Datenschutzkonformes Conversion Tracking für Google Ads

Kategorien: Datenschutz und Marketing

Funktioniert das Conversion Tracking, also das Messen des Erfolgs von Google Ads Anzeigen, auch ohne Google Tools? Ist es sogar möglich, diese Messung datenschutzkonform ohne Einwilligung durchzuführen?

Einleitung:

Nachdem ich mit Markus Baersch die Idee zu einem gemeinsamen Papier zum Conversion Tracking entwickelt hatte, haben Markus und ich jeweils getrennt voneinander einen Beitrag geschrieben. Wir stellten dann fest, dass unsere Inhalte sich sehr gut ergänzen, deren Vereinigung aber recht viel Mühen kosten würde. Daher veröffentliche ich hier meine Darstellung zum Thema. Markus als Berater im Online-Marketing Bereich hat einen eigenen Blog, auf dem er seinen Beitrag veröffentlicht. Wir haben unsere Veröffentlichungen untereinander abgestimmt.

Ich finde, dass sich der Beitrag von Markus und meiner sehr gut ergänzen und dass deutlich wird, wie vielfältig und dennoch konstruktiv ein Thema betrachtet werden kann.

Was ist Conversion Tracking?

Als Konvertierung wird eine aus Sicht eines Werbetreibenden gewünschte Aktion eines Nutzers bezeichnet. Ein Nutzer ist das, was ich als Werbeopfer bezeichne. Es handelt sich um den Empfänger einer Werbeanzeige. Eine gewünschte Aktion ist beispielsweise der Kauf eines Produkts in einem Online Shop. Aber auch, wenn ein Nutzer einen Newsletter abonniert oder sich für ein kostenfreies Webinar anmeldet, kann das eine gewünschte Aktion sein, die als Konvertierung angesehen wird.

Wenn ein Nutzer eine gewünschte Aktion aufgrund einer Werbeanzeige ausführt, sagt man, er konvertiert.

In diesem Beitrag geht es um Google Ads. Google Ads sind Werbeanzeigen, die Werbetreibende bei Google buchen können. Die Werbeanzeigen liefern die Werbetreibenden. Google sorgt dafür, dass diese Anzeigen im Google Werbenetzwerk veröffentlicht und angezeigt, also ausgespielt werden. Werbeanzeigen können rein textuell gestaltet sein, so wie die Anzeigen im Suchergebnis der Google Suchmaschine. Aber auch graphische Anzeigen sind möglich, die als Display-Werbung bezeichnet werden.

Werbetreibende sind also Kunden von Google. Sie verwenden oft mehrere verschiedene Anzeigen und Varianten von Anzeigen. So kann eine Werbung besser für einen aktuell mit Werbung zu bedenkenden Nutzer ausgesucht und ausgespielt werden. Das nennt man personalisierte Werbung. Gäbe es nur ein Werbemittel ohne Varianten und ohne Freiheitsgrade, wäre eine Personalisierung nicht möglich.

Warum Conversion Tracking?

Werbung funktioniert an sich nicht gut. Das bedeutet, dass nur wenige Prozent der Nutzer, die eine Werbeanzeige sehen, konvertieren. Letztendlich sollte eine Werbemaßnahme aber mehr Umsatz (oder Gewinn) erwirtschaften als sie Kosten verursacht hat. Soll durch Werbung eine Marke bekannter gemacht oder bekannt gehalten werden, mag das etwas anders sein. Allgemein besteht jedoch aus rein wirtschaftlichen Überlegungen der Wunsch, so wenig Geld wie nötig für so viel Werbeerfolg wie möglich auszugeben.

Deshalb wird versucht, die Personalisierung von Werbung zu optimieren. Wenn nämlich ein Nutzer genau die Werbung sieht, die er gut findet oder die seinen Bedarf aufgreift, wird dieser Nutzer mit höherer Wahrscheinlichkeit konvertieren als irgendein beliebiger Nutzer.

