Google Analytics ist nach wie vor das meistgenutzte Webanalyse-Tool – und gleichzeitig eines der am häufigsten datenschutzrechtlich diskutierten. Mit dem Wechsel von Universal Analytics zu Google Analytics 4 (GA4) haben sich einige technische Details verändert, die rechtliche Grundproblematik bleibt aber bestehen.
Der Wechsel von Universal Analytics zu GA4
Google hat Universal Analytics zum 1. Juli 2023 eingestellt und den vollständigen Umstieg auf GA4 verpflichtend gemacht. Für Website-Betreiber bedeutete das nicht nur eine technische Migration, sondern auch die Gelegenheit, die Datenschutz-Konfiguration von Grund auf neu und korrekt aufzusetzen – anstatt eine möglicherweise über Jahre gewachsene, fehlerhafte Universal-Analytics-Einbindung unverändert in ein neues System zu übertragen.
Warum Google Analytics eine Einwilligung benötigt
Google Analytics setzt beim Laden einer Seite Cookies bzw. speichert Informationen im Local Storage des Browsers und überträgt Nutzungsdaten an Google-Server. Damit greift sowohl § 25 TTDSG (Zugriff auf das Endgerät) als auch Art. 6 DSGVO (Übertragung an Google als Empfänger). Eine Ausnahme von der Einwilligungspflicht – etwa als „technisch notwendiger" Dienst – kommt für Analyse-Tools praktisch nicht in Betracht, da ihr Zweck gerade nicht die technische Bereitstellung des gewünschten Dienstes, sondern die Reichweitenmessung ist.
GA4 im Kontext eines gesamten Tracking-Ökosystems
In der Praxis steht Google Analytics selten isoliert da: Viele Websites kombinieren GA4 mit weiteren Diensten wie Google Ads, Facebook Pixel oder Hotjar. Jeder dieser Dienste muss einzeln auf seine Einwilligungspflicht und korrekte Consent-Anbindung geprüft werden – ein isolierter Blick allein auf GA4 greift daher oft zu kurz, wenn parallel weitere, ähnlich kritische Dienste im Hintergrund aktiv sind.
Ein automatisierter Gesamt-Scan der Website liefert hier häufig den schnellsten Überblick, welche Dienste tatsächlich aktiv sind, bevor jeder einzelne davon im Detail rechtlich bewertet wird.
Auf dieser Grundlage lässt sich anschließend priorisieren, welcher Dienst zuerst genauer geprüft werden sollte – meist beginnend mit denjenigen, die am häufigsten personenbezogene Daten verarbeiten oder an Dritte übermitteln.
Warum kleine Websites GA4 überhaupt brauchen
Gerade bei kleineren Websites und Blogs stellt sich häufig die Grundsatzfrage, ob eine vollwertige Analyseplattform wie GA4 überhaupt notwendig ist oder ob einfachere, aggregierte Statistiken (etwa vom Hosting-Provider bereitgestellt) ausreichen würden. Für viele Betreiber überwiegt jedoch der Wunsch nach detaillierten Einblicken in Nutzerverhalten, Herkunft des Traffics und Conversion-Pfaden – Funktionen, die einfache serverseitige Logfile-Auswertungen typischerweise nicht bieten.
Was sich mit GA4 geändert hat
Im Unterschied zum eingestellten Universal Analytics arbeitet GA4 stärker ereignisbasiert und verzichtet standardmäßig auf eine dauerhafte IP-Adress-Speicherung – Google gibt an, IP-Adressen bereits vor der Speicherung zu verarbeiten und nicht dauerhaft zu protokollieren. Das ändert jedoch nichts an der grundsätzlichen Einwilligungspflicht: Auch GA4 darf technisch erst nach erteilter Zustimmung laden.
🍪 Feuert Google Analytics vor Zustimmung?
Der Scanner erkennt automatisch, ob GA4 unabhängig von der Cookie-Auswahl lädt. Jetzt kostenlos prüfen ↑
Google Signals und erweiterte Berichte
GA4 bietet optional „Google Signals" – eine Funktion, die Daten aus angemeldeten Google-Konten für erweiterte demografische Berichte und Remarketing nutzt. Diese Funktion ist standardmäßig deaktiviert und sollte nur nach besonders sorgfältiger Prüfung und expliziter zusätzlicher Einwilligung aktiviert werden, da sie den Umfang der verarbeiteten Daten gegenüber einer reinen Basis-Analyse spürbar erweitert.
