Der Gedanke ist verlockend: Kundendaten aus dem eigenen CRM oder Shopify zu Google Ads hochladen, um personalisierte Werbung (Customer Match) auszuspielen. Doch Vorsicht! Diese Funktion birgt, besonders in Europa, ein massives rechtliches Risiko: DSGVO-Falle.
Wichtiger Disclaimer: Ich bin kein Anwalt und kann keine individuelle Rechtsberatung geben. Die folgende Einschätzung basiert auf einer persönlichen Prüfung der Thematik. Bitte lasse deinen Prozess im Zweifel von einem Anwalt überprüfen.
1. DSGVO-Falle: Die große Warnung, die Mindestanforderung und das Risiko
Die Funktion zum Hochladen von Kundenlisten findest du unter Tools & Einstellungen → Zielgruppenverwaltung → Plus-Symbol → Kundenliste.
Mindestanforderung: 1.000 verwendbare E-Mails
Bevor du überhaupt über rechtliche Aspekte nachdenkst: Google Ads benötigt mindestens 1.000 verwendbare E-Mail-Adressen, um eine Zielgruppe zu erstellen. Da ein Großteil der E-Mails oft nicht zugeordnet werden kann, benötigst du faktisch eine deutlich größere Liste (z.B. 1.500 bis 2.000 Adressen), damit die Zielgruppe überhaupt durchgeht.
Der Hash-Irrtum: Pseudonymisierung ist keine Lösung
Viele denken, das Hashing (Verschlüsseln) der E-Mail-Adressen vor dem Upload würde das Problem lösen. Das ist ein Trugschluss:
- Pseudonymisierung: Selbst gehashte Daten sind für Google identifizierbar, wenn Google die Person kennt (was bei Google-Nutzern fast immer der Fall ist). Datenschutzrechtlich gelten sie daher nicht als anonymisiert, sondern als pseudonymisiert. Dies erfordert weiterhin die Einwilligung (Consent).
- Erhöhtes Risiko: Das komplizierte Hashing über Dritt-Software erhöht das Risiko, da du die Daten an einen weiteren Dienst gibst. Zudem könnte eine Datenschutzbehörde im Zweifel argumentieren, du hättest versucht, deine Pflichten zu verschleiern.
Fazit: Hashing ist kompliziert und ändert nichts am erforderlichen Consent. Lade im Zweifel die Rohdaten hoch (Google hasht sie sowieso serverseitig), aber nur, wenn der Consent wasserdicht ist.
2. Das Consent-Problem: Nur mit explizitem Opt-in
Wann ist das Hochladen von Kundendaten legal? Nur, wenn du für jede einzelne Adresse die explizite Einwilligung zur Weitergabe an Google Ads hast.
Manuelles Hochladen erfordert zwei Opt-ins
Für Newsletter-Abonnenten oder Käufer reicht es nicht, die Weitergabe in der Datenschutzerklärung zu erwähnen. Nach Einschätzung des Autors ist ein separates, ablehnbares Opt-in erforderlich:
- Opt-in 1: Einwilligung für den Newsletter / das Kaufgeschäft.
- Opt-in 2: Zusätzliches, separates Opt-in zur Verwendung der Daten für personalisierte Werbung auf Google Ads (Customer Match).
Nur die Kunden, die dieses zweite Opt-in erteilen, dürfen manuell hochgeladen werden. Dies ist extrem aufwendig, wäre aber der rechtlich sicherste Weg.
Die Shopify/App-Synchronisations-Falle
Von einer direkten Verknüpfung, z.B. über die Shopify-App, ist dringend abzuraten.
- Die App synchronisiert in der Regel automatisch alle Käufer zu Google Ads.
- Es gibt keine Kontrollmöglichkeit, um nur die Käufer zu senden, die dem Opt-in zugestimmt haben.
- Die Übertragung erfolgt oft unabhängig davon, ob Nutzer Cookies im Cookie-Banner akzeptiert haben.
Daher besteht die Annahme, dass bei einer direkten Synchronisation Käuferdaten ohne die erforderliche Einwilligung übertragen werden, was einen DSGVO-Verstoß darstellt.
3. Die Konsequenzen: Millionenstrafen möglich
Die Wahrscheinlichkeit eines direkten Audits mag gering sein, aber sie ist nicht null. Das Risiko, in die DSGVO-Falle zu tappen, ist real.
- Beschwerden: Ein Käufer, der keine Einwilligung erteilt hat, kann sich bei einer Datenschutzbehörde beschweren, wenn er deine Werbung sieht.
- Haftung: Du als Shopbetreiber/in hast die volle Verantwortung. Die Behörde kann von dir und Google detaillierte Auskunft darüber verlangen, wie die Daten hochgeladen wurden.
- Strafen: Bei der Weiterleitung von Kundendaten ohne Consent wurden bereits in der Vergangenheit (z.B. bei Partnern von Online-Plattformen) hohe Bußgelder im Millionenbereich verhängt.
4. Die sicheren Alternativen für Kundendaten
Es gibt bessere und rechtlich sicherere Wege, qualifizierte Nutzerdaten für Google Ads zu sammeln. Hierbei gibst du die Daten nicht selbst manuell hoch, sondern lässt Google sie über dynamisches Tracking erfassen.
- Website-Besucher/Käufer: Baue Zielgruppenlisten über den Code auf deiner Website auf (Tracking-Pixel, Conversion-Code). Wichtig ist hierbei die korrekte Einbindung in ein Cookie-Consent-Tool.
- Google Analytics: Nutze Analytics-Zielgruppen (sofern korrekt im Cookie-Banner eingebunden).
- Absoluter Favorit: YouTube-Nutzer
- Wenn Nutzer Videos deiner Marke auf YouTube oder auf deiner Website anschauen, weißt du, dass sie Interesse haben.
- Die Nutzer haben in der Regel schon den Cookies für YouTube zugestimmt.
- Vorteil: Du gibst die Daten nicht selbst an Google Ads. Stattdessen schickt YouTube die Daten über die Video-Nutzung an Google Ads. Dies ist in der Regel unkritischer und führt zu stabilen, großen Listen.
Setze also auf dynamische Zielgruppen statt auf statische, manuell hochgeladene Kundenlisten. Dies spart Aufwand und schont deine Nerven (und dein Bankkonto).
Du brauchst Unterstützung?
Wenn du mehr über die richtige Einrichtung von Tracking, Cookie-Bannern oder das Sammeln von YouTube-Zielgruppen wissen möchtest, findest du weitere Videos und Kurse des Autors auf websitepiloten.de. Dort wird in Kürze eine neue Sektion speziell zum Thema Server-Side-Tracking und Cookie-Consent veröffentlicht.