Google Ads Conversion Tracking mit Google Bordmitteln:

Um Google Ads zu optimieren, hat Google einen nutzerbezogenen Identifikator für eine Werbeanzeige, die dem Nutzer 4711 angezeigt wird, eingeführt. Dieser Identifikator heißt GCLID. Die GCLID enthält für Google alle Informationen zur Werbeanzeige und zum Nutzer. Google weiß durch Kenntnis der GCLID, welcher Nutzer im Google Datenbestand wann auf welchem Endgerät, in welchem Browser, auf welcher Webseite, auf welche Anzeige geklickt hat und was der Nutzer zuvor getan hat (etwa ob der Nutzer nach dem Begriff „Freudenhaus Osnabrück“ gesucht oder die Adresse einer Webseite direkt im Browser eingegeben hat).

Damit Google den Google Ads Algorithmus optimieren kann, muss der Werbetreibende eine Konvertierung an Google zurückmelden. Optimieren heißt hier, dass die Werbeanzeigen des Werbetreibenden zukünftig im Google Werbenetzwerk mit höherer Wahrscheinlichkeit an Nutzer ausgespielt werden, die konvertieren.

Der Werbetreibende kann die Konvertierung dadurch an Google zurückmelden, dass er die GCLID an Google zurückmeldet. Dies kann auf verschiedene Weisen geschehen, beispielsweise über einen Conversion Tag mit dem Google Tag Manager.

Was ist das Datenschutzproblem dabei?

Mit Hilfe der GCLID kann der Werbetreibende eine gewinnbringende Nutzeraktion, die aufgrund einer Werbeanzeige stattfand, entweder mit vollstem Nutzerbezug an Google zurückmelden, oder gar nicht.

Für den Werbetreibenden selbst erschließt sich die Bedeutung der GCLID nicht bzw. nur sehr oberflächlich. Nur Google weiß alles über die GCLID, den damit verknüpften Nutzer, sein bisheriges Verhalten im Internet, seine angenommenen Gewohnheiten, seine Demographiewerte sowie die mit der GCLID verknüpfte Werbeanzeige 0815 in Variante 3.

Offensichtlich besteht in der Kenntnis der GCLID ein ganz erheblicher Personenbezug bei Google. Aber auch für den Werbetreibenden ist die GCLID personenbezogen. Beide, Google und der Werbepartner, kennen zum Nutzer dessen Netzwerkadresse (IP-Adresse), die bereits als personenbezogen anzusehen ist. Für Google ist die IP-Adresse zudem noch personenbezogener als für fast alle anderen Marktteilnehmer weltweit.

Der Werbetreibende macht sich zudem zum Komplizen von Google, indem er mit Google zusammen den Nutzer und dessen Verhalten auskundschaftet. Denn ohne Rückmeldung der Konvertierung des Nutzers durch den Werbetreibenden wäre Google ein bisschen dümmer und der Werbetreibende würde zudem zukünftig rein statistisch betrachtet weniger (bzw. nicht mehr) Umsatz über Google Ads erwarten dürfen.

Hier liegt also wohl eine gemeinsame Verantwortlichkeit zwischen dem Werbetreibenden und Google vor. Die Rückübermittlung der GCLID an Google ist ein einwilligungspflichtiger Vorgang, weil es sich um höchst personenbezogene Daten handelt und weil hier sogar zwei Profiteure, nämlich Google und der Werbepartner, existieren. Beide Profiteure müssten beim Nutzer eine Einwilligung abfragen. Google fragt diese Einwilligung aber nicht ab. Denn egal, was Sie in der Einwilligungsabfrage in der Google Suchmaschine auch anklicken: Sobald Sie auf eine Werbeanzeige klicken, wird „Ihre“ GCLID von Google an den Werbepartner übermittelt. Der Werbepartner kann zudem, wenn er zu Ihren Verkehrsdaten (IP-Adresse, Browser-Kennung …) die GCLIDs und Konvertierungen vermerkt, selbst ein kleines Personenprofil von Ihnen erstellen.

Bei Nutzung von Google Bordmitteln werden zudem technisch nicht notwendige Cookies verwendet, um Werbeopfer auf Webseiten von Werbetreibenden nachzuverfolgen. Diese Cookies bedürfen ebenfalls einer Einwilligung. Die Rechtsgrundlage hierfür findet sich in § 25 TDDDG. Auch die Verarbeitung dieser Cookie-Werte, nachdem Cookies ausgelesen wurden, bedarf einer Einwilligung, da die anderen Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO ausscheiden.

