Google Analytics 4 DSGVO-konform nutzen: Consent Mode, IP-Anonymisierung, Auftragsverarbeitung

Google Analytics 4 ist das meