Ist Google Analytics DSGVO-konform? Der vollständige GA4-Leitfaden

TL;DR

Google Analytics 4 ist standardmäßig nicht DSGVO-konform. Es setzt Cookies (_ga, _ga_<ID>), erhebt personenbezogene Daten (Cookie-Kennung, Nutzungsverhalten, Geräte- und ungefähre Standortdaten) und überträgt sie an Google, auch auf Server in den USA. Mehrere europäische Datenschutzbehörden haben 2022 gegen Google Analytics entschieden. Sie können GA4 dennoch rechtskonform einsetzen, wenn Sie es bis zur Einwilligung blockieren, Google Consent Mode v2 korrekt konfigurieren, die erhobenen Daten minimieren und die Verarbeitung dokumentieren. Ohne diese Maßnahmen trägt Ihre Website ein reales rechtliches Risiko.

Warum die Frage 2026 immer noch aktuell ist

Google Analytics ist nach wie vor das meistgenutzte Webanalyse-Tool der Welt, und seine DSGVO-Konformität beschäftigt die Aufsichtsbehörden seit Jahren. Das ist keine theoretische Debatte: Mehrere Datenschutzbehörden haben konkrete Einsätze von Google Analytics beanstandet, und es werden weiterhin Beschwerden eingereicht.

Das Problem hat zwei Ebenen, die oft vermischt werden:

• Die Einwilligung. GA4 speichert Kennungen im Browser der Besuchenden für einen Zweck, der nicht unbedingt erforderlich ist. Nach § 25 TDDDG (bis Mai 2024 TTDSG), der deutschen Umsetzung der ePrivacy-Richtlinie, ist dafür eine vorherige Einwilligung nötig.
• Die Übermittlung. Die Daten gehen an Google, ein US-Unternehmen. Ob diese Drittlandübermittlung zulässig ist, hängt vom jeweils geltenden Rechtsrahmen zwischen EU und USA ab.

Wer die eine Ebene löst, hat die andere noch nicht gelöst. Seit Juli 2023 haben Übermittlungen an Google wieder eine Rechtsgrundlage, die Einwilligungspflicht bleibt aber unverändert. Für Website-Betreiber lautet die entscheidende Frage also nicht, ob Google Analytics „gut“ oder „schlecht“ ist, sondern was konfiguriert werden muss, um es ohne Rechtsrisiko zu nutzen, und wann eine Alternative sinnvoller ist.

Was DSGVO und TDDDG von Analytics-Tools verlangen

Die DSGVO regelt seit Mai 2018 die Verarbeitung personenbezogener Daten. Sie gilt für jede Website, die Daten von Personen in der EU verarbeitet, unabhängig vom Hostingstandort. Das TDDDG ergänzt eine eigene Regel für Cookies und ähnliche Technologien: Wer Informationen auf einem Endgerät speichert oder ausliest, braucht eine Einwilligung, es sei denn, dies ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich.

Für ein Tool wie Google Analytics ergeben sich daraus fünf konkrete Pflichten:

1. Eine Rechtsgrundlage. Für Analyse-Cookies ist das die Einwilligung. Eine pauschale Ausnahme für Reichweitenmessung gibt es nicht.
2. Vorherige Blockierung. Das Script darf erst nach der Zustimmung laufen. GA4 beim Seitenaufruf vor jeder Entscheidung zu laden, ist der häufigste Verstoß, den Behörden feststellen.
3. Klare Information. Ihre Datenschutzerklärung muss angeben, was erhoben wird, warum, wie lange, durch wen und wie Betroffene ihre Rechte ausüben (Auskunft, Löschung, Widerruf der Einwilligung).
4. Abgesicherte Übermittlungen. Daten, die die EU verlassen, brauchen einen Rechtsmechanismus: Angemessenheitsbeschluss, Standardvertragsklauseln oder ergänzende Maßnahmen.
5. Rechenschaftspflicht. Sie müssen die Einwilligung nachweisen können und die Verarbeitung in Ihrem Verarbeitungsverzeichnis (Art. 30 DSGVO) dokumentieren.

