Ab dem 16. November nimmt der Google Ads Data Manager Kundenlisten verschlüsselt an und verlangt kein Hashing mit SHA-256 mehr. Angekündigt hat Google den Wechsel in einer Mail an Werbekunden, die seit dem 18. Oktober öffentlich ist. Unternehmen, die E-Mail-Adressen und Telefonnummern zu Google hochladen, sollten vor allem ihre Datenschutzdokumentation prüfen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
„Ab dem 16. November 2026 verlangen wir für Google Ads Data Manager keine gehashten Kundendaten (SHA-256) mehr“, schreibt Google in der undatierten Mail. Anthony Higman, Gründer der US-Agentur Adsquire, zeigte das Schreiben am 18. Oktober auf LinkedIn, das Branchenportal PPC Land berichtete zuerst darüber. Auf den Hilfeseiten von Google fehlte die Umstellung am 19. Oktober noch.
Das Wichtigste in Kürze
- Google Ads Data Manager verlangt laut einer Mail an Werbekunden ab dem 16. November keine mit SHA-256 gehashten Kundendaten mehr.
- Google entschlüsselt die Listen dann in einer abgeschotteten Rechenumgebung und gleicht sie dort mit Google-Konten ab.
- Betroffen sind Kundenabgleich und erweiterte Conversions über alle vier Zugänge des Data Managers.
- Ob gehashte Uploads weiterlaufen, sagt die Mail nicht.
Was ändert sich im Data Manager?
Bisher schreiben Werbetreibende jede E-Mail-Adresse klein, entfernen Leerzeichen, bringen Telefonnummern ins internationale Format E.164 mit Ländervorwahl und hashen das Ergebnis mit SHA-256.[1] Die Einwegfunktion lässt sich nicht direkt zurückrechnen. Google gleicht diesen Wert mit den ebenso gehashten Daten der Google-Konten ab.
Künftig gehen die Listen laut der Mail verschlüsselt zu Google, egal ob über CRM-Verbindung, Cloud-Speicher, Datei-Upload oder Data Manager API. In einer per Hardware abgeschotteten Ausführungsumgebung (Trusted Execution Environment) entschlüsselt Google die Datensätze, bringt sie ins einheitliche Format und gleicht sie mit den Konten ab.
Bis dahin bleibt die Verschlüsselung laut Data-Manager-Hilfe eine freiwillige Zusatzstufe, gehasht wird auch in diesem Verfahren.[2] Offen lässt die Mail, ob gehashte Uploads nach dem Stichtag weiterlaufen und ob sich die Voreinstellung abwählen lässt.
Warum gibt Google das Hashing auf?
Beim Hashing zählt jedes Zeichen. Ein Leerzeichen am Ende oder eine fehlende Ländervorwahl ergeben einen völlig anderen Wert, der zu keinem Konto passt. An der Trefferquote sehen Werbetreibende nicht, welche Zeilen am Format scheiterten und welche schlicht zu Kunden ohne Google-Konto gehören. Google verspricht einen genaueren Abgleich, nennt aber keine Zahl.
Mit dem Wechsel holt Google einen Arbeitsschritt, den Unternehmen und CRM-Anbieter bisher selbst erledigten, in die eigene Infrastruktur. Ähnlich geht Google Ads seit dem 12. Oktober bei Website-Rabatten vor, die automatisch in Anzeigen erscheinen. Wie weit Google persönliche Daten für Werbung nutzt, zeigt zudem der Test von Anzeigen im KI-Modus der Google-Suche, die Daten aus Gmail nutzen.
So läuft der Abgleich
Vom 16. November an verlassen Kundenlisten das Unternehmen verschlüsselt statt gehasht, und genau diesen Unterschied muss die Datenschutzdokumentation erklären.
Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet der Wechsel für die DSGVO-Dokumentation?
Anonym waren gehashte Kundenlisten nie. Ein Hashwert ist im Sinne der DSGVO ein Pseudonym und bleibt personenbezogen, solange sich die Person mit zusätzlichem Wissen zuordnen lässt.[3] Google besitzt dieses Wissen, sonst fände der Abgleich keinen Treffer.
