Einleitung

Wir sprechen über Google Ads. Wir, das sind Stephan Plesnik und ich. Unsere Gesprächsrunde hat ihre Heimat im Datenschutz Deluxe Podcast.

Stephan beginnt mit einem Zitat von Paolo Bulgari, dem Gründer der Luxusmarke gleichen Namens:

Das bedeutet übrigens nicht, dass man Google Ads Werbung schalten muss. Auch das Buchen von bezahlter Online Werbung ist nicht die logische Konsequenz dieses Zitats. Immerhin handelt es sich bei Bulgari um eine bekannte Weltmarke. Genau wie Rolex werden die Preise hochgetrieben, indem ein Luxus-Image aufgebaut wird. Diese Strategie dürfte für die (prozentual) wenigsten Unternehmen sinnvoll sein.

Im Übrigens kommt es darauf an, was der Begriff „Werbung“ bedeutet. Qualität ist die beste Werbung, hat mir ein guter Freund erzählt. Heutzutage funktioniert das Freemium-Modell (ohne Google Ads) auch sehr gut.

Wie funktioniert Google Ads Werbung?

Sie geben Google Geld und Ihre Werbeanzeige, entweder als Text oder als Bild oder als Kombination. Üblich sind Varianten von Werbeanzeigen, um diese in sogenannten Split Tests (oder A/B Tests) optimieren zu können.

Google spielt Ihre Werbung auf der gewünschten Plattform aus, beispielsweise im Google Suchergebnis oder als Display-Werbung auf Dritt-Webseiten. Klickt nun ein Nutzer auf Ihre Werbeanzeige, freut sich Google. Denn dann müssen Sie für diesen Klick Geld an Google bezahlen. Zum Dank schleust Google das Werbeopfer, das auf Ihre Anzeige geklickt hat, auf Ihre Landing Page.

Das wäre ja noch OK. Leider sammelt Google aber fleißig Daten von Ihnen und mir, wenn wir uns im Internet bewegen. Wenn Sie eine Webseite besuchen, die Google Fonts einbindet, bekommt Google ein Signal über Ihren Webseitenbesuch und weiß, dass Sie sich für Domina Claudette oder Master Michael interessieren. Sollten Sie mal zur falschen Zeit am falschen Ort sein und dabei auf Ihrem Smartphone in Ihr Google Konto eingeloggt sein, kann es sein, dass Sie als Verdächtiger oder möglicher Täter ermittelt werden (gab es schon).

Der Werbetreibende erhält von Google einen Identifikator für diesen Klick, der nutzerbezogen ist. Dieser Identifier heißt GCLID (oder neuerdings auch WBRAID und GBRAID). GCLID steht für Google Click Identifier. Die GCLID ist ein höchst personenbezogener Datenwert. Es ist quasi die Bürger-ID, mit der aber erstmal nur Google was anfangen kann. "Nur" ist nicht gut aus Datenschutzsicht, sondern nur für Google als Monopolist. Nur Google kennt die genaue Semantik der GCLID. Das ist das Problem aus Datenschutzsicht. Wenn nämlich ein Werbetreibender eine Konvertierung an Google zurückmelden möchte, muss er dies in datenschutzfeindlicher Weise tun, weil Google keine andere Möglichkeit gibt.

Google optimiert nun mit rechtswidrig verarbeiteten personenbezogenen Daten Google Ads und kann uns alle nun noch besser beeinflussen. Google und Facebook arbeiten ähnlich und tauschen ihre Daten über uns auch aus. Deswegen ist auch Wahlwerbung zersetzt von rechtswidrig erworbenen Daten. Mit dem berechtigten Interesse als Rechtsgrundlage kommt man bei Google Ads jedenfalls nicht sehr weit.

Eine gute Nachricht gibt es: Sie brauchen Google Ads nicht. Das trifft jedenfalls auf die allergrößte Mehrzahl aller Unternehmen zu, behaupte ich. Was Conversion Tracking angeht: Auch hierfür brauchen Sie Google Plugins nicht, selbst wenn Sie Google Ads nutzen.

Über dies und einiges mehr sowie über empfohlene Maßnahmen für Erfolg im Internet sprechen Stephan Plesnik und ich im Datenschutz Deluxe Podcast.