Ein Conversion Tracking nur mit Einwilligung des Nutzers durchzuführen, ist zwar rechtlich halbwegs beherrschbar (bei Datenverarbeitungen durch Google gibt es m. E. keine hohe Rechtssicherheit). Jedoch werden nur ca. 20 % aller Nutzer freiwillig darin einwilligen, dass ihr Verhalten und ihre Gewohnheiten ausgekundschaftet werden dürfen. Somit ist die Erfolgsmessung mit Google Plugins eine nur mäßig nützliche Angelegenheit.

Lösungsvorschlag:

Eine gute Lösung für das Conversion Tracking für Google Ads hat zwei Merkmale. Erstens ist sie ohne Einwilligung durch das Werbeopfer möglich. Zweitens weist sie eine hohe Rechtssicherheit auf.

Einwilligungsfrei kann eine Lösung für das Messen von Konvertierungen vor allem sein, wenn folgende Merkmale aufweist:

1. Keine Verwendung von Cookies oder sonstigen Endgerätezugriffen.
2. Möglichst reduzierte Einbindung von Google Diensten zur Rückmeldung der Konvertierung.
3. Keine Nutzung der GCLID, da diese höchst personenbezogen sein kann.

Cookies werden insbesondere verwendet, um die Sitzung eines Nutzers vom Einsprung in eine Landing Page bis hin zur Konvertierung nachvollziehen zu können. Um Cookies zu vermeiden, muss dieser Zustand anderweitig festgehalten werden. Dies kann beispielsweise über URL-Parameter realisiert werden, die auf der Webseite des Werbetreibenden bei jedem Klick eines Nutzers, der auf eine andere Unterseite auf der beworbenen Webseite führt, an die URL angehängt werden. Wie das geht, hatte ich mal in einem anderen Beitrag zum Conversion Tracking beschrieben.

Damit wäre das erste Problem gelöst, welches die Einwilligungsfreiheit verhindert.

Die Probleme zwei und drei, nämlich das Nichtnutzen sowohl der GCLID als auch von kritischen Google Plugins, lassen sich in einem Vorgang bewerkstelligen. Natürlich muss eine Konvertierung an sich nicht an Google zurückgemeldet werden. Jedoch muss, unabhängig vom Datenpool, der die Konvertierungen aufzeichnen soll, bekannt sein, auf welche Werbeanzeige samt Variante ein Nutzer geklickt hat.

Die Information über die angeklickte Werbung kann in URL-Parametern zu der URL kodiert werden, die beim Klick auf eine Google Ads Werbeanzeige aufgerufen wird. Der Werbetreibende hinterlegt also in seiner Ziel-URL für die Werbeanzeige sogenannte UTM-Parameter. UTM steht für Urchin Tracking Module. Urchin war der Vorgänger von Google Analytics. Statt UTM-Parametern können auch eigene Parameter verwendet werden.

Welche Daten sind verfügbar?

In den UTM-Parametern kann dann alles kodiert werden, was der Werbetreibende bei Erreichen einer Konvertierung wissen muss. Beispielsweise enthalten die UTM-Parameter folgende Angaben:

• Werbemitteltyp: Textanzeige oder Display-Anzeige
• Werbemittel: Anzeigennummer und -variante
• Werbekanal: Google Suchmaschine oder andere Plattform

Folgende Informationen hat der Werbetreibende sowieso bei sich vorliegen, wenn ein Nutzer konvertiert:

• Art der Konvertierung = Aktion des Nutzers
• Seite (URL), auf der die Konvertierung stattfand
• Datum und Uhrzeit der Konvertierung
• Sitzungsdauer

Diese eben genannten Angaben können entweder durch Ablesen der Uhrzeit oder durch Auslesen der Verkehrsinformationen zum Nutzer ermittelt werden. Es handelt sich nicht um eine vollständige Auflistung. Vielmehr soll dargestellt werden, dass viele Informationen vorliegen und auf einfache Weise genutzt werden könnten.

