Arbeitsbereich

Leitfaden · Europäische Vorschrift

DMA: Warum Google jetzt Consent Mode v2 verlangt

Der Digital Markets Act (DMA) ist eine europäische Regel für große Plattformen wie Google. Er richtet sich nicht direkt an Ihre Website, hat aber verändert, wie Google die Einwilligung europäischer Besucher erhält. Dieser Leitfaden erklärt, was der DMA ist, was er von Google verlangt und was sich für Publisher und Werbetreibende ändert.

Meine Website jetzt prüfenLeitfaden lesen
  • ✓Basiert auf der offiziellen DMA-Website der Europäischen Kommission
  • ✓Erklärt den Zusammenhang mit den Signalen ad_user_data und ad_personalization
  • ✓Lesen der Website, ohne etwas zu verändern
7Unternehmen, die von der Europäischen Kommission als Gatekeeper benannt wurden
8Dienste von Alphabet, dem Eigentümer von Google, auf der DMA-Liste
10%des weltweiten Umsatzes, Obergrenze der Bußen, oder 20 %, wenn sie wiederholt auftreten
2024Jahr, in dem die Gatekeeper begannen, alle Pflichten zu erfüllen

Was es ist

Ein Gesetz für die großen digitalen Plattformen

Der Digital Markets Act (DMA) ist die Verordnung (EU) 2022/1925. Er trat am 1. November 2022 in Kraft und wurde am 2. Mai 2023 anwendbar.

Das Ziel ist, die digitalen Märkte fairer und offener zu machen. Dazu legt der DMA eine Liste von Pflichten und Verboten für sogenannte Gatekeeper fest: sehr große Unternehmen, die als Zugang zwischen Unternehmen und Verbrauchern fungieren.

Der DMA ersetzt weder die GDPR noch die Wettbewerbsregeln. Er fügt den bestehenden Pflichten weitere hinzu. Und anders als die GDPR richtet er sich nicht an gewöhnliche Websites: Erfüllen müssen ihn die Gatekeeper.

Trotzdem erreicht die Wirkung jede Website mit Google-Anzeigen. Um den DMA zu erfüllen, musste Google ändern, wie es die Einwilligung europäischer Besucher erhält und nutzt, und hat diese Anforderung an Publisher und Werbetreibende weitergegeben.

Checkliste

Was Sie erfüllen müssen

Der DMA verpflichtet die Gatekeeper, aber Google gibt Ihrer Website die Pflicht weiter, die Einwilligung der Besucher aus dem EWR einzuholen und zu senden.

  1. Holen Sie die Einwilligung auch für Google ein

    Die Einwilligungsrichtlinie von Google verlangt eine gültige Einwilligung für Cookies, wo das Gesetz sie fordert, und für die Verwendung personenbezogener Daten in personalisierten Anzeigen. Das gilt für jede Website, die Google-Produkte mit Besuchern aus dem EWR nutzt.

    Beispiel

    Google steht in der Partnerliste des Banners, mit den Werbezwecken.

  2. Senden Sie die vier Signale von Consent Mode v2

    Um Messung, personalisierte Anzeigen und Remarketing bei Besuchern aus dem EWR weiter zu nutzen, verlangt Google, dass die Website die Signale ad_user_data und ad_personalization sendet, zusätzlich zu ad_storage und analytics_storage.

    Beispiel

    Aktivieren Sie in der CMP die Integration mit Consent Mode und prüfen Sie, ob die vier Signale erscheinen.

  3. Den Standard vor jedem Tag festlegen

    Google verlangt, dass der Standardbefehl für die Einwilligung auf allen Seiten vor jedem Befehl läuft, der Daten sendet. So geht nichts hinaus, bevor der Besucher gewählt hat.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  4. Nutzen Sie eine zertifizierte CMP mit TCF für die Anzeigen

    Für personalisierte Google-Anzeigen im EWR, im Vereinigten Königreich und in der Schweiz verlangen AdSense und Ad Manager eine von Google zertifizierte CMP mit IAB-TCF-Integration.

  5. Geben Sie die Zwecke frei, die Google braucht

    Im TCF braucht Google die Einwilligung für die Zwecke 1, 3 und 4 bei personalisierten Anzeigen und für Zweck 1 bei nicht personalisierten. Ohne Einwilligung für Zweck 1 sollte die Website das Google-Anzeigen-Tag nicht aufrufen.

