Google Consent Mode v2 im Google Tag Manager einrichten: Schritt für Schritt

Kurze Antwort: Google Consent Mode v2 ist die Signalschicht, die Google-Tags (GA4, Google Ads, Floodlight) mitteilt, wozu ein Besucher eingewilligt hat und wozu nicht. Die Einrichtung im Google Tag Manager besteht aus fünf Schritten: den Standardstatus für alle vier Signale auf denied setzen und über die Einwilligungsinitialisierung auslösen, den Update-Befehl aus dem Banner senden, die Einwilligungseinstellungen jedes Tags prüfen, bei mehreren Märkten regionale Standardwerte ergänzen und mit Tag Assistant und gcs-Parameter verifizieren. Seit März 2024 verlangt Google von Werbetreibenden die beiden v2-Signale ad_user_data und ad_personalization, wenn Personalisierung und Remarketing für EWR- und UK-Traffic weiter funktionieren sollen.

Fehlerhafte Setups im deutschsprachigen Raum haben fast immer eine von zwei Ursachen: Die beiden Consent-Befehle laufen in der falschen Reihenfolge, oder das Banner spricht nie mit dem Data Layer. Beides fällt kaum auf, denn GA4 liefert weiterhin Zahlen. Auffällig wird es erst, wenn Google Ads Zielgruppen ausdünnt oder eine Prüfung zeigt, dass schon vor der Entscheidung ein _ga-Cookie gesetzt wurde. Dieser Leitfaden baut die Einrichtung in der Reihenfolge auf, die der Browser braucht; den Hintergrund liefert unsere Übersicht zum Google Consent Mode.

Hinweis: Dieser Beitrag ist technische Dokumentation und keine Rechtsberatung. Ob Sie für bestimmte Cookies eine Einwilligung benötigen, hängt von Ihrem Setup und Ihrer Zielgruppe ab; für verbindliche Aussagen ziehen Sie bitte eine Anwältin oder einen Anwalt hinzu.

Inhaltsverzeichnis

• Was Consent Mode v2 ist und wer ihn braucht
• Rechtsrahmen in Deutschland: § 25 TDDDG und DSGVO
• Die vier v2-Signale im Überblick
• Schritt 1: Standardstatus vor jedem Google-Tag setzen
• Schritt 2: Banner mit dem Update-Befehl verbinden
• Schritt 3: Einwilligungseinstellungen der Tags konfigurieren
• Schritt 4: Regionale Standardwerte für mehrere Märkte
• Schritt 5: Prüfen mit Tag Assistant und DevTools
• Basic- und Advanced-Modus im Vergleich
• Wie cerez.io die Consent-Signale automatisch setzt
• Häufig gestellte Fragen
• Quellen

Was Consent Mode v2 ist und wer ihn braucht

Consent Mode ist kein Banner und holt keine Einwilligung ein. Er ist eine Schnittstelle mit genau zwei Befehlen: gtag('consent', 'default', ...) legt fest, was Google-Tags dürfen, bevor der Besucher entschieden hat, und gtag('consent', 'update', ...) korrigiert diesen Status, sobald die Entscheidung fällt. Steht analytics_storage auf denied, schreibt GA4 kein _ga-Cookie; steht ad_storage auf denied, speichern Werbe-Tags keine Klick-IDs.

Version 2 ergänzte Ende 2023 das ursprüngliche Signalpaar um zwei weitere, unter anderem zur Abstimmung mit dem Digital Markets Act. Seit März 2024 verlangt Google gültige v2-Signale von Werbetreibenden, die Zielgruppenaufbau, Remarketing und Anzeigenpersonalisierung für EWR- und UK-Traffic behalten wollen; fehlen sie, werden diese Funktionen eingeschränkt.

Wer die Einrichtung braucht:

• Google Ads mit EWR- oder UK-Traffic: Pflicht, als Plattformanforderung von Google und unabhängig von Ihren rechtlichen Pflichten.
• Nur GA4: Google setzt Ihnen keine Frist, § 25 TDDDG verlangt für nicht notwendige Cookies aber trotzdem eine Einwilligung.
• Keine Google-Tags: Kein Consent Mode nötig, wohl aber eine Einwilligungsverwaltung für die Tags, die Sie laden.

