Google Consent Mode v2 für Makler: DSGVO-Checkliste

Eine Interessentin klickt auf eine Google-Anzeige für Ihre Baufinanzierungsberatung, besucht Ihre Website und sendet eine Kontaktanfrage. Im Werbekonto erscheint später eine Conversion. Auf Ihrer Website war jedoch der Google Tag Manager bereits beim ersten Seitenaufruf aktiv, obwohl die Person noch keine Auswahl im Cookie-Banner getroffen hatte. Genau an dieser Stelle reicht ein optisch ordentliches Banner nicht aus. Entscheidend ist, welche Datenflüsse technisch tatsächlich stattfinden.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Google Consent Mode v2 soll Einwilligungssignale zwischen Ihrer Consent-Management-Plattform, kurz CMP, Google Tags, Google Ads und Google Analytics steuern. Für Maklerbüros mit Online-Werbung kann das sinnvoll sein. Er ersetzt aber weder eine Rechtsgrundlage noch eine funktionierende technische Sperre vor der Einwilligung.

Consent Mode übermittelt Google den Status der Einwilligung für bestimmte Verarbeitungszwecke. Dafür werden insbesondere diese Signale verwendet:

„ad_storage“ für das Speichern und Auslesen von Informationen für Werbezwecke
„analytics_storage“ für Analysezwecke
„ad_user_data“ für die Übermittlung personenbezogener Daten an Google für Werbezwecke
„ad_personalization“ für personalisierte Werbung

Die beiden zuletzt genannten Signale gehören zu Consent Mode v2. Sie sind insbesondere relevant, wenn Sie Google Ads einsetzen und Zielgruppen, Remarketing oder Conversion-Messung nutzen.

Wichtig ist die Reihenfolge: Die CMP muss die Entscheidung der Besucherin oder des Besuchers einholen. Erst danach darf sie den jeweiligen Einwilligungsstatus an die Tags übergeben. Google Consent Mode dokumentiert technisch eine Entscheidung, holt sie aber nicht selbst ein und bewertet sie rechtlich nicht.

Auch ein Status „denied“ macht eine vorab ausgelöste Verarbeitung nicht automatisch zulässig. Wenn Ihre Google Tags schon vor der Auswahl laden, Requests auslösen, Cookies setzen oder Daten übertragen, ist der Banner nur vorgeschaltet, aber nicht wirksam angebunden.

Google unterscheidet zwischen einer einfachen und einer erweiterten Implementierung.

Beim Basic Consent Mode werden Google Tags bis zur Einwilligung blockiert. Erst nach Zustimmung lädt die Website die betreffenden Tags und verarbeitet Daten entsprechend der Auswahl. Für viele Makler-Websites ist dies der rechtlich besser beherrschbare Ansatz.

Beim Advanced Consent Mode können Google Tags bereits vor einer Einwilligung laden und bei verweigerter Zustimmung eingeschränkte, cookielose Signale an Google senden. Google kann diese Signale unter anderem für Modellierungen verwenden. Diese Variante ist datenschutzrechtlich deutlich anspruchsvoller, weil bereits vor der Einwilligung Datenübermittlungen stattfinden können.

Für eine typische Makler-Website mit Kontaktformular, Immobilienangeboten, Terminbuchung und Google Ads gilt deshalb als vorsichtige Praxisregel: Blockieren Sie Google Ads, Google Analytics, Google Tag Manager und weitere Marketing-Tags bis zur ausdrücklichen Zustimmung. Prüfen Sie eine erweiterte Implementierung nur mit belastbarer rechtlicher Bewertung, sauberer Dokumentation und einer technischen Prüfung aller Datenflüsse.

Bei der Auswahl und Einführung einer CMP helfen Ihnen ähnliche Grundsätze wie bei den TOM im Maklerbüro: die Datenschutz-Checkliste: Nicht die bloße Existenz einer Maßnahme zählt, sondern ihre nachvollziehbare und wirksame Umsetzung.

Checkliste: CMP und Google Tags richtig anbinden

Arbeiten Sie die folgenden Punkte nicht nur im System ab. Testen und dokumentieren Sie jeden Punkt auf der veröffentlichten Website.

