Ein Google-Ads-Konto zeigt seit Monaten sinkende Conversion-Zahlen, obwohl der Traffic stabil bleibt und im CRM erkennbar mehr Anfragen eingehen als im Werbeanzeigenmanager gezählt werden. Der Grund liegt selten am Werbebudget, sondern am Tracking selbst: Safaris Intelligent Tracking Prevention löscht Cookies nach wenigen Tagen, Adblocker verhindern das Setzen von Skripten, und immer mehr Nutzer lehnen Tracking-Cookies über den Consent-Banner ab. Google Ads bietet dafür seit einiger Zeit eine eigene Antwort: Enhanced Conversions, auf Deutsch erweiterte Conversions. Dieser Beitrag erklärt anhand von Googles eigener Dokumentation, was die Funktion technisch tatsächlich macht, wie sie sich zu klassischem Conversion-Tracking und zu Server-Side Tracking verhält, und was ihre DSGVO-Einordnung als Pseudonymisierung in der Praxis bedeutet.
Was Enhanced Conversions technisch macht
Enhanced Conversions ersetzt kein bestehendes Conversion-Tracking, sondern ergänzt es um einen zweiten Signalweg. Google Ads beschreibt das in der eigenen Hilfe-Dokumentation so: „Die Conversion-Daten werden durch selbst erhobene Conversion-Daten (von Ihren Website-Tags oder importierten Offlineereignissen) ergänzt, die datenschutzfreundlich als Hash-Werte an Google gesendet werden.“ Statt sich ausschließlich auf einen Cookie oder eine Klick-ID wie die GCLID zu verlassen, übermittelt die Website zusätzlich Kundendaten, die der Nutzer beim Kauf oder bei der Formularanmeldung ohnehin selbst angibt: laut Google „selbst erhobene Kundendaten wie die E-Mail-Adresse, den Namen, die Privatadresse und/oder die Telefonnummer“.
Diese Daten werden nicht im Klartext übertragen. Google Ads legt fest: „Hierzu wird der sichere Einweg-Hash-Algorithmus SHA256 auf Ihre selbst erhobenen Kundendaten (z. B. E-Mail-Adressen) angewendet, bevor sie an Google gesendet werden.“ Ein Einweg-Hash lässt sich nicht zurückrechnen, aus dem Hash-Wert selbst lässt sich die ursprüngliche E-Mail-Adresse also nicht wiederherstellen. Damit zwei unterschiedlich geschriebene, aber identische E-Mail-Adressen denselben Hash ergeben, verlangt Google vorab eine feste Normalisierung: Leerzeichen entfernen, alles in Kleinschreibung, Telefonnummern im internationalen E.164-Format und, bei Gmail-Adressen, das Entfernen von Punkten vor dem @-Zeichen. Bei Google selbst angemeldete Nutzer lassen sich anhand dieses Hash-Werts einem Google-Konto zuordnen, auch wenn der Cookie im Browser längst gelöscht oder gar nicht erst gesetzt wurde.
Google unterscheidet dabei zwei Varianten mit unterschiedlichem Einsatzzweck. „Erweiterte Conversions für das Web“ arbeiten direkt auf der Website: „Damit können Sie selbst erhobene, von Nutzern gelieferte Daten von Ihrer Website als Hash-Werte senden, wenn ein Nutzer eine Conversion ausführt.“ „Erweiterte Conversions für Leads“ funktionieren dagegen zweistufig: „Mit dieser Option können Sie selbst erhobene, von Nutzern bereitgestellte Daten von Ihrer Website (z. B. aus Lead-Formularen) zusammen mit importierten Offline-Lead-Conversions verwenden.“ Wie diese Leads-Variante konkret mit dem CRM zusammenspielt und welches Zeitfenster für den nachträglichen Import gilt, haben wir bereits in unserem Beitrag zu Google Ads für B2B ausführlich eingeordnet, dort insbesondere im Vergleich zum klassischen, GCLID-basierten Offline-Conversion-Import. Dieser Beitrag konzentriert sich auf die technisch grundlegendere Web-Variante und ihre datenschutzrechtliche Einordnung.