Welche Cookies setzt GA4 und welche Daten erhebt es?

Die Cookies von GA4

Das Standard-GA4-Tag (gtag.js oder das GA4-Tag im Google Tag Manager) setzt First-Party-Cookies auf Ihrer Domain:

• _ga: eindeutige Besucherkennung, standardmäßig 2 Jahre gültig
• _ga_<ID> (<ID> ist das Ende Ihrer Mess-ID): speichert den Sitzungsstatus, ebenfalls 2 Jahre gültig

Findet ein Scan Ihrer Website zusätzlich _gid oder _gat_UA-..., stammen diese aus der alten Universal-Analytics-Bibliothek: Irgendwo läuft noch ein Alt-Tag, das entfernt werden sollte.

Zwei Jahre sind länger als die von der CNIL empfohlene Höchstdauer von 13 Monaten für einwilligungspflichtige Tracker. Sie können die Laufzeit mit dem Parameter cookie_expires des GA4-Tags verkürzen. Unser Beitrag zur Cookie-Speicherdauer und der 13-Monats-Regel erläutert die geltenden Grenzen.

Die erhobenen Daten

GA4 erfasst aufgerufene URLs, Interaktionsereignisse (Klicks, Scrollen, Formulare, Downloads), Sitzungsdaten, den ungefähren Standort sowie technische Angaben (Browser, Betriebssystem, Bildschirmgröße, Gerät). Google gibt an, dass GA4 keine IP-Adressen protokolliert oder speichert. Die IP wird aber zur Standortbestimmung genutzt, und schon die Cookie-Kennung allein ist ein personenbezogenes Datum im Sinne der DSGVO.

Google handelt als Auftragsverarbeiter für den Website-Betreiber, der Verantwortlicher bleibt. Sie entscheiden, Google Analytics einzubinden, also sind Sie rechtlich für die Konformität der Datenerhebung verantwortlich. Google stellt die Einstellungen bereit. Sie zu aktivieren und zu prüfen, ob alles tatsächlich funktioniert, ist Ihre Aufgabe.

Was die europäischen Behörden entschieden haben

Die Entscheidungen von 2022

Nach Beschwerden des Vereins noyb haben mehrere Behörden Websites mit Google Analytics (damals Universal Analytics) geprüft:

• Österreich (DSB, Januar 2022) stellte als erste Behörde fest, dass der Einsatz von Google Analytics gegen die Vorschriften der DSGVO zu internationalen Übermittlungen (Kapitel V) verstieß, gestützt auf das Schrems-II-Urteil des EuGH.
• Frankreich (CNIL, Februar 2022) sah einen Verstoß gegen Art. 44 DSGVO und forderte mehrere französische Websites auf, binnen eines Monats nachzubessern.
• Italien (Garante, Juni 2022) untersagte einer Website die weitere Nutzung von Google Analytics unter den bestehenden Bedingungen.
• Dänemark und Norwegen kamen zu ähnlichen Ergebnissen.

Alle diese Entscheidungen beruhen auf derselben Grundlage: der Aufhebung des Privacy Shield durch Schrems II im Juli 2020 und dem fehlenden Schutz vor US-Überwachungsprogrammen. Sie haben Google Analytics nicht grundsätzlich verboten, aber eines klargestellt: ohne vorherige Einwilligung, korrekte Konfiguration und Bewertung der Übermittlung keine Konformität.

Das Data Privacy Framework seit Juli 2023

Am 10. Juli 2023 hat die EU-Kommission das EU-US Data Privacy Framework (DPF) angenommen. Google ist danach zertifiziert, womit Übermittlungen an Google in die USA wieder eine Rechtsgrundlage haben. Im September 2025 hat das Gericht der EU eine Nichtigkeitsklage gegen das DPF abgewiesen (Latombe gegen Kommission). Dagegen ist ein Rechtsmittel beim EuGH anhängig (Rechtssache C-703/25 P), die dauerhafte Tragfähigkeit des Rahmens ist also weiterhin nicht gesichert. Dokumentieren Sie Ihre Bewertung der Drittlandübermittlung.

