Google Analytics 4 DSGVO-konform einsetzen

Analyse-Cookies sind für die Bereitstellung einer normalen Unternehmenswebsite üblicherweise nicht technisch notwendig. Daher sollte GA4 grundsätzlich erst aktiviert werden, nachdem Nutzer:innen der Analyse zugestimmt haben.

Das bedeutet:

• Vor der Einwilligung werden keine Analytics-Cookies gesetzt.
• Eine Ablehnung wird technisch berücksichtigt.
• Die Auswahl bleibt bei weiteren Seitenaufrufen erhalten.
• Ein späterer Widerruf deaktiviert das Tracking wieder.
• Bereits geladene Tags dürfen die Entscheidung nicht umgehen.

Ein Cookie-Banner allein genügt nicht. Die Auswahl muss technisch mit dem Google Tag, dem Google Tag Manager und allen weiteren Analyse- oder Marketingdiensten verbunden sein.

Die Einwilligung muss freiwillig, informiert, eindeutig und nachweisbar erfolgen. Nutzer:innen dürfen nicht durch vorausgewählte Optionen, missverständliche Texte oder unnötige Hürden zur Zustimmung gedrängt werden.

Nach der österreichischen Entscheidungspraxis darf die Nichtabgabe einer Einwilligung nicht mehr Interaktionen erfordern als die Zustimmung. Auch ein Widerruf muss ähnlich einfach möglich sein wie die Erteilung der Einwilligung.

Ein geeigneter Cookie-Banner sollte auf der ersten Ebene zumindest folgende Möglichkeiten anbieten:

• Alle akzeptieren
• Alle ablehnen
• Individuelle Einstellungen

Aus praktischer Sicht empfehlen wir, Zustimmung und Ablehnung auch optisch gleichwertig zu gestalten.

Zusätzlich sollte auf jeder Seite ein leicht auffindbarer Link wie „Datenschutzeinstellungen ändern“ verfügbar sein.

Google Consent Mode übermittelt den Einwilligungsstatus an Google Analytics und andere Google-Dienste. Er ersetzt jedoch weder den Cookie-Banner noch die Einwilligung.

Vor einer Entscheidung müssen geeignete Standardwerte gesetzt werden. Nach der Auswahl müssen die Consent-Signale aktualisiert werden. Dazu gehören insbesondere:

• analytics_storage
• ad_storage
• ad_user_data
• ad_personalization

Google unterscheidet zwischen Basic und Advanced Consent Mode.

Basic Consent Mode

Beim Basic Consent Mode werden die Google-Tags bis zur Interaktion mit dem Consent-Banner vollständig blockiert. Ohne Zustimmung werden laut Google keine Daten übertragen – auch kein Consent-Status.

Advanced Consent Mode

Beim Advanced Consent Mode werden die Google-Tags bereits beim Aufruf der Website geladen. Solange keine Einwilligung vorliegt, können Messsignale ohne Cookies an Google übertragen werden. Diese Daten können unter anderem für statistische Modellierungen verwendet werden.

„Cookieless“ bedeutet jedoch nicht automatisch „anonym“ oder „einwilligungsfrei“. Deshalb empfehlen wir für eine möglichst risikominimierende Umsetzung grundsätzlich den Basic Consent Mode. Ob Advanced Consent Mode im konkreten Fall zulässig ist, sollte individuell rechtlich geprüft werden.

Seit dem 15. Juni 2026 verwendet Google bei mit Google Ads verknüpften Properties den Consent Mode als maßgebliches Steuerelement für die Erhebung von Google-Ads-Cookies und -IDs über den Google-Analytics-Tag beziehungsweise das Analytics-SDK. Die Einstellung „Google-Signale“ in Google Analytics steuert seither nur noch die Verknüpfung von Analytics-Daten mit Daten angemeldeter Google-Nutzer:innen für Verhaltensberichte.

