Google Optimize
Google Optimize war Googles kostenloses A/B Testing und Personalisierungstool, eng mit Google Analytics verzahnt. Das Produkt wurde am 30. September 2023 eingestellt, das optimize.js Snippet bleibt jedoch auf vielen Sites aktiv und liest weiterhin Google Analytics Cookies aus und überträgt Expositionsdaten an Google LLC in die USA. Der Einsatz erfordert dieselbe Einwilligung wie Google Analytics nach DSGVO und ePrivacy Richtlinie.
Was macht Google Optimize?
Was Google Optimize war und warum es weiter relevant ist
Google Optimize war ein 2017 eingefuehrtes, kostenloses Werkzeug für A/B Tests, multivariate Tests und Personalisierung. Marketingteams konnten ohne Entwicklungsaufwand Experimente erstellen, Besucher anhand von Google Analytics Segmenten ansprechen und die Performance von Varianten direkt gegen Analytics Ziele messen. Google kuendigte das Ende von Optimize und Optimize 360 im Januar 2023 an, am 30. September 2023 wurde der Dienst offiziell eingestellt. Seither können keine neuen Experimente mehr angelegt werden, bestehende Experimente liefern keine Varianten mehr aus. Die optimize.js Bibliothek bleibt jedoch auf zahlreichen Altinstallationen geladen, meist über Google Tag Manager Tags, die nie deaktiviert wurden, und liest weiterhin vorhandene Analytics Cookies aus und sendet Netzwerkanfragen an Google Server in den USA.
Welche Daten das Altskript weiterhin erfasst
Auch nach Einstellung liest das optimize.js Snippet weiterhin die Cookies _ga, _gid und _ga_<MEASUREMENT_ID>, die Google Analytics setzt, sowie sein eigenes _gaexp Cookie mit Experiment ID, Variantenindex und Ablauf. Das Skript greift auf die vollständige Seiten URL, den Document Referrer, die Viewport Größe, den User Agent und alle über den Data Layer gepushten Variablen zu, die für Personalisierungs Targeting genutzt werden können. Seitenereignisse werden über HTTPS an www.google-analytics.com oder region1.google-analytics.com gesendet, die IP Adresse ist für Google auf Netzwerkebene sichtbar. Bei Sites, die Optimize mit Google Analytics 4 verbunden hatten, erscheinen Expositionsereignisse als Standard GA4 Events am Client ID.
DSGVO und ePrivacy Implikationen
Da Optimize Cookies setzt und liest, die nicht zwingend zur Erbringung des angeforderten Dienstes erforderlich sind, verlangt Art. 5 Abs. 3 der ePrivacy Richtlinie eine vorherige, informierte Einwilligung, bevor das Snippet ausgeführt werden darf. Nach der DSGVO benötigt dieselbe Verarbeitung eine gültige Rechtsgrundlage: im Consumer Web kommt nur die Einwilligung nach Art. 6 Abs. 1 lit. a in Frage. Die an Google LLC in die USA übertragenen Daten sind personenbezogene Daten im Sinne der DSGVO, da die Client ID ein persistenter Online Identifier ist. Betreiber müssen den Transfermechanismus dokumentieren (EU US Data Privacy Framework oder Standardvertragsklauseln), nach Schrems II eine Transfer Impact Assessment durchführen und in der Datenschutzerklärung über den Transfer informieren. Mehrere EU Behörden (CNIL, Garante, DSB) haben unverwilligte Google Analytics Implementierungen sanktioniert, Optimize fällt in denselben Anwendungsbereich.
Einwilligungsmanagement für Optimize Alt Tags
Wer Optimize noch lädt, muss das Snippet hinter einer Consent Management Plattform absichern. Mit Google Consent Mode v2 darf das Optimize Tag nur feuern, wenn analytics_storage gewährt wurde; ad_storage steuert nachgelagerte Google Ads Remarketing Audiences, die aus Experimenten abgeleitet werden. Auch der Anti Flicker Snippet, der den Body Inhalt bis zum Laden von Optimize ausblendet, muss an die Einwilligung gekoppelt werden, andernfalls sehen ablehnende Besucher für mehrere hundert Millisekunden eine leere Seite. Anfragen an Google Domains vor Einwilligung sollten über CMP Integration, Server Side Tagging oder einen Ausschluss Trigger im Tag Manager unterbunden werden.
Praktische Umsetzungsschritte
Google Tag Manager Container und Quellcode auf verbleibende Referenzen zu optimize.js prüfen und entfernen. Den Anti Flicker Snippet deaktivieren, der nach Einstellung der Experimente keinen Zweck mehr erfüllt. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten anpassen: Optimize streichen, wo es entfernt wurde, oder als noch nicht entferntes Altskript kennzeichnen. Optimize ersetzen: Google verweist auf Partnerplattformen wie AB Tasty, Optimizely oder VWO; für EU Datenresidenz bieten Kameleoon, Convert oder selbst gehostetes GrowthBook reine EU Optionen. Unabhängig von der Wahl muss dasselbe DSFA, Einwilligungs und Transfer Pruefverfahren durchlaufen werden, da der regulatorische Rahmen identisch ist.
