Google Analytics DSGVO-konform nutzen – GA4-Anleitung

Inhalt in Kürze

• Google Analytics 4 ist nicht verboten, aber einwilligungspflichtig. Ohne aktives Opt-in darf kein GA4-Tag laden.
• Vier Bausteine machen GA4 konform: Einwilligung (Cookie-Banner), AVV mit Google, IP-Schutz/Datensparsamkeit und eine passende Datenschutzerklärung.
• Der USA-Transfer bleibt ein Restrisiko – Google stützt ihn auf das EU-US Data Privacy Framework, das 2026 unter Druck steht.
• Die datensparsame Alternative ist Matomo: selbst gehostet und cookiefrei betrieben, oft ganz ohne Einwilligung – die Daten bleiben in der EU.

---

Kaum ein Tool sorgt für so viel Unsicherheit wie Google Analytics. 2022 stufte die österreichische Datenschutzbehörde den Einsatz als rechtswidrig ein, mehrere EU-Behörden zogen nach. Seitdem fragen sich viele Website-Betreiber: Darf ich das überhaupt noch nutzen?

Die kurze Antwort: ja – aber nur mit den richtigen Maßnahmen. GA4 verarbeitet personenbezogene Daten und überträgt sie in die USA. Ohne Einwilligung, AVV und technische Schutzmaßnahmen ist der Einsatz nicht rechtskonform.

Ist GA4 überhaupt erlaubt?

GA4 ist nicht pauschal verboten. Aber es ist einwilligungspflichtig: Erst wenn der Besucher aktiv zustimmt, darf das Tag laden und Daten verarbeiten. Das ergibt sich aus § 25 TDDDG (Zugriff auf Endgeräte-Informationen) und der DSGVO.

Der eigentliche Knackpunkt ist der Datentransfer in die USA. Google stützt ihn auf das EU-US Data Privacy Framework. Das ist derzeit eine gültige Grundlage – aber keine dauerhafte Garantie.

Die vier Bausteine für DSGVO-konformes GA4

1. Einwilligung einholen. Ein Cookie-Banner mit echtem Opt-in – kein vorausgewähltes Häkchen, kein „Weitersurfen gilt als Zustimmung". GA4 lädt erst nach dem Klick auf „Akzeptieren".
2. AVV mit Google abschließen. Der Auftragsverarbeitungsvertrag steckt in den Google-Bedingungen. Prüfen und dokumentieren Sie ihn.
3. Datensparsam konfigurieren. IP-Adressen kürzen, Datenaufbewahrung auf das Minimum, Google-Signale und Werbefunktionen nur bei Bedarf aktivieren.
4. Datenschutzerklärung anpassen. GA4, Zweck, Rechtsgrundlage, Empfänger (Google, USA) und Widerruf transparent benennen.

Consent Mode und Server-Side: was sie wirklich bringen

Der Google Consent Mode steuert, wie Google-Tags reagieren, wenn keine Einwilligung vorliegt: Dann werden nur anonyme, cookielose Signale gesendet. Das ist sinnvoll – ersetzt aber nicht das Einwilligungsbanner.

Server-Side-Tagging verlagert die Datenerhebung auf einen eigenen Server. Der Vorteil: Die IP-Adresse des Besuchers erreicht Google nicht direkt. Der Haken: Es verschiebt nur, wo verarbeitet wird – die Einwilligungspflicht bleibt. Wer glaubt, damit das Consent-Thema zu umgehen, irrt.

Die datensparsame Alternative: Matomo

Wer den USA-Transfer und die Einwilligungsdiskussion umgehen will, nutzt Matomo. Selbst gehostet und cookiefrei konfiguriert, ist oft gar keine Einwilligung nötig – und die Daten bleiben in der EU.

Kriterium	Google Analytics 4	Matomo (self-hosted)
Serverstandort	USA (DPF)	eigene EU-Server
Einwilligung nötig	ja (immer)	oft nein (cookiefrei)
Dateneigentum	bei Google	bei Ihnen
USA-Transfer	ja	nein

Wir setzen auf unseren eigenen Seiten aus genau diesem Grund auf Matomo. Für die meisten KMU reicht der Funktionsumfang völlig – und die Datenschutz-Dokumentation wird deutlich schlanker.

Checkliste: GA4 rechtssicher einrichten

• Cookie-Banner mit echtem Opt-in – GA4 lädt erst nach Zustimmung.
• AVV mit Google abschließen und dokumentieren.
• IP-Kürzung und kurze Datenaufbewahrung aktivieren.
• Google-Signale und Werbefunktionen nur bei Bedarf einschalten.
• Datenschutzerklärung um GA4 und den USA-Transfer ergänzen.
• Widerruf ermöglichen – Besucher müssen die Einwilligung zurücknehmen können.
• Alternative prüfen: Reicht ein cookiefreies Matomo für Ihre Zwecke?

Aus der Praxis

Genau so ist es bei Analytics: Viele halten das Thema für Schikane, bis sie merken, wie einfach eine saubere Lösung ist. Ein korrekt eingebundenes Consent-Banner oder der Wechsel zu Matomo – und die Abmahngefahr ist weg.

Zusammenfassung: Google Analytics DSGVO-konform nutzen

Häufige Fragen (FAQ)

Ist Google Analytics 4 DSGVO-konform?

GA4 ist nicht verboten, aber einwilligungspflichtig. Es darf erst Daten verarbeiten, nachdem der Besucher aktiv zugestimmt hat. Mit Einwilligung, AVV, Consent Mode und IP-Schutz lässt es sich rechtskonform betreiben – ein Restrisiko wegen des USA-Transfers bleibt.

Brauche ich für Google Analytics eine Cookie-Einwilligung?

Ja. Nach § 25 TDDDG und der DSGVO ist eine aktive Einwilligung (Opt-in) nötig, bevor GA4 geladen wird. Ein Cookie-Banner mit vorausgewählten Häkchen oder reines Weiterscrollen reicht nicht aus.

Was ist der Google Consent Mode?

Der Consent Mode steuert, ob und wie Google-Tags Daten senden – abhängig von der Einwilligung des Besuchers. Ohne Zustimmung werden nur anonyme, cookielose Signale übertragen. Er ersetzt aber nicht das Einwilligungsbanner.

Ist Matomo die bessere Alternative zu Google Analytics?

Für viele Unternehmen ja. Matomo lässt sich selbst hosten und cookiefrei betreiben – dann ist oft gar keine Einwilligung nötig, und die Daten verlassen die EU nicht. Der Funktionsumfang reicht für die meisten KMU völlig aus.

Reicht Server-Side-Tracking für die DSGVO-Konformität?

Nein. Server-Side-Tagging reduziert das Risiko, weil die IP-Adresse Google nicht direkt erreicht. Es verschiebt aber nur, wo verarbeitet wird – die Einwilligungspflicht bleibt bestehen.