Technical Compliance
Google Analytics DSGVO
Was EU- und DE-Operatoren bei GA4 prüfen sollten: Consent vor dem Laden, Verträge, Konfiguration und wann ein anderer Analytics-Stack besser passt.
Kurz gesagt
- GA4 auf einer DE/EU-Site braucht in der Regel vorherige Einwilligung, bevor die Library lädt oder Kennungen setzt. Ein Banner, das dekoriert, während GA beim Page-Load feuert, fällt im technischen Test durch.
- IP-Anonymisierung (oder ähnliche Schalter) reduziert Risiko-Signale. Allein ersetzen sie weder Consent noch einen Auftragsverarbeitungsvertrag noch Transfer-Dokumentation, wenn personenbezogene Daten den EWR verlassen.
- Google Analytics wird unter der DSGVO breit genutzt, wenn Consent, Verträge und Konfiguration zusammenpassen. Aufsichtsbehörden haben historisch bestimmte Setups kritisiert. Es gibt keinen Satz, der jedes GA-Install überall für rechtswidrig erklärt.
- Für den weiteren Website-Stack: DSGVO Website Checkliste. Für einen technischen Pass: DSGVO-Audit.
Für wen das ist
Operatoren, die GA4 schon nutzen oder entscheiden, ob sie es behalten.
Marketing- und Produktteams in Deutschland und der EU stellen eine knappe Frage: „Ist Google Analytics illegal?“ Die ehrliche Antwort ist operational: Consent, Vertrag und Konfiguration entscheiden, ob Ihr Setup verteidigbar ist, und Ihr Anwalt bestätigt das für Ihre Entity.
Diese Seite stützt das kommerzielle DSGVO-Audit. Sie passt zu Cookie-Banner-Anforderungen in Deutschland. Sie erfindet keine Fallzitate und behauptet kein pauschales Verbot.
GA4, das vor dem Akzeptieren lädt, misst ohne Wahl. Consent heißt: das Script wartet.
Consent vor dem Laden
Die GA-Library blockieren, bis der Besucher zustimmt.
Für die meisten Marketing- und Verhaltens-Analytics erwartet die DSGVO eine freiwillige, bestimmte, informierte, eindeutige Opt-in. Auf einer Website heißt das: gtag/GTM-Tags, die Hits an Google Analytics senden, erst laden, wenn Analytics-Consent erteilt ist.
Im Privatfenster mit „Alles ablehnen“ testen. Sie sollten keine GA-Network-Calls und keine Client-ID-Cookies von Analytics sehen. Wenn Hits vor jedem Klick erscheinen: zuerst Blocking fixen (CMP-Auto-Block, korrekt verdrahteter Consent Mode oder hard-codierte Snippets entfernen).
Schweigen beim ersten Besuch ist der Default. Banner schließen ohne Akzeptieren hält GA aus. Details zu gleichwertigem Ablehnen und ohne Vorauswahl: Cookie-Banner-Artikel.
Operator-Checkliste
Sieben GA4-Checks für DSGVO-orientierte EU-Sites.
01
Consent-Gate vor jedem GA-Request
Frischer Browser, alles ablehnen: null Hits an analytics.google.com / googletagmanager zu Ihrer Measurement-ID. Analytics akzeptieren: Hits erscheinen. Widerrufen: nächster Load bleibt ruhig.
02
Ein Injektionspfad
GTM oder ein einzelnes Site-Plugin oder ein Theme-Snippet wählen. Doppelte Injektoren umgehen die CMP und erzeugen „Ghost“-Hits. WordPress stapelt oft Site Kit, Theme-Snippet und GTM gleichzeitig.
03
Auftragsverarbeitung mit Google
Die Datenverarbeitungsbedingungen von Google für Analytics im Admin-/Account-Pfad Ihrer Property akzeptieren. Nachweis (Screenshot oder Datum) in Ihrer Processor-Akte halten.
04
Datenschutzerklärung zur Realität passend
Google Analytics / GA4, Zwecke, Datenkategorien, von Ihnen genutzte Retention und die Rolle von Google (Auftragsverarbeiter bzw. nach Anwaltslage) nennen. Aktualisieren, wenn Ads-Features oder BigQuery-Export dazukommen.
05
Transfers und Konfigurationshygiene
Internationale Transfer-Instrumente dokumentieren, auf die Ihr Anwalt setzt (z. B. Angemessenheit / SCCs, soweit anwendbar). Google-Signale, Ads-Personalisierung, Retention und Features prüfen, die Sharing erweitern. IP-Anonymisierungs-Schalter helfen; sie ersetzen weder Consent noch Verträge.
06
Zugriffskontrolle und Aufbewahrung
Begrenzen, wer Rohreports sieht. Retention auf das setzen, was Sie wirklich brauchen. Alte Properties löschen oder archivieren, damit verwaiste Measurement-IDs nicht im Theme bleiben.
07
Retest nach Marketing-Stack-Änderungen
Neue GTM-Container-Version, neues WordPress-Plugin, neues Consent-Tool: Privatfenster-Test erneut. Compliance verfällt, wenn Growth-Tools ohne Blocking-Check live gehen.
