Wer Google Analytics 4 auf einer deutschen Website einsetzt, braucht dafür in aller Regel eine vorherige Einwilligung. Zwei Vorschriften greifen ineinander: § 25 TDDDG, sobald Informationen auf dem Gerät der Nutzer gespeichert oder dort ausgelesen werden, und die DSGVO für die anschließende Verarbeitung der Daten. Die Aufsichtsbehörden halten Google Analytics ohne Einwilligung in der Regel für nicht rechtmäßig.

Dieser Artikel zeigt, was die Datenschutzkonferenz (DSK) dazu konkret sagt und wie die Entscheidung aus dem Banner im GA4-Tag ankommt. Technisch führt der Weg über den Google Consent Mode. Das ist keine Rechtsberatung: Die Bewertung Ihres Einsatzes gehört in die Hände Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Es gibt zwei Texte der DSK, auf die Sie sich stützen können. Beide stehen auf den Seiten der Konferenz und sollten in Ihrer Dokumentation liegen, statt paraphrasiert zu werden.

Im Beschluss vom 12. Mai 2020 halten die Aufsichtsbehörden fest, dass beim Einsatz von Google Analytics immer personenbezogene Daten verarbeitet werden. Der Dienst lasse sich in der Regel weder auf Art. 6 Abs. 1 lit. b noch auf lit. f DSGVO stützen. Im Ergebnis sei ein rechtmäßiger Einsatz "in der Regel nur aufgrund einer wirksamen Einwilligung" möglich.

Zwei Einschränkungen gehören dazu. Die Hinweise gelten für die Standardeinstellungen mit Stand vom 11. März 2020, also für die damalige Produktgeneration, nicht ausdrücklich für Google Analytics 4. Und sie beschreiben ausdrücklich Mindestanforderungen, keine abschließende Bewertung. Aus der Gliederung folgt trotzdem, worauf es ankommt: Einwilligung, Widerruf, Transparenz.

Die aktuelle Grundlage ist die Orientierungshilfe für Anbieter von digitalen Diensten, Version 1.2 vom November 2024. Sie vermeidet eine pauschale Aussage dazu, ob Reichweitenmessung ohne Einwilligung erlaubt ist, und begründet das: Drittanbieter verarbeiteten regelmäßig weitgehende Informationen über Nutzende, der Zweck sei maßgeblich, und selbst das einfache Zählen von Besuchen sei nicht per se Teil des Basisdienstes (Rn. 88 bis 90).

Für die Rechtsgrundlage nach der DSGVO sagt sie, dass die Voraussetzungen des berechtigten Interesses beim Tracking "nur in wenigen Konstellationen" erfüllt seien (Rn. 109). Wer bei Google Analytics auf berechtigtes Interesse setzt, trägt damit eine hohe Darlegungslast. Mehr dazu im Beitrag zum berechtigten Interesse bei Cookies.

Der Gesetzestext ist knapp. § 25 Abs. 1 TDDDG lässt die Speicherung und den Zugriff nur zu, wenn der Endnutzer "auf der Grundlage von klaren und umfassenden Informationen" eingewilligt hat. Die DSK-Hinweise übersetzen das für Google Analytics in konkrete Punkte:

• Die Einwilligung muss aktiv und vorherig erfolgen. Voreinstellungen und ein Opt-out reichen nicht.
• Google muss ausdrücklich als Empfänger der Daten genannt werden. Ein Satz wie "diese Seite verwendet Cookies, um Ihr Surferlebnis zu verbessern" genügt laut DSK nicht.
• Vor der Einwilligung dürfen keine Daten erhoben und keine Elemente von Google nachgeladen werden.
• Der Widerruf muss genauso einfach sein wie die Einwilligung, und nach dem Widerruf darf das Analytics-Skript nicht mehr geladen oder ausgeführt werden.

Die Orientierungshilfe ergänzt für Drittdienste, dass ein allgemeiner Hinweis auf "Partner" nicht ausreicht. Eingebundene Dienste sind einzeln zu benennen (Rn. 120). Wie ein Banner dafür aufgebaut sein muss, zeigt der Beitrag zum Cookie-Banner nach TDDDG.

Die Einwilligung bringt nur etwas, wenn sie im Tag ankommt. Der Google Consent Mode ist dafür der Weg: Die CMP meldet den Einwilligungsstatus an Google, und das GA4-Tag verhält sich entsprechend.

Für GA4 ist analytics_storage der entscheidende Parameter. Er steht in Deutschland zu Beginn auf denied und wird erst durch die aktive Zustimmung des Nutzers auf granted gesetzt. Dazu meldet die CMP einen Standardwert beim Laden der Seite und ein Update, wenn der Nutzer entschieden hat. Die Dokumentation von Google beschreibt beides, auch wait_for_update für CMPs, die asynchron antworten.