Aktualisierung der Cookie Richtlinie
Listet Ihre Cookie Richtlinie Optimize noch, ergänzen Sie den Hinweis, dass der Dienst von Google eingestellt und das Skript entfernt wird. Behalten Sie den Eintrag, bis das Skript vollständig aus der Produktion entfernt ist, da das _gaexp Cookie bis zu 90 Tage nach Entfernung auf Besuchergeräten bestehen bleiben kann. Prüfen Sie monatlich per Cookie Scanner, dass das Cookie nicht erneut auftritt, und dokumentieren Sie die Entfernung im Verarbeitungsverzeichnis.
Google Optimize und die DSGVO
Google Optimize ist als „Analyse“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Consent (GDPR Art. 6(1)(a) and ePrivacy Directive Art. 5(3))
- Risikostufe
- high
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, French CNIL guidance on Google Analytics, German TTDSG, Italian Garante decisions, Austrian DSB ruling, Schrems II case law
Datenschutz-Folgenabschätzung (DSFA)
Google Optimize nutzt dieselbe _ga Client ID wie Google Analytics und setzt ein eigenes _gaexp Cookie (Laufzeit 90 Tage) mit Experiment ID, Variantenindex und Ablaufdatum. DSFA Kernpunkte: (1) alle Daten werden an Google LLC in die USA übertragen, was eine aktive Transfer Impact Assessment erfordert, auch unter dem EU US Data Privacy Framework; (2) das Skript optimize.js läuft im Top Frame der Seite und kann vollständige URLs, Referrer und alle für Personalisierungsregeln gepushten Data Layer Werte auslesen; (3) Variantenexpositionsereignisse werden mit Google Analytics Nutzerprofilen zusammengeführt, was die Speicherhorizont von Verhaltensdaten verlängert; (4) der Anti Flicker Snippet blendet Seiteninhalte bis zum Laden von Optimize aus, was Performance und Barrierefreiheit beeinträchtigt; (5) seit der Einstellung gibt Google keine Produktupdates und Sicherheitspatches mehr heraus, sodass nicht entfernte Snippets ohne aktiven Anbietersupport weiterhin Daten abgeben. Eine DSFA ist empfehlenswert, solange Optimize geladen wird, und die Entfernung sollte priorisiert werden.
Beispieltext für Ihr Banner
Diese Website nutzte Google Optimize, einen A/B Testing und Personalisierungsdienst der Google LLC. Optimize setzte das Cookie _gaexp auf Ihrem Gerät und teilte Expositionsinformationen mit Google Analytics. Daten wurden an Google LLC in die USA übertragen. Der Dienst wurde am 30. September 2023 eingestellt; sehen Sie diesen Hinweis, sind wir noch dabei, Altskripte zu entfernen. Sie können die Einwilligung jederzeit über unsere Cookie Einstellungen widerrufen.
Was Google Optimize setzt und kontaktiert
- Tracking-Methode
- JavaScript snippet (optimize.js) loaded via gtag.js or Google Tag Manager. Reads and writes first party cookies, communicates with Google Analytics to attribute variant exposure to events and conversions, and may delay page rendering using an anti-flicker snippet.
- Serverstandort
- United States (Google LLC global infrastructure)
- Datenübermittlung außerhalb der EU
- All Optimize traffic is routed through Google LLC servers in the United States. Google relies on the EU US Data Privacy Framework certification and Standard Contractual Clauses for transfers outside the DPF. Note: Google Optimize and Optimize 360 were sunset on 30 September 2023, however many legacy implementations still load the optimize.js snippet, which continues to read existing Google Analytics cookies and trigger US transfers until removed.
Gesetzte Cookies (5)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| _gaexp | Personalization / Experimentation | 90 days | Set by Google Optimize. Stores the experiment ID, variant index and expiry timestamp so that the visitor sees the same variant across sessions. Read on every page load by optimize.js to determine which variant to serve and to report exposure to Google Analytics. |
| _gaexp_rc | Personalization / Experimentation | Session | Set by Google Optimize during a redirect experiment to prevent infinite redirect loops. Holds the redirect chain identifier for the current variant. |
| _opt_awcid | Personalization / Experimentation | 24 hours | Set by Google Optimize when Google Ads click identifiers are present. Used to attribute experiment results back to specific Google Ads campaigns. |
| _opt_awmid | Personalization / Experimentation | 24 hours | Set by Google Optimize. Stores the Google Ads campaign ID for experiments that target paid traffic, allowing Optimize to report variant performance per campaign. |
| _opt_utmc | Personalization / Experimentation | 24 hours | Set by Google Optimize to store the utm_campaign value for the current session, enabling traffic source level analysis of experiment results. |
Kontaktierte Drittanbieter-Domains (5)
www.googleoptimize.comoptimize.google.comwww.google-analytics.comregion1.google-analytics.comstats.g.doubleclick.net
Häufige Fragen zu Google Optimize
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Google Optimize?