Eine Einschränkung vorweg: Consent Mode überträgt eine Einwilligung, er erzeugt sie nicht.

Rechtsrahmen in Deutschland: § 25 TDDDG und DSGVO

In Deutschland liegt der Ausgangspunkt nicht in der DSGVO, sondern im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, das im Mai 2024 aus dem TTDSG hervorging und seither als TDDDG zitiert wird. § 25 Abs. 1 TDDDG erlaubt Speicherung auf der Endeinrichtung und Zugriff darauf nur nach klarer Information und mit Einwilligung; Abs. 2 nennt als Ausnahmen die Übertragung einer Nachricht und das für einen ausdrücklich gewünschten Dienst unbedingt Erforderliche.

Drei Konsequenzen für jede Consent-Mode-Einrichtung:

1. § 25 gilt technikneutral und unabhängig vom Personenbezug. Er erfasst nicht nur Cookies, sondern auch localStorage, Pixel und vergleichbare Zugriffe auf das Endgerät. Ein Tag ohne Cookies ist deshalb nicht automatisch einwilligungsfrei.
2. Die DSGVO greift danach. Für die Verarbeitung brauchen Sie eine Rechtsgrundlage, in der Praxis Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung muss nach Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, informiert, unmissverständlich, nachweisbar und so einfach zu widerrufen wie zu erteilen sein.
3. Consent Mode ist keine Rechtsgrundlage. Er übersetzt Ihre Bannerentscheidung in eine Sprache, die Google-Tags verstehen; einholen und dokumentieren muss die Einwilligung Ihr Banner.

Bei der Bannergestaltung orientieren sich die Aufsichtsbehörden an der Orientierungshilfe der Datenschutzkonferenz für Anbieter von Telemedien (OH Telemedien 2021); sie ist keine bindende Rechtsnorm, prägt aber die Prüfpraxis. Ihr Maßstab: Ablehnen muss auf derselben Ebene und mit demselben Aufwand möglich sein wie Akzeptieren, vorausgewählte Schalter für nicht notwendige Zwecke sind unzulässig, Weiterscrollen ersetzt keine Einwilligung.

Zwei Punkte klären Sie zusätzlich mit Ihrer Rechtsberatung: Im Advanced-Modus verlassen cookielose Pings den Browser schon vor jeder Entscheidung (keine Cookies, technisch bedingt aber IP-Adresse und User-Agent), und Google-Tags übermitteln Daten in die USA, wofür Art. 44 ff. DSGVO gelten. Halten Sie beide Bewertungen in Ihrem Verarbeitungsverzeichnis nach Art. 30 DSGVO fest.

Die vier v2-Signale im Überblick

Jedes Signal nimmt den Wert granted oder denied an und steuert ein eigenes Verhalten in Googles Tags:

Drei weitere Signale liegen außerhalb der Anforderung von März 2024: functionality_storage (Einstellungen wie die Sprachwahl), personalization_storage (Personalisierung auf der Website) und security_storage (Betrugsprävention, CAPTCHA). Nehmen Sie sie in den Standardbefehl auf, dann ist die Deklaration vollständig.

Die Zuordnung zu einem üblichen deutschen Banner: "Statistik" bildet analytics_storage ab, "Marketing" bildet ad_storage, ad_user_data und ad_personalization gemeinsam ab, und für "Notwendig" bleibt in der Regel security_storage auf granted.

Schritt 1: Standardstatus vor jedem Google-Tag setzen

Die wichtigste Regel der gesamten Einrichtung: Der Standardbefehl muss vor jedem Google-Tag laufen. Ein Tag, das lädt und keinen Standard vorfindet, verhält sich so, als gäbe es keine Einwilligungssteuerung.