Die vorigen Folgen im Datenschutz Deluxe Podcast sind:

• Folge 1: Spannende Datenschutzfragen
• Folge 2: Cookies, Cookie Tools und PIMS (andere Fragen, anderer Moderator)
• Folge 3: Google Topics und Google FloC (das Ende aller Cookies? Nein!)
• Folge 4: Reichweitenmessung für Webseiten und Apps
• Folge 5: Server Side Tracking und Cookies
• Folge 6: Datenschutzverstöße: Diskussion zwischen Informatiker und Rechtsanwalt
• Folge 7: Smart Home Geräte: Datenschutz und gesetzliche Vorgaben
• Folge 8: Conversion Tracking
• Folge 9: Google Tag Manager: Weder ein Cookie noch eine Domäne noch erforderlich
• Folge 10: Cookies und Cookie Tools
• Folge 11: Wie erkennt man seriöse Internet-Agenturen?
• Folge 12: Die Verarbeitung personenbezogener Daten gemäß DS-GVO
• Folge 13: Das berechtigte Interesse für die Verarbeitung personenbezogener Daten
• Folge 14: E-Mails, Phishing und die Echtheit elektronischer Nachrichten

Weitere Folgen finden Sie hier in der Übersicht zum Datenschutz Deluxe Podcast:

Einleitung

Vorab: Ich verlasse mich auf die Aussage eines mir sehr gut bekannten Betreibers einer erfolgreichen, reinen Online Plattform, die sich ausschließlich aufgrund von Klicks von Nutzern monetarisiert. Der Betreiber nimmt übrigens Datenschutz ernst, auch wenn sein Business stark Marketing-getrieben ist. Dass er an manchen Punkten wegen Googles Geschäftsgebaren an Grenzen stößt, war Motivation für diesen Beitrag.

Der Betreiber eben jener Plattform verdient Geld dadurch, dass er sehr gut sichtbar ist und Nutzer dazu bewegt, auf Angebote von Dritten zu klicken, die er auf seiner Webseite darstellt. Diese Dritten haben mit ihm einen Vertrag geschlossen, der ihm jeden Klick vergütet.

So kommt es, dass der Betreiber dieser Plattform auch Google Ads Werbung schaltet. Dies funktioniert bereits ganz gut, sagte er mir. Er hat allerdings auch ganz erhebliche Energie in die Eigenoptimierung dieser Werbeanzeigen gesteckt.

Einige Begriffsdefinitionen

Die Erfolgsmessung von Werbeanzeigen

Nun möchte der Werbetreibende gerne wissen, ob eine Werbeanzeige zum Erfolg geführt hat. Genauer gesagt, möchte der Werbetreibende wissen, welche seiner Anzeigen und Anzeigenvarianten jeweils zu welchem Umsatz führte. Dies festzustellen, ist Aufgabe des sogenannten Conversion Trackings.

Um den Erfolg einer Werbeanzeige zu ermitteln, braucht es Google nicht. Dafür reicht ein eigener Zählmechanismus völlig auf. Wer unbedingt das Google Analytics Dashboard für die Auswertung nutzen möchte und Datenschutz ernst nimmt, kann dies durch geeignete technische Mittel bewerkstelligen.

Personalisierte Werbung

Jedoch gibt es einen weiteren Punkt für den Werbetreibenden, der kriegsentscheidend ist. Google Ads Werbung wird aufgrund eines geheimen Google Algorithmus ausgespielt. Ausspielen bedeutet hier, dass eine bestimmte Werbeanzeige oder Variante genau den Menschen gezeigt wird, von denen der Google Ads Algorithmus denkt, dass diese Menschen die beste Zielgruppe für die konkrete Werbung sind.

Es ist ja auch logisch: Passgenaue Werbung führt eben – statistisch gesehen – zu größerem Erfolg als undifferenzierte Werbung. Das heißt allerdings nicht, dass deswegen personalisierte Werbung ohne Einwilligung erlaubt ist. Irgendwo hört das berechtigte Interesse einmal auf, und zwar nach meiner Meinung insbesondere vor personenbezogener Werbung.

Der mir bekannte Werbetreibende hat mir Folgendes erzählt. Wenn er an Google Ads zurückmeldet, dass eine Werbeanzeige X zu einer Konvertierung im Wert von, sagen wir, 80 Eurocent geführt hat, dann kann Google Ads seinen Algorithmus erheblich in seinem Sinne verbessern. Dies führt laut seiner Aussage zu einem Mehrumsatz in einer nicht ganz niedrigen zweistelligen Prozentzahl, also zu deutlich mehr als 10 % mehr Umsatz.

