Wenn Sie in Google Ads die Einstellung „Enhanced Conversions“ aktivieren, werden E-Mail-Adresse, Telefonnummer und Anschrift der Person, die das Formular ausfüllt oder einen Kauf tätigt, gehasht und an Google gesendet. Die meisten Erklärungen enden hier und schließen mit dem Satz „Weil gehasht wird, ist das unproblematisch.“ In diesem Beitrag prüfen wir, was an diesem Satz stimmt und was fehlt. Als Quellen dienten uns die Hilfeseiten von Google, die Verordnung der KVKK-Behörde und die Leitlinien des EDPB.
Kurze Antwort
Hashing ist eine Möglichkeit, Daten sicher zu übertragen, doch es gibt keine belastbare Grundlage, es als Anonymisierung anzusehen. Da der Hash einer E-Mail-Adresse von jedem, der die Adresse kennt, nachgebildet und zugeordnet werden kann, bleibt er höchstwahrscheinlich ein personenbezogenes Datum. Wenn Sie Enhanced Conversions aktivieren, müssen Sie daher sicherstellen, dass Ihre Einwilligungsinfrastruktur (Banner, Consent Mode) und Ihre Datenschutzerklärung diesen Ablauf abdecken.
Was genau machen Enhanced Conversions?
Laut der Hilfeseite von Google ergänzt die Funktion Ihre bestehende Conversion-Messung, indem gehashte First-Party-Conversion-Daten an Google gesendet werden. Zu den verwendbaren Daten zählen die E-Mail-Adresse, der Name, die Privatanschrift und die Telefonnummer des Kunden. Der Abgleich erfolgt, indem die gehashten Daten mit angemeldeten Google-Konten verglichen werden.
Das Ziel ist einfach: Wenn ein Cookie oder eine Klick-ID allein nicht ausreicht, soll die Conversion anhand der tatsächlichen Kundendaten auf der Bestellseite mit dem Anzeigenklick verknüpft werden können. Es gibt zwei Varianten. Enhanced Conversions für das Web ergänzen das Conversion-Tag auf der Website, während die Version für Leads den Import von Offline-Conversions verbessert.
Wie funktioniert das Hashing?
Vor dem Senden der Daten verlangt Google, dass führende und nachgestellte Leerzeichen entfernt, der Text in Kleinbuchstaben umgewandelt, Telefonnummern ins E.164-Format gebracht und bei Adressen von gmail.com und googlemail.com die Punkte vor der Domain entfernt werden. Anschließend wird hexadezimales SHA256 angewendet. Google beschreibt dies als einen Einwegalgorithmus.
Das Detail dabei: Sie müssen das Hashing nicht zwingend selbst durchführen. Werden die Daten über das Google-Tag oder die automatische Erfassung von GTM erhoben, erfolgt das Hashing auf Seiten von Google. Wenn Sie in GTM mit benutzerdefiniertem Code ein user_data-Objekt vorbereiten, können Sie die Daten vorab hashen oder dies Google überlassen. Welchen Weg Sie auch wählen, die Regeln sind dieselben.
„Einweg“ bedeutet nicht „anonym“
Einweg heißt, dass sich die E-Mail-Adresse nicht rechnerisch aus dem Hash zurückgewinnen lässt. Das Problem ist jedoch nicht die Umkehrung, sondern der Abgleich. Dieselbe E-Mail-Adresse erzeugt jedes Mal denselben Hash. Wer die E-Mail-Adresse bereits kennt, kann die Adressen auf seiner eigenen Liste auf die gleiche Weise hashen und die Person durch Vergleich finden. Genau so funktionieren auch Enhanced Conversions: Google gleicht den Hash mit den Personen in seinen eigenen Konten ab.
