DSGVO und Google Analytics: Sind Sie wirklich konform?

Das eigentliche Problem mit Google Analytics und der DSGVO

Wenn Sie Google Analytics auf Ihrer Website einsetzen, passiert Folgendes: Jedes Mal, wenn ein Besucher Ihre Seite aufruft, wird seine IP-Adresse an Google-Server in den USA übermittelt. Die IP-Adresse ist nach der DSGVO ein personenbezogenes Datum — sie kann einer konkreten Person zugeordnet werden. Diese Übermittlung in die USA erfordert eine gültige Rechtsgrundlage nach Kapitel V der DSGVO.

Genau hier beginnt der Konflikt — und er ist nicht nur theoretisch. Österreich, Frankreich und Italien haben konkrete Entscheidungen getroffen.

Die Entscheidungen der europäischen Datenschutzbehörden

Österreich (Januar 2022)

Die österreichische Datenschutzbehörde (DSB) entschied im Januar 2022 als erste europäische Behörde: Der Einsatz von Google Analytics auf einer österreichischen Website ist rechtswidrig. Begründung: Die Datenübermittlung an Google LLC in den USA bietet keinen ausreichenden Schutz gegen US-Geheimdienstzugriffe. Das Privacy Shield war bereits durch Schrems II gefallen, und Standardvertragsklauseln allein reichten nicht aus.

Frankreich (Februar 2022)

Die französische Datenschutzbehörde CNIL folgte im Februar 2022 mit einer formellen Warnung. Mehrere französische Website-Betreiber wurden aufgefordert, innerhalb von 30 Tagen den Einsatz von Google Analytics einzustellen oder konforme Alternativen zu finden. CNIL stellte klar: Auch IP-Anonymisierung in Google Analytics ändert nichts daran, dass personenbezogene Daten übermittelt werden.

Italien (Juni 2022)

Die italienische Datenschutzbehörde Garante erklärte ebenfalls den GA-Einsatz für rechtswidrig und verhängte eine Frist von 90 Tagen für die Umstellung.

Was bedeutet das für die Gegenwart?

Diese Entscheidungen wurden vor Inkrafttreten des EU-US-Datenschutzrahmens (DPF) im Juli 2023 getroffen. Das DPF schafft eine neue Rechtsgrundlage — und Google ist DPF-zertifiziert. Das bedeutet:

• GA4 ist seit Juli 2023 auf einer neuen Rechtsgrundlage nutzbar, sofern die technischen Anforderungen erfüllt sind.
• Das DPF könnte erneut vor dem EuGH angefochten werden (Max Schrems und die Organisation NOYB haben entsprechende Klagen bereits angekündigt — ein "Schrems III"-Szenario).
• Die bisherigen Entscheidungen betrafen Universal Analytics — GA4 wurde nicht separat untersucht.

Google Analytics 4 vs. Universal Analytics: Was hat sich geändert?

Universal Analytics (UA) wurde am 1. Juli 2023 abgeschaltet. Alle Nutzer haben seitdem auf GA4 umgestellt. GA4 bietet einige datenschutzfreundlichere Einstellungen:

Wichtig: Die IP-Anonymisierung in GA4 ist jetzt Standard — aber sie verhindert nicht die Übermittlung der IP an Google-Server. Sie wird erst danach anonymisiert. Der Transfer findet statt.

Praktische Schritte für mehr DSGVO-Konformität mit GA4

Wenn Sie GA4 weiterhin nutzen möchten, sind folgende Maßnahmen unverzichtbar:

Schritt 1: Gültige Cookie-Einwilligung vor dem Tracking

GA4 darf keine Daten erheben, bevor der Nutzer eingewilligt hat. Das bedeutet:

• Kein GA4-Code lädt beim ersten Seitenaufruf
• Der Cookie-Banner erscheint zuerst
• GA4 wird nur für zustimmende Nutzer aktiviert
• Der Consent Mode v2 ist korrekt implementiert

Google Consent Mode v2 (seit März 2024 für alle GA-Nutzer mit Consent-Managment-Platform empfohlen) ermöglicht modelliertes Verhalten für Nutzer, die ablehnen — aber das ist kein Ersatz für echte Einwilligung.

Schritt 2: Datenspeicherung minimieren

In den GA4-Einstellungen:

• Datenspeicherung auf 2 Monate reduzieren (Minimum)
• Sitzungsdaten: auf 14 Monate begrenzen
• Demografische Berichte deaktivieren (erfordern mehr Datenerhebung)
• Suche nach Signalen deaktivieren (Google-übergreifendes Tracking)
• Personalisierte Werbung vollständig deaktivieren

Schritt 3: Serverseitiges Tagging in Betracht ziehen

Beim serverseitigen Tagging wird ein GA4-Tag auf Ihrem eigenen Server verarbeitet, bevor Daten an Google weitergeleitet werden. Das ermöglicht:

• Filterung von IP-Adressen vor der Übermittlung
• Reduktion der übermittelten Datenfelder
• Mehr Kontrolle über den Datentransfer

Allerdings ist serverseitiges Tagging technisch aufwendig und für die meisten kleinen Websites unverhältnismäßig.