Vor allem betrifft das DPF nur die Übermittlung. Die Pflicht, vor dem Setzen der GA4-Cookies eine Einwilligung einzuholen, ist davon völlig unabhängig.

Gibt es eine Einwilligungsausnahme für GA4?

Die französische CNIL nimmt bestimmte Reichweitenmessungen von der Einwilligungspflicht aus, aber nur, wenn alle Bedingungen erfüllt sind: Zweck strikt auf Reichweitenmessung allein für den Betreiber begrenzt, keine Verknüpfung mit anderen Daten und kein seitenübergreifendes Tracking, keine Weitergabe an Dritte, IP-Anonymisierung vor jeder Verarbeitung, Tracker-Laufzeit höchstens 13 Monate und Datenaufbewahrung höchstens 25 Monate. In Deutschland ist die Ausnahme des § 25 Abs. 2 TDDDG für unbedingt erforderliche Zugriffe eng auszulegen und deckt Webanalyse in der Regel nicht ab. GA4 in der Standardkonfiguration übermittelt Daten an Google für eigene Zwecke und erfüllt solche Kriterien nicht. Tools wie Matomo können es in einer bestimmten Konfiguration. Der FlowConsent-Dienstkatalog zeigt diese Checkliste für jeden Dienst an, der als potenziell ausgenommen markiert ist.

So setzen Sie GA4 rechtskonform ein

GA4 mit den Standardeinstellungen zu installieren, reicht nicht. Diese sechs Schritte sind entscheidend.

Schritt 1: GA4 vor der Einwilligung blockieren

Das ist die wichtigste Regel. Das Google-Analytics-Script darf erst laden, wenn die Besuchenden Analyse-Cookies über Ihr Cookie-Banner akzeptiert haben. Ein Banner, das zwar erscheint, Scripts aber nicht tatsächlich blockiert, ist nicht konform.

Zur Prüfung öffnen Sie Ihre Website in einem privaten Fenster und sehen sich die Netzwerkanfragen an, bevor Sie das Banner berühren. Sehen Sie Anfragen an google-analytics.com oder googletagmanager.com, die _ga setzen, laden Ihre Scripts vor der Einwilligung.

Schritt 2: Consent Mode v2 konfigurieren

Google Consent Mode v2 teilt den Google-Tags mit, was die Besuchenden akzeptiert haben. Seit März 2024 ist er Voraussetzung, um Mess- und Remarketing-Funktionen für Traffic aus dem EWR zu behalten. Er nutzt vier Signale: analytics_storage, ad_storage, ad_user_data und ad_personalization. Alle vier müssen für europäische Besuchende standardmäßig auf denied stehen und von Ihrer CMP nach der Entscheidung aktualisiert werden.

Verstehen Sie die beiden Modi, bevor Sie sich entscheiden:

• Basic-Modus: Google-Tags laden vor der Einwilligung überhaupt nicht. Lehnt jemand ab, geht nichts an Google.
• Advanced-Modus: Die Tags laden mit abgelehnter Einwilligung und senden cookielose Pings, die Google zur Modellierung von Conversions nutzt. Es werden keine Cookies geschrieben, aber dennoch Daten an Google übermittelt, was manche Behörden und Fachleute kritisch sehen. Klären Sie diese Wahl mit Ihrem Datenschutzbeauftragten.

Mit FlowConsent setzt ein Inline-Script die Standardwerte aller vier Signale auf denied, bevor irgendein Google-Tag lädt. Das Banner sendet anschließend das Update, sobald die Besuchenden entscheiden. Eine Ablehnung führt zu cookielosen Pings (gcs=G100) und keinen Cookies.

