Was nach der Cookie-Einwilligung noch messbar ist

Ein Komponentenhersteller stellt seine Website auf ein neues Einwilligungsbanner um. Am Montag danach meldet die Analyse deutlich weniger Besucher, das Werbekonto weniger Conversions, und die Geschäftsführung fragt, ob die Kampagnen plötzlich schlechter laufen. Der Vertrieb hat in derselben Woche so viele Anfragen bearbeitet wie immer.

Nichts davon ist ein Widerspruch. Die Besucher sind noch da, sie werden nur nicht mehr vollständig gemessen. Gefährlich wird es erst, wenn auf Basis der lückenhaften Zahlen Budgets gekürzt oder Kampagnen abgeschaltet werden.

Das Problem: Ein Teil der Besucher ist unsichtbar

Wie viele Besucher ablehnen, lässt sich nicht pauschal sagen, die Richtung aber schon. In einer repräsentativen Befragung von Bitkom Research unter 1.013 Internetnutzern ab 16 Jahren gaben 21 Prozent an, bei Cookie-Abfragen grundsätzlich alles abzulehnen. 33 Prozent wählen gezielt aus, und von diesen erlauben nur 10 Prozent Werbe-Cookies. 76 Prozent empfinden die Abfragen als lästig [1]. Das sind Selbstauskünfte, kein gemessenes Verhalten, aber sie zeigen, dass Werbe- und Analysedaten nur einen Teil der Besucher abbilden.

Wie groß dieser Teil ist, hängt stark vom Banner selbst ab. Forscher um Midas Nouwens untersuchten 680 Websites aus den 10.000 meistbesuchten in Großbritannien, die einen der fünf verbreitetsten Bannerdienste nutzten. Nur 11,8 Prozent erfüllten die Mindestanforderungen, die die Autoren aus dem europäischen Recht ableiteten. In einem Feldexperiment erhöhte das Entfernen der Ablehnungsmöglichkeit von der ersten Ebene die Zustimmung um 22 bis 23 Prozentpunkte [2]. Zustimmungsquoten verschiedener Websites sind deshalb kaum vergleichbar, und eine hohe Quote ist kein Qualitätsmerkmal, wenn sie aus einer unausgewogenen Gestaltung entsteht.

Für die Auswertung folgen daraus zwei Effekte. Die Zahlen sinken, und sie verzerren sich, denn wer zustimmt, ist nicht unbedingt typisch für alle Besucher. Die Gebotsstrategien der Werbesysteme lernen dann nur aus dem Teil, der sichtbar bleibt.

Weniger gemessene Conversions bedeuten nicht weniger Anfragen. Sie bedeuten nur, dass das Werbesystem weniger davon erfährt.

Die Rechtslage in Kürze

Maßgeblich ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, vormals TTDSG). Danach ist das Speichern von Informationen in der Endeinrichtung des Nutzers oder der Zugriff darauf nur mit Einwilligung zulässig. Ausnahmen gelten unter anderem, wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann [3]. Werbezwecke fallen in aller Regel nicht darunter.

Der Europäische Gerichtshof hat im Urteil Planet49 (C-673/17) vom 1. Oktober 2019 entschieden, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung ist. Das gilt unabhängig davon, ob die gespeicherten oder abgerufenen Informationen personenbezogen sind. Nutzer müssen außerdem über die Funktionsdauer der Cookies und den Zugriff Dritter informiert werden [4].

Die Datenschutzaufsichtsbehörden haben ihre Sicht in der Orientierungshilfe für Anbieter digitaler Dienste zusammengefasst, zuletzt in Version 1.2 vom November 2024. Die Vorschrift sei technikneutral, sie erfasse also nicht nur Cookies, sondern auch das Auslesen von Geräteeigenschaften etwa per JavaScript. Die Ablehnung müsse ohne Mehraufwand an Klicks gegenüber der Zustimmung möglich sein, die Optionen seien gleichwertig zu gestalten. Ob eine Reichweitenmessung ohne Einwilligung möglich ist, beantworten die Behörden ausdrücklich nicht pauschal, sondern nur für eine genau bestimmte Konfiguration und einen genau bestimmten Zweck [5]. Für die anschließende Verarbeitung personenbezogener Daten gilt die DSGVO, mit der Einwilligung nach Art. 6 Abs. 1 lit. a als üblicher Rechtsgrundlage für Werbemessung. Der Widerruf muss nach Art. 7 Abs. 3 so einfach sein wie die Erteilung [6]. Wie das im konkreten Aufbau umzusetzen ist, sollte im Einzelfall rechtlich geprüft werden.