Schritt 4: AVV mit Google abschließen

Sie müssen einen Auftragsverarbeitungsvertrag (AVV / Data Processing Amendment) mit Google abschließen. Das erfolgt direkt in den GA4-Administratoreinstellungen unter "Datenverwaltung > Datenverarbeitungsbedingungen".

Schritt 5: Datenschutzerklärung aktualisieren

Ihre Datenschutzerklärung muss den GA4-Einsatz transparent offenlegen:

• Zweck der Datenverarbeitung
• Rechtsgrundlage (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO)
• Hinweis auf Drittlandübermittlung (USA) und DPF als Schutzmaßnahme
• Widerrufsrecht für die Einwilligung
• Link zur Google-Datenschutzerklärung

Datenschutzfreundliche Alternativen: Der Vergleich

Wenn Sie die Unsicherheiten rund um Google Analytics vermeiden möchten, bieten diese Alternativen erheblich klarere DSGVO-Konformität:

Matomo selbst gehostet

Matomo ist die umfangreichste DSGVO-freundliche Alternative. Wenn Sie Matomo auf Ihrem eigenen Server hosten:

• Alle Daten bleiben in Ihrer eigenen Infrastruktur
• Kein Drittland-Transfer
• Mit IP-Anonymisierung und "Do Not Track"-Unterstützung sogar ohne Cookie-Einwilligung betreibbar
• Exportfunktionen für Rohdaten
• Vergleichbarer Funktionsumfang zu GA4

Nachteil: Server-Hosting und Wartung erforderlich.

Plausible Analytics

Plausible ist ein europäisches Unternehmen (Estland / Deutschland), das seinen Dienst explizit als DSGVO-konform ohne Cookie-Einwilligung anbietet:

• Keine Cookies, keine persistenten Identifier
• Keine personenbezogenen Daten erhoben
• Aggregierte Statistiken (Seitenaufrufe, Referrer, Gerät)
• Datenspeicherung auf EU-Servern
• Offen einsehbarer Code (Open Source)

Für die meisten kleinen bis mittelgroßen Websites ist Plausible die einfachste Lösung für echte DSGVO-Konformität.

Fathom Analytics

Fathom ist ähnlich wie Plausible positioniert, mit Sitz in Kanada (angemessenes Schutzniveau anerkannt durch EU-Kommission):

• Keine Cookies
• Keine personenbezogenen Daten
• EU-Hosting-Option
• Einfache Integration

Entscheidungshilfe: Welche Lösung passt zu Ihnen?

Wählen Sie GA4 wenn:

• Sie auf erweiterte Trichteranalysen, E-Commerce-Tracking oder Google Ads-Integration angewiesen sind
• Sie bereit sind, Cookie-Consent korrekt zu implementieren und AVV zu schließen
• Sie akzeptieren, dass ein kleines Restrisiko durch DPF-Rechtsunsicherheit besteht

Wählen Sie Matomo wenn:

• Sie volle Datenkontrolle benötigen
• Sie umfangreiche Analyse-Funktionen wollen ohne US-Transfer
• Sie eigene Server-Infrastruktur betreiben können

Wählen Sie Plausible oder Fathom wenn:

• Sie einfache Seitenstatistiken ohne Datenschutzrisiko wollen
• Sie keinen Cookie-Banner für Analytics benötigen möchten
• Sie eine unkomplizierte, kostengünstige Lösung suchen

Ihre nächsten Schritte

Unabhängig davon, welches Tool Sie nutzen: Ihre Datenschutzerklärung muss den Einsatz korrekt beschreiben. Unser Datenschutzerklärung-Generator hilft Ihnen, eine rechtskonforme Erklärung zu erstellen, die Ihr gewähltes Analytics-Tool korrekt offenlegt — inklusive Rechtsgrundlage, Drittlandübermittlung und Widerrufsrecht.

Ergänzen Sie dies mit dem Cookie-Banner-Generator, um sicherzustellen, dass Ihr Consent-Management die technischen Anforderungen der DSGVO an granulare, widerrufbare Einwilligung erfüllt.

Die DSGVO-Konformität im Analytics-Bereich ist 2026 keine Option mehr — sie ist eine rechtliche Anforderung, die von Datenschutzbehörden aktiv überprüft wird.