Welche Daten werden an den Conversion Datenpool gemeldet?

Der Conversion Datenpool ist der Datenbestand, der Informationen zu stattgefundenen Konvertierungen speichert. Der Werbetreibende kann diesen Datenbestand beliebig abfragen, um Erkenntnisse darüber zu gewinnen, welche Werbemittel gut bzw. wie gut und welche weniger gut funktioniert haben.

Alle eben genannten Daten können an den Conversion Datenpool gemeldet werden. Jedoch ist darauf zu achten, dass der Personenbezug möglichst gering ist. Daten zum Nutzer selbst sollten also nicht in der Konvertierungsinformation gespeichert werden. Hierzu gehören unter anderem die IP-Adresse des Nutzers, der User-Agent, weitere spezifischere Geräteinformationen oder auch der Name oder die E-Mail-Adressen von Käufern im Online Shop.

Allgemeine Geräteinformationen wie etwa "Windows PC" erscheinen unkritisch, weil daraus nicht auf eine Person gefolgert werden kann. Die Wahl solcher Kategorien ist also entsprechend so auszugestalten, dass die Kategorien möglichst nicht nur wenige konvertierende Personen enthält.

Auch sollten die Angaben im Conversion Datenpool nicht mit anderen Datenbanken zusammengeführt oder abgeglichen werden.

Was ist mit dem Personenbezug?

Werden Konvertierungen an einen Google Datenpool zurückgemeldet, dann ist das Problem des Personenbezugs naturgemäß höher als bei Verwendung eines eigenen Datenpool. Denn Google ist das Unternehmen, das im Besitz der meisten Daten über Internetnutzer ist.

Würde die GCLID an Google zurückgemeldet, wäre der Personenbezug maximal. Lässt man die GCLID weg und meldet nur UTM-Parameter an Google zurück, besteht immer noch die Gefahr, dass Google Rückschlüsse über den Nutzer herstellen kann. Denn wenn nur ein Nutzer am Dienstag um 12:17 Uhr auf eine Werbeanzeige des Werbetreibenden X geklickt hat und der Werbetreibende meldet genau für diese Uhrzeit eine Konvertierung zurück, dann liegt die Vermutung nahe, dass es sich um den bekannten Nutzer handelt.

Wer Daten an Google zurückmeldet, muss als Zeitpunkte und idealerweise auch Ziel-URLs verfremden oder weglassen. Ebenso dürfen keine nutzerbezogenen Verkehrsdaten wie IP-Adressen, Device Fingerprints usw. an Google gemeldet werden.

Auch wäre es problematisch, eine Konvertierung für eine Google Ads Anzeige an Google zu melden, die nur einen Klick hatte. Weitere Beispiele für kritische Rückmeldungen an Google lassen sich durch etwas Nachdenken finden.

Bei Rückmeldung von Konvertierungen an Google sollte also insbesondere auf folgendes geachtet werden:

• GCLID nicht nutzen
• Blockweises zurückmelden mehrerer Konvertierungen und nicht nur einer oder weniger
• Starkes Verfremden der Zeitpunkte der Konvertierungen oder weglassen von Zeitpunktangaben
• Keine nutzerbezogenen Daten zurückmelden (IP-Adresse, Hash-Werte dazu o.ä.)

Darauf folgt bereits, dass eine Rückmeldung an Google nicht aus dem Browser des Nutzers heraus erfolgen kann. Als Möglichkeit der Rückmeldung sollte eine Schnittstelle von Google genutzt werden. Konvertierungen können in Google Ads über einen Upload importiert werden. Wer Konvertierungsdaten in Google Analytics verwalten will, kann beispielsweise die Measurement API nutzen.

Noch besser und rechtssicherer ist es, Google nicht mit Konvertierungsinformationen zu füttern. Wer das dennoch tut, sollte sich sämtliche rechtliche Vorgaben durchlesen, die Google an Werbekunden gibt. Wer nicht lesen kann oder will und auch keinen guten Berater kennt, der lesen kann und will, sollte sich eine andere Beschäftigung als Google Ads suchen.

Kann das berechtigte Interesse als Rechtsgrundlage funktionieren?

