Ein Google-Ads-Konto zeigt seit Monaten sinkende Conversion-Zahlen, obwohl der Traffic stabil bleibt und im CRM erkennbar mehr Anfragen eingehen als im Werbeanzeigenmanager gezählt werden. Der Grund liegt selten am Werbebudget, sondern am Tracking selbst: Safaris Intelligent Tracking Prevention löscht Cookies nach wenigen Tagen, Adblocker verhindern das Setzen von Skripten, und immer mehr Nutzer lehnen Tracking-Cookies über den Consent-Banner ab. Google Ads bietet dafür seit einiger Zeit eine eigene Antwort: Enhanced Conversions, auf Deutsch erweiterte Conversions. Dieser Beitrag erklärt anhand von Googles eigener Dokumentation, was die Funktion technisch tatsächlich macht, wie sie sich zu klassischem Conversion-Tracking und zu Server-Side Tracking verhält, und was ihre DSGVO-Einordnung als Pseudonymisierung in der Praxis bedeutet.
Was Enhanced Conversions technisch macht
Enhanced Conversions ersetzt kein bestehendes Conversion-Tracking, sondern ergänzt es um einen zweiten Signalweg. Google Ads beschreibt das in der eigenen Hilfe-Dokumentation so: „Die Conversion-Daten werden durch selbst erhobene Conversion-Daten (von Ihren Website-Tags oder importierten Offlineereignissen) ergänzt, die datenschutzfreundlich als Hash-Werte an Google gesendet werden.“ Statt sich ausschließlich auf einen Cookie oder eine Klick-ID wie die GCLID zu verlassen, übermittelt die Website zusätzlich Kundendaten, die der Nutzer beim Kauf oder bei der Formularanmeldung ohnehin selbst angibt: laut Google „selbst erhobene Kundendaten wie die E-Mail-Adresse, den Namen, die Privatadresse und/oder die Telefonnummer“.
Diese Daten werden nicht im Klartext übertragen. Google Ads legt fest: „Hierzu wird der sichere Einweg-Hash-Algorithmus SHA256 auf Ihre selbst erhobenen Kundendaten (z. B. E-Mail-Adressen) angewendet, bevor sie an Google gesendet werden.“ Ein Einweg-Hash lässt sich nicht zurückrechnen, aus dem Hash-Wert selbst lässt sich die ursprüngliche E-Mail-Adresse also nicht wiederherstellen. Damit zwei unterschiedlich geschriebene, aber identische E-Mail-Adressen denselben Hash ergeben, verlangt Google vorab eine feste Normalisierung: Leerzeichen entfernen, alles in Kleinschreibung, Telefonnummern im internationalen E.164-Format und, bei Gmail-Adressen, das Entfernen von Punkten vor dem @-Zeichen. Bei Google selbst angemeldete Nutzer lassen sich anhand dieses Hash-Werts einem Google-Konto zuordnen, auch wenn der Cookie im Browser längst gelöscht oder gar nicht erst gesetzt wurde.
Google unterscheidet dabei zwei Varianten mit unterschiedlichem Einsatzzweck. „Erweiterte Conversions für das Web“ arbeiten direkt auf der Website: „Damit können Sie selbst erhobene, von Nutzern gelieferte Daten von Ihrer Website als Hash-Werte senden, wenn ein Nutzer eine Conversion ausführt.“ „Erweiterte Conversions für Leads“ funktionieren dagegen zweistufig: „Mit dieser Option können Sie selbst erhobene, von Nutzern bereitgestellte Daten von Ihrer Website (z. B. aus Lead-Formularen) zusammen mit importierten Offline-Lead-Conversions verwenden.“ Wie diese Leads-Variante konkret mit dem CRM zusammenspielt und welches Zeitfenster für den nachträglichen Import gilt, haben wir bereits in unserem Beitrag zu Google Ads für B2B ausführlich eingeordnet, dort insbesondere im Vergleich zum klassischen, GCLID-basierten Offline-Conversion-Import. Dieser Beitrag konzentriert sich auf die technisch grundlegendere Web-Variante und ihre datenschutzrechtliche Einordnung.
Verhältnis zu klassischem Conversion-Tracking und zu Server-Side Tracking
Klassisches Conversion-Tracking bei Google Ads verlässt sich auf die GCLID, eine eindeutige Kennung, die beim Anzeigenklick im Browser landet und anschließend als Cookie oder URL-Parameter bis zur Conversion mitgeführt wird. Genau an dieser Kette setzen die bekannten Datenverluste an: Safari und Firefox verkürzen Cookie-Laufzeiten drastisch, Adblocker verhindern das Laden von Tracking-Skripten, und ein Nutzer, der auf einem anderen Gerät konvertiert, reißt die Kette ohnehin ab. Enhanced Conversions setzt an einer anderen Stelle an: Statt auf die technische Kennung im Browser zu vertrauen, nutzt es Identitätsmerkmale, die eine Person selbst preisgibt, sobald ein Google-Konto damit verknüpft ist, unabhängig davon, ob der ursprüngliche Cookie noch existiert. Wer die Mechanik der Meta Conversions API kennt, findet hier ein verwandtes Prinzip: Auch dort ergänzt ein zweiter, robusterer Übertragungsweg das klassische Browser-Tracking, wie wir im Beitrag zur Meta Conversions API beschrieben haben, allerdings mit Server-Events statt gehashten Kundendaten als zusätzlichem Signal.
Enhanced Conversions lässt sich sowohl direkt im Website-Tag (Google Tag oder Google Tag Manager im Browser) als auch über einen Server-Side-Tracking-Container einrichten. Der Unterschied ist in der Praxis nicht kosmetisch: Läuft die Übermittlung über einen eigenen Server-Container, kann dieser die Kundendaten zuverlässiger sammeln und normalisieren, bevor sie überhaupt einen instabilen Browser-Kontext durchlaufen müssen. Genau diesen Effekt beobachtete Beyond Media im Rahmen einer eigenen Kunden-Case-Study für Server-Side Tracking: Unter den dort dokumentierten Vorteilen der Umstellung nennt Beyond Media ausdrücklich „höhere Match-Raten bei Enhanced Conversions“ gegenüber der clientseitigen Variante, neben verlängerten Cookie-Laufzeiten und besserer Datenqualität durch serverseitige Validierung. Wie ein solcher Server-Container grundsätzlich aufgebaut ist und welcher Aufwand dafür realistisch einzuplanen ist, haben wir auf unserer Server-Side-Tracking-Seite zusammengefasst.
DSGVO-Einordnung: Hashing ist Pseudonymisierung, keine Anonymisierung
Ein verbreitetes Missverständnis lautet, gehashte Daten seien anonym und damit außerhalb der DSGVO. Das ist rechtlich nicht haltbar. Ein SHA-256-Hash einer E-Mail-Adresse ist nach der gesetzlichen Definition eine Pseudonymisierung, nicht mehr: Artikel 4 Nummer 5 der Datenschutz-Grundverordnung definiert Pseudonymisierung als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“. Genau das trifft auf einen Hash-Wert zu: Google kann ihn mit dem eigenen, ebenfalls gehashten Bestand an Kontodaten abgleichen und so wieder einer Person zuordnen, ein außenstehender Dritter ohne diesen Vergleichswert kann es nicht. Erwägungsgrund 26 der DSGVO stellt für genau diesen Fall klar: „Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden.“ Ein Hash-Wert ist damit weiterhin ein personenbezogenes Datum, keine anonyme Information, und die volle DSGVO bleibt anwendbar.
Google selbst zieht daraus in den eigenen Nutzungsbedingungen die Konsequenz, dass die Verantwortung für die Rechtsgrundlage beim Werbetreibenden bleibt, nicht bei der Hashing-Technik. Bevor ein Konto Enhanced Conversions überhaupt aktivieren kann, verlangt Google eine aktive Bestätigung: „Sie müssen bestätigen, dass die Datenverarbeitungsbedingungen für Google-Werbeprodukte für Ihre Verwendung erweiterter Conversions gelten“, ebenso wie die Zusage, „dass Sie unsere Richtlinien für Kundendaten einhalten“. Diese Bestätigung ersetzt keine eigene Einwilligung der Website-Besucher, sie verpflichtet lediglich den Werbetreibenden vertraglich gegenüber Google. Für die Cookie-Seite der Übermittlung gilt außerdem eine eigene Regel: „Falls Sie den Einwilligungsmodus implementiert haben, gilt für das Anzeigen-Cookie der Status der Einwilligungsart ‚ad_storage‘“, und Google-Signale werden nur verarbeitet, wenn „die erforderlichen Einwilligungsparameter auf ‚Gewährt‘ gesetzt sind“. In der Praxis bedeutet das: Ein Cookie-Banner mit granularer Consent-Mode-v2-Steuerung bleibt auch mit Enhanced Conversions Pflicht, das Hashing der Kundendaten befreit nicht von der Einwilligungspflicht für die zugrunde liegende Datenverarbeitung. Diese Einordnung beschreibt die geltende Rechtslage anhand von DSGVO-Text und Googles eigenen Vorgaben, ersetzt aber keine rechtliche Beratung im konkreten Einzelfall, etwa zur passenden Formulierung der Einwilligung oder zur Auftragsverarbeitung.