Legen Sie im Google Tag Manager ein Tag vom Typ Benutzerdefiniertes HTML mit diesem Inhalt an:

<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}

gtag('consent', 'default', {
  'ad_storage': 'denied',
  'analytics_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'functionality_storage': 'granted',
  'personalization_storage': 'denied',
  'security_storage': 'granted',
  'wait_for_update': 500
});
</script>

Weisen Sie ihm den Trigger "Consent Initialization - All Pages" zu, in deutschsprachigen Containern als Einwilligungsinitialisierung für alle Seiten geführt. Er löst vor jedem anderen Trigger im Container aus, auch vor Initialisierung und Seitenaufruf. Hängen Sie den Standard niemals an einen normalen Seitenaufruf-Trigger; auf einer langsamen Seite überholt ihn Ihr GA4-Tag, und die Einrichtung versagt lautlos.

wait_for_update: 500 hält die Messung bis zu 500 ms zurück, falls kurzfristig ein Update eintrifft. So gilt die gespeicherte Entscheidung eines wiederkehrenden Besuchers schon für den ersten Seitenaufruf. Bringt Ihre Einwilligungslösung eine GTM-Vorlage mit, nutzen Sie diese statt des HTML-Tags.

Schritt 2: Banner mit dem Update-Befehl verbinden

Trifft der Besucher im Banner eine Entscheidung, muss Ihr Einwilligungstool sie in einen Update-Befehl übersetzen:

gtag('consent', 'update', {
  'ad_storage': 'granted',
  'analytics_storage': 'granted',
  'ad_user_data': 'granted',
  'ad_personalization': 'granted'
});

Die Werte folgen der Auswahl: Statistik setzt analytics_storage auf granted, Marketing setzt ad_storage, ad_user_data und ad_personalization, und bei vollständiger Ablehnung bleiben alle vier ausdrücklich auf denied.

Drei Hinweise verhindern die meisten Fehler aus der Praxis:

1. Senden Sie das Update auch bei Ablehnung. Ein ausdrückliches denied-Update beendet das wait_for_update-Fenster sofort und hinterlässt eine prüfbare Signalspur.
2. Speichern und wiederholen. Legen Sie die Entscheidung ab und senden Sie dasselbe Update auf jedem weiteren Seitenaufruf früh erneut.
3. Nutzen Sie das echte gtag-Muster. Consent-Befehle müssen über function gtag(){dataLayer.push(arguments);} laufen. Ein einfaches Event-Objekt im Data Layer ist nicht gleichwertig, Google-Tags sehen das Signal dann nicht.

Schritt 3: Einwilligungseinstellungen der Tags konfigurieren

Googles eigene Tags haben integrierte Einwilligungsprüfungen: GA4- und Ads-Tags reagieren automatisch auf die Signale, Blockier-Trigger brauchen Sie dafür nicht. Das beschreibt den Advanced-Modus; wer den Basic-Modus fährt, hält die Tags zusätzlich zurück (siehe Vergleich weiter unten). Prüfen sollten Sie die Konfiguration trotzdem. Und Sie müssen alles abdecken, was kein Google-Tag ist:

1. Öffnen Sie ein Tag und klappen Sie Erweiterte Einstellungen > Einstellungen zur Einwilligung auf. Dort stehen die integrierten Prüfungen; ein GA4-Tag erklärt zum Beispiel selbst, dass es auf ad_storage und analytics_storage reagiert.
2. Unter Zusätzliche Einwilligungsprüfungen legen Sie fest, welche Signale auf granted stehen müssen, damit das Tag auslöst. Das ist der Hebel für Nicht-Google-Tags wie Meta Pixel, Hotjar, LinkedIn Insight oder etracker, die Googles Signale schlicht ignorieren.

Aktivieren Sie außerdem die Einwilligungsübersicht unter Verwaltung > Container-Einstellungen: eine Prüfansicht, in der Tags ohne Einwilligungskonfiguration vor der Veröffentlichung auffallen.

Kennen Sie die Grenze: Einwilligungsprüfungen greifen nur für Tags im GTM. Fest in Seitentemplates eingebundene Skripte und iframes von Drittanbietern laufen nie durch den Container und brauchen einen eigenen Blockiermechanismus. Ein Durchlauf mit einem kostenlosen Cookie-Scanner zeigt, welche Cookies Ihre Seiten wirklich setzen.