    Beispiel

    Aktivieren Sie in der CMP Google als Anbieter und markieren Sie die Zwecke 1, 3 und 4 als verfügbar.

  6. Geben Sie die Einwilligung an, wenn Sie Kundenlisten senden

    Seit März 2024 müssen Kundenlisten aus dem EWR, die an Google Ads gesendet werden, beide Einwilligungen als erteilt enthalten. Ohne sie werden diese Daten nicht für die Personalisierung verwendet.

  7. Bewahren Sie Protokolle auf und erklären Sie, wie man widerruft

    Die Richtlinie von Google verlangt, dass die Website ein Protokoll der Einwilligungen aufbewahrt und klare Anweisungen gibt, wie die Person ihre Wahl zurücknehmen kann.

    Beispiel

    Ein fester Link im Footer, Datenschutzeinstellungen, öffnet das Banner erneut.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Der DMA hat keine eigene CMP-Liste, daher gelten die Liste der zertifizierten CMPs von Google und die offizielle Anleitung zu Consent Mode.

Gatekeeper

Wer von der Europäischen Kommission benannt wurde

Sechs Unternehmen wurden am 6. September 2023 benannt. Booking kam im Mai 2024 hinzu. Insgesamt führt die offizielle Liste 23 zentrale Plattformdienste.

Alphabet (Google)

Suche, YouTube, Android, Chrome, Google Play, Google Maps, Google Shopping und der Online-Werbedienst.

Meta

Facebook, Instagram, WhatsApp, Messenger und Meta Ads.

Amazon und Apple

Marketplace und Werbung von Amazon. App Store, iOS, iPadOS und Safari von Apple.

ByteDance, Microsoft und Booking

TikTok, LinkedIn, Windows und die Buchungsplattform von Booking.

Die Einwilligungsregel

Der Punkt des DMA, der die Anzeigen berührt

Unter den Regeln des DMA betrifft eine die Werbung unmittelbar: Der Gatekeeper darf personenbezogene Daten von Nutzern, die von Diensten Dritter kommen, nicht für Werbung verarbeiten und keine Daten zwischen seinen Diensten kombinieren oder abgleichen, ohne dass der Nutzer dies gewählt und im Sinne der GDPR eingewilligt hat.

Die Erwägungsgründe der Verordnung erklären, wie diese Einwilligung aussehen muss. Die Person muss frei wählen können. Nicht einzuwilligen darf nicht schwerer sein als einzuwilligen. Der Widerruf muss so einfach sein wie die Erteilung. Und der Gatekeeper darf jemanden, der abgelehnt hat, nicht öfter als einmal im Jahr erneut fragen.

Wer ablehnt, muss auch Zugang zu einer weniger personalisierten, aber gleichwertigen Alternative haben. Der Dienst darf nicht von der Einwilligung abhängig gemacht werden.

Für Google heißt das: Wenn Daten eines Besuchers über Tags auf Websites und in Apps Dritter ankommen, etwa die von Google Ads, Analytics, AdSense und Ad Manager, muss Google wissen, ob dieser europäische Besucher eingewilligt hat. Hier kommen die neuen Signale von Consent Mode ins Spiel.

Zeitleiste

Von der Verordnung zu den neuen Google-Signalen

Die Daten, die erklären, warum 2024 das Jahr der Änderung war.

  1. 1. November 2022

    DMA tritt in Kraft

    Die Verordnung (EU) 2022/1925 existiert offiziell.

  2. 2. Mai 2023

    DMA wird anwendbar

    Unternehmen, die die Schwellen erreichen, haben zwei Monate Zeit, die Kommission zu informieren.

  3. 6. September 2023

    Gatekeeper benannt

    Alphabet, Amazon, Apple, ByteDance, Meta und Microsoft werden benannt, mit bis zu sechs Monaten, um die Pflichten zu erfüllen.

  4. Oktober 2023

    Google informiert die Entwickler

    Google veröffentlicht Änderungen an den Anzeigen-APIs zur Unterstützung des DMA, mit einem Einwilligungsobjekt für Conversions und Kundenlisten.

  5. 16. Januar 2024

    Zertifizierte CMP für Publisher

    AdSense, Ad Manager und AdMob verlangen nun eine von Google zertifizierte, in TCF integrierte CMP für personalisierte Anzeigen im EWR und im Vereinigten Königreich.

  6. 7. März 2024

    Pflichten des DMA gelten vollständig

    Die Gatekeeper müssen alle Pflichten erfüllen. Google verschärft die EU-Einwilligungsrichtlinie, und Kundenlisten ohne Einwilligung verlieren an Reichweite.

