Google Analytics lässt sich DSGVO-konform betreiben – allerdings nur, wenn Consent Management Platform, Cookie-Banner, Google-Einstellungen und die Datenschutzerklärung sauber ineinandergreifen. Seit dem 1. Juli 2023 ist Google Analytics 4 (GA4) die einzige aktive Version von Google Analytics; Universal Analytics verarbeitet seither keine Daten mehr. Seit März 2024 ist zudem der Google Consent Mode v2 für Websites mit Zielgruppen im Europäischen Wirtschaftsraum und im Vereinigten Königreich verpflichtend, um Google-Analytics- und Google-Ads-Funktionen weiterhin nutzen zu können. Wer Google Analytics 4 datenschutzkonform einsetzen möchte, braucht mehr als ein Cookie-Banner-Plugin – es braucht ein durchdachtes, technisch und rechtlich abgestimmtes Konzept.
Was ist Google Analytics eigentlich?
Google Analytics ist ein Webanalyse-Tool von Google, das Besucherverhalten auf Websites erfasst, auswertet und visualisiert. Es liefert Informationen darüber, woher Besucher kommen, welche Seiten aufgerufen werden, wie lange der Aufenthalt dauert und an welcher Stelle Nutzer abspringen. Diese Daten bilden häufig die Grundlage für weitreichende Entscheidungen: im Marketing etwa für die Steuerung von SEA-Kampagnen, in der SEO für die Optimierung von Inhalten und Seitenstruktur, beim Website-Aufbau für die Verbesserung von Navigation und Nutzerführung sowie bei der Content- und Produktentwicklung für die Frage, welche Inhalte und Angebote bei Besuchern tatsächlich ankommen. Laut Google zählt genau diese Auswertung von Website- und App-Nutzung über verschiedene Geräte hinweg zu den zentralen Funktionen des Tools [4].
Lange Zeit war Universal Analytics der Standard, arbeitete jedoch sitzungsbasiert. Seit dem 1. Juli 2023 verarbeitet Universal Analytics keine neuen Daten mehr [5]; GA4 ist seither die einzige aktive Version und erfasst stattdessen jede Nutzerinteraktion ereignisbasiert als einzelnes Event. Das ermöglicht granularere Auswertungen, bringt aber auch eine feinteiligere, potenziell datenschutzrelevantere Datenerhebung mit sich – Cookie-Banner-Einstellungen aus der Universal-Analytics-Ära lassen sich daher nicht ohne Weiteres auf GA4 übertragen.
Warum Google Analytics ein rechtliches Risiko darstellen kann
Google Analytics ist als Tool selbst kein Datenschutzproblem – entscheidend ist die konkrete technische Umsetzung. Nach der Datenschutz-Grundverordnung (DSGVO) und dem deutschen Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) ist für das Setzen von Cookies und den Zugriff auf Endgeräte grundsätzlich eine vorherige Einwilligung erforderlich, sofern diese nicht technisch zwingend notwendig sind (§ 25 TTDSG [2]; Art. 6 Abs. 1 lit. a DSGVO [1]). Wird Google Analytics eingerichtet, ohne diese Anforderungen im Detail zu berücksichtigen, entsteht ein rechtliches Risiko – unabhängig von der Unternehmensgröße.
Ein zusätzlicher Risikofaktor betrifft den Drittlandtransfer: Da Google LLC als US-amerikanisches Unternehmen personenbezogene Daten in die USA übermitteln kann, greifen die Vorgaben aus Kapitel V der DSGVO (Art. 44 ff. DSGVO [1]) zur Übermittlung in Drittländer. Seit dem 10. Juli 2023 stützt sich dieser Transfer auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) [8]; Google LLC ist nach eigenen Angaben unter dem DPF zertifiziert. Das Gericht der Europäischen Union (EuG) hat die Gültigkeit dieses Angemessenheitsbeschlusses am 3. September 2025 in einem Klageverfahren bestätigt [9]. Eine gewisse Restunsicherheit bleibt dennoch bestehen, da gegen diese Entscheidung ein Rechtsmittel vor dem Europäischen Gerichtshof (EuGH) eingelegt werden kann. Für Websitebetreiber bedeutet das: Der reine Verweis auf den Angemessenheitsbeschluss reicht als Absicherung nicht automatisch aus – die Zertifizierung des jeweiligen Google-Dienstes sowie die Entwicklung der Rechtsprechung sollten im Blick behalten werden.