Die Google-Analytics-Hilfe beschreibt zwei Betriebsarten. Im Basic-Modus laden die Tags erst nach der Einwilligung. Im Advanced-Modus laden sie vorher, speichern bei analytics_storage = denied keine Analyse-Cookies und senden Pings ohne Cookies, aus denen Google das Verhalten modelliert.

Welcher Modus in Deutschland trägt, ist eine Rechtsfrage. Die DSK-Hinweise verlangen, dass vor der Einwilligung keine Daten erhoben werden. Wer diese Aussage streng liest, ist im Basic-Modus auf der sicheren Seite. Beim Advanced-Modus sollten Sie die Pings von Ihrer Rechtsberatung bewerten lassen. Eine Entscheidung der Aufsicht zu dieser Frage haben wir in den beiden Texten nicht gefunden.

Der Test dauert wenige Minuten und braucht keine Programmierung:

1. Öffnen Sie die Website in einem sauberen Fenster und löschen Sie alle Websitedaten, also Cookies und lokalen Speicher.
2. Öffnen Sie die Entwicklerwerkzeuge im Netzwerk-Tab und filtern Sie nach google-analytics.
3. Lehnen Sie im Banner alles ab und laden Sie die Seite neu.
4. Im Basic-Modus darf keine Anfrage an Google Analytics erscheinen. Im Advanced-Modus prüfen Sie, was die Anfragen enthalten, nicht nur, ob sie existieren.
5. Wiederholen Sie den Test mit Zustimmung und bestätigen Sie, dass die Messung beginnt.

Halten Sie Datum und Ergebnis fest. Als Nachweis taugt das gemeinsam mit dem Einwilligungsprotokoll. Wie Sie ein Cookie-Inventar belastbar aufbauen, zeigt der Beitrag zum Cookie-Scanner.

• Die Rechtsgrundlage ist dokumentiert, und für Google Analytics ist es die Einwilligung.
• Im Banner ist Google als Empfänger genannt, mit dem Zweck und ohne Voreinstellung.
• analytics_storage steht standardmäßig auf denied und wechselt nur durch aktive Zustimmung auf granted.
• Der Widerruf ist jederzeit erreichbar, und nach dem Widerruf läuft das Skript nicht mehr.
• Die Datenschutzerklärung beschreibt den Einsatz mit Anbieter und Zweck.
• Der Test mit Ablehnen und Zustimmen ist nach jeder Änderung am Banner oder am Tag-Manager-Container wiederholt.

Die CMP ist das Bindeglied zwischen Banner und Tag. Sie holt die Entscheidung ein, speichert sie und schickt den Status an Google. Die AdOpt protokolliert die Entscheidung im Consent Log, mit Datum und Uhrzeit, den akzeptierten oder abgelehnten Tags und Cookies und den Versionen Ihrer Dokumente. Ob der Status ankommt, prüfen Sie wie oben beschrieben. Wenn Sie sehen wollen, wie das in Ihrem Setup aussieht, können Sie 30 Tage kostenlos testen. Die Testphase enthält die Cookie-Prüfung der AdOpt.

• Meta Pixel und DSGVO: Einwilligung ohne Umwege
• Google Tag Manager und DSGVO: Einwilligung im Container

In aller Regel ja. Die DSK hält einen rechtmäßigen Einsatz von Google Analytics nur auf Grundlage einer wirksamen Einwilligung für möglich, und § 25 TDDDG verlangt sie für die Speicherung und den Zugriff auf dem Gerät. Die Bewertung Ihres konkreten Setups gehört zu Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Nein. Die DSK stellt in ihren Hinweisen klar, dass die Kürzung der IP-Adresse zusätzlicher Schutz ist, aber nicht die gesamte Verarbeitung anonymisiert. Google gibt für GA4 an, dass IP-Adressen von Nutzern aus der EU nicht protokolliert werden. Weitere Nutzungsdaten bleiben personenbezogen, die Einwilligungspflicht entfällt dadurch nicht.

Nein. Der Consent Mode ist ein Produkt von Google, kein Rechtsakt. Er ist der technische Weg, die Entscheidung aus dem Banner an Google weiterzugeben. Rechtlich zählt, ob vor der Einwilligung Daten erhoben werden und ob der Widerruf wirkt, nicht, ob der Consent Mode verwendet wird.

Löschen Sie alle Websitedaten, lehnen Sie im Banner ab und beobachten Sie den Netzwerk-Tab. Im Basic-Modus darf keine Anfrage an Google Analytics erscheinen. Im Advanced-Modus prüfen Sie den Inhalt der Anfragen. Wiederholen Sie den Test mit Zustimmung und bei jeder Änderung am Setup.

Wollen Sie wissen, ob Ihre Ablehnung bei Google Analytics wirklich ankommt? Sprechen Sie mit dem AdOpt-Team und wir prüfen es gemeinsam.