Consent Mode v2

Die zwei Signale, die entstanden, um den DMA zu erfüllen

Vor 2024 hatte Consent Mode zwei Hauptsignale: ad_storage für Anzeigen-Cookies und analytics_storage für Mess-Cookies. Sie sagten, ob der Browser Cookies speichern durfte, aber nicht, ob die Person zustimmt, dass Google ihre Daten für Werbung nutzt.

Version 2 brachte zwei neue Signale. ad_user_data sagt, ob die Daten der Besucher für Zwecke der Online-Werbung an Google gesendet werden dürfen. ad_personalization sagt, ob die Person personalisierte Anzeigen akzeptiert, etwa Remarketing.

Mit diesen Signalen kann Google belegen, dass es die vom DMA geforderte Einwilligung hat, um die über Tags ankommenden Daten zu nutzen. Ohne sie nutzt Google die Daten von Besuchern aus dem EWR nicht mehr, um Zielgruppen zu bilden, Remarketing zu machen und Anzeigen zu personalisieren.

Consent Mode ist kein Banner. Die Besucher fragt die CMP. Consent Mode bringt die Antwort nur zu den Google-Tags.

Was sich für jede Seite ändert

Publisher und Werbetreibende spüren den DMA unterschiedlich

Derselbe europäische Besucher durchläuft beide Seiten: die Website, die die Anzeige zeigt, und die Website des Werbetreibenden, die die Conversion misst.

Publisher (AdSense und Ad Manager)

Das Hauptsignal für Anzeigen ist die TCF-String, die von einer von Google zertifizierten CMP gesendet wird.

  • Die zertifizierte CMP bringt die Einwilligung über TCF bereits zu Google
  • Wer ablehnt, kann weiterhin nicht personalisierte oder eingeschränkte Anzeigen erhalten
  • Consent Mode ergänzt die Konfiguration, wenn die Website Analytics nutzt
  • Ohne zertifizierte CMP verliert der Traffic aus dem EWR personalisierte Anzeigen
  • Ein falsch konfiguriertes Banner senkt den europäischen Umsatz
  • Eingeschränkte Personalisierung erscheint im AdSense-Dashboard

Werbetreibende (Google Ads und Analytics)

Das Hauptsignal ist Consent Mode v2 mit den vier Parametern.

  • Im erweiterten Modus modelliert Google die Conversions derer, die abgelehnt haben
  • Zielgruppen und Remarketing bleiben für alle, die zugestimmt haben
  • Uploads von Conversions und Listen tragen die Einwilligung mit
  • Ohne ad_user_data und ad_personalization gehen Remarketing und Zielgruppen im EWR verloren
  • Kundenlisten ohne Einwilligung verlieren an Reichweite
  • Die Conversion-Messung wird unvollständig

Durchsetzung

Die Sanktionen des DMA, die auf den Gatekeepern lasten

Der DMA wird von der Europäischen Kommission durchgesetzt. Die Bußen treffen die Gatekeeper, aber der Druck erreicht die Partner, die die richtigen Signale senden müssen.

Buße bis zu 10 %

Des gesamten weltweiten Jahresumsatzes des Unternehmens bei Verstößen.

Bis zu 20 % bei Wiederholung

Bei wiederholten Verstößen verdoppelt sich die Obergrenze.

Tägliche Bußen

Regelmäßige Zahlungen von bis zu 5 % des durchschnittlichen Tagesumsatzes, um die Einhaltung zu erzwingen.

Compliance-Berichte

Die Gatekeeper legen Berichte und eine geprüfte Beschreibung der Techniken zur Profilbildung von Verbrauchern vor.