Grundbegriffe: DSGVO und Tracking richtig einordnen
DSGVO-konformes Tracking vs. nicht konformes Tracking
DSGVO-konformes Tracking bedeutet, dass Daten nur erhoben werden, wenn eine gültige Rechtsgrundlage vorliegt – in den meisten Fällen die informierte, freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO [1] in Verbindung mit § 25 TTDSG [2]. Nicht konformes Tracking liegt vor, sobald Cookies oder vergleichbare Technologien gesetzt werden, bevor eine Einwilligung erteilt wurde, oder wenn die Einwilligungsabfrage irreführend gestaltet ist. Die Datenschutzkonferenz (DSK) der deutschen Aufsichtsbehörden hat in ihrer „Orientierungshilfe für Anbieter von Telemedien“ entsprechende Anforderungen an eine wirksame Einwilligung konkretisiert, unter anderem eine echte Wahlfreiheit und eine granulare Auswahlmöglichkeit [3].
Was eine Consent Management Platform leistet
Eine Consent Management Platform (CMP) ist die technische Infrastruktur, über die Nutzereinwilligungen eingeholt, dokumentiert und verwaltet werden. Sie steuert, welche Skripte – etwa Google Analytics, Marketing-Pixel oder Social-Media-Plugins – erst nach erteilter Zustimmung geladen werden. Google verlangt seit März 2024 zudem den Einsatz einer Google-zertifizierten CMP in Kombination mit dem Google Consent Mode v2, damit Google-Analytics- und Google-Ads-Funktionen für Zielgruppen im EWR und Vereinigten Königreich weiterhin nutzbar bleiben [6] [7].
Die Rolle des Cookie-Banners im Datenschutz
Der Cookie-Banner ist die sichtbare Schnittstelle der CMP. Nach den Vorgaben der Datenschutzkonferenz muss ein rechtskonformer Google Analytics Cookie-Banner unter anderem eine gleichwertige Möglichkeit zum Ablehnen bieten, eine granulare Auswahl nach Kategorien ermöglichen und darf Nutzer nicht durch Voreinstellungen oder Formulierungen zur Zustimmung drängen [3].
Google Analytics DSGVO-konform nutzen: Grundprinzipien
Ein datenschutzfreundlicher Einsatz von Google Analytics folgt zentralen, in der DSGVO verankerten Grundsätzen:
- Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur die Daten erhoben werden, die für den definierten Zweck erforderlich sind. [1]
- Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Erhobene Daten dürfen nur für den ursprünglich kommunizierten Zweck verwendet werden. [1]
- Transparenz (Art. 13 DSGVO): In der Datenschutzerklärung muss nachvollziehbar dargelegt werden, welche Daten wie verarbeitet werden. [1]
- Einwilligung vor Datenverarbeitung (§ 25 TTDSG, Art. 6 Abs. 1 lit. a DSGVO): Tracking-Skripte dürfen erst nach gültiger Zustimmung laden. [1] [2]
Innerhalb von Google Analytics selbst existieren zusätzliche Konfigurationsmöglichkeiten, die im Rahmen einer datenschutzkonformen Einrichtung relevant werden. Dazu zählt zunächst die Datenaufbewahrungsdauer. Ebenso relevant sind die sogenannten Datenfreigabeeinstellungen: Über sie wird festgelegt, ob Daten an weitere Google-Produkte weitergegeben werden – etwa an Google Ads zur Kampagnenoptimierung und für Remarketing, an die Google Search Console für SEO-Auswertungen oder im Rahmen von Benchmarking und technischem Support, bei dem Daten mit anderen Google-Analytics-Nutzern aggregiert verglichen werden [10]. Wird die Einstellung „Google-Produkte und -Dienste“ aktiviert, entsteht nach Einschätzung der Aufsichtsbehörden eine gemeinsame Verantwortlichkeit mit Google gemäß Art. 26 DSGVO [1]. Auch die Aktivierung von Google Signals, die geräteübergreifendes Tracking über angemeldete Google-Konten sowie Remarketing-Zielgruppen für Google Ads ermöglicht, zählt zu den datenschutzrelevanten Einstellungen. Welche dieser Optionen im Einzelfall angemessen ist, hängt vom jeweiligen Geschäftsmodell, der Zielgruppe und der bestehenden Dateninfrastruktur ab; eine pauschale, für jedes Unternehmen identische Konfiguration wird den individuellen rechtlichen Anforderungen in der Regel nicht gerecht.