Schritt 3: GA4 auf Datensparsamkeit einstellen

In der GA4-Verwaltung:

• Datenaufbewahrung: Standard-Properties bieten 2 Monate (Voreinstellung) oder 14 Monate für Daten auf Ereignisebene, die in explorativen Analysen genutzt werden. Bleiben Sie bei 2 Monaten, sofern Sie keine längeren Auswertungen brauchen. Standardberichte sind von dieser Einstellung nicht betroffen.
• Google Signals: Deaktivieren Sie es, wenn Sie keine geräteübergreifenden Berichte oder kein Remarketing benötigen. Es verarbeitet zusätzliche Daten aus angemeldeten Google-Konten und erfordert eine gesonderte Information.
• Anzeigenpersonalisierung: Lassen Sie sie deaktiviert, wenn Sie kein Google-Ads-Remarketing betreiben.
• Detaillierte Standort- und Gerätedaten: Deaktivieren Sie deren Erfassung in der EU, wenn Ihre Analyse sie nicht braucht.

Keine dieser Einstellungen ersetzt die Einwilligung. Sie verringern die Datenmenge, nachdem eingewilligt wurde.

Schritt 4: GA4 richtig laden, mit oder ohne GTM

Nutzen Sie den Google Tag Manager, muss das Snippet Ihrer CMP im <head> oberhalb des GTM-Containers stehen, niemals als Tag innerhalb von GTM, und Ihr GA4-Tag muss den Einwilligungsstatus prüfen. Unsere Installationsanleitung für GTM und der Beitrag zu Google Tag Manager und Consent Mode v2 beschreiben die Einrichtung im Detail.

Binden Sie das GA4-Snippet direkt in Ihre Website ein, muss Ihre CMP es bis zur Zustimmung blockieren, und ihr eigenes Snippet muss als erstes im <head> stehen: Jedes Script darüber entgeht der Vorabblockierung. Prüfen Sie außerdem, ob GA4 nicht über die Einstellungen Ihres Hosters oder Website-Baukastens eingebunden wird, außerhalb der Kontrolle des Banners.

Daten, die Ihr Server sendet (etwa über das GA4 Measurement Protocol), entgehen jedem Banner. Sie müssen derselben Einwilligungsentscheidung folgen: siehe unseren Beitrag zu Server-Side Tagging und Einwilligung.

Schritt 5: Datenschutzerklärung und Verarbeitungsverzeichnis aktualisieren

Ihre Datenschutzerklärung muss Google Analytics und Google Ireland Ltd als Anbieter nennen, dazu die erhobenen Daten, die Rechtsgrundlage (Einwilligung), die Speicherdauer, die Übermittlung in die USA samt Rechtsrahmen (DPF) und die Betroffenenrechte einschließlich des Widerrufs. Tragen Sie die Verarbeitung in Ihr Verzeichnis nach Art. 30 DSGVO ein und bewahren Sie Ihre Bewertung der Drittlandübermittlung auf.

Schritt 6: Eine CMP nutzen, die blockiert und Nachweise speichert

Ihre Consent-Management-Plattform muss Scripts vor der Einwilligung blockieren, die Signale des Consent Mode v2 übermitteln, den Einwilligungsnachweis speichern und jederzeit einen Widerruf ermöglichen. Achten Sie bei der Auswahl einer CMP darauf, dass sie die technische Blockierung übernimmt und nicht nur ein Banner anzeigt. FlowConsent geht einen Schritt weiter: Die Konformitätsprüfung lädt Ihre Seiten mit abgelehnter Einwilligung und listet alles auf, was trotzdem ausgelöst wird. So können Sie belegen, dass GA4 nach einer Ablehnung stumm bleibt.

Häufige Fehler (und wie Sie sie vermeiden)

GA4 lädt ohne Bedingung im `<head>`. Script und _ga-Cookie werden beim Seitenaufruf ausgelöst, vor dem Banner. Lösung: das Tag über die CMP blockieren oder in GTM mit Consent Mode v2 an die Einwilligung knüpfen.

