Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Google Optimize war Googles kostenloses A/B Testing und Personalisierungstool, eng mit Google Analytics verzahnt. Das Produkt wurde am 30. September 2023 eingestellt, das optimize.js Snippet bleibt jedoch auf vielen Sites aktiv und liest weiterhin Google Analytics Cookies aus und uebertraegt Expositionsdaten an Google LLC in die USA. Der Einsatz erfordert dieselbe Einwilligung wie Google Analytics nach DSGVO und ePrivacy Richtlinie.
Google Optimize war ein 2017 eingefuehrtes, kostenloses Werkzeug fuer A/B Tests, multivariate Tests und Personalisierung. Marketingteams konnten ohne Entwicklungsaufwand Experimente erstellen, Besucher anhand von Google Analytics Segmenten ansprechen und die Performance von Varianten direkt gegen Analytics Ziele messen. Google kuendigte das Ende von Optimize und Optimize 360 im Januar 2023 an, am 30. September 2023 wurde der Dienst offiziell eingestellt. Seither koennen keine neuen Experimente mehr angelegt werden, bestehende Experimente liefern keine Varianten mehr aus. Die optimize.js Bibliothek bleibt jedoch auf zahlreichen Altinstallationen geladen, meist ueber Google Tag Manager Tags, die nie deaktiviert wurden, und liest weiterhin vorhandene Analytics Cookies aus und sendet Netzwerkanfragen an Google Server in den USA.
Auch nach Einstellung liest das optimize.js Snippet weiterhin die Cookies _ga, _gid und _ga_<MEASUREMENT_ID>, die Google Analytics setzt, sowie sein eigenes _gaexp Cookie mit Experiment ID, Variantenindex und Ablauf. Das Skript greift auf die vollstaendige Seiten URL, den Document Referrer, die Viewport Groesse, den User Agent und alle ueber den Data Layer gepushten Variablen zu, die fuer Personalisierungs Targeting genutzt werden koennen. Seitenereignisse werden ueber HTTPS an www.google-analytics.com oder region1.google-analytics.com gesendet, die IP Adresse ist fuer Google auf Netzwerkebene sichtbar. Bei Sites, die Optimize mit Google Analytics 4 verbunden hatten, erscheinen Expositionsereignisse als Standard GA4 Events am Client ID.
Da Optimize Cookies setzt und liest, die nicht zwingend zur Erbringung des angeforderten Dienstes erforderlich sind, verlangt Art. 5 Abs. 3 der ePrivacy Richtlinie eine vorherige, informierte Einwilligung, bevor das Snippet ausgefuehrt werden darf. Nach der DSGVO benoetigt dieselbe Verarbeitung eine gueltige Rechtsgrundlage: im Consumer Web kommt nur die Einwilligung nach Art. 6 Abs. 1 lit. a in Frage. Die an Google LLC in die USA uebertragenen Daten sind personenbezogene Daten im Sinne der DSGVO, da die Client ID ein persistenter Online Identifier ist. Betreiber muessen den Transfermechanismus dokumentieren (EU US Data Privacy Framework oder Standardvertragsklauseln), nach Schrems II eine Transfer Impact Assessment durchfuehren und in der Datenschutzerklaerung ueber den Transfer informieren. Mehrere EU Behoerden (CNIL, Garante, DSB) haben unverwilligte Google Analytics Implementierungen sanktioniert, Optimize faellt in denselben Anwendungsbereich.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Wer Optimize noch laedt, muss das Snippet hinter einer Consent Management Plattform absichern. Mit Google Consent Mode v2 darf das Optimize Tag nur feuern, wenn analytics_storage gewaehrt wurde; ad_storage steuert nachgelagerte Google Ads Remarketing Audiences, die aus Experimenten abgeleitet werden. Auch der Anti Flicker Snippet, der den Body Inhalt bis zum Laden von Optimize ausblendet, muss an die Einwilligung gekoppelt werden, andernfalls sehen ablehnende Besucher fuer mehrere hundert Millisekunden eine leere Seite. Anfragen an Google Domains vor Einwilligung sollten ueber CMP Integration, Server Side Tagging oder einen Ausschluss Trigger im Tag Manager unterbunden werden.
