Google Analytics DSGVO-konform einsetzen: Geht das noch?

Aktualisiert: März 2026 · Lesezeit: 14 Min.

Die kurze Antwort

Ja, Google Analytics lässt sich 2026 DSGVO-konform einsetzen. Aber — und das ist ein großes Aber — es erfordert deutlich mehr Aufwand als die meisten denken. „GA4-Property erstellen, Tracking-Code einbauen, fertig" war vielleicht 2018 noch so. Heute ist das ein sicherer Weg zum Bußgeldbescheid.

Ich sage das als jemand, der GA4 auf dutzenden Kundenwebsites betreut: Es ist machbar, aber die Konfiguration muss stimmen. Und ehrlich — für manche Websites ist eine Alternative wie Matomo der stressfreiere Weg.

Warum Google Analytics ein Datenschutz-Problem ist

Drei Kernprobleme machen GA4 aus DSGVO-Sicht problematisch:

1. Datentransfer in die USA: Google verarbeitet Daten auf US-Servern. Seit dem Schrems-II-Urteil (2020) ist die Übermittlung personenbezogener Daten in die USA nur noch unter bestimmten Bedingungen legal. Das EU-US Data Privacy Framework (DPF) von 2023 hilft — aber seine Zukunft ist unsicher.
2. Cookies auf dem Endgerät: GA4 setzt standardmäßig Cookies (_ga, _ga_XXXX). Das erfordert nach TTDSG § 25 eine Einwilligung — keine Ausnahme.
3. Google als Datenverarbeiter: Google nutzt GA-Daten auch für eigene Zwecke (Produktverbesserung, Benchmarking). Das müssen Sie Ihren Nutzern transparent machen.

Was Sie brauchen, damit GA4 legal läuft

Consent Mode v2: Das Pflicht-Update seit 2024

Seit März 2024 verlangt Google den Consent Mode v2 für alle EU-Werbetreibenden. Ohne ihn: keine Remarketing-Audiences, keine Conversion-Daten, eingeschränkte Berichterstattung.

Der Consent Mode arbeitet in zwei Modi:

Basic Mode

Kein Google-Tag feuert, solange kein Consent vorliegt. Null Daten. Erst nach „Akzeptieren" startet das Tracking. Einfach, sicher, aber Sie verlieren alle Daten von Nutzern, die ablehnen.

Advanced Mode

Google sendet sogenannte „Pings" — cookielose, anonymisierte Signale — auch ohne Consent. Damit modelliert Google Conversions und schätzt Daten hoch. Sie bekommen also auch von Ablehner-Traffic ungefähre Daten.

Der Advanced Mode ist datenschutzrechtlich umstritten. Die Datenschutzkonferenz hat sich nicht eindeutig positioniert. Manche Juristen argumentieren, dass auch diese Pings unter TTDSG § 25 fallen (weil Informationen vom Endgerät gelesen werden). Mein pragmatischer Ansatz: Advanced Mode nutzen, aber in der Datenschutzerklärung transparent beschreiben.

Server-Side Tagging: Die Profi-Lösung

Wer maximale Kontrolle will, setzt auf Server-Side GTM. Statt dass der Browser des Nutzers direkt mit Google kommuniziert, läuft alles über Ihren eigenen Server.

Vorteile:

• Keine Drittanbieter-Cookies im Browser
• Sie kontrollieren, welche Daten an Google gehen
• IP-Adressen werden auf Ihrem Server entfernt, bevor sie Google erreichen
• Bessere Datenqualität (kein Ad-Blocker-Verlust)

Nachteile:

• Setup-Aufwand: 4-8 Stunden für einen erfahrenen Entwickler
• Laufende Kosten: Google Cloud Run ca. 30-100 €/Monat je nach Traffic
• Wartung: Updates, Monitoring, Debugging

Für Shops mit sechsstelligen Umsätzen lohnt sich das fast immer. Für einen Blog mit 5.000 Besuchern im Monat eher nicht.

Die Alternative: Matomo

Matomo (Open Source, selbst gehostet) ist die beliebteste GA-Alternative im DSGVO-Kontext. Und es gibt gute Gründe dafür:

Mein Rat: Wenn Sie Google Ads schalten, kommen Sie um GA4 kaum herum — die Integration ist zu wertvoll. Wenn Sie „nur" Website-Statistiken brauchen, ist Matomo die datenschutzfreundlichere Wahl.

Weitere Alternativen: Plausible, Fathom, Pirsch

Für Websites, die einfach nur wissen wollen, wie viele Besucher kommen und woher — gibt es minimalistische Tools, die von vornherein ohne Cookies arbeiten:

• Plausible (ab 9 €/Monat): Open Source, EU-gehostet, kein Cookie, kein Consent nötig. Dashboard ist erfrischend simpel.
• Fathom (ab 14 $/Monat): Ähnlicher Ansatz, sehr schnell, EU-Serverstandort verfügbar.
• Pirsch (ab 5 €/Monat): Deutsches Unternehmen, cookieless, minimalistisch.

Alle drei haben eines gemeinsam: kein Consent-Banner nötig (da keine Cookies und kein Fingerprinting). Dafür bekommen Sie deutlich weniger Daten als mit GA4. Keine User-Flows, kein E-Commerce-Tracking, kein Remarketing. Für viele Websites reicht das trotzdem völlig aus.

Mein Setup für Kunden: Der Pragmatische Weg

Nach Jahren des Herumprobierens habe ich mich auf dieses Setup eingependelt:

1. GA4 über GTM mit Consent Mode v2 (Advanced) — für Kunden mit Google Ads
2. Borlabs Cookie oder Usercentrics als CMP — korrekt konfiguriert, mit gleichwertigem Ablehnen-Button
3. Server-Side GTM — für Kunden mit >50k Besuchern/Monat oder E-Commerce
4. Plausible als Fallback — für die Basis-Statistiken, die ohne Consent laufen

So haben Sie immer Basis-Daten (über Plausible) und detaillierte Daten für die Nutzer, die consent geben (über GA4).

Ist Google Analytics 4 DSGVO-konform?

GA4 allein ist nicht automatisch DSGVO-konform. Es kann DSGVO-konform eingesetzt werden, wenn: 1) Ein CMP korrekt konfiguriert ist und GA4 erst nach Einwilligung lädt, 2) Der Consent Mode v2 implementiert ist, 3) Datenverarbeitungsbedingungen mit Google abgeschlossen sind, 4) Die Datenschutzerklärung GA4 korrekt beschreibt. Ohne diese Maßnahmen ist der Einsatz rechtswidrig.

Ist Matomo eine datenschutzfreundlichere Alternative zu Google Analytics?

Ja — wenn Sie Matomo selbst hosten. Dann verlassen keine Daten Ihren Server, und unter bestimmten Bedingungen (kein Cross-Site-Tracking, Session-Dauer max. 24h, keine Datenweitergabe) kann Matomo sogar ohne Einwilligung betrieben werden. Die CNIL hat das so entschieden, deutsche Behörden sind zurückhaltender. Matomo Cloud hingegen sendet Daten an Matomo-Server — dann gelten ähnliche Regeln wie bei GA4.