Der Auftragsverarbeitungsvertrag mit Google
Website-Betreiber, die Google Analytics einsetzen, benötigen einen Auftragsverarbeitungsvertrag (AVV) mit Google gemäß Art. 28 DSGVO. Google stellt diesen über die Analytics-Verwaltungsoberfläche („Datenverarbeitungsbedingungen") zum digitalen Abschluss bereit – ein Schritt, der in der Praxis überraschend häufig vergessen wird, obwohl er ohne größeren Aufwand direkt im Google-Konto erledigt werden kann.
Enhanced Measurement: Automatische Zusatzerfassung
GA4 aktiviert standardmäßig die Funktion „Enhanced Measurement", die automatisch zusätzliche Ereignisse erfasst – etwa Scroll-Tiefe, ausgehende Klicks, Dateidownloads oder Video-Interaktionen – ohne dass dafür zusätzlicher Code eingebaut werden muss. Diese automatische Zusatzerfassung erweitert den Umfang der verarbeiteten Daten gegenüber einer reinen Seitenaufruf-Zählung erheblich und sollte Betreibern bewusst sein, auch wenn sie technisch bequem automatisch aktiviert ist.
Drittlandtransfer in die USA
Da Google LLC in den USA ansässig ist, ist die Übermittlung von Analytics-Daten ein Drittlandtransfer im Sinne von Kapitel V der DSGVO. Seit dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission von 2023) können sich beim Datentransfer in die USA zertifizierte Unternehmen wie Google auf diesen Beschluss stützen, was den Transfer erleichtert. Website-Betreiber sollten dennoch in ihrer Datenschutzerklärung transparent auf den Drittlandtransfer und dessen rechtliche Grundlage hinweisen.
Cross-Domain-Tracking und Datenschutz
Betreiben Unternehmen mehrere zusammengehörige Domains (z. B. Hauptseite und separater Onlineshop), lässt sich GA4 für ein domainübergreifendes Tracking konfigurieren, um Nutzerpfade über beide Domains hinweg nachzuvollziehen. Diese Funktion erweitert den Umfang der verarbeiteten Daten gegenüber einer Einzeldomain-Konfiguration und sollte entsprechend explizit in der Datenschutzerklärung erwähnt werden, da sie über eine reine Einzelseiten-Analyse hinausgeht.
IP-Anonymisierung: Bei GA4 automatisch?
Bei Universal Analytics musste die IP-Anonymisierung explizit über den Parameter anonymize_ip aktiviert werden. Google gibt an, dass GA4 IP-Adressen grundsätzlich nicht mehr dauerhaft speichert – dennoch ersetzt das keine sorgfältige Prüfung der eigenen, konkreten Konfiguration, insbesondere bei Verwendung zusätzlicher Erweiterungen oder serverseitigem Tagging.
Datenaufbewahrung in GA4 konfigurieren
GA4 erlaubt in den Property-Einstellungen die Konfiguration der Aufbewahrungsdauer für nutzerbezogene Ereignisdaten – wählbar zwischen 2 und 14 Monaten. Im Sinne der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO empfiehlt sich grundsätzlich die kürzere verfügbare Frist, sofern die längerfristige Datenhistorie nicht für einen konkreten, nachvollziehbaren Zweck benötigt wird.
Praxisbeispiel: Reisebüro „Weltenbummler Reisen"
Ein fiktives, kleines Reisebüro nutzte GA4 zur Analyse der Website-Besucherzahlen. Der Scan zeigte, dass GA4 unabhängig von der Cookie-Auswahl der Besucher feuerte – der zugrunde liegende Cookie-Banner war zwar vorhanden, aber technisch nicht mit dem Google Tag Manager verknüpft. Zusätzlich stellte sich heraus, dass der Auftragsverarbeitungsvertrag mit Google nie abgeschlossen worden war. Beide Punkte wurden behoben: Verknüpfung von Cookie-Banner und Consent Mode sowie nachträglicher Abschluss der Datenverarbeitungsbedingungen im Google-Konto. Gesamtaufwand: etwa anderthalb Stunden.
