← Zurück zum Blog Dark Patterns

Consent Mode v2 Manipulation: Wie Google Data Controller täuscht

· 3 min Lesezeit
Google Analytics Consent Mode DSGVO Dark Patterns Cookie Tracking

Das Consent Mode v2 Paradoxon: Legitimation durch Verschleierung

Google Consent Mode v2 verspricht DSGVO-Konformität, ermöglicht aber gleichzeitig eine systematische Umgehung der Einwilligungsanforderungen aus Art. 7 DSGVO. Die technische Architektur zeigt: Was als Privacy-Enhancement-Tool vermarktet wird, fungiert in der Praxis als Datensammlung-Optimierer für Google – auf Kosten der betroffenen Personen.

Der Kernmechanismus liegt in der consent_mode-API: Selbst bei denied-Status für analytics_storage und ad_storage werden weiterhin First-Party-Cookies gesetzt und Daten an Google übertragen. Das gtag-Framework übermittelt dabei aggregierte Nutzungsmetriken über gtag('event', 'page_view', {send_to: 'GA_MEASUREMENT_ID'}), auch ohne explizite Einwilligung.

Technische Verschleierung: Cookieless Tracking in der Praxis

Die forensische Analyse von Consent Mode v2-Implementierungen offenbart drei kritische Datenflüsse, die auch bei verweigerter Einwilligung aktiv bleiben:

  • IP-basierte Geolokalisierung: Header CF-IPCountry und X-Forwarded-For ermöglichen Standortbestimmung trotz Cookie-Verweigerung
  • Browser-Fingerprinting über gtag.js: navigator.userAgent, screen.width, navigator.language werden automatisch übertragen
  • Conversion-Modelling: Google nutzt gclid-Parameter in URLs für probabilistische Nutzerzuordnung ohne Cookies

Besonders problematisch: Der gtag('config', 'GA_MEASUREMENT_ID', {anonymize_ip: true})-Parameter suggeriert Anonymisierung, während gleichzeitig detaillierte Metadaten über gtag('event', 'conversion') übertragen werden. Diese Kombination ermöglicht Re-Identifizierung trotz IP-Anonymisierung.

Rechtliche Fallstricke: Art. 6 Abs. 1 lit. f DSGVO als Scheinlegitimation

Die EuGH-Entscheidung C-673/17 (Planet49) stellt klar: Jede Speicherung von Informationen auf Endgeräten erfordert nach ePrivacy-RL eine vorherige Einwilligung. Google umgeht diese Anforderung durch sessionStorage statt persistenter Cookies und argumentiert mit berechtigtem Interesse nach Art. 6 Abs. 1 lit. f DSGVO für serverseitige Datenverarbeitung.

Diese Konstruktion ist rechtlich fragwürdig: Die EDPB Guidelines 2/2019 on Article 6(1)(b) GDPR betonen, dass berechtigtes Interesse bei Tracking-Zwecken regelmäßig durch Nutzerinteressen überwogen wird. Der BfDI hat in seinem Tätigkeitsbericht 2023 explizit vor "Consent Mode als DSGVO-Compliance-Theater" gewarnt.

Kritisch wird es bei der modeling_data_quality-Funktion: Google erhält auch bei verweigerter Einwilligung statistische Daten über Conversion-Rates und kann diese zur Verbesserung seiner Algorithmen nutzen. Dies stellt eine eigenständige Zweckbestimmung dar, die einer separaten Rechtsgrundlage bedarf.

Dark Pattern Mechanik: Consent Fatigue durch technische Komplexität

Consent Mode v2 implementiert subtile Dark Patterns durch bewusste Informationsasymmetrie. Die Standardkonfiguration consent_mode: 'advanced' aktiviert automatisch erweiterte Datensammlung, während consent_mode: 'basic' manuell konfiguriert werden muss. Website-Betreiber erhalten dadurch einen Anreiz, die datenhungrigere Variante zu implementieren.

Die Integration in beliebte Consent Management Platforms (CMPs) verstärkt diesen Effekt: Cookiebot, OneTrust und Usercentrics bieten Consent Mode v2 als "DSGVO-konforme Lösung" an, ohne transparent über die verbleibenden Datenflüsse zu informieren. Das Resultat: Nutzer glauben, Tracking abgelehnt zu haben, während tatsächlich weiterhin umfangreiche Daten an Google fließen.

Forensische Erkennungsmerkmale

Die technische Prüfung von Consent Mode v2-Implementierungen sollte folgende HTTP-Requests analysieren:

  • https://www.google-analytics.com/g/collect mit tid=G-XXXXXXXXX – auch bei Cookie-Verweigerung aktiv
  • _ga_debug: true im gtag-Code offenbart vollständigen Datenfluss trotz consent: 'denied'
  • gtag('get', 'GA_MEASUREMENT_ID', 'client_id') gibt auch ohne Analytics-Cookies eindeutige IDs zurück

Handlungsempfehlungen: Compliance jenseits von Google-Vorgaben

Data Controller müssen unabhängig von Google-Dokumentation eigene Rechtsgrundlagenprüfung durchführen. Konkret bedeutet dies:

  1. Vollständige Datenfluss-Dokumentation: Auch Consent Mode v2-Datenübertragungen in Art. 30 DSGVO-Verzeichnis aufnehmen
  2. Interessenabwägung dokumentieren: Berechtigtes Interesse für aggregierte Metriken einzelfallbezogen prüfen und dokumentieren
  3. Transparenz schaffen: In Datenschutzerklärung explizit erwähnen, welche Daten auch bei Cookie-Verweigerung an Google übertragen werden
  4. Alternative Implementierung: gtag('config', 'GA_MEASUREMENT_ID', {send_page_view: false}) und manuelle Event-Steuerung nutzen

Aufsichtsbehörden beginnen bereits, Consent Mode v2-Implementierungen zu hinterfragen. Die Landesdatenschutzbeauftragte Baden-Württemberg kündigte für 2024 spezifische Prüfungen an. Verantwortliche sollten daher proaktiv ihre Implementierung rechtlich validieren, bevor regulatorische Intervention droht.

Verwandte Artikel