Schritt 4: Regionale Standardwerte für mehrere Märkte

Der Standardbefehl kennt den Parameter region, mit dem Sie den Ausgangszustand nach Standort variieren. Der folgende Block erweitert das Tag aus Schritt 1: Er kommt direkt unter den dortigen Standardbefehl, in dasselbe Tag, und nutzt denselben gtag-Stub.

// Abweichender Standard für Kalifornien (Opt-out-Regime)
gtag('consent', 'default', {
  'analytics_storage': 'granted',
  'ad_storage': 'granted',
  'region': ['US-CA']
});

Für Besucher aus Kalifornien startet die Messung damit auf granted, während ad_user_data und ad_personalization weiterhin auf denied stehen: Signale, die im regionalen Default nicht genannt sind, fallen auf den allgemeinen Default zurück. Ob ein granted-Ausgangswert für einen Markt tragfähig ist, ist eine rechtliche und keine technische Frage; klären Sie sie vor der Veröffentlichung.

Die Regeln dahinter: Der spezifischere Standard gewinnt, die Regionscodes folgen den ISO-Ländercodes (Untergliederungen wie US-CA oder DE-BY werden unterstützt), und den Standard ohne Region definieren Sie immer zuerst, damit kein Besucher ganz ohne Status ankommt.

Für deutsche Setups gilt pragmatisch: Für Deutschland und den übrigen EWR ist denied ohnehin der einzig vertretbare Ausgangswert, und wer keine Märkte außerhalb Europas bedient, fährt mit einem einzigen globalen denied am ruhigsten. Das beseitigt eine Fehlerklasse rund um Geo-Zuordnung, Proxys und VPNs.

Ein zweiter Markt, der bei deutschen Händlern regelmäßig dazukommt, ist die Türkei. Ein eigener Regionsblock erübrigt sich dort: Auch der KVKK folgt einem Einwilligungsmodell, denied passt ebenso. Die Unterschiede liegen in Banner-UX, Informationspflichten und der Dokumentation von Auslandsübermittlungen; unser Vergleich von KVKK und DSGVO geht sie einzeln durch.

Schritt 5: Prüfen mit Tag Assistant und DevTools

Veröffentlichen Sie eine Consent-Änderung nie ungeprüft. Starten Sie den Container im Vorschaumodus und arbeiten Sie drei Kontrollen ab.

1. Consent-Tab im Tag Assistant. Verbinden Sie Ihre Website über tagassistant.google.com und öffnen Sie den Consent-Tab. Der Standard muss auf der Stufe der Einwilligungsinitialisierung erscheinen, also bevor irgendein Tag auslöst; nach der Bannerinteraktion folgt eine Update-Zeile mit den erwarteten Werten.

2. Reihenfolge der Events in der GTM-Vorschau. Der Event-Stream muss mit Consent Initialization beginnen, danach Initialization, dann Container Loaded und der Rest. Löst Ihr Standard-Tag später aus, gehen Sie zurück zu Schritt 1.

3. Schnelltest über den gcs-Parameter. Filtern Sie im Netzwerk-Tab der DevTools nach collect und sehen Sie sich die Anfragen an google-analytics.com/g/collect an. Der Parameter gcs kodiert die beiden Kernsignale als "G1" plus zwei Ziffern: erste Ziffer ad_storage, zweite Ziffer analytics_storage (1 = granted, 0 = denied).

Testen Sie im Inkognito-Fenster alle drei Szenarien: alles akzeptieren (gcs springt auf G111), alles ablehnen (gcs bleibt G100, der Tag Assistant muss aber ein denied-Update zeigen) und eine Teilauswahl. Prüfen Sie unter Anwendung > Cookies zusätzlich, dass vor der Entscheidung kein _ga-Cookie existiert. Der Parameter gcd trägt alle vier Signale; der Consent-Tab zeigt sie lesbar an, was sicherer ist als das Dekodieren von Hand.

Basic- und Advanced-Modus im Vergleich

Basic und Advanced sind zwei Umsetzungsmuster derselben Schnittstelle. Die Wahl wirkt sich auf Datenflüsse und Berichte aus:

In beiden Fällen fallen ausgewiesene Nutzer- und Sitzungszahlen niedriger aus als zuvor. Halten Sie die gewählte Variante samt Begründung fest.