Eine korrekte Übermittlung der Consent-Signale ist damit insbesondere bei verknüpften Analytics- und Google-Ads-Konten noch wichtiger geworden.

Google beschreibt sich für den Kernbetrieb von Google Analytics als Auftragsverarbeiter. Die entsprechenden Datenverarbeitungsbedingungen werden elektronisch in die Vertragsbeziehung einbezogen. Ein ausgedruckter und per Post übermittelter Auftragsverarbeitungsvertrag ist nicht mehr erforderlich.

Im Analytics-Konto sollten dennoch folgende Angaben kontrolliert werden:

• korrekte juristische Person,
• Unternehmensanschrift,
• primäre Kontaktperson,
• Datenschutzkontakt,
• gegebenenfalls Datenschutzbeauftragte:r,
• aktuelle Zugriffsrechte.

Prüfen Sie außerdem die Einstellungen zur Datenfreigabe. Bei zusätzlichen Freigaben an Google können neben den Auftragsverarbeiterbedingungen weitere Regelungen zur gemeinsamen oder eigenständigen Verantwortlichkeit gelten.

Google Analytics sollte zusätzlich dokumentiert werden:

• im Verzeichnis der Verarbeitungstätigkeiten,
• in der Liste der eingesetzten Auftragsverarbeiter,
• im Lösch- und Aufbewahrungskonzept,
• in der technischen Dokumentation des Consent-Setups.

Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss für zertifizierte US-Unternehmen. Personenbezogene Daten können an aktiv zertifizierte Unternehmen übermittelt werden, wenn die Voraussetzungen des Frameworks erfüllt sind.

Google LLC wird mit Stand vom 20. Juli 2026 als aktiver Teilnehmer des EU-US Data Privacy Framework geführt. Die Zertifizierung sollte dennoch regelmäßig überprüft werden, da sich ihr Status ändern kann.

Das Data Privacy Framework ersetzt nicht:

• die erforderliche Einwilligung,
• die Auftragsverarbeitungsbedingungen,
• die Informationspflichten,
• die Datenminimierung,
• die Prüfung der konkreten GA4-Einstellungen.

In der Datenschutzerklärung sollte erläutert werden, ob und auf welcher Grundlage Daten in die USA oder andere Drittstaaten übermittelt werden.

GA4 bietet verschiedene Möglichkeiten, die Datenerfassung und weitere Verwendung einzuschränken.

Prüfen Sie insbesondere:

• Werden Google Signals tatsächlich benötigt?
• Sind Werbepersonalisierung und Remarketing aktiviert?
• Werden detaillierte Standort- und Gerätedaten benötigt?
• Welche Datenfreigaben sind im Konto eingeschaltet?
• Welche Google-Produkte sind mit der Property verknüpft?
• Wie lange müssen Nutzer:innen- und Ereignisdaten gespeichert werden?
• Können einzelne Events oder Regionen von der Werbepersonalisierung ausgeschlossen werden?

Google stellt dafür unter anderem Einstellungen zur Datenmaskierung, zu Werbefunktionen, Standort- und Gerätedaten sowie zur personalisierten Werbung bereit.

Bei einer regulären GA4-Property kann die Aufbewahrung von Nutzer:innen- und Ereignisdaten grundsätzlich auf zwei oder 14 Monate eingestellt werden. Die gewählte Dauer sollte nachvollziehbar zum Analysezweck passen. Die Einstellung wirkt sich insbesondere auf explorative Datenanalysen und Trichterberichte aus. Auf standardmäßige aggregierte Berichte hat sie laut Google keine Auswirkungen.

Muss die IP-Anonymisierung aktiviert werden?

Die aus Universal Analytics bekannte Erweiterung anonymizeIp ist bei GA4 nicht mehr erforderlich.

