Der Google Additional Consent (GAC) ist eine Google geschaffene technische Spezifikation zur Einholung von Einwilligungen für Werbepartner, die nicht im Transparency & Consent Framework (TCF) der IAB Europe registriert sind. In diesem Artikel erfährst du, was Google Additional Consent konkret definiert, wie der Standard in der Praxis in WordPress-Websites umgesetzt werden könnte und welche datenschutzrechtlichen Risiken er birgt. Dabei ziehen wir Vergleiche zum TCF heran, um ein besseres Verständnis der Vor- und Nachteile zu schaffen.
Abschließend geben wir Handlungsempfehlungen für Betreiber von WordPress-Websites und Nutzer von Real Cookie Banner, welche die Verwendung von Google Additional Consent in Erwägung ziehen.
Was ist Google Additional Consent?
Google Additional Consent (GAC) ist eine Ergänzung zum klassischen TCF-Consent-String, mit der Publisher Google gegenüber eine Einwilligung in die Verarbeitung personenbezogener Daten und das Setzen/Lesen von Cookies und ähnlichen Technologien für Google's Ad Tech Providers (ATP) übermitteln können, die nicht in der Global-Vendor-List (GVL) der TCF-Standards gelistet und nicht durch die IAB Europe zertifiziert sind.
Das Ziel von GAC besteht darin, den Kreis erlaubter Werbepartner zu erweitern und damit etwa in Google AdSense, Ad Manager oder AdMob eine größere Zahl von Bietern am Auktionsprozess teilnehmen zu lassen. Publisher (Website-Betreiber) erhalten dadurch potenziell mehr Umsatz durch Werbung auf ihrer Website, müssen dafür jedoch sicherstellen, dass jede ATP im AC-String (technische Definition erhobener Einwilligungen) nur dann enthalten ist, wenn tatsächlich eine rechtswirksame Einwilligung vorliegt. Du als Website-Betreiber bescheinigst Google durch die Übermittlung des AC-Strings, dass du die Einwilligung korrekt erhoben hast, womit Google seiner Nachweispflicht u.a. gemäß dem Digital Market Act nachkommen kann.
Obwohl Google Additional Consent zusammen mit dem TCF-String übermittelt wird, definiert Google keinerlei Vorgaben zu der Gestaltung des Einwilligungsdialogs (Cookie Banner), Informationspflichten oder Einwilligungsmodalitäten – diese Verantwortung verbleibt vollständig bei den Website-Betreibern, ggf. mit Unterstützung ihrer Consent Management Platform (CMP).
Worin unterscheidet sich Google Additional Consent und Transparency & Consent Framework (TCF) der IAB Europe?
TCF ist ein umfassendes rechtliches und technisches Framework, das verbindliche Regeln für alle Beteiligten (Vendoren, Publisher, CMPs) enthält und bereits von Datenschutz-Aufsichtsbehörden wie der belgischen APD (DOS-2019-01377) umfangreich überprüft wurde. Das Framework stellt sicher, dass sämtliche in der GVL gelisteten Vendoren mit einheitlich strukturierten Angaben zur Erfüllung der Informationspflichten der DSGVO und ePrivacy-Richtline bereitstellen.
Google Additional Consent hingegen ist ausschließlich eine technische Spezifikation zur Kodierung einer Einwilligung in Form des AC-Strings. Teilnehmende Werbenetzwerke, Google's Ad Tech Providers, können sich auf der ATP-Liste registrieren. Es gibt keine verbindlichen Vorgaben, wie Publisher (Website-Betreiber) ihre Website-Besucher informieren oder welchen Umfang die Einwilligung haben muss. Google verweist ausdrücklich darauf, dass Publisher allein dafür verantwortlich sind, die Einwilligung rechtskonform einzuholen und zu dokumentieren.
Vergleich der Informationen in der ATP und GVL
Sowohl die Ad Tech Provider-Liste (ATP) für GAC als auch die Global Vendor List (GVL) für TCF dienen Website-Betreibern als Datenbasis, um ihre Informationspflichten gemäß Art. 13 f. DSGVO und der ePrivacy-Richtlinie zu erfüllen. Die beiden Listen unterscheiden sich jedoch erheblich in der Tiefe und im Umfang der bereitgestellten Informationen.
Inhalt der Global Vendor List (GVL) für Transparency & Consent Framework
Die GVL enthält umfassende Angaben zu jedem eingetragenen Vendor (Werbepartner). Dazu gehören insbesondere die juristische Identität, die aufgeschlüsselten Verarbeitungszwecke und berechtigten Interessen, Details zu Speicherfristen und eingesetzten Cookies und ähnlichen Technologien sowie Links zu Datenschutzerklärungen in allen unterstützten Sprachen. Zudem durchlaufen Vendoren einen Zertifizierungsprozess der IAB Europe, welcher u.a. der Qualitätssicherung der Angaben dient. Diese strukturierte Datenbasis deckt einen Großteil der für Website-Betreiber je Vendor zu erfüllenden Informationspflichten ab, welche die DSGVO und ePrivacy-Richtlinie fordern.