Anders ausgedrückt. Wenn der Werbetreibende nicht an Google Ads zurückmeldet, dass eine Werbeanzeige zu einem Erfolg für ihn (also zu einer Konvertierung) führte, dann werden zukünftige Google Ads Werbeanzeigen derart weniger gut ausgespielt als mit Erfolgsmeldung, dass dies Umsatzeinbußen in relevanter zweistelliger Prozentzahl für ihn bedeuten.

Googles gemeines Spiel mit Werbetreibenden und Nutzern

Soweit, so schlecht. Aber es kommt noch schlechter.

Der Werbetreibende kann eine Konvertierung nur zurückmelden, wenn er den sogenannten Google Click Identifier (kurz. GCLID) an Google zurückmeldet. Die GCLID erhält der Werbetreibende quasi frei Haus, wenn ein Nutzer wie Sie auf eine Google Ads Werbeanzeige klickt und dann auf die Landing Page des Werbetreibenden geleitet wird.

Google Click Identifier (GCLID): Definition

„[…] Die GCLID ist für das Website-Conversion-Tracking von Google Ads erforderlich und wird auch verwendet, um Daten von Google Ads und Google Analytics miteinander zu verknüpfen. Außerdem kann sie in Verbindung mit Funktionen wie dem Offline-Conversion-Tracking verwendet werden.“

Quelle https://support.google.com/google-ads/answer/9744275?hl=de (Auszug, Fettdruck von mir).

Diese GCLID ist für den Werbetreibenden und für alle anderen, außer für Google, ein kodierter Wert ohne Bedeutung. Nur Google kennt den genauen Aufbau und die Bedeutung dieser personenbezogenen Identifikationsnummer.

Für Google ist die GCLID eine Identifikation von Ihnen oder mir oder vielen Millionen oder Milliarden Nutzern. Anzunehmenderweise sammelt Google über diese GCLID Ihre und meine Aktivitäten im Internet sowie unsere Bewegungsdaten über mobile (Google) Endgeräte usw. Mit dieser Identifikation sind Sie als Person also bestens bestimmt.

Die GCLID enthält typischerweise die Informationen über Sie, die im Google Analytics Dashboard zu sehen sind. Zu diesen Daten über Sie und andere Werbeopfer zählen folgende von Google errechnete Werte:

• Alter (gegeben als Altersspanne, etwa 18 – 29 Jahre)
• Geschlecht
• Wahlverhalten für Parteien (wurde gemäß meiner früheren Untersuchung in den USA in Google Analytics angezeigt, nicht aber in der EU)
• Standort
• Häufige besuchte Adressen
• Kaufverhalten
• Surfverhalten
• Interessen
• Endgeräte: Typen, Betriebssysteme, Browser
• Zugriffszeitpunkte
• Körpergröße: Nein, das war ein Scherz, aber nicht ganz unrealistisch. Kameras zapft Google (wohl) noch nicht an

Die GCLID wird aktuell (Stand: Anfang des Jahres 2023) von Google immer an den Werbetreibenden übermittelt, wenn Sie als Werbeopfer auf seine Werbeanzeige klicken. Das passiert auch dann, wenn Sie in der Google Suchmaschine in der initial erscheinenden Einwilligungsabfrage allen nicht notwendigen Datenverarbeiten eine Absage erteilen, also nicht einwilligen.

Laut Erinnerung des mir bekannten Werbetreibenden war es vor wenigen Monaten so, dass Google nur nach Einwilligung durch das Werbeopfer (also Sie) die GCLID an Werbetreibende übermittelte, wenn das Werbeopfer (also Sie) auf eine Google Ads Werbeanzeige geklickt hatten. Ob es tatsächlich so war, konnten wir bisher nicht herausfinden. Jedoch kann es schon sein, dass es so war. Denn Google wurde mehr oder weniger gezwungen, seine bis dato rechtswidrige Einwilligungsabfrage etwas geradezurücken. Waren bis vor kurzem noch mindestens fünf Klicks nötig, um abzulehnen, ist dies jetzt mit einem Klick möglich. Danke Google, sehr freundlich. Weil deswegen damals so gut wie niemand ablehnte, konnte sich Google – so die Theorie – den Luxus leisten, die GCLID nur bei vorliegender Einwilligung (also fast immer) – zu übertragen. Jetzt lehnt aber anzunehmenderweise fast jeder Nutzer ab, zumal einwilligen und ablehnen gleichwertig dargestellt sind. Da denkt sich Google, so die Theorie: „Dann übermittelt wir die GCLID eben immer, denn ansonsten dürften wir sie ja nie übermitteln.“

