt oder die neuen Parameter gar nicht implementiert, verliert Zugriff auf Kernfunktionen des Google-Ads-Ökosystems, unabhängig davon, wie gut das Cookie-Banner aussieht.

Die Entscheidung zwischen Basic und Advanced Consent Mode betrifft nicht nur die Technik, sondern auch, wie viel Reporting-Qualität Sie nach einer Ablehnung noch bekommen.

Im Basic Mode laden Google-Tags erst gar nicht, solange keine Zustimmung vorliegt. Das ist einfach umzusetzen und aus Sicht mancher Datenschutzverantwortlicher die konservativere Wahl, kostet aber jede Messmöglichkeit bei ablehnenden Nutzern. Im Advanced Mode laden die Tags sofort mit dem Status „denied“ und senden weiterhin cookielose Pings, die Google für eine werbetreiberspezifische Modellierung nutzt. Das liefert deutlich robustere Schätzwerte für Conversions und Zielgruppen, verlangt aber eine sauberere Dokumentation gegenüber dem Datenschutzbeauftragten.

Die Wahl hängt von drei Faktoren ab:

  • Wie wichtig sind Ihnen Audience-Exporte und stabile Conversion-Zahlen für Google Ads?
  • Wie viel Risikobereitschaft besteht bei Ihrer Rechtsabteilung oder Ihrem externen Datenschutzbeauftragten?
  • Wie hoch ist Ihr tatsächliches Traffic-Volumen? Ohne ausreichend Events bleibt auch die beste Modellierung ungenau.

Für die meisten kleinen und mittleren Unternehmen in Deutschland ist Advanced Mode die sinnvollere Wahl, sofern die CMP-Dokumentation sauber geführt wird.

Die Reihenfolge entscheidet über Erfolg oder stillen Fehlschlag. Ein zu spät gesetzter Default-Status ist einer der häufigsten Gründe, warum erste Tags fälschlich einen „granted“-Zustand lesen, obwohl noch keine Zustimmung vorliegt.

  1. Setzen Sie den Default-Consent-Status so früh wie möglich, idealerweise im <head>, noch vor dem GTM-Container-Snippet. Der Befehl lautet gtag('consent', 'default', {...}) mit allen vier Parametern auf „denied“ für EWR-Traffic.
  2. Laden Sie danach erst den Container. Google Tag Manager bietet dafür einen Initialisierungs-Trigger, der garantiert, dass Tags erst nach Auswertung des Consent-Status feuern.
  3. Konfigurieren Sie für jedes relevante Tag die eingebauten Einwilligungsprüfungen im Tag Manager, statt sich auf Trigger-Bedingungen allein zu verlassen.
  4. Lassen Sie Ihre Consent-Management-Plattform beim Klick des Nutzers den Befehl gtag('consent', 'update', {...}) auslösen, der die tatsächliche Entscheidung an Google übermittelt.
  5. Prüfen Sie, ob Ihre CMP TCF-2.0-kompatibel ist und die vier Parameter differenziert ausgibt statt eines pauschalen Ja oder Nein. Viele CMPs bieten inzwischen fertige Vorlagen für die Consent-Mode-Integration in der Tag-Manager-Galerie.

Achten Sie zusätzlich auf das Region-Scoping in den Consent-Einstellungen, damit Defaults gezielt für den EWR und die Schweiz gelten können, ohne globale Regeln zu verwässern.

Profi-Tipp: Prüfen Sie mit der Einwilligungsübersicht im Tag Manager, welche Tags tatsächlich auf den Consent-Status reagieren. Viele Container enthalten alte Tags, die die Einwilligungsprüfung nie zugewiesen bekamen, weil sie vor der Umstellung angelegt wurden.

Brauchen Ihre Apps auch ein Update?

Ja. Google empfiehlt ausdrücklich, Android- und iOS-SDKs zu aktualisieren, damit ad_user_data und ad_personalization korrekt aus der App heraus übermittelt werden. Ältere SDK-Versionen kennen die neuen Parameter schlicht nicht.

Hände, die eine mobile App auf dem Smartphone aktualisieren

Planen Sie das Update wie jedes andere Release: mit Testmatrix für unterschiedliche Betriebssystemversionen, Rückwärtskompatibilität für Nutzer mit alten App-Versionen und einem Puffer für die Prüfzeiten im Play Store und App Store. Und ein Punkt wird gerne übersehen: Serverseitiges Tracking befreit Sie nicht von der Einwilligungspflicht. Der Consent-Status muss vom Client sauber an den Server und von dort weiter an Google durchgereicht werden, sonst verpufft die ganze SDK-Arbeit wirkungslos.

Wie prüfen Sie, ob Ihre Implementierung wirklich funktioniert?

Eine Implementierung, die im Banner gut aussieht, kann technisch trotzdem falsch laufen. Fünf Prüfungen decken die häufigsten Fehler auf:

  • Seite ohne jede Interaktion laden und im Netzwerktab prüfen, welchen Consent-Status die ersten Requests tragen.
  • Die Parameter gcd, gcs und gclid in den Google-Requests direkt auslesen, statt sich auf das Banner zu verlassen.
  • Den Cookie-Jar des Browsers vor und nach der Zustimmung vergleichen.
  • In einem frischen Browserprofil einmal akzeptieren und einmal ablehnen, dann beide Szenarien im Netzwerktab gegenüberstellen.
  • Nach einem Seiten-Reload prüfen, ob die Entscheidung tatsächlich gespeichert bleibt.