Das Kriterium des KVKK ist an dieser Stelle entscheidend. Nach Artikel 10 der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten bedeutet Anonymisierung, Daten so zu verändern, dass sie auch bei Abgleich mit anderen Daten keiner bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Derselbe Artikel verlangt, dass dieses Ergebnis auch dann gewährleistet ist, wenn der Verantwortliche oder der Empfänger sämtliche Techniken zur Rückführung und zum Abgleich einsetzt. Dass ein auf Abgleich beruhender Ablauf dieses Kriterium erfüllt, lässt sich kaum vertreten.
In Europa gibt es eine ähnliche Linie. In den Leitlinien zur Pseudonymisierung, die der EDPB im Januar 2025 in seiner Plenarsitzung angenommen hat, heißt es, dass pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, personenbezogene Daten bleiben. Der Text wurde zur öffentlichen Konsultation veröffentlicht, die Konsultationsfrist endete am 28. Februar 2025. Wir empfehlen, die endgültige Fassung zu prüfen. Noch ein Hinweis: Diese Leitlinien gelten für die DSGVO und binden das KVKK nicht. Wir zeigen hier lediglich, dass beide Regelwerke in dieselbe Richtung weisen. Eine speziell auf Enhanced Conversions bezogene Entscheidung des KVKK-Rates haben wir nicht gefunden, daher schreiben wir nicht „Die Behörde hat gesagt“. Dieser Beitrag ist keine Rechtsberatung, sondern unsere eigene Einschätzung.
Wie wird die Einwilligung auf Seiten von Google eingebunden?
Laut der Datenschutzerklärung von Google werden Nutzerdaten nicht erhoben, solange die Nutzungsbedingungen nicht akzeptiert wurden und die erforderlichen Einwilligungsparameter nicht auf „gewährt“ gesetzt sind. Wird der Consent Mode angewendet, steht auf derselben Seite auch, dass das Werbe-Cookie vom Einwilligungsstatus ad_storage abhängt. Alle Daten, die sich keiner Conversion zuordnen lassen, werden gelöscht. Zur Aktivierung wird die Annahme der Google-Datenverarbeitungsbedingungen für Google Ads sowie die Einhaltung der Richtlinien zu Kundendaten verlangt.
Das bedeutet, dass der Consent Mode bereits korrekt eingerichtet sein muss. Erweiterte Conversions auf einer Website zu aktivieren, deren Standardwerte falsch sind oder deren Banner gar nicht mit den Tags verbunden ist, erhöht das Risiko. Wir haben das Thema in unserem Beitrag zum Consent Mode v2 ausführlich behandelt. Die Seite von Google macht keine Angaben zur Cookie-Einwilligungsoberfläche, die den Nutzern angezeigt wird; dieser Teil liegt bei Ihnen und Ihrer Rechtsberatung.
Was im Hinblick auf das KVKK zu prüfen ist
- Datenschutzhinweis: Geben Sie an, dass Daten wie E-Mail-Adresse und Telefonnummer für die Werbemessung gehasht an Google übermittelt werden. Der Satz „Wir verwenden Cookies“ beschreibt diesen Datenfluss nicht.
- Rechtsgrundlage und Einwilligung: Entscheiden Sie, auf welcher Grundlage die Daten verarbeitet werden. Klären Sie dies bei werbebezogenen Datenflüssen mit Ihrem Anwalt. Wenn Sie eine Einwilligung einholen, dürfen die Daten einer Person, die ablehnt, nicht übermittelt werden.
- Übermittlung ins Ausland: Google verarbeitet Daten im Ausland. Die Bestimmungen des KVKK zur Übermittlung ins Ausland gelten auch für diesen Datenfluss. Welchen Mechanismus Sie hierfür nutzen, hängt von Ihrer Vertrags- und Einwilligungsstruktur ab.
- Sensible Kategorien: Laut der Dokumentation von Google dürfen Conversions, die sensible Kategorien betreffen, nicht für erweiterte Conversions verwendet werden. Wenn Sie in Bereichen wie dem Gesundheitswesen tätig sind, aktivieren Sie diese Funktion gar nicht oder fragen Sie zuvor einen Experten.