Der eben beschriebene Lösungsansatz verzichtet auf die GCLID. Ebenso wird beschrieben, wie der Personenbezug bei einer Konvertierungsinformation so weit wie möglich entfernt werden kann.

Insofern sehe ich das berechtigte Interesse als gegeben an, Konvertierungen aufzuzeichnen. Die Privatsphäre des Nutzers wird nicht wirklich belastet, wenn die verwendeten Daten sorgfältig und unter Datenschutzgesichtspunkten zusammengestellt werden.

Welche Vor- und Nachteile hat der Ansatz?

Der beschriebene Lösungsweg erfordert zunächst mehr Aufwand als wenn datenschutzfeindliche Plugins von Google verwendet werden, um auf wahrscheinlich rechtswidrige Weise Konvertierungen an Google zurückzumelden. Allerdings wird der Gesamtaufwand bei objektiver Betrachtung niedriger sein. Denn Datenschutzbeauftragter, Webmaster und Verantwortlicher für die Webseite müssen dann nicht so viel miteinander sprechen, sich Sorgen machen oder raten, welche Datenverarbeitungen Google wohl betreibt. Auch müssen die endlosen rechtsverbindlichen Dokumente von Google dann nicht studiert werden.

Insofern behaupte ich, dass der Zeitaufwand für die beschriebene Lösung geringer ist als für eine möglichst rechtskonforme Nutzung des Google Ads Conversion Trackings.

Ein weiterer Vorteil der beschrieben Lösung ist die maximale Kontrolle und große Unabhängigkeit von Google bezüglich der Konvertierungen. Wie war das noch mal mit der Abhängigkeit im Energiesektor?

Auch können 100 % aller Konvertierungen rechtskonform erfasst werden, anstelle von nur 20 % der Konvertierungen, die nur nach Nutzereinwilligung erfasst werden dürften.

Wird die GCLID nicht an Google zurückgemeldet, kann Google die Werbekampagne nicht besonders optimieren. Dieser Nachteil ist aber kein echter Nachteil. Denn erstens dürfte dies nur nach doppelter Einwilligung (bei Google und auf der Landing Page des Werbetreibenden) stattfinden, die wohl so gut wie nie gegeben sein dürfte. Zweitens kann der Google Ads Algorithmus sich wahrscheinlich nur dann nennenswert optimieren, wenn genügend Konvertierungen vorhanden sind. Ich habe hierzu kaum Statistiken. Das, was mir bekannt ist, lässt mich annehmen, dass die prozentual meisten Werbetreibenden nicht ausreichend viele Konvertierungen erwirtschaften als dass der Google Ads Algorithmus damit nennenswert optimiert werden könnte.

Fazit

Werbetreibende möchten wissen, welche ihrer Werbemaßnahmen erfolgreich war und welche Google Ads Anzeige am besten funktioniert hat. Um dies festzustellen, muss keine Einwilligung abgefragt werden, aber nur, wenn nicht der Google Standardprozess genutzt wird.

Mit einem zeitverzögerten und blockweisen Speichern von möglichst anonymisierten Konvertierungsinformationen kann das Conversion Tracking datenschutzfreundlich und einwilligungsfrei realisiert werden. Ein eigener Conversion Datenpool sorgt für die höchstmögliche Flexibilität, Rechtssicherheit und Unabhängigkeit von Dritten.

Wer den Google Datenbestand mit Conversion Daten füttert, muss umso mehr darauf achten, keine personenbezogenen Daten an Google zurückzumelden. Das gilt insbesondere dann, wenn das berechtigte Interesse geltend gemacht werden soll, anstatt auf die Einwilligung als Rechtsgrundlage zurückzugreifen.

Die Optimierung des Google Ads Algorithmus auf der Seite von Google mit Hilfe der GCLID ist jedenfalls ein rechtlich sehr riskantes und ganz sicher nicht einwilligungsfreies Unterfangen. Wer jedoch aufgrund fehlender Einwilligungen nur einen Bruchteil aller Konvertierungen erfassen kann, sollte den Begriff der Optimierung nur mit viel Zurückhaltung in den Mund nehmen.