Google gibt an, individuelle IP-Adressen von Nutzer:innen aus der EU, der Schweiz und dem Vereinigten Königreich in Google Analytics nicht zu protokollieren oder zu speichern. Die IP-Adresse wird zunächst zur ungefähren geografischen Zuordnung verwendet und anschließend gelöscht, bevor die Daten in Analytics protokolliert werden.

Das bedeutet jedoch nicht, dass GA4 keine personenbezogenen Daten verarbeitet. Cookie-Kennungen, Geräteinformationen, Ereignisdaten und benutzerdefinierte Parameter können weiterhin einen Personenbezug aufweisen.

Bei mit Google Ads verknüpften Properties können außerdem zusätzliche Datenflüsse entstehen. Google weist darauf hin, dass Daten, die an ein verknüpftes Google-Ads-Konto übertragen werden, den dort geltenden Einstellungen und Bedingungen unterliegen. Analytics- und Google-Ads-Konfigurationen sollten deshalb getrennt geprüft werden.

Direkt identifizierende Informationen dürfen nicht an Google Analytics übertragen werden.

Dazu gehören insbesondere:

• Namen,
• E-Mail-Adressen,
• Telefonnummern,
• ausgefüllte Formularinhalte,
• Bewerbungsinformationen,
• Gesundheitsdaten,
• personenbezogene Suchbegriffe,
• Kundennummern mit direktem Personenbezug,
• personenbezogene Inhalte in URLs oder Seitentiteln.

Besonders häufig gelangen E-Mail-Adressen oder Namen unbeabsichtigt über URL-Parameter, personalisierte Bestätigungsseiten, interne Suchfunktionen oder Formularziele in Analytics.

GA4 bietet eine Funktion zur Datenmaskierung von E-Mail-Adressen und definierten URL-Parametern. Diese arbeitet jedoch nur als zusätzliche Absicherung und ersetzt keine saubere technische Implementierung.

Wurden dennoch unzulässige Informationen erfasst, können in GA4 Anträge zur Datenlöschung gestellt werden. Auch diese Möglichkeit ersetzt nicht die Pflicht, eine weitere Erfassung technisch zu verhindern.

Die Datenschutzerklärung muss das tatsächlich eingesetzte Analytics-Setup verständlich beschreiben. Ein unverändert übernommener Mustertext reicht dafür häufig nicht aus.

Die Angaben sollten insbesondere folgende Punkte abdecken:

• Bezeichnung und Anbieter des Dienstes,
• Zweck der Verarbeitung,
• verarbeitete Datenkategorien,
• eingesetzte Cookies und Speicherdauer,
• Rechtsgrundlage,
• Empfänger:innen,
• Auftragsverarbeitung,
• mögliche Drittstaatenübermittlungen,
• EU-US Data Privacy Framework,
• Speicherdauer in GA4,
• aktivierte Werbe- und Zusatzfunktionen,
• Widerruf der Einwilligung,
• Rechte betroffener Personen.

Die Informationen müssen mit der tatsächlichen technischen Konfiguration übereinstimmen. Google weist selbst darauf hin, dass nur Websitebetreiber:innen die individuellen Besonderheiten ihres Einsatzes kennen und die Datenschutzerklärung entsprechend anpassen können.

Zusätzlich sollten folgende Punkte dokumentiert werden:

• eingesetzte Consent-Management-Plattform,
• Basic oder Advanced Consent Mode,
• Standardwerte der Consent-Signale,
• aktivierte GA4-Funktionen,
• verknüpfte Google-Produkte,
• Datenaufbewahrung,
• Datum und Ergebnis technischer Tests,
• Datum der letzten rechtlichen Überprüfung.

Testen Sie mindestens:

1. Zustimmung zu allen Kategorien
2. Ablehnung aller nicht notwendigen Kategorien
3. individuelle Auswahl
4. nachträglichen Widerruf
5. erneuten Seitenaufruf nach der Auswahl
6. Verhalten von GA4 und Google Ads
7. Consent-Signale im Google Tag Assistant
8. Cookies und Netzwerkanfragen im Browser