Typische Fehlerquellen bei der technischen Umsetzung
In der Praxis treten bei der Einrichtung von Google Analytics wiederkehrende Fehlerbilder auf, die sich unmittelbar auf die DSGVO-Konformität auswirken. Ein verbreitetes Muster betrifft die Trigger-Konfiguration im Google Tag Manager: Wird ein Tracking-Tag versehentlich mit einem zu weit gefassten Auslöser verknüpft, kann das Skript laden, obwohl noch keine Einwilligung vorliegt. Die Datenschutzkonferenz weist in ihrer Orientierungshilfe für Anbieter von Telemedien ausdrücklich darauf hin, dass eine solche vorgelagerte Datenverarbeitung ohne wirksame Einwilligung nicht mit § 25 TTDSG vereinbar ist [2] [3].
Ein weiterer, gerade bei WordPress-Websites verbreiteter Irrtum betrifft Integrations-Plugins wie „Site Kit by Google“. Das Plugin verbindet Google Analytics, Google Ads oder die Search Console bequem über ein zentrales Dashboard – häufig verbunden mit der Annahme, das reine Installieren und Verknüpfen dieser Dienste sei bereits gleichbedeutend mit einer DSGVO-konformen Einrichtung. Nach Googles eigener Dokumentation trifft das Gegenteil zu: Für die Einhaltung von Hinweis- und Einwilligungspflichten bleibt ausdrücklich der Websitebetreiber verantwortlich, nicht das Plugin [11]. Site Kit selbst setzt zwar keine eigenen Cookies, aktiviert aber beim Verbinden eines Dienstes sofort den entsprechenden Code – etwa den Google-Analytics-Schnipsel –, sodass ohne zusätzliches, korrekt konfiguriertes Consent-Management bereits vor einer Einwilligung Verbindungen zu Google-Servern aufgebaut werden können. Für eine rechtskonforme Nutzung ist daher zusätzlich ein separates Cookie- beziehungsweise Consent-Management-Plugin erforderlich, das den jeweiligen Dienst so lange blockiert, bis eine wirksame Einwilligung vorliegt.
Eine zweite häufige Fehlerquelle betrifft die Datenschutzerklärung selbst. Nach Art. 13 DSGVO müssen Verantwortliche transparent darlegen, welche Kategorien personenbezogener Daten zu welchem Zweck, auf welcher Rechtsgrundlage und für welche Dauer verarbeitet werden [1]. Eine Datenschutzerklärung, die stumpf auf generischen Textbausteinen basiert und nicht die tatsächlich eingesetzte Google-Analytics-Konfiguration widerspiegelt, erfüllt diese Transparenzpflicht in der Regel nicht vollständig.
Eine dritte Fehlerquelle liegt im Zusammenspiel zwischen CMP, Consent Mode v2 und Google Analytics selbst: Nach Angaben von Google werden ohne korrekt implementierten Consent Mode v2 keine personenbezogenen Daten von Nutzerinnen und Nutzern im EWR über Google Ads oder Google Analytics 4 erfasst – gleichzeitig kann eine fehlerhafte Implementierung dazu führen, dass trotz erteilter Einwilligung keine oder nur unvollständige Daten übermittelt werden [6] [7]. Beide Szenarien – Datenschutzverstoß auf der einen und Datenverlust auf der anderen Seite – lassen sich nur durch eine sorgfältig getestete, technisch korrekte Verzahnung aller Komponenten vermeiden.
Warum Tracking-Compliance kein einmaliges Projekt ist
DSGVO-konformes Tracking ist kein statischer Zustand, sondern ein fortlaufender Prozess. Der Wechsel von Universal Analytics zu GA4 im Jahr 2023 [4] [5] und die verpflichtende Einführung des Consent Mode v2 im März 2024 [6] [7] zeigen, wie regelmäßig sich sowohl die technischen Anforderungen von Google als auch die rechtlichen Rahmenbedingungen ändern. Auch unabhängig von technischen Produktänderungen entwickelt sich die rechtliche Bewertung kontinuierlich weiter: Aufsichtsbehörden konkretisieren ihre Auslegung der DSGVO, Gerichte fällen neue Urteile – wie zuletzt zur Gültigkeit des EU-US Data Privacy Framework [9] – und einzelne Vorgaben wie die DSK-Orientierungshilfen werden fortlaufend angepasst [3]. Eine CMP-Konfiguration oder Datenschutzerklärung, die zum Zeitpunkt der Einrichtung den damaligen Anforderungen entsprach, kann daher bereits nach kurzer Zeit veraltet sein. Eine regelmäßige, mindestens jährliche Überprüfung des gesamten Tracking-Setups gegen den aktuellen Rechts- und Produktstand ist deshalb ebenso Teil einer datenschutzkonformen Umsetzung wie die technische Erstkonfiguration selbst.