Sich allein auf den Consent Mode verlassen. Der Consent Mode steuert Google-Tags, blockiert aber keine Drittanbieter-Scripts. Meta Pixel, TikTok und andere Tracker muss Ihre CMP gesondert blockieren. Wie die verschiedenen Cookie-Arten funktionieren, erklärt unser eigener Leitfaden.

IP-Anonymisierung als Ersatz für die Einwilligung ansehen. GA4 speichert keine IP-Adressen, die dauerhafte _ga-Kennung erfordert aber trotzdem eine vorherige Einwilligung. Das sind zwei getrennte Fragen.

Ein Banner ohne gleichwertige Ablehnungsoption verwenden. Die europäischen Aufsichtsbehörden verlangen, dass Ablehnen so einfach ist wie Akzeptieren. Ein großer Akzeptieren-Button neben einem kleinen Link „Einstellungen“ ist nicht konform.

Nach der Konfiguration nicht testen. Viele Websites zeigen ein korrektes Banner, prüfen aber nie, ob die Scripts wirklich blockiert werden. Führen Sie nach jeder Änderung einen Cookie-Scan durch, auch nach Änderungen durch das Marketing.

DSGVO-freundliche Alternativen zu Google Analytics

Ist die Konfiguration von GA4 für Ihre Organisation zu aufwendig oder möchten Sie Übermittlungen in die USA vermeiden, gibt es andere Optionen:

• Matomo, selbst gehostet oder in der EU gehostet, lässt sich sehr datensparsam betreiben. Ob eine einwilligungsfreie Nutzung möglich ist, hängt von der Konfiguration und der Rechtslage im jeweiligen Land ab. Unser Beitrag zu Matomo und Cookies erklärt die Details.
• Cookielose Analyse-Tools messen Traffic ohne Kennungen. Sie liefern weniger Details, kommen aber teilweise ohne Banner aus: siehe unseren Leitfaden zu Cookieless Analytics.

Ohne Einwilligung geht es nur, wenn das Tool anonyme, aggregierte Statistiken erzeugt, ohne Übermittlung außerhalb der EU und ohne Weiterverwendung durch den Anbieter. In allen anderen Fällen bleibt die Einwilligung Pflicht.

Checkliste: GA4 DSGVO-konform einsetzen

• GA4- oder GTM-Script standardmäßig über Ihre CMP blockieren.
• Consent Mode v2 mit allen vier Signalen standardmäßig auf denied für den EWR konfigurieren.
• Im privaten Fenster prüfen, dass vor der Zustimmung kein _ga-Cookie gesetzt wird.
• Alte Universal-Analytics-Tags entfernen (Cookies _gid, _gat_).
• Die Laufzeit des _ga-Cookies auf höchstens 13 Monate verkürzen.
• Die GA4-Datenaufbewahrung bei 2 Monaten belassen, sofern Sie nicht 14 brauchen.
• Google Signals und Anzeigenpersonalisierung deaktivieren, wenn Sie sie nicht nutzen.
• GA4 und Google Ireland Ltd in der Datenschutzerklärung nennen, mit Übermittlung und DPF-Abdeckung.
• Die Verarbeitung im Verzeichnis nach Art. 30 DSGVO eintragen und die Übermittlungsbewertung dokumentieren.
• Dieselbe Einwilligungsentscheidung auf serverseitig gesendete Daten anwenden.

Fazit

Google Analytics 4 lässt sich DSGVO-konform einsetzen, verlangt aber eine sorgfältige Konfiguration: Scripts vor der Einwilligung blockiert, Consent Mode v2 standardmäßig auf denied, datensparsame GA4-Einstellungen, eine aktuelle Datenschutzerklärung und eine CMP, die Nachweise speichert. Beginnen Sie mit einem kostenlosen Scan Ihrer Website, um Scripts zu finden, die vor der Einwilligung laden, sowie nicht deklarierte Cookies, und beheben Sie sie Schritt für Schritt.