Was Consent Mode und Server-Container leisten

Der Consent Mode (Einwilligungsmodus) von Google übergibt den Zustand der Einwilligung an Google-Tags. Google unterscheidet zwei Umsetzungen. In der einfachen werden die Tags vor einer Zustimmung gar nicht geladen, es fließen keine Daten, auch nicht der Einwilligungsstatus. In der erweiterten laden die Tags und senden bei Ablehnung Pings ohne Cookies, etwa mit Zeitstempel und Einwilligungsstatus. Aus diesen Signalen modelliert Google fehlende Conversions, in der erweiterten Umsetzung mit einem Modell je Werbetreibendem, sonst mit einem allgemeinen [7]. Die Orientierungshilfe der Aufsichtsbehörden nennt den Consent Mode nicht. Weil sie aber technikneutral auf jeden Zugriff auf das Endgerät abstellt, auch über JavaScript, ist im Einzelfall zu prüfen, ob bereits diese Pings ohne Einwilligung zulässig sind [5].

Seit Anfang 2024 setzt Google für Kampagnen mit Ausspielung im Europäischen Wirtschaftsraum überprüfbare Einwilligungssignale voraus, damit Personalisierung und Messfunktionen erhalten bleiben. Google kündigte dazu zwei neue Parameter an und nannte März 2024 als Zeitpunkt, bis zu dem gehandelt werden sollte, um Personalisierungsfunktionen zu erhalten [8]. Nach eigenen Angaben stellt die Modellierung im Durchschnitt mehr als 70 Prozent der Wege von Anzeigenklick zu Conversion wieder her, die durch Ablehnungen verloren gehen [9]. Das ist eine Herstellerangabe aus dem Jahr 2021, keine unabhängige Messung.

Server-seitiges Tagging verlagert die Weiterleitung von Messdaten vom Browser auf einen eigenen Server. Google nennt als Vorteile eine geringere Last im Browser und damit schnellere Seiten, volle Kontrolle darüber, welche Daten an Dritte gehen, und, sofern der Container unter eigener Domain läuft, dass Websitedaten und Cookies dort bleiben [10]. Was es nicht leistet: Es ersetzt keine Einwilligung. Auch ein Server-Container erhält seine Daten aus dem Browser des Besuchers, und § 25 TDDDG knüpft an den Zugriff auf das Endgerät an, nicht an den Ort der Weiterverarbeitung [3][5].

Die Methodik: ehrlich messen

Banner sauber und gleichwertig gestalten. Zustimmen und Ablehnen auf derselben Ebene, gleich groß, gleich gut erkennbar. Keine vorausgewählten Kategorien, eine verständliche Liste der Dienste mit Zweck und Speicherdauer. Ein Banner, das einer Prüfung nicht standhält, liefert Zahlen, auf die man sich nicht verlassen sollte.

Consent Mode vollständig umsetzen. Standardzustand vor jeder Interaktion ist „abgelehnt“, und zwar bevor irgendein Tag feuert. Alle vier Werbe- und Analysesignale werden übergeben, nicht nur die beiden älteren. Die Umsetzung wird mit den Testwerkzeugen von Tag Manager und Analytics geprüft, nicht nur am Banner.

Server-Container auf eigener Subdomain. Ein Container unter einer Adresse wie „mess.firma.de“ hält Cookies in der eigenen Domain und entscheidet, welche Felder an Google, Microsoft oder LinkedIn weitergegeben werden. IP-Adressen und überflüssige Parameter lassen sich vor der Weitergabe entfernen.

Erweiterte Conversions nur mit Einwilligung. Gehashte E-Mail-Adressen aus dem Anfrageformular verbessern die Zuordnung, sie sind aber personenbezogene Daten. Sie werden nur übertragen, wenn die Einwilligung für Werbezwecke vorliegt.

Anfragen im CRM als Maßstab. Eine Anfrage, die im CRM ankommt, zählt unabhängig davon, was der Besucher im Banner gewählt hat. Diese Zahl ist die Bezugsgröße für jede Bewertung. Liegen Werbekonto und CRM auseinander, ist das eine Messlücke, kein Leistungsabfall.

Zahlen ehrlich einordnen. Die Zustimmungsquote wird als eigene Kennzahl geführt, damit Schwankungen in Analytics erklärbar bleiben. Modellierte Conversions werden als solche ausgewiesen. Verglichen werden Entwicklungen über die Zeit, nicht absolute Werte vor und nach einer Banner-Umstellung.

Das Ergebnis

Vollständige Messung gibt es nach der Einwilligung nicht mehr, und sie kommt auch nicht zurück. Was es gibt, ist eine ehrliche Messung: ein Banner, das rechtlich trägt, eine Technik, die das Erlaubte vollständig erfasst und Lücken kenntlich macht, und eine Bezugsgröße im CRM, die vom Banner unabhängig ist.

Für die Steuerung heißt das: Entscheidungen über Budgets und Kampagnen werden an Anfragen und Aufträgen festgemacht, nicht an Sitzungen in der Analyse. Wer so misst, erschrickt nicht mehr über einen Einbruch am Montag, sondern weiß, welcher Teil davon Messung ist und welcher Markt.