Verhältnis zu klassischem Conversion-Tracking und zu Server-Side Tracking
Klassisches Conversion-Tracking bei Google Ads verlässt sich auf die GCLID, eine eindeutige Kennung, die beim Anzeigenklick im Browser landet und anschließend als Cookie oder URL-Parameter bis zur Conversion mitgeführt wird. Genau an dieser Kette setzen die bekannten Datenverluste an: Safari und Firefox verkürzen Cookie-Laufzeiten drastisch, Adblocker verhindern das Laden von Tracking-Skripten, und ein Nutzer, der auf einem anderen Gerät konvertiert, reißt die Kette ohnehin ab. Enhanced Conversions setzt an einer anderen Stelle an: Statt auf die technische Kennung im Browser zu vertrauen, nutzt es Identitätsmerkmale, die eine Person selbst preisgibt, sobald ein Google-Konto damit verknüpft ist, unabhängig davon, ob der ursprüngliche Cookie noch existiert. Wer die Mechanik der Meta Conversions API kennt, findet hier ein verwandtes Prinzip: Auch dort ergänzt ein zweiter, robusterer Übertragungsweg das klassische Browser-Tracking, wie wir im Beitrag zur Meta Conversions API beschrieben haben, allerdings mit Server-Events statt gehashten Kundendaten als zusätzlichem Signal.
Enhanced Conversions lässt sich sowohl direkt im Website-Tag (Google Tag oder Google Tag Manager im Browser) als auch über einen Server-Side-Tracking-Container einrichten. Der Unterschied ist in der Praxis nicht kosmetisch: Läuft die Übermittlung über einen eigenen Server-Container, kann dieser die Kundendaten zuverlässiger sammeln und normalisieren, bevor sie überhaupt einen instabilen Browser-Kontext durchlaufen müssen. Genau diesen Effekt beobachtete Beyond Media im Rahmen einer eigenen Kunden-Case-Study für Server-Side Tracking: Unter den dort dokumentierten Vorteilen der Umstellung nennt Beyond Media ausdrücklich „höhere Match-Raten bei Enhanced Conversions“ gegenüber der clientseitigen Variante, neben verlängerten Cookie-Laufzeiten und besserer Datenqualität durch serverseitige Validierung. Wie ein solcher Server-Container grundsätzlich aufgebaut ist und welcher Aufwand dafür realistisch einzuplanen ist, haben wir auf unserer Server-Side-Tracking-Seite zusammengefasst.
DSGVO-Einordnung: Hashing ist Pseudonymisierung, keine Anonymisierung
Ein verbreitetes Missverständnis lautet, gehashte Daten seien anonym und damit außerhalb der DSGVO. Das ist rechtlich nicht haltbar. Ein SHA-256-Hash einer E-Mail-Adresse ist nach der gesetzlichen Definition eine Pseudonymisierung, nicht mehr: Artikel 4 Nummer 5 der Datenschutz-Grundverordnung definiert Pseudonymisierung als „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“. Genau das trifft auf einen Hash-Wert zu: Google kann ihn mit dem eigenen, ebenfalls gehashten Bestand an Kontodaten abgleichen und so wieder einer Person zuordnen, ein außenstehender Dritter ohne diesen Vergleichswert kann es nicht. Erwägungsgrund 26 der DSGVO stellt für genau diesen Fall klar: „Einer Pseudonymisierung unterzogene personenbezogene Daten, die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten, sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden.“ Ein Hash-Wert ist damit weiterhin ein personenbezogenes Datum, keine anonyme Information, und die volle DSGVO bleibt anwendbar.
