Google Analytics DSGVO-konform einbinden

Google Analytics 4 setzt Cookies bzw. liest Kennungen aus dem Endgerät und überträgt Nutzungsdaten an Google (USA). Das ist kein technisch notwendiger Vorgang.

Praktisch heißt das: Der Google-Analytics-Tag darf erst ausgeführt werden, nachdem die Besucher:innen aktiv zugestimmt haben. Ein Banner, das nur eingeblendet wird, während GA im Hintergrund bereits lädt, erfüllt die Anforderung aus § 25 Abs. 1 TDDDG nicht — entscheidend ist, dass vor der Zustimmung kein Skript von googletagmanager.com oder google-analytics.com geladen und keine Kennung gesetzt wird.

Auch mit funktionierender Einwilligung bleibt der Transfer in die USA ein eigener Prüfpunkt: Seit dem EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) ist der Transfer zu Google LLC grundsätzlich abgesichert, solange Google unter dem Framework zertifiziert ist. In der Datenschutzerklärung gehören trotzdem Empfänger, Zweck, Rechtsgrundlage (Einwilligung), Speicherdauer und die Transfergrundlage genannt.

Wer Google Consent Mode v2 einsetzt, sollte den Unterschied zwischen „basic“ und „advanced“ kennen: Im Advanced-Modus sendet GA schon vor der Einwilligung anonyme, cookielose Pings. Ob das mit § 25 TDDDG vereinbar ist, wird unter Datenschützer:innen unterschiedlich bewertet — der Basic-Modus (gar keine Kommunikation vor Zustimmung) ist die konservativere Wahl.

Zwei GA4-Einstellungen sind datenschutzrechtlich besonders relevant und stehen standardmäßig ungünstig: „Google-Signale“ (Verwaltung → Dateneinstellungen → Datenerfassung) verknüpft das Verhalten mit angemeldeten Google-Konten für geräteübergreifendes Tracking und Werbe-Zielgruppen — für eine reine Reichweitenmessung sollte sie aus bleiben. Und die „Aufbewahrung von Ereignisdaten“ (Dateneinstellungen → Datenaufbewahrung) steht auf 2 Monaten als datensparsamer Wert; 14 Monate sind das Maximum und nur mit dokumentierter Begründung vertretbar. Die Option „Bei neuer Aktivität zurücksetzen“ verlängert die Speicherung faktisch unbegrenzt und sollte deaktiviert sein.

Server-side Tagging (GA4 über einen eigenen Google-Tag-Manager-Server-Container) ist kein Weg um die Einwilligung herum. Der Messwert-Hit wird zwar über die eigene Domain gesendet, aber die Client-ID wird weiterhin im Browser gesetzt bzw. gelesen, und die Daten landen am Ende trotzdem bei Google. Der Nutzen liegt in besserer Datenqualität und Kontrolle über die Weitergabe — die Consent-Prüfung muss der Server-Container genauso durchsetzen wie der clientseitige Tag.

Ist das ein Risiko?

Der Zugriff auf das Endgerät für Analyse-Zwecke ist nach § 25 Abs. 1 TDDDG nur mit vorheriger Einwilligung zulässig; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. a DSGVO. Ohne funktionierende Einwilligung (Tool lädt trotz Ablehnung, oder kein Banner) fehlt die Rechtsgrundlage. Aufsichtsbehörden haben Analytics-Einbindungen ohne Consent wiederholt beanstandet.

Was du tun kannst

• Ein Consent-Tool einsetzen, das den Analytics-Tag erst nach aktiver Einwilligung ausführt (nicht nur den Banner einblendet).
• GA4 mit IP-Anonymisierung und ohne Google-Signale betreiben, Datenaufbewahrung auf das Minimum stellen.
• In der Datenschutzerklärung Google als Empfänger, Zweck (Reichweitenmessung), Rechtsgrundlage (Einwilligung), Speicherdauer und USA-Transfer benennen.
• Prüfen, ob GA vor dem Klick auf „Akzeptieren“ lädt — Entwicklertools, Tab „Netzwerk“, im privaten Fenster.

Häufige Fragen

Reicht Google Analytics mit IP-Anonymisierung ohne Cookie-Banner?

Nein. GA4 anonymisiert IP-Adressen zwar standardmäßig, setzt aber weiterhin Kennungen im Endgerät bzw. liest sie aus. Das ist nach § 25 Abs. 1 TDDDG einwilligungspflichtig, unabhängig von der IP-Kürzung.

Ist Google Analytics 4 nach dem Data Privacy Framework wieder unbedenklich?

Der USA-Transfer ist über das DPF grundsätzlich abgesichert, solange Google zertifiziert bleibt. Die Einwilligungspflicht für den Zugriff auf das Endgerät besteht davon unabhängig weiter.

Wie prüfe ich, ob GA vor der Einwilligung lädt?

Im privaten Fenster die Seite öffnen, die Entwicklertools im Tab „Netzwerk“ nach „google“ filtern und die Seite laden, ohne den Banner zu bestätigen. Erscheinen Anfragen an google-analytics.com oder googletagmanager.com, feuert der Tag zu früh.

Was passiert bei einem Verstoß?

Aufsichtsbehörden können die Verarbeitung untersagen und Bußgelder verhängen; betroffene Personen können Schadenersatz nach Art. 82 DSGVO geltend machen. In der Praxis stehen zunächst Beschwerden und behördliche Aufforderungen im Vordergrund.

Muss ich einen Auftragsverarbeitungsvertrag mit Google abschließen?

Ja. Für Google Analytics gelten die „Google Ads Data Processing Terms“ bzw. die Analytics-spezifischen Zusatzbedingungen als AVV nach Art. 28 DSGVO. Sie sind im Google-Konto zu akzeptieren und im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren.

Wie lange darf ich Google-Analytics-Daten speichern?

Die auf Nutzer- und Ereignisebene gespeicherten Daten sollten auf die kürzeste sinnvolle Frist gestellt werden — in GA4 sind das 2 Monate, maximal 14 Monate mit Begründung. Aggregierte Standardberichte bleiben davon unberührt und weiterhin verfügbar.

Wie consentglass hilft

Der kostenlose Scan prüft das ausgelieferte HTML und zeigt, welche Dienste eingebunden sind, ob ein Cookie-Banner erkannt wird und ob Datenschutz- und Impressum-Link vorhanden sind — mit Einordnung je Fund. Er ersetzt keine Rechtsberatung.