Im GTM liegt ein Google-Ads-Conversion-Tag, sauber an den Consent gebunden. Was in den Einstellungen des Google Tags darüber hinaus aktiv ist, schaut sich in den Setups, die ich übernehme, kaum jemand an. Dabei kann der Google Tag Formularinteraktionen erkennen und Seiten nach E-Mail-Adressen durchsuchen, ohne dass dafür ein eigenes Tag im Container angelegt wurde.

Nach diesem Artikel wissen Sie, welche Einstellungen das steuern, wo Sie sie finden und wie Sie prüfen, was tatsächlich übertragen wird.

Was der Google Tag automatisch erfassen kann

Zwei Funktionen sind relevant. Die erste heißt „Allow user-provided data capabilities“ und gehört zu den Enhanced Conversions, also dem Abgleich von Conversions mit gehashten Kundendaten. Ist dort die automatische Erkennung gewählt, durchsucht der Google Tag laut Google-Hilfe zu den Tag-Einstellungen die Seite nach Zeichenketten, die wie E-Mail-Adressen aussehen, hasht sie und sendet sie an die verknüpften Ziele.

Die zweite ist die automatische Event-Erkennung, zu der Formularinteraktionen gehören. Laut derselben Hilfeseite sind alle Event-Typen standardmäßig eingeschaltet. Die Erfassung nutzerbezogener Daten startet dagegen erst, wenn jemand Enhanced Conversions eingerichtet und die Bedingungen akzeptiert hat. Das passiert oft nebenbei, bei einer Empfehlung im Konto oder durch eine Agentur.

Warum das ein Datenschutzthema ist

Formularfelder enthalten personenbezogene Daten: Name, E-Mail, Telefonnummer. Hashing ist eine Pseudonymisierung, keine Anonymisierung, die Daten bleiben also auf eine Person beziehbar. Läuft die Funktion, ohne dass es jemand weiß, steht sie in keinem Verarbeitungsverzeichnis und in keiner Datenschutzerklärung. Das ist eine Einordnung, keine Rechtsberatung.

Laut Google-Ads-Hilfe zu Enhanced Conversions richtet sich der dafür genutzte Werbe-Cookie nach dem Status von ad_storage, wenn Consent Mode eingerichtet ist. Wie das zusammenspielt, erkläre ich im Ratgeber zum Consent Mode v2.

Woran Sie es erkennen

  1. Öffnen Sie in Google Ads unter „Tools“ den „Data Manager“ und wählen Sie beim Google Tag „Manage“.
  2. Prüfen Sie, ob „Allow user-provided data capabilities“ aktiv ist und welche Methode hinterlegt ist: automatische Erkennung, CSS-Selektoren oder Code.
  3. Prüfen Sie in der automatischen Event-Erkennung, ob Formularinteraktionen eingeschaltet sind.
  4. Senden Sie ein Testformular ab und prüfen Sie im Network-Tab, welche Requests an Google gehen.

Lösung: Bewusst entscheiden statt Default laufen lassen

Entscheiden Sie, ob Sie Enhanced Conversions nutzen wollen. Wenn nicht, deaktivieren Sie „Allow user-provided data capabilities“ und schalten Sie Formularinteraktionen ab, falls Sie sie nicht brauchen. Wenn ja, ersetzen Sie die automatische Erkennung durch eine gezielte Übergabe der Daten im GTM, dann wissen Sie, welches Feld wann gesendet wird. Danach prüfen Sie erneut im Network-Tab.

Weitere typische Schwachstellen im Setup beschreibe ich im Ratgeber zu den häufigsten Conversion-Tracking-Fehlern.

Nächster Schritt

Diese Punkte können Sie selbst prüfen:

  • Nutzerdaten: Ist „Allow user-provided data capabilities“ aktiv, und wissen Sie, warum?
  • Methode: Läuft die automatische Erkennung oder eine gezielte Übergabe?
  • Formulare: Sind Formularinteraktionen in der Event-Erkennung eingeschaltet?
  • Dokumentation: Steht die Verarbeitung in Datenschutzerklärung und Verarbeitungsverzeichnis?

Wenn Sie Ihre Google-Tag-Einstellungen prüfen lassen wollen, können Sie ein Erstgespräch buchen.

Dieser Beitrag ist keine Rechtsberatung. Benjamin Juling ist kein Rechtsexperte für Datenschutz. Wir empfehlen, die Umsetzung vor dem Einsatz mit einem Datenschutz-Experten oder einem Datenschutz-Anwalt zu prüfen.