IP-Anonymisierung
Nützliche Härtung. Als alleinige Kontrolle unvollständig.
IP-Adressen kürzen oder anonymisieren reduziert eine Kennung. GA4 nutzt typischerweise weiterhin Client-IDs und Event-Daten, die im EU-Kontext personenbezogen sein können. Anonymisierung als Hygiene in einem consentierten, vertraglich abgesicherten Setup behandeln, Rechtsgrundlagen und Hinweise mit dem Anwalt klären.
Wenn jemand sagt „wir haben anonymize IP an, also sind wir fertig“, nach dem Network-Test mit Ablehnen und nach den akzeptierten Verarbeitungsbedingungen fragen. Diese zwei Artefakte entscheiden mehr als ein einzelner Schalter.
Alternativen (kurz)
Wenn Teams messen wollen und den Stack wechseln.
| Option | Was sie oft bringt | Trade-off einplanen |
|---|---|---|
| Matomo (self-hosted oder sorgfältig konfigurierte Cloud) | Mehr Kontrolle über Hosting-Ort und Processor | Ops-Kosten; Consent kann je nach Setup trotzdem nötig sein |
| Plausible / ähnliche privacy-orientierte Tools | Kleinerer Cookie-Footprint; oft einfachere Hinweise | Weniger Produkt-Analytics-Features als GA4 |
| Server-side Tagging / First-Party-Collection | Engere Kontrolle darüber, was den Browser verlässt | Engineering-Kosten; Rechtsgrundlage und Hinweise bleiben nötig |
| GA4 behalten mit strengem Consent + Verträgen | Vertraute Reports und Marketing-Integrationen | Laufende CMP-Disziplin und Transfer-Dokumentation |
Audit vs. Selbstcheck
Smoke-Test bei jedem Release. Audit, wenn die Stakes steigen.
Nach jeder GTM- oder Plugin-Änderung Consent-Blocking erneut prüfen. Vor Enterprise-Security-Fragebogen, Funding-Diligence oder einem Jahr unkontrollierter Tags ein technisches DSGVO-Audit beauftragen. Auf Cookies, Formulare und AVV weiten mit der Website-Checkliste. Kostenrahmen: DSGVO-Audit Kosten.
Häufige Fragen
Was man zu Google Analytics und DSGVO fragt.
Ist Google Analytics in Deutschland illegal?
Es gibt keine pauschale Regel, dass jedes Google-Analytics-Install in Deutschland rechtswidrig ist. Aufsichtsbehörden haben in verschiedenen Phasen bestimmte Konfigurationen kritisiert oder dagegen vorgegangen (z. B. schwacher Consent, fehlende Verträge oder ungeklärte Transfers). Ob Ihr GA4-Setup vertretbar ist, hängt von Consent vor dem Laden, Verarbeitungsbedingungen, Transfer-Dokumentation, Konfiguration und der Einschätzung Ihres Anwalts für Ihre Entity ab. Schlagzeilen à la „überall illegal“ sind unvollständig.
Braucht GA4 Cookie-Consent in der EU?
Für typische Verhaltens-Analytics auf Marketing-Sites: ja, vorherige Einwilligung einholen, bevor GA lädt und Analytics-Kennungen setzt. Notwendige Site-Funktionen sind eine andere Kategorie. Siehe Cookie Banner DSGVO in Deutschland.
Reicht IP-Anonymisierung für die DSGVO?
Als alleinige Maßnahme nein. Sie kann Risiko reduzieren. Sie brauchen weiterhin eine Rechtsgrundlage (für diesen Use Case meist Einwilligung), transparente Hinweise, einen Auftragsverarbeitungsvertrag und dokumentierte Transfers, soweit anwendbar.
Brauchen wir einen AVV mit Google für Analytics?
Ja im üblichen Verantwortlicher–Auftragsverarbeiter-Modell: die Datenverarbeitungsbedingungen von Google für die genutzten Analytics-Dienste akzeptieren und aufbewahren, Google in Processor-Liste und Datenschutzerklärung führen.
Können wir Google Analytics ohne Cookies nutzen?
Cookieless- oder reduzierte Storage-Modi ändern den technischen Footprint. Sie entfernen DSGVO-Pflichten nicht automatisch, wenn Sie weiterhin personenbezogene Daten verarbeiten. Die tatsächlich gesendeten Kennungen und Events prüfen, dann Consent und Hinweise mit dem Anwalt entscheiden.
Welche praktischen Alternativen zu GA4 gibt es in der EU?
Teams prüfen oft Matomo, privacy-orientierte Tools wie Plausible oder Server-side / First-Party-Collection. Jede Option braucht weiterhin Rechtsgrundlage, treffende Hinweise und einen Owner, der den Stack hält. Das Tool an die Entscheidungen anpassen, die Sie aus den Daten wirklich treffen.
Hier starten
Bereit fürs Gespräch.Schicken Sie uns die Eckdaten.
oder 15-Minuten-Gespräch buchen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die Seite, den Workflow oder das Backlog, das gerade stört. Wir sagen Ihnen, ob ein Scope-Gespräch, eine kurze Diagnose oder ein anderer erster Schritt passt.