Wie cerez.io die Consent-Signale automatisch setzt

All das lässt sich von Hand bauen. Was in der Praxis schiefgeht, ist selten der erste Aufbau, sondern das Auseinanderdriften danach: geänderte Bannerkategorien, ein neues Tag ohne Einwilligungsprüfung, ein Relaunch, der dem Standard still seinen ersten Platz nimmt.

cerez.io Cookie Consent bringt diese Anbindung im SDK mit: Ein Snippet setzt den denied-Standard für alle vier v2-Signale, bevor Google-Tags laufen, und sendet das Update automatisch aus den Bannerkategorien. Kategoriebasiertes Blockieren von Skripten deckt Nicht-Google-Tags ab, und der automatische Scan hält das Cookie-Verzeichnis aktuell. Das unterstützt Sie beim Umsetzen, Messen und Dokumentieren des Einwilligungsflusses; die rechtliche Bewertung bleibt Sache Ihrer Rechtsberatung.

Häufig gestellte Fragen

Brauche ich Consent Mode, wenn ich keine Google Ads schalte?

Kurze Antwort: Googles Anforderung von März 2024 richtet sich an Werbetreibende mit EWR- oder UK-Traffic; eine reine GA4-Website hat daher keine Google-Frist. Die Einwilligungspflicht aus § 25 TDDDG in Verbindung mit der DSGVO gilt für Analyse-Cookies trotzdem, und Consent Mode ist der saubere Weg, GA4 daran zu binden.

Was ist der Unterschied zwischen Basic- und Advanced-Modus?

Kurze Antwort: Im Basic-Modus laden Google-Tags erst nach der Einwilligung, Google erhält von ablehnenden Besuchern also nichts. Im Advanced-Modus laden sie sofort mit denied-Standards und senden cookielose Pings, die Googles Modellierung speisen können. Die Tabelle weiter oben stellt beide Varianten gegenüber.

Warum sind meine GA4-Zahlen nach der Einrichtung gefallen?

Kurze Antwort: Weil ablehnende Besucher nicht mehr mit Cookies gemessen werden, und genau das ist der Zweck der Einrichtung. Vergleichen Sie den Rückgang mit der Ablehnungsquote Ihres Banners: Passen beide ungefähr zusammen, funktioniert die Installation. Der falsche Reflex wäre, Standardwerte auf granted zu drehen; der legitime Hebel ist ein verständlicheres Banner.

Ersetzt Consent Mode ein Einwilligungsbanner?

Kurze Antwort: Nein. Consent Mode ist nur der Bote: Er teilt Google-Tags mit, was gewählt wurde, aber etwas muss diese Wahl zuerst einholen. Sie brauchen weiterhin ein Banner, das nicht notwendige Skripte bis zur Entscheidung zurückhält, eine echte Ablehnen-Option bietet und die Einwilligung protokolliert.

Genügt eine korrekte Consent-Mode-Einrichtung für § 25 TDDDG?

Kurze Antwort: Nein, sie ist ein Baustein davon. § 25 TDDDG verlangt Information und Einwilligung vor dem Endgerätezugriff, die DSGVO zusätzlich Nachweisbarkeit nach Art. 7 und einen einfachen Widerruf. Consent Mode setzt eine getroffene Entscheidung technisch um, dokumentiert sie aber nicht und ersetzt weder Bannergestaltung noch Datenschutzerklärung.

Quellen

• Google Consent Mode, Entwicklerdokumentation
• Google Tag Manager, Entwicklerdokumentation
• Verordnung (EU) 2016/679 (DSGVO), Volltext
• Richtlinie 2002/58/EG (ePrivacy), Volltext
• TDDDG (vormals TTDSG), Volltext auf gesetze-im-internet.de
• Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien (OH Telemedien 2021, Version 1.1), Datenschutzkonferenz
• Türkische Datenschutzbehörde (KVKK)

Sie möchten die Consent-Signale nicht dauerhaft von Hand pflegen? Kostenlos starten und das cerez.io-Snippet in wenigen Minuten einbinden: Default- und Update-Signale für Consent Mode v2 werden automatisch gesetzt, ohne Kreditkarte. Die Tarifdetails finden Sie auf der Preisseite.