Interne Test- und Debug-Ansichten nicht vergessen
Viele Unternehmen richten in GA4 eine separate „Interne Traffic"-Filterung ein, um eigene Mitarbeiterzugriffe von den regulären Besucherstatistiken auszuschließen. Auch diese internen Testzugriffe unterliegen grundsätzlich denselben Consent-Anforderungen wie reguläre Besucherdaten – eine interne Ausnahmeregelung für Mitarbeiter-Endgeräte ersetzt nicht die grundsätzliche Einwilligungspflicht, sofern personenbezogene Daten verarbeitet werden.
Alternativen zu Google Analytics
Wer den Aufwand der Google-Analytics-Compliance (AVV, Consent Mode, Drittlandtransfer-Dokumentation) scheut, kann auf datenschutzfreundlichere, oft cookie-lose Analyse-Alternativen mit Serverstandort in der EU ausweichen. Diese bieten meist einen reduzierten Funktionsumfang gegenüber GA4, kommen aber teils ganz ohne Einwilligungspflicht aus, da sie ohne individualisierende Cookies arbeiten.
Zusammenfassende Checkliste
- ☐ GA4 lädt nachweislich erst nach erteilter Einwilligung
- ☐ Auftragsverarbeitungsvertrag mit Google digital abgeschlossen
- ☐ Datenschutzerklärung nennt GA4 konkret inkl. Drittlandtransfer
- ☐ Aufbewahrungsdauer bewusst und im Sinne der Datenminimierung gewählt
- ☐ Google Signals nur bei tatsächlichem Bedarf und mit entsprechender Einwilligung aktiv
Zusammenspiel mit Google Ads
Wird GA4 mit einem verknüpften Google-Ads-Konto kombiniert, können Analytics-Daten für die Optimierung von Werbekampagnen und den Aufbau von Remarketing-Zielgruppen verwendet werden. Diese Verknüpfung erweitert den Verarbeitungszweck über die reine Website-Analyse hinaus in Richtung personalisierter Werbung – ein Aspekt, der in der Datenschutzerklärung ausdrücklich als eigener, zusätzlicher Verarbeitungszweck benannt werden sollte, statt implizit unter „Analyse" mitzulaufen.
Regelmäßige Kontrolle der eigenen GA4-Konfiguration
Da sich sowohl die eigene Website (neue Seiten, neue Formulare) als auch GA4 selbst (neue Funktionen, geänderte Voreinstellungen durch Google) kontinuierlich weiterentwickeln, empfiehlt sich eine regelmäßige, mindestens halbjährliche Kontrolle der gesamten Konfiguration – inklusive erneutem Test, ob GA4 weiterhin korrekt erst nach Einwilligung feuert.
Häufig gestellte Fragen
Ist GA4 datenschutzfreundlicher als Universal Analytics?
In einigen technischen Aspekten ja (z. B. IP-Verarbeitung), an der grundsätzlichen Einwilligungspflicht ändert das aber nichts.
Brauche ich für GA4 zwingend den Google Consent Mode?
Zwingend nicht, aber ohne Consent Mode ist eine granulare, technisch korrekte Steuerung von GA4 auf Basis der Cookie-Auswahl deutlich aufwendiger umzusetzen.
Reicht die IP-Anonymisierung allein, um auf eine Einwilligung zu verzichten?
Nein, Aufsichtsbehörden gehen bei Analyse-Tools wie Google Analytics unabhängig von der IP-Behandlung grundsätzlich von einer Einwilligungspflicht aus.
GA4 im Vergleich zu einem vollständigen Website-Compliance-Check
Google Analytics ist meist nur einer von mehreren eingebundenen Diensten, die datenschutzrechtlich zu prüfen sind. Eine vollständige Bestandsaufnahme aller auf der eigenen Website tatsächlich geladenen Skripte – nicht nur GA4, sondern auch eingebettete Karten, Videos, Werbe-Pixel und Social-Media-Widgets – liefert ein deutlich verlässlicheres Bild der eigenen rechtlichen Situation als eine isolierte GA4-Betrachtung allein.
Fazit
Google Analytics 4 lässt sich datenschutzkonform einsetzen, erfordert aber mehrere zusammenspielende Bausteine: eine wirksame Einwilligung, eine korrekte technische Anbindung über den Consent Mode und einen abgeschlossenen Auftragsverarbeitungsvertrag mit Google. Wer alle drei Punkte abdeckt, minimiert das rechtliche Risiko erheblich.