Google Tag Manager Container und Quellcode auf verbleibende Referenzen zu optimize.js pruefen und entfernen. Den Anti Flicker Snippet deaktivieren, der nach Einstellung der Experimente keinen Zweck mehr erfuellt. Datenschutzerklaerung und Verzeichnis von Verarbeitungstaetigkeiten anpassen: Optimize streichen, wo es entfernt wurde, oder als noch nicht entferntes Altskript kennzeichnen. Optimize ersetzen: Google verweist auf Partnerplattformen wie AB Tasty, Optimizely oder VWO; fuer EU Datenresidenz bieten Kameleoon, Convert oder selbst gehostetes GrowthBook reine EU Optionen. Unabhaengig von der Wahl muss dasselbe DSFA, Einwilligungs und Transfer Pruefverfahren durchlaufen werden, da der regulatorische Rahmen identisch ist.
Listet Ihre Cookie Richtlinie Optimize noch, ergaenzen Sie den Hinweis, dass der Dienst von Google eingestellt und das Skript entfernt wird. Behalten Sie den Eintrag, bis das Skript vollstaendig aus der Produktion entfernt ist, da das _gaexp Cookie bis zu 90 Tage nach Entfernung auf Besuchergeraeten bestehen bleiben kann. Pruefen Sie monatlich per Cookie Scanner, dass das Cookie nicht erneut auftritt, und dokumentieren Sie die Entfernung im Verarbeitungsverzeichnis.
Websites using Google Optimize must obtain user consent under GDPR regulations.
DPIA considerations
Google Optimize nutzt dieselbe _ga Client ID wie Google Analytics und setzt ein eigenes _gaexp Cookie (Laufzeit 90 Tage) mit Experiment ID, Variantenindex und Ablaufdatum. DSFA Kernpunkte: (1) alle Daten werden an Google LLC in die USA uebertragen, was eine aktive Transfer Impact Assessment erfordert, auch unter dem EU US Data Privacy Framework; (2) das Skript optimize.js laeuft im Top Frame der Seite und kann vollstaendige URLs, Referrer und alle fuer Personalisierungsregeln gepushten Data Layer Werte auslesen; (3) Variantenexpositionsereignisse werden mit Google Analytics Nutzerprofilen zusammengefuehrt, was die Speicherhorizont von Verhaltensdaten verlaengert; (4) der Anti Flicker Snippet blendet Seiteninhalte bis zum Laden von Optimize aus, was Performance und Barrierefreiheit beeintraechtigt; (5) seit der Einstellung gibt Google keine Produktupdates und Sicherheitspatches mehr heraus, sodass nicht entfernte Snippets ohne aktiven Anbietersupport weiterhin Daten abgeben. Eine DSFA ist empfehlenswert, solange Optimize geladen wird, und die Entfernung sollte priorisiert werden.
Sample consent text
Diese Website nutzte Google Optimize, einen A/B Testing und Personalisierungsdienst der Google LLC. Optimize setzte das Cookie _gaexp auf Ihrem Geraet und teilte Expositionsinformationen mit Google Analytics. Daten wurden an Google LLC in die USA uebertragen. Der Dienst wurde am 30. September 2023 eingestellt; sehen Sie diesen Hinweis, sind wir noch dabei, Altskripte zu entfernen. Sie koennen die Einwilligung jederzeit ueber unsere Cookie Einstellungen widerrufen.
Third-party domains contacted
www.googleoptimize.comoptimize.google.comwww.google-analytics.comregion1.google-analytics.comstats.g.doubleclick.netCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _gaexp | Personalization / Experimentation | 90 days | Set by Google Optimize. Stores the experiment ID, variant index and expiry timestamp so that the visitor sees the same variant across sessions. Read on every page load by optimize.js to determine which variant to serve and to report exposure to Google Analytics. |
| _gaexp_rc | Personalization / Experimentation | Session | Set by Google Optimize during a redirect experiment to prevent infinite redirect loops. Holds the redirect chain identifier for the current variant. |
| _opt_awcid | Personalization / Experimentation | 24 hours | Set by Google Optimize when Google Ads click identifiers are present. Used to attribute experiment results back to specific Google Ads campaigns. |
| _opt_awmid | Personalization / Experimentation | 24 hours | Set by Google Optimize. Stores the Google Ads campaign ID for experiments that target paid traffic, allowing Optimize to report variant performance per campaign. |
| _opt_utmc | Personalization / Experimentation | 24 hours | Set by Google Optimize to store the utm_campaign value for the current session, enabling traffic source level analysis of experiment results. |
Google Optimize erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Google Optimize setzt das eigene _gaexp Cookie (Laufzeit 90 Tage) mit Experiment ID, Variantenindex und Ablaufdatum. Es liest zudem bestehende Google Analytics Cookies aus: _ga (2 Jahre), _gid (24 Stunden) und _ga_<MEASUREMENT_ID> (2 Jahre), um den Besucher zu identifizieren und die Variantenexposition mit Analytics Nutzerprofilen zu verknuepfen. Auch nach der Einstellung im September 2023 schreibt das Skript bei jedem Seitenaufruf _gaexp, sodass Cookie Audits Optimize bis zur Snippet Entfernung als aktiven Anbieter behandeln sollten.