Was zu tun ist

So machen Sie die Website bereit für den DMA

  1. Eine von Google zertifizierte CMP verwendenFür Publisher mit Traffic aus dem EWR, dem Vereinigten Königreich oder der Schweiz ist sie die Voraussetzung für personalisierte Anzeigen. „Datenschutz und Messaging“ von AdSense und Ad Manager ist eine der Optionen.
  2. Consent Mode v2 in der CMP aktivierenPrüfen Sie, ob die CMP die vier Signale sendet: ad_storage, analytics_storage, ad_user_data und ad_personalization.
  3. Den Standard vor den Tags festlegenDer Standardbefehl für die Einwilligung muss oben auf der Seite stehen, vor gtag.js, dem Google Tag Manager und dem Anzeigencode.
  4. Regionen verwendenVerweigern Sie standardmäßig dort, wo das Gesetz eine vorherige Einwilligung verlangt, und lassen Sie im Rest der Welt „erteilt“, sofern das lokale Gesetz es erlaubt.
  5. Daten-Uploads prüfenWenn Sie Offline-Conversions oder Kundenlisten an Google Ads senden, geben Sie die Einwilligung mit an oder nehmen Sie die in der Oberfläche verlangte Bestätigung vor.
Beispiel für den Standard „verweigert“ für einige Regionen (die vollständige Liste enthält alle Länder des EWR sowie das Vereinigte Königreich und die Schweiz)
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
  region: ['AT', 'BE', 'DE', 'ES', 'FR', 'IT', 'PT', 'GB', 'CH'],
  wait_for_update: 500
});

Häufige Fehler

Was nach dem DMA auf Websites am häufigsten vorkommt

All diese Fehler lassen das Banner dem Anschein nach funktionieren, aber Google erhält das falsche Signal.

Consent Mode v1 noch auf der Website

Die Website sendet ad_storage und analytics_storage, aber nicht ad_user_data und ad_personalization. Für Google fehlt die für Anzeigen geforderte Einwilligung.

Signale nach den Tags gesendet

Die CMP lädt nach dem Anzeigencode. Die ersten Anfragen gehen ohne jedes Einwilligungssignal hinaus.

Ablehnung, die Google nicht erreicht

Die Besucher lehnen im Banner ab, aber das Update wird nicht gesendet. Die Tags laufen weiter, als wäre nichts geändert worden.

Überall alles verweigert

Der Standard „verweigert“ gilt für alle Länder. Besucher aus Brasilien und den USA verlieren unnötig Anzeigen.

In ConsentMode

Was das Audit zu DMA und Consent Mode prüft

  • Öffnet die Website als Besucher aus dem EWR und liest die Einwilligungsbefehle im Code der Seite in der Reihenfolge, in der sie erscheinen.
  • Prüft, ob die vier Signale im Standard und im Update nach der Entscheidung vorhanden sind.
  • Erkennt die CMP, liest die TCF-String und prüft, ob die CMP auf der Liste der von Google zertifizierten steht.
  • Vergleicht den europäischen Besuch mit dem Besuch von außerhalb Europas, um zu sehen, ob die Regionen stimmen.
  • Zeigt, wo zu korrigieren ist, mit Screenshot und dem Weg in der CMP, im Google Tag Manager oder in WordPress.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum DMA

Gilt der DMA für meine Website?

Nicht direkt. Der DMA richtet sich an die Gatekeeper, wie Alphabet. Aber um den DMA zu erfüllen, verlangt Google von Publishern und Werbetreibenden, dass sie die Einwilligung europäischer Besucher senden. In der Praxis spüren alle, die Google-Produkte nutzen, die Wirkung.

Was ist der Unterschied zwischen DMA und GDPR?

Die GDPR schützt personenbezogene Daten und gilt für jedes Unternehmen, das Daten von Personen in Europa verarbeitet. Der DMA regelt das Verhalten der großen Plattformen im Markt. Der DMA verwendet die Definition der Einwilligung aus der GDPR.

Mein Publikum ist nur brasilianisch. Brauche ich Consent Mode v2?

Für Besucher aus Brasilien verlangt Google es nicht. Wenn Sie Besucher aus dem EWR haben, gilt die Anforderung für sie. Nutzen Sie Regionen, um die Einwilligung in Brasilien nicht zu verweigern.

Ist Consent Mode v2 dasselbe wie TCF?

Nein. TCF ist der Standard der IAB Europe, den zertifizierte CMPs nutzen, um die Einwilligung an alle Werbepartner weiterzugeben. Consent Mode ist die Art, wie Google die Entscheidung in den eigenen Tags erhält. Eine zertifizierte CMP kümmert sich meist um beides.

Senken die neuen Signale den Umsatz?

Nicht von sich aus. Den Umsatz senkt, wenn die Signale nicht gesendet werden oder wenn weltweit alles verweigert wird. Mit korrekten Signalen und gut definierten Regionen behalten alle, die zustimmen, personalisierte Anzeigen.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website die Signale sendet, die Google erwartet

Das Audit liest als europäischer Besucher die Einwilligungsbefehle, die CMP und TCF und zeigt, was zu korrigieren ist.

Audit starten