Auch die Website selbst ist eine Ursache für regelmäßigen Anpassungsbedarf: Jede neue Unterseite, jedes neue Formular oder Plugin kann zusätzliche Cookies oder Tracking-Skripte einbringen, die in der bestehenden CMP-Konfiguration und Datenschutzerklärung noch nicht abgebildet sind. Eine grundsätzliche, umfassende Überprüfung des Tracking-Setups gegen den aktuellen Rechts- und Produktstand ist mindestens jährlich empfehlenswert. Bei Websites, auf denen laufend etwas verändert oder veröffentlicht wird – etwa neue Seiten, Kampagnen in Google Ads oder SEO-bedingte Anpassungen an Inhalten und Struktur –, ist ein deutlich engmaschigerer, idealerweise monatlicher Check sinnvoll, damit neue Skripte und Tracking-Elemente nicht unbemerkt an der CMP vorbeilaufen.
Der Nutzen professioneller Unterstützung
Die vorangegangenen Abschnitte zeigen: Ein datenschutzkonformer Einsatz von Google Analytics erfordert das Zusammenspiel mehrerer Ebenen: rechtliche Bewertung, technische ttImplementierung über den Google Tag Manager, CMP-Konfiguration inklusive Consent Mode v2 sowie die laufende Kontrolle der Datenströme. Ein Fehler in dieser Kette – etwa ein falsch konfigurierter Trigger oder eine unvollständige Datenschutzerklärung – kann die Konformität der gesamten Einrichtung beeinträchtigen.
Als Agentur mit Erfahrung in Tracking- und Datenschutzprojekten verbindet unser Team rechtliches Grundverständnis mit technischer Umsetzungskompetenz. Ziel ist eine Google-Analytics-Einrichtung, die nicht nur auf dem Papier, sondern im laufenden Betrieb DSGVO-konform funktioniert – inklusive nachvollziehbarer Dokumentation der Einwilligungsprozesse.
Sauber eingerichtetes Tracking sieht niemand – man merkt nur, wenn es fehlt (oder wenn Post von der Aufsichtsbehörde kommt). Nutzen Sie einfach unser Kontaktformular und vereinbaren Sie ein kostenloses Erstgespräch. Darin klären wir gemeinsam den aktuellen Status quo Ihres Trackings und zeigen auf, an welchen Stellen Handlungsbedarf besteht.
Alles auf einen Blick
- Seit dem 1. Juli 2023 ist Google Analytics 4 die einzige aktive Version von Google Analytics; Universal Analytics verarbeitet seitdem keine Daten mehr.
- DSGVO-konformes Tracking setzt nach § 25 TTDSG und Art. 6 Abs. 1 lit. a DSGVO eine vorherige, granulare Einwilligung voraus – technisch umgesetzt, nicht nur in der Datenschutzerklärung versprochen.
- Eine Consent Management Platform steuert und dokumentiert Einwilligungen; seit März 2024 ist für Zielgruppen im EWR und Vereinigten Königreich eine Google-zertifizierte CMP in Kombination mit dem Consent Mode v2 erforderlich.
- Cookie-Banner, Google Tag Manager und Google-Analytics-Einstellungen müssen exakt aufeinander abgestimmt sein, damit Tracking-Skripte tatsächlich erst nach erteilter Einwilligung laden.
- DSGVO-konformes Tracking ist ein fortlaufender Prozess, der durch technische und rechtliche Änderungen – wie den GA4-Wechsel 2023 oder den Consent Mode v2 im Jahr 2024 – regelmäßige Anpassung erfordert.
Quellen:
- Europäische Union: Datenschutz-Grundverordnung (DSGVO), Art. 5, 6, 13, 44 ff., 83
- Bundesministerium der Justiz: Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), § 25
- Datenschutzkonferenz (DSK): Orientierungshilfe für Anbieter von Telemedien
- Google Analytics-Hilfe: Einführung in die nächste Generation von Analytics (GA4 löst Universal Analytics ab)
- Google Analytics-Hilfe: Universal Analytics wird eingestellt
- Google Tag Manager-Hilfe: Informationen zum Consent Mode
- Google Tag Manager-Hilfe: Consent Mode in Tag Manager einrichten
- Europäische Kommission: Angemessenheitsbeschluss zum EU-US Data Privacy Framework
- Heuking Kühn Lüer Wojtek: EuG bestätigt Wirksamkeit des EU-US Data Privacy Framework (03.09.2025)
- Google Analytics-Hilfe: Datenfreigabeeinstellungen
- Site Kit by Google – offizielle Dokumentation: Consent Mode
Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtliche Bewertung des Einzelfalls empfiehlt sich die Konsultation einer datenschutzrechtlich spezialisierten Kanzlei.