Erfassen Sie zunächst alle eingebundenen Dienste. Prüfen Sie Google Ads, Google Analytics, Google Tag Manager, YouTube-Einbettungen, Karten, Terminbuchung, Chat, Social-Media-Pixel und eingebundene Formulare.
Legen Sie für jeden Dienst Zweck, Anbieter, verarbeitete Daten, Speicherdauer und Rechtsgrundlage fest.
Ordnen Sie Google Analytics und Google Ads im Banner nicht als „notwendig“ ein. Analyse und Marketing benötigen regelmäßig eine vorherige Einwilligung.
Stellen Sie sicher, dass die CMP vor allen nicht notwendigen Tags geladen wird.
Setzen Sie die Google-Consent-Defaults beim ersten Seitenaufruf auf „denied“, soweit keine Einwilligung vorliegt.
Konfigurieren Sie die CMP so, dass eine Zustimmung die passenden Signale an Google übergibt.
Verknüpfen Sie „ad_user_data“ und „ad_personalization“ nachvollziehbar mit der gesonderten Marketingentscheidung.
Blockieren Sie Tags technisch, nicht nur über eine interne Variable im Google Tag Manager. Ein blockiertes Tag darf vor Zustimmung keine Verbindung zu Google aufbauen.
Sorgen Sie dafür, dass ein Widerruf ebenso wirksam ist wie die Zustimmung. Nach dem Widerruf dürfen künftig keine optionalen Tags mehr ausgelöst werden.
Prüfen Sie die Einstellungen auf Mobilgeräten ebenso wie auf Desktop-Systemen.
Wiederholen Sie den Test nach Änderungen an Website, CMP, Tag Manager oder Werbekampagnen.

Ein besonders häufiger Fehler liegt im Google Tag Manager: Der Container wird als „technisch notwendig“ eingestuft und lädt sofort. Anschließend werden zwar einzelne Tags über Trigger gesteuert, doch bereits der Container oder falsch konfigurierte Tags können Daten an externe Systeme übertragen. Prüfen Sie deshalb nicht nur die Einstellungen im Tag Manager, sondern den tatsächlichen Netzwerkverkehr im Browser.

So testen Sie die Umsetzung praktisch

Für den Praxistest benötigen Sie keinen komplizierten Auditprozess. Entscheidend ist, dass Sie mit einem frischen Browserprofil oder im privaten Fenster testen. Löschen Sie vorhandene Cookies und Website-Speicher, bevor Sie beginnen.

Testfall 1: Noch keine Auswahl getroffen

Rufen Sie die Startseite auf, ohne im Banner zu klicken. Kontrollieren Sie in den Browser-Entwicklerwerkzeugen unter „Netzwerk“, ob Verbindungen zu Google Analytics, Google Ads, DoubleClick oder weiteren Marketingdiensten entstehen.

Prüfen Sie außerdem, ob Cookies wie „_ga“, „_gid“ oder Werbecookies gesetzt werden. Nicht jede technische Anfrage ist automatisch rechtswidrig. Für Ihre datenschutzrechtliche Bewertung ist aber entscheidend, ob optionale Dienste trotz fehlender Einwilligung aktiv werden.

Testfall 2: Nur Statistik akzeptiert

Akzeptieren Sie ausschließlich Statistik oder Reichweitenmessung. Google Analytics darf nur entsprechend dieser Auswahl arbeiten. Google Ads Remarketing, personalisierte Werbung und vergleichbare Marketingfunktionen dürfen nicht aktiviert werden.

Achten Sie darauf, dass die CMP nicht mit einer Sammelzustimmung arbeitet, bei der Statistik automatisch Marketing mitfreigibt. Einwilligungen müssen informiert, freiwillig und nach Zwecken unterscheidbar sein.

Testfall 3: Marketing akzeptiert

Akzeptieren Sie Marketing und prüfen Sie, ob die vorgesehenen Google Ads Tags starten. Kontrollieren Sie im Tag Manager die ausgelösten Tags und im Google Ads Konto, ob Test-Conversions korrekt eingehen.

Bei Kontaktanfragen sollten Sie genau prüfen, welche Daten als Conversion an Google übermittelt werden. E-Mail-Adresse, Telefonnummer, Name, Gesundheitsangaben oder Details aus Versicherungsanfragen gehören nicht unkontrolliert in Tracking-Schnittstellen. Gerade bei Versicherungsdaten ist besondere Zurückhaltung erforderlich.