Google selbst zieht daraus in den eigenen Nutzungsbedingungen die Konsequenz, dass die Verantwortung für die Rechtsgrundlage beim Werbetreibenden bleibt, nicht bei der Hashing-Technik. Bevor ein Konto Enhanced Conversions überhaupt aktivieren kann, verlangt Google eine aktive Bestätigung: „Sie müssen bestätigen, dass die Datenverarbeitungsbedingungen für Google-Werbeprodukte für Ihre Verwendung erweiterter Conversions gelten“, ebenso wie die Zusage, „dass Sie unsere Richtlinien für Kundendaten einhalten“. Diese Bestätigung ersetzt keine eigene Einwilligung der Website-Besucher, sie verpflichtet lediglich den Werbetreibenden vertraglich gegenüber Google. Für die Cookie-Seite der Übermittlung gilt außerdem eine eigene Regel: „Falls Sie den Einwilligungsmodus implementiert haben, gilt für das Anzeigen-Cookie der Status der Einwilligungsart ‚ad_storage‘“, und Google-Signale werden nur verarbeitet, wenn „die erforderlichen Einwilligungsparameter auf ‚Gewährt‘ gesetzt sind“. In der Praxis bedeutet das: Ein Cookie-Banner mit granularer Consent-Mode-v2-Steuerung bleibt auch mit Enhanced Conversions Pflicht, das Hashing der Kundendaten befreit nicht von der Einwilligungspflicht für die zugrunde liegende Datenverarbeitung. Diese Einordnung beschreibt die geltende Rechtslage anhand von DSGVO-Text und Googles eigenen Vorgaben, ersetzt aber keine rechtliche Beratung im konkreten Einzelfall, etwa zur passenden Formulierung der Einwilligung oder zur Auftragsverarbeitung.
Einrichtung auf hoher Flughöhe
Der Einrichtungsweg folgt bei Google Ads einer festen Reihenfolge. Zuerst muss im Google-Ads-Konto unter den Conversion-Einstellungen die Compliance-Bestätigung für erweiterte Conversions akzeptiert werden, ohne diesen Schritt bleibt die Funktion inaktiv. Danach folgt die technische Anbindung, entweder direkt über den Google Tag auf der Website, der beim Conversion-Ereignis zusätzlich zum Standard-Conversion-Code die Kundendaten als JavaScript-Objekt übergibt, oder über den Google Tag Manager, wo sich das Hashing und die Übermittlung über eine eigene Variable und den Google-Ads-Conversion-Tag konfigurieren lassen, ohne dass Entwickler den Website-Code direkt anfassen müssen. Läuft bereits ein Server-Side-Tracking-Container, verschiebt sich dieser Schritt vom Browser auf den eigenen Server, wo die Kundendaten vor dem Hashing bereits zentral vorliegen. Zum Schluss lässt sich die Einrichtung über den Tag-Assistenten und den Diagnosebereich in Google Ads prüfen, dort zeigt das Konto an, ob und in welchem Umfang Enhanced-Conversions-Daten tatsächlich ankommen, bevor man sich auf die neue Datenquelle verlässt.
Was das in der Praxis bewirkt: die Prolux-Case-Study
Wie stark unzuverlässiges Tracking ein Google-Ads-Konto ausbremsen kann, zeigt eine Case Study aus unserer eigenen Arbeit für Prolux, einen E-Commerce-Anbieter aus dem Bereich Haustechnik. Das Unternehmen investierte 30.000 Euro monatlich in Google Ads, ohne verlässlich zu wissen, welche Kampagnen tatsächlich performen: Client-seitiges Tracking ohne Server-Side-Setup und ohne Consent Mode v2 lieferte Conversion-Daten, die laut Beyond Media um bis zu 40 Prozent ungenau waren. Im Rahmen des Projekts baute Beyond Media zunächst das Daten-Fundament neu auf, GA4-Migration und Server-Side-Tracking-Setup über einen GTM-Server-Container auf einer eigenen 1st-Party-Domain, richtete in der zweiten Phase das Google-Ads-Konto inklusive Enhanced Conversions und Conversion-Value-Tracking neu ein und stellte in der dritten Phase auf wertbasierte Gebotsstrategien um.
Über alle drei Phasen hinweg erreichte das Konto laut Beyond Media eine Tracking-Genauigkeit von 95 Prozent, einen ROAS-Anstieg von 152 Prozent und eine um 24 Prozent gesunkene Cost per Acquisition. Diese Zahlen sind das Ergebnis des Gesamtprogramms aus Server-Side Tracking, Enhanced Conversions und Value-Based Bidding, nicht von Enhanced Conversions allein, dennoch ist die Einrichtung erweiterter Conversions dabei ausdrücklich einer der dokumentierten Bausteine, denn ohne belastbare Conversion-Daten hätte auch die spätere Umstellung auf wertbasierte Gebote auf keiner verlässlichen Grundlage gestanden.