Der Vorschaumodus des Tag Managers zeigt zusätzlich, welche Tags durch welche Consent-Prüfung blockiert oder freigegeben wurden. Die häufigsten Fehlerquellen sind ein zu spät gesetzter Default-Status, hartkodierte Tags außerhalb des Consent-Systems und eine CMP, die nur teilweise mit dem Tag Manager verbunden ist.

Profi-Tipp: Filtern Sie in den Browser-Entwicklertools gezielt nach „collect“ oder „g/collect“, um GA4- und Ads-Requests von anderem Netzwerkverkehr zu trennen. Das spart bei größeren Websites erheblich Zeit.

Was bedeutet die Modellierung für Ihr Reporting?

Advanced Consent Mode modelliert Daten für Nutzer, die abgelehnt haben, aber nicht bedingungslos. Google setzt Mindestschwellen bei Traffic und Ereignisvolumen voraus, bevor überhaupt belastbare Schätzwerte entstehen. Kleinere Websites mit wenig Traffic sehen deshalb oft kaum modellierte Werte, selbst mit korrekt eingerichtetem Advanced Mode.

Wichtig ist auch, was nicht modelliert wird: Audiences, Datenexporte und bestimmte Explorationsberichte bleiben von der Modellierung ausgenommen. Für das Targeting bedeutet das reale Einschränkungen, die kein technisches Setup vollständig ausgleicht. Planen Sie deshalb ergänzende Metriken ein, etwa serverseitige Conversion-Daten, und dokumentieren Sie intern, wo Messunsicherheiten bestehen. Das schützt vor Fehlinterpretationen, wenn sich die Conversion-Zahlen in der Analyse plötzlich anders verhalten als vor der Umstellung.

Was müssen deutsche Websites zusätzlich beachten?

Consent Mode V2 ist eine technische Schnittstelle zu Google, keine eigene Rechtsgrundlage. Die Einwilligungspflicht nach der DSGVO ändert sich dadurch nicht. Ihre CMP muss weiterhin eine wirksame, informierte und widerrufbare Einwilligung einholen, bevor überhaupt ein Consent-Signal an Google geht.

Für die Praxis empfehlen sich vier Schritte:

  1. Dokumentieren Sie Ihre Default-Strategie schriftlich, insbesondere dass für EWR-Traffic alle vier Parameter standardmäßig auf „denied“ stehen.
  2. Prüfen Sie, ob für Ihre Datenverarbeitung eine Datenschutzfolgeabschätzung notwendig ist.
  3. Informieren Sie Ihren Datenschutzbeauftragten frühzeitig über die technische Umstellung, nicht erst nach dem Livegang.
  4. Führen Sie ein Audit-Log, das GTM-Initialisierung, CMP-Version und Testdatum festhält.

Agenturen und Unternehmen in Deutschland fahren gut damit, diese Nachweise als lebendes Dokument zu pflegen, nicht als einmaliges Projektergebnis. Weitere Hinweise zur Dokumentationspflicht finden Sie auch in unserer Datenschutzerklärung. Ergänzend liefert der Beitrag von HOPE Universe zu DSGVO-konformem Marketing praktische Anhaltspunkte für die Abstimmung mit CMP-Anbietern.

Bei den meisten Projekten, die Codenexa technisch begleitet, liegt der Fehler nicht im Cookie-Banner selbst, sondern in der Lücke zwischen CMP und Tag Manager. Ein Kunde hatte eine augenscheinlich korrekte Einwilligungslösung im Einsatz, doch die Ads-Konversionen blieben nach dem Go-Live um ein Vielfaches niedriger als erwartet, weil der Default-Status erst nach dem Container-Snippet gesetzt wurde. Nach der Korrektur normalisierten sich die Werte innerhalb weniger Tage. Solche stillen Fehler fallen in einem strukturierten technischen Audit fast immer sofort auf.

— Abdulrahim

Codenexa ist die praktische Alternative zur monatelangen internen Fehlersuche bei Consent-Mode-Problemen: Statt selbst durch Netzwerktabs und Tag-Manager-Container zu wühlen, bekommen Sie ein strukturiertes technisches Audit, das GTM-Konfiguration, CMP-Integration und App-SDKs in einem Durchgang prüft.

Codenexa

Das Angebot umfasst drei Bausteine: ein technisches Audit, das Default-States, Consent-Update-Befehle und CMP-Anbindung durchleuchtet, ein Umsetzungsprojekt für fehlende oder fehlerhafte Implementierungsteile, und ein monatliches Monitoring, das Ihre Consent- und Tracking-Konfiguration dauerhaft im Blick behält. Gerade für Onlineshops, deren Umsatz direkt an sauberem Conversion-Tracking hängt, lohnt sich diese laufende Betreuung mehr als eine einmalige Korrektur. Werfen Sie einen Blick auf unsere SEO- und Betreuungsabos oder klären Sie den Umfang Ihres Projekts direkt über unsere Leistungsübersicht. Ein kurzes Kontaktformular genügt, um einen ersten Audit-Termin für Ihre Website oder Ihren Shop zu vereinbaren.

Quellen

Empfehlungen

Kommentar schreiben

Codenexa
info@codenexa.de

Standort Witten, Deutschland