- Senden Sie keine unnötigen Felder: Wenn die E-Mail-Adresse ohne Name und Anschrift genügt, erheben Sie nur diese.
Einrichtung und Überprüfung
In Google Ads können Sie unter Ziele, Conversions, Einstellungen den Bereich „Erweiterte Conversions für das Web“ öffnen, die Funktion aktivieren und die Konformitätserklärung akzeptieren. Auf der Tag-Seite stehen das Google-Tag, GTM oder die Google Ads API zur Auswahl. Die Menübezeichnungen können sich je nach Oberfläche ändern; prüfen Sie den aktuellen Pfad auf der Hilfeseite von Google.
Prüfen Sie zur Überprüfung in den Netzwerkanfragen des Browsers, ob die Parameter em oder pn einen gehashten Wert enthalten. Wenn Sie eine E-Mail-Adresse im Klartext sehen, ist die Einrichtung fehlerhaft. Der Diagnosebericht von Google erscheint nach etwa 48 Stunden. In den ersten Tagen den Status „Wird verarbeitet“ zu sehen, ist normal.
Wenn Sie über WhatsApp nach dem Verkauf abgeschlossene Aufträge auf der Meta-Seite nachverfolgen möchten, finden Sie einen ähnlichen Ansatz in unserem Beitrag zu ctwa_clid und der Conversions API.
Lohnt sich die Aktivierung?
Dies ist eine Entscheidung zur Messqualität. Google gibt an, dass die Funktion die Genauigkeit erhöht, aber wie viel Unterschied sie in Ihrem Konto machen wird, können wir vorab nicht wissen – deshalb nennen wir keine Zahlen. Für Websites, die Kunden über Formulare gewinnen oder online verkaufen und ein nennenswertes monatliches Werbebudget haben, lohnt sich ein Versuch. Ist die Einwilligungsstruktur noch nicht sauber aufgesetzt, korrigieren Sie zuerst diese und aktivieren Sie die Funktion danach. In dieser Reihenfolge sind die Daten sauberer, und Sie haben zudem eine Einrichtung, die Sie vertreten können.
Häufige Fragen
Gilt eine gehashte E-Mail-Adresse nach dem KVKK als personenbezogenes Datum?
Höchstwahrscheinlich ja. Hashing ähnelt einer Pseudonymisierung, nicht einer Anonymisierung. Da dieselbe E-Mail-Adresse stets denselben Hash ergibt, kann jemand, der die Adresse kennt, einen Abgleich vornehmen. Für eine verbindliche rechtliche Beurteilung wenden Sie sich bitte an Ihren Anwalt.
Ist für die Aktivierung erweiterter Conversions eine Cookie-Einwilligung erforderlich?
Laut der Hilfeseite von Google hängt das Werbe-Cookie bei Verwendung des Einwilligungsmodus vom Einwilligungsstatus ad_storage ab, und wenn die erforderlichen Einwilligungsparameter nicht auf „granted“ stehen, werden keine Nutzerdaten erhoben. Ihre Consent-Mode-Einrichtung muss also korrekt sein.
Soll ich den Hash erzeugen oder Google?
Beides ist möglich. Bei Verwendung des Google-Tags hasht Google die Daten vor dem Senden. In GTM können Sie die Daten entweder vorab mit benutzerdefiniertem Code hashen und senden oder dies Google überlassen. Für welche Variante Sie sich auch entscheiden: Die Normalisierungsregeln sind dieselben.
Wenn Sie Ihre Einwilligungsinfrastruktur vor der Aktivierung erweiterter Conversions prüfen lassen möchten
Lassen Sie uns gemeinsam Ihr Banner, Consent Mode und Ihr Google-Ads-Conversion-Setup prüfen und klären, welche Daten mit welcher Einwilligung übermittelt werden.