Häufig gestellte Fragen
Was sind Enhanced Conversions bei Google Ads?
Eine Funktion, die bestehendes Conversion-Tracking um gehashte, selbst erhobene Kundendaten wie E-Mail-Adresse, Name oder Telefonnummer ergänzt. Google kann diese Hash-Werte mit angemeldeten Google-Konten abgleichen und so Conversions auch dann zuordnen, wenn der klassische Cookie durch Browser-Restriktionen bereits verloren gegangen ist.
Werden bei Enhanced Conversions Klardaten an Google übertragen?
Nein. Die Kundendaten werden vor der Übermittlung nach einer festen Normalisierung mit dem Einweg-Hash-Algorithmus SHA256 gehasht. Der ursprüngliche Klartext lässt sich aus dem Hash-Wert nicht zurückrechnen.
Machen gehashte Daten Enhanced Conversions DSGVO-frei?
Nein. Ein Hash-Wert gilt nach Artikel 4 Nummer 5 und Erwägungsgrund 26 der DSGVO als Pseudonymisierung, nicht als Anonymisierung, und bleibt damit ein personenbezogenes Datum. Eine wirksame Einwilligung über den Cookie-Banner und Consent Mode v2 bleibt weiterhin erforderlich.
Was ist der Unterschied zu Enhanced Conversions für Leads?
Die hier beschriebene Web-Variante überträgt Hash-Werte direkt bei der Conversion auf der Website. Enhanced Conversions für Leads verknüpft dieselben Hash-Werte stattdessen nachträglich mit importierten Offline-Lead-Conversions aus dem CRM, mit einem eigenen, kürzeren Zeitfenster für den Import, das wir im Beitrag zu Google Ads für B2B im Detail einordnen.
Lohnt sich Server-Side Tracking zusätzlich zu Enhanced Conversions?
Ja, aus unserer eigenen Projekterfahrung: Läuft die Übermittlung über einen Server-Container statt direkt im Browser, lassen sich Kundendaten zuverlässiger sammeln und normalisieren, was sich in unserer Prolux-Case-Study in höheren Match-Raten bei Enhanced Conversions niederschlug.
Fazit
Enhanced Conversions lösen ein technisches Problem, den Verlust von Cookie-basierten Zuordnungen durch Safari, Adblocker und immer strengere Browser-Restriktionen, indem sie gehashte, selbst erhobene Kundendaten als zweiten Signalweg neben die klassische GCLID stellen. Was die Funktion nicht löst, ist die datenschutzrechtliche Grundlage: Ein SHA-256-Hash bleibt nach DSGVO ein personenbezogenes Datum, Pseudonymisierung statt Anonymisierung, und Google verlangt selbst eine vertragliche Compliance-Bestätigung, ersetzt damit aber keine wirksame Nutzereinwilligung. Wer beide Seiten sauber zusammenbringen will, technische Einrichtung und Consent-Mode-Konfiguration, findet in unserer eigenen Projekterfahrung mit Server-Side Tracking einen zusätzlichen Hebel für höhere Match-Raten. Wer die eigene Ausgangslage einschätzen lassen möchte, kann sich bei uns für ein unverbindliches Erstgespräch melden, mehr zu unserem Leistungsumfang rund um Google Ads steht auf unserer SEA-Seite.
Quellen
Google Ads-Hilfe: Informationen zu erweiterten Conversions
Google Ads-Hilfe: Erweiterte Conversions für das Web einrichten, Hinweise zu Compliance-Bestätigung und Einwilligungsmodus
EUR-Lex: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nummer 5 und Erwägungsgrund 26
Beyond Media: Case Study Prolux, Server-Side Tracking & ROAS-Optimierung
Beyond Media: Google Ads für B2B, Offline-Conversion-Import und erweiterte Conversions für Leads im Vergleich
Beyond Media: Meta Conversions API einfach erklärt