Google Optimize setzt das eigene _gaexp Cookie (Laufzeit 90 Tage) mit Experiment ID, Variantenindex und Ablaufdatum. Es liest zudem bestehende Google Analytics Cookies aus: _ga (2 Jahre), _gid (24 Stunden) und _ga_<MEASUREMENT_ID> (2 Jahre), um den Besucher zu identifizieren und die Variantenexposition mit Analytics Nutzerprofilen zu verknüpfen. Auch nach der Einstellung im September 2023 schreibt das Skript bei jedem Seitenaufruf _gaexp, sodass Cookie Audits Optimize bis zur Snippet Entfernung als aktiven Anbieter behandeln sollten.
Ist eine Einwilligung für das Laden von Google Optimize erforderlich?
Ja. Die Cookies _gaexp und die _ga Familie sind nicht zwingend erforderlich, um die Website auszuliefern, daher verlangt Art. 5 Abs. 3 ePrivacy Richtlinie eine vorherige, informierte Einwilligung, bevor optimize.js ausgeführt werden darf. Auch nach Produktende verstößt ein Laden ohne Einwilligung gegen ePrivacy und DSGVO. Die Einwilligung muss granular, freiwillig, ebenso leicht widerrufbar wie erteilbar sein und der Ablehnen Button so prominent wie der Akzeptieren Button.
Welche Rechtsgrundlage gilt für die Verarbeitung über Optimize?
Im Consumer Web ist allein die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO eine valide Rechtsgrundlage. Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f scheidet bei Tracking Cookies in der Regel aus, weil es die ePrivacy Einwilligungspflicht nicht ueberlagern kann und weil der EDSA wiederholt festgestellt hat, dass berechtigte Nutzererwartungen kein webseitenuebergreifendes Verhaltenstracking umfassen. Im internen Mitarbeitertest im Intranet kommt theoretisch Vertragserforderlichkeit in Betracht, ist aber ein enger Sonderfall.
Überträgt Google Optimize Daten in die USA?
Ja. Alle Optimize Anfragen gehen an Google LLC Server in den USA. Google ist nach dem EU US Data Privacy Framework selbstzertifiziert, das für EWR Transfers an zertifizierte US Importeure einen Angemessenheitsbeschluss bereitstellt. Das DPF bleibt umstritten und könnte wie sein Vorgänger Privacy Shield gekippt werden. Eine Transfer Impact Assessment ist weiterhin empfohlen, und die Datenschutzerklärung muss über den Transfer mit ausreichender Tiefe nach Art. 13 und 14 DSGVO informieren.
Brauche ich eine DSFA für Google Optimize?
Eine DSFA ist empfohlen, sobald Optimize geladen wird, insbesondere wegen der Kombination aus persistenten Online IDs, Verhaltensprofiling und US Transfer. Art. 35 DSGVO macht die DSFA verpflichtend, sobald die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt; EDSA und BfDI Leitfäden ordnen großflächiges Online Tracking entsprechend ein. Risiken, Maßnahmen (Einwilligung, Anonymisierung wenn möglich, Speicherbegrenzung) dokumentieren und mindestens jährlich prüfen.
Wie setze ich Optimize während der Entfernung rechtskonform um?
Das optimize.js Tag in einen CMP Trigger einbetten, der nur auslöst, wenn analytics_storage über Google Consent Mode v2 erteilt wurde. Den Anti Flicker Snippet abschalten, da er ohne aktive Experimente keinen Zweck mehr erfüllt. Aufrufe an www.google-analytics.com und www.googleoptimize.com vor Einwilligung per CMP Integration oder Server Side Tagging blockieren. Das verbliebene Skript im Verarbeitungsverzeichnis mit Zielentfernungsdatum und Verantwortlichem aufführen.
Welche Alternativen gibt es zu Google Optimize?
Google empfiehlt Partnerplattformen: AB Tasty, Optimizely Web, VWO und Dynamic Yield. Für EU Datenresidenz bieten Kameleoon (FR), Convert (NL), AB Tasty (FR) und selbst gehostetes GrowthBook reine EU Verarbeitung. Unabhängig vom Tool sind dieselben DSFA, Einwilligungs und Transferpruefungen erneut durchzuführen, weil der Rahmen mit Optimize identisch ist: Cookies, persistente IDs und je nach Konfiguration möglicherweise US Transfers.
Wie aktualisiere ich meine Cookie Richtlinie?
Listen Sie Optimize unter Analytics oder Personalisierungs Cookies, nennen Sie das _gaexp Cookie, geben Sie 90 Tage Laufzeit an und erklären Sie, dass es Variantenexpositionsinformationen speichert, die mit Google Analytics geteilt werden. Ergänzen Sie einen Hinweis, dass der Dienst von Google am 30. September 2023 eingestellt und das Skript entfernt wird. Prüfen Sie monatlich per Cookie Scanner; sobald _gaexp in keiner Session mehr erscheint, entfernen Sie den Eintrag aus der Richtlinie und aktualisieren Sie das Verarbeitungsverzeichnis.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.