Für Kundenabgleich und erweiterte Conversions bleibt Google Auftragsverarbeiter.[4] Manche Datenschutz-Folgenabschätzungen gehen laut PPC Land aber davon aus, dass nur Hashwerte das Unternehmen verlassen. Mit dem Stichtag trifft diese Annahme für Data Manager nicht mehr zu. Die Einwilligung für Daten aus der Website übermitteln Betreiber weiterhin über den Consent Mode v2.
Was sollten Werbetreibende bis zum 16. November prüfen?
- Bestand aufnehmen: Erfassen Sie, welche Kundenlisten und Offline-Conversions über Data Manager laufen.
- Dokumente anpassen: Verarbeitungsverzeichnis, Folgenabschätzung und Datenschutzhinweise sollten nicht mehr behaupten, dass nur Hashwerte zu Google gehen.
- Trefferquote notieren: Halten Sie die heutige Trefferquote jeder Liste fest, um den versprochenen Zugewinn zu messen.
- Nachfragen: Klären Sie gerne mit Google und Ihrem CRM-Anbieter, ob gehashte Uploads weiterlaufen und ob sich die Voreinstellung abwählen lässt.
Grundbegriffe der Suchmaschinenwerbung erklärt unser SEM-Glossar, Hilfe beim Umbau der Datenflüsse finden Sie im Google-Ads-Agentur-Vergleich.
FAQ: Google Ads will ab 16. November keine gehashten Kundendaten mehr verlangen
Muss ich Kundenlisten für Google Ads noch hashen?
Bis zum 15. November verlangt Google Ads Data Manager Hashwerte nach SHA-256. Ab dem 16. November nimmt Google die Listen laut einer Mail an Werbekunden standardmäßig verschlüsselt an. Ob gehashte Uploads danach unverändert weiterlaufen, sagt die Mail nicht.
Was ist ein Hashwert beim Kundenabgleich?
Ein Hashwert ist eine Zeichenfolge fester Länge, in Hexadezimalschreibweise 64 Zeichen, die SHA-256 aus einer E-Mail-Adresse oder Telefonnummer errechnet. Dieselbe Eingabe ergibt immer denselben Wert. Google gleicht ihn mit den ebenso gehashten Kontodaten ab, schon ein Leerzeichen zu viel verhindert den Treffer.
Gilt die Umstellung auch für erweiterte Conversions über das Website-Tag?
Die Mail nennt nur Daten, die über Data Manager kommen: CRM-Verbindungen, Cloud-Speicher, direkt hochgeladene Dateien und die Data Manager API. Das Website-Tag hasht Kundendaten laut Google-Ads-Hilfe vor dem Senden. Eine Änderung für diesen Weg kündigt Google bisher nicht an.
Was ist eine Trusted Execution Environment?
Eine Trusted Execution Environment ist ein per Hardware abgeschotteter Bereich eines Prozessors. Weder Betriebssystem noch Serverbetreiber sollen auf die Daten darin zugreifen können. Google nutzt solche Umgebungen seit 2024 für den sogenannten vertraulichen Abgleich, bei dem auch Google die Daten nicht einsehen soll.
Gilt die Änderung im Data Manager auch in Deutschland?
Der öffentlich gewordene Teil der Mail nennt keine Einschränkung auf einzelne Länder und richtet sich an Konten, die Data Manager für Kundenabgleich und erweiterte Conversions nutzen. Eine eigene Aussage für den Europäischen Wirtschaftsraum fehlt bisher.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Google for DevelopersFormat user data (Data Manager API, abgerufen am 19.10.2026)
- Data-Manager-HilfeVertraulicher Abgleich mit Verschlüsselung (abgerufen am 19.10.2026)
- EUR-LexVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 5 und Erwägungsgrund 26
- Google Business Data ResponsibilityGoogle Ads Data Protection Terms: Service Information (abgerufen am 19.10.2026)
Mehr Newshunger?
- Google Ads API erscheint ab Version 26 zweimal im Monat
- Google Shopping führt die neue Vergleichsbox der EU-Suche an
- Unscharfe Produktbilder sperren Shopping-Anzeigen nicht mehr
- AI Max: Google Ads zeigt KI-Anzeigentexte vor dem Einschalten
- Google Ads öffnet Conversion Lift für Suche und Performance Max
- Google Ads Performance Max