Google, Werbetreibende und Werbeopfer

Fassen wir zusammen:

Google übermittelt an Werbetreibende immer die zu Ihnen gehörende GCLID, sobald ein Werbeopfer auf eine Werbeanzeige geklickt hat.

Google weiß mit der GCLID alles, was Google zu dem Zeitpunkt des Klicks des Werbeopfers auf eine Werbeanzeige über das Werbeopfer wissen kann (oder nach Meinung von Google wissen darf).

Der Werbetreibende kann nicht erkennen, ob ein Nutzer in die Übermittlung der GCLID an den Werbetreibenden durch Google eingewilligt hat.

Der Werbetreibende kann mit der GCLID nichts anfangen, kennt also ihre Bedeutung nicht.

Damit der Werbetreibende kein Geld verschwendet, muss er die GCLID an Google zurückmelden, wenn das Werbeopfer konvertiert hat (also eine gewünschte Aktion, wie etwa einen Kauf oder einen Klick getätigt hat).

Am liebsten würde viele Werbetreibende datenschutzkonformer sein. Aber sie können es nicht, dank Google. Mehr dazu im nächsten Abschnitt.

Der Werbetreibende kann also wählen zwischen Datenschutzverstoß oder weniger Umsatz. Auch die möglicherweise datenschutzkonforme Lösung, den Nutzer selbst nach einer Einwilligung für die Rückübermittlung der GCLID an Google zu fragen, führt zwangsläufig zu weniger Umsatz. Denn bekanntlich werden Einwilligung freiwillig nicht so gerne erteilt. Warum auch?

Google freut sich, dass nun über das Werbeopfer noch mehr bekannt ist, nämlich dass das Werbeopfer eine leichte Beute ist bzw. auf bestimmte Werbeanzeigen, Farben, Begriffe, etc., besonders gut reagiert.

Zum Dank verbessert Google seinen Google Ads Algorithmus so, dass der Werbetreibende zukünftig noch bessere Werbeopfer präsentiert bekommt, die ihm wiederum noch mehr Umsatz bescheren.

Das Problem ist Google, nicht die DSGVO

Das Problem ist, dass Google eine kryptische Identifikation (die GCLID) verwendet, die der Werbetreibende an Google zurückspielen kann oder es eben sein lässt. Dazwischen gibt es keine Möglichkeit.

Google könnte dem Werbetreibenden stattdessen anonymisierte Zielgruppeninformationen übermitteln. So könnte der Werbetreibende genau diese an Google im Falle einer Konvertierung zurückmelden.

Dumm nur, dass Google dann selber nicht mehr wüsste, welcher Nutzer denn konvertiert hat. Für den Algorithmus wäre es zwar auch ein Unterschied, aber kein so großer. Durch die richtigen Zielgruppeninformationen könnte die Anonymität der konvertierenden Nutzer gegenüber Google gewährt sein und gleichzeitig Googles Algorithmus genügend lernen, um sich selbst im Sinne des Werbetreibenden – und auch im Sinne von Werbeopfern – zu optimieren.

Kleiner Ausflug: Die Google Timeline

Google speichert zu Nutzern deren Standorte ab, die beispielsweise über GPS Signale von mobilen Endgeräten nachvollzogen werden können. Diese sogenannte Timeline kann jeder Nutzer sehen, aber angeblich sonst niemand. Hier ein Auszug (Quelle: eben genannter Link):

„Niemand“ ist bei Google anscheinend so definiert: Keiner, außer Google.

„Nur Du“ ist bei Google so definiert: Keiner, außer Ihnen und Google.

Das könnte Google tun – will aber nicht

Hier ein paar Beispiele, warum Google meiner Ansicht nach der Schuldige ist bzw. was Google tun könnte, damit die Welt etwas besser wird (bevor die EU das Google Dings vermieten muss).