Testfall 4: Einwilligung widerrufen

Widerrufen Sie die Auswahl über einen jederzeit erreichbaren Link, etwa „Datenschutzeinstellungen“ im Footer. Laden Sie die Seite neu und kontrollieren Sie erneut Cookies, Tags und Netzwerkverbindungen. Der Widerruf darf nicht nur die Banneranzeige ändern, sondern muss die künftige Verarbeitung stoppen.

Für die datenschutzkonforme Gestaltung von Kommunikation und Tracking gilt derselbe Grundsatz wie bei WhatsApp Business für Makler DSGVO-konform nutzen: Checkliste für Kundenkommunikation: Bequemlichkeit darf nicht dazu führen, dass Kundendaten ohne klare Rechtsgrundlage an Drittanbieter fließen.

Diese Nachweise sollten Sie vorhalten

Datenschutzaufsichten und Werbepartner bewerten nicht nur Ihren Bannertext. Sie können nachvollziehbare Nachweise zur konkreten Umsetzung erwarten. Legen Sie deshalb eine Dokumentationsmappe an, digital und versionssicher.

Sie sollte mindestens enthalten:

Eine Liste aller Tracking-, Analyse- und Marketingdienste mit Zweck und Verantwortlichkeit
Die aktuelle Datenschutzerklärung einschließlich Angaben zu Google-Diensten und Datenübermittlungen
Die Texte, Kategorien und Gestaltung Ihrer CMP
Screenshots oder Exportdateien der CMP-Konfiguration
Die Einstellungen im Google Tag Manager und die Zuordnung der Consent-Signale
Testprotokolle für fehlende Einwilligung, Teilzustimmung, Zustimmung und Widerruf
Datum, Verantwortliche und Ergebnis jeder Prüfung
Verträge und Datenschutzunterlagen der eingesetzten Dienstleister
Einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten
Einen Prozess, wie Sie Änderungen an Tags und Website-Erweiterungen freigeben

Die Vertragsrolle von Dienstleistern sollten Sie nicht schematisch behandeln. Ob ein Auftragsverarbeitungsvertrag erforderlich ist, hängt von der konkreten Verarbeitung und Rolle des Anbieters ab. Orientierung bietet unser Beitrag AV-Vertrag für Makler: Wer braucht wirklich einen?.

Häufige Fehler auf Makler-Websites

Viele Probleme entstehen nicht durch Google selbst, sondern durch spätere Website-Erweiterungen. Ein neues Immobilienbewertungstool, ein eingebettetes Video, ein Terminmodul oder ein externer Chat kann weitere Tracking-Technologien nachladen. Führen Sie deshalb vor jedem Relaunch und vor jeder neuen Einbindung einen kurzen Datenschutz- und Tag-Check durch.

Ebenso problematisch sind voreingestellte Häkchen, unklare Buttontexte oder Banner, bei denen „Alle akzeptieren“ deutlich sichtbarer ist als „Ablehnen“. Die Einwilligung muss freiwillig bleiben. Sie sollte zudem jederzeit ebenso einfach widerrufbar sein, wie sie erteilt wurde.

Wenn Sie Google Ads einsetzen, gehört die Consent-Prüfung in Ihren regelmäßigen Website-Betrieb. Wer das Thema systematisch vertiefen möchte, findet sachliche Weiterbildungsangebote bei cmt.de.

Fazit: Technik, Texte und Nachweise müssen zusammenpassen

Google Consent Mode v2 ist kein Datenschutzschild für Google Ads und Analytics. Eine belastbare Umsetzung beginnt mit einer sauber konfigurierten CMP, blockiert optionale Tags bis zur passenden Einwilligung und prüft die tatsächlichen Datenflüsse im Browser.

Halten Sie Ihre Konfiguration, Tests und Entscheidungen nachvollziehbar fest. Dann können Sie gegenüber Datenschutzaufsicht, Werbepartnern und betroffenen Personen erklären, welche Daten Ihre Makler-Website verarbeitet, wann dies geschieht und wie Besucherinnen und Besucher die Kontrolle behalten.

Dieser Beitrag ist ein allgemeiner Ratgeber und ersetzt keine individuelle Rechts- oder Steuerberatung.