Download: GVL v3 von Transparency & Consent Framework
Inhalt der ATP für Google Additional Consent
Im Gegensatz dazu liefert die ATP-Liste für Google Additional Consent lediglich Basisdaten zu Werbepartnern, die nicht bei TCF der IAB Europe teilnehmen. Dabei finden sich in der ATP-Liste nur der Produkt- oder Markenname (nicht aber die Rechtsidentität des Werbepartners), eine nicht lokalisierte URL zur Datenschutzerklärung und die zu der Werbeplattform zugehörigen Domains. Alle weiterführenden Angaben – etwa die konkreten Verarbeitungszwecke, Rechtsgrundlagen oder Cookies und ähnliche Technologien – muss der Publisher selbst recherchieren und dokumentieren, wenn er die Informationspflichten der DSGVO und ePrivacy-Richtlinie erfüllen will.
Die ATP ist dabei eine dynamisch wachsende Liste mit Stand April 2025 rund 600 Werbeunternehmen.
Download: ATP v2 von Google Additional Consent
Datenschutzrechtliche Kritik am Google Additional Consent
Google Additional Consent verlagert die gesamte Verantwortung für die rechtskonforme Einwilligung auf Publisher, ohne dafür eine belastbare Datenbasis in Form einer Liste mit vollständigen Angaben über die teilnehmenden Werbepartner bereitzustellen. Die ATP-Liste wird als regelmäßig aktualisierte CSV-Datei veröffentlicht, umfasst jedoch nur Basisinformationen zu mehreren hundert Werbepartnern, ohne die wesentlichen Details, die für eine DSGVO-konforme Erfüllung der Informationspflichten notwendig sind.
Einmal abgesehen vom dadurch entstehenden enormen manuellen Rechercheaufwand, besteht das Risiko, dass Betroffene durch die von Google nicht definierten Rahmenbedingungen, wie eine Einwilligung aus rechtlicher Sicht einzuholen ist, nicht ausreichend darüber informiert werden, für welche Werbepartner sie ihre Einwilligung geben. Fehlen klare Angaben zu Speicherfristen oder genauen Verarbeitungszwecken, kann dies zu Verstößen gegen die DSGVO und Googles eigener EU User Consent Policy durch den Website-Betreiber führen.
Im Vergleich dazu demonstriert die IAB Europe mit der GVL als Herzstück von TCF, wie eine strukturierte Vendoren-Datenbank aussehen kann. Solange Google für ATP keine vergleichbare Transparenz bietet, halten wir die Nutzung von GAC für ein für die meisten Website-Betreiber nicht beherrschbares Compliance-Risiko.
Technische Funktionsweise von Google Additional Consent
Um GAC auf deiner Website einzusetzen, muss dein Cookie Banner die ATP-Liste herunterladen und die Werbepartner durch Angaben ergänzt durch dich als Website-Betreiber (siehe vorherigen Abschnitt) anzeigen, damit deine Besucher eine informierte Einwilligung jeden Werbepartner geben können. Erst wenn du Transparenz darüber schaffst, welche ATPs zur freiwilligen Auswahl stehen, und sich dein Website-Besucher zuvor umfassend im Sinne von Art. 13 Abs. 1 DSGVO über die Datenverarbeitung ihrer personenbezogenen Daten informieren können, kannst du wirksame, informierte Einwilligungen einholen.
Technisch wird der zusätzliche Consent-String (technisch addtlConsent genannt; verbal AC-String) parallel zum TC-String von TCF erzeugt. Deine Cookie Banner speichert den AC-String entweder als Cookie in Cookie-ähnlichen Technologien. Anschließend übermittelst du ihn an Google, etwa über OpenRTB-Bid-Requests oder als URL-Parameter an Google-Endpunkte. Dies geschieht bei korrekter Integration automatisch, wenn z.B. Werbung auf deiner Google AdSense eingebunden wird. Google wertet den AC-String aus, um zu prüfen, welche ATPs an der Auktion teilnehmen dürfen.
Handlungsempfehlungen für Website-Betreiber
Wenn du als Website-Betreiber vor der Entscheidung stehst, zusätzlich zu TCF auch Google Additional Consent (GAC) einzusetzen, solltest du eine sorgfältige Risikobewertung durchführen. Zwar verspricht GAC potenziell höhere Werbeeinnahmen durch ein erweitertes Partnernetzwerk, allerdings ist die Erfüllung deiner Informationspflichten praktisch kaum umsetzbar. Die ATP-Liste, auf der GAC basiert, liefert unserer Rechtsauffassung nach keine ausreichenden Informationen über die Werbepartner, um die Informationspflichten nach der DSGVO vollständig und rechtskonform erfüllen zu können. Es fehlen strukturierte Angaben zur Identität und Kontaktmöglichkeiten für der Werbepartner, Verarbeitungszwecke, Rechtsgrundlagen und Speicherfristen. Diese manuell für hunderte Werbetreibende für den Einzelfall von dir als Website-Betreiber zu pflegen, halten wir für praktisch kaum erfüllbar.
Real Cookie Banner unterstützt Google Additional Consent daher bewusst nicht.
Wir empfehlen dir stattdessen, ausschließlich auf das TCF von der IAB Europe zu setzen. Damit stellst du sicher, dass du Einwilligungen für Werbeanzeigen auf deiner Website möglichst rechtskonform und transparent einholst. Wie du in Real Cookie TCF allgemein einrichtest oder TCF explizit für Google Ads einrichtest, haben wir in separaten Artikeln erläutert. Die vollständige Umsetzung von TCF in Real Cookie Banner wurde von der IAB Europe zertifiziert.