• Nutzer nicht ohne Rechtsgrundlage nachverfolgen. Auch ohne Einwilligung wird jeder Nutzer nachverfolgt. Beispiel: Google Suchmaschine. Eben probiert: „Alle ablehnen“ angeklickt, dennoch werden Cookies mit erheblichen Identifizierern und einer Laufzeit von bis zu zwei Jahren in meinem Endgerät gespeichert. Außerdem werden „Google Beacons“ geladen.
• GCLID nur an Werbetreibende übermitteln, wenn Werbeopfer zugestimmt haben.
• Werbetreibenden übermitteln, ob für die Weitergabe der GCLID eine Einwilligung vorliegt.
• Nicht so tun, als würde Google Topics kein Cookie sein. Der Chrome Browser soll zum Super-Cookie werden. Gnädigerweise haben Sie ein Widerspruchsrecht (als Opt-Out, aber werden nicht nach Ihrer Einwilligung gefragt).
• Werbetreibenden eine Möglichkeit geben, anonymisierte Daten über konvertierte Werbeopfer an Google zurückzumelden (etwa eine Zielgruppennummer und ein paar Daten mehr, die nicht auf einzelne Personen schließen lassen).
• Den Unsinn sein lassen zu behaupten, Google würde keine personenbezogenen Daten erheben. Siehe beispielsweise Bullshit-Aussage von Google zum Google Tag Manager.
• Was ganz Verrücktes: Gesetze einhalten, unsere Privatsphäre respektieren.
• Aufhören, alle für dumm zu verkaufen.
• Sich einen anderen Planeten außerhalb unseres Sonnensystems suchen, um personenbezogene Daten in fragwürdiger Weise abzugreifen und zu monetarisieren.

Fazit

Viele Werbetreibende finden Google nicht gut, sind aber, so deren Annahme, auf das Google Werbeuniversum angewiesen. Deswegen müssen sie (meinen diese Werbetreibenden) leider und wohl oder übel nur ungern mit Google zusammenarbeiten.

Der Gewinner ist Google. Die Verlierer sind zuerst die Nutzer und danach die Werbetreibenden, sofern gegen sie einmal juristische Konsequenzen eröffnet werden, was früher oder später der Fall sein dürfte.

Der Ablauf wird analog zum Google Fonts Urteil sein:

1. Einige angebliche Datenschutzexperten schreiben, dass auf einmal, ganz plötzlich ein Risiko da ist mit diesem Google Ads Dings und dass ab „jetzt“ alles verboten ist, was vorher erlaubt oder vertretbar gewesen sei.
2. Ein Urteil wird alle möglichen Werbetreibenden wachrütteln. Sie werden ihr Verhalten, von Angst getrieben, verändern und nicht etwa, weil sie Datenschutz gut finden.
3. Viele werden ganz verzweifelt nach einer Alternative suchen, weil sie sich bis jetzt nicht darum gekümmert haben und ganz überrascht wurden davon, dass Google Werbung mit größeren Risiken behaftet ist.
4. Google wird irgend wann mal wieder ein Bußgeld bekommen, das immer mehr weh tun wird. Der mit rechtswidriger Werbung erzielte Umsatz wird deutlich höher als das Bußgeld sein.
5. Die EU wird Google in der ein oder anderen Form irgendwann so stark bestrafen, dass Google in der jetzigen Form aufhört zu existieren. Endlich hätten mehr Menschen wieder Zeit für sinnvollere Betätigungen als andauernd Werbung anzusehen und so ihre Zeit zu verschwenden (siehe insbesondere werbefinanzierte Webseiten oder Apps, meist Smartphone-Spiele) oder gar sich in ihrer Freizeit zugunsten von Google in ihrer Meinung beeinflussen zu lassen.

Meine These ist, dass die meisten Unternehmen ohne Google Ads genauso erfolgreich oder erfolgreicher sind. Ein minimaler Nutzen jedenfalls rechtfertigt die enormen Zusatzkosten und Risiken nicht. Wer Google Ads Werbung betreibt, muss jedenfalls Geld ausgeben, Berater kaufen und rechtliche Risiken in Kauf nehmen. Zudem entsteht eine Abhängigkeit zu Google, von der ich hoffe, dass sie einigen bald derart bedenklich erscheint, dass sie aufhören, Google als Geschäftspartner zu wählen und aufhören, ein rechtswidriger Datenkomplize von Google zu werden.