Ja. Die Cookies _gaexp und die _ga Familie sind nicht zwingend erforderlich, um die Website auszuliefern, daher verlangt Art. 5 Abs. 3 ePrivacy Richtlinie eine vorherige, informierte Einwilligung, bevor optimize.js ausgefuehrt werden darf. Auch nach Produktende verstoesst ein Laden ohne Einwilligung gegen ePrivacy und DSGVO. Die Einwilligung muss granular, freiwillig, ebenso leicht widerrufbar wie erteilbar sein und der Ablehnen Button so prominent wie der Akzeptieren Button.
Im Consumer Web ist allein die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO eine valide Rechtsgrundlage. Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f scheidet bei Tracking Cookies in der Regel aus, weil es die ePrivacy Einwilligungspflicht nicht ueberlagern kann und weil der EDSA wiederholt festgestellt hat, dass berechtigte Nutzererwartungen kein webseitenuebergreifendes Verhaltenstracking umfassen. Im internen Mitarbeitertest im Intranet kommt theoretisch Vertragserforderlichkeit in Betracht, ist aber ein enger Sonderfall.
Ja. Alle Optimize Anfragen gehen an Google LLC Server in den USA. Google ist nach dem EU US Data Privacy Framework selbstzertifiziert, das fuer EWR Transfers an zertifizierte US Importeure einen Angemessenheitsbeschluss bereitstellt. Das DPF bleibt umstritten und koennte wie sein Vorgaenger Privacy Shield gekippt werden. Eine Transfer Impact Assessment ist weiterhin empfohlen, und die Datenschutzerklaerung muss ueber den Transfer mit ausreichender Tiefe nach Art. 13 und 14 DSGVO informieren.
Eine DSFA ist empfohlen, sobald Optimize geladen wird, insbesondere wegen der Kombination aus persistenten Online IDs, Verhaltensprofiling und US Transfer. Art. 35 DSGVO macht die DSFA verpflichtend, sobald die Verarbeitung voraussichtlich ein hohes Risiko fuer Betroffene mit sich bringt; EDSA und BfDI Leitfaeden ordnen grossflaechiges Online Tracking entsprechend ein. Risiken, Massnahmen (Einwilligung, Anonymisierung wenn moeglich, Speicherbegrenzung) dokumentieren und mindestens jaehrlich pruefen.
Das optimize.js Tag in einen CMP Trigger einbetten, der nur ausloest, wenn analytics_storage ueber Google Consent Mode v2 erteilt wurde. Den Anti Flicker Snippet abschalten, da er ohne aktive Experimente keinen Zweck mehr erfuellt. Aufrufe an www.google-analytics.com und www.googleoptimize.com vor Einwilligung per CMP Integration oder Server Side Tagging blockieren. Das verbliebene Skript im Verarbeitungsverzeichnis mit Zielentfernungsdatum und Verantwortlichem auffuehren.
Google empfiehlt Partnerplattformen: AB Tasty, Optimizely Web, VWO und Dynamic Yield. Fuer EU Datenresidenz bieten Kameleoon (FR), Convert (NL), AB Tasty (FR) und selbst gehostetes GrowthBook reine EU Verarbeitung. Unabhaengig vom Tool sind dieselben DSFA, Einwilligungs und Transferpruefungen erneut durchzufuehren, weil der Rahmen mit Optimize identisch ist: Cookies, persistente IDs und je nach Konfiguration moeglicherweise US Transfers.
Listen Sie Optimize unter Analytics oder Personalisierungs Cookies, nennen Sie das _gaexp Cookie, geben Sie 90 Tage Laufzeit an und erklaeren Sie, dass es Variantenexpositionsinformationen speichert, die mit Google Analytics geteilt werden. Ergaenzen Sie einen Hinweis, dass der Dienst von Google am 30. September 2023 eingestellt und das Skript entfernt wird. Pruefen Sie monatlich per Cookie Scanner; sobald _gaexp in keiner Session mehr erscheint, entfernen Sie den Eintrag aus der Richtlinie und aktualisieren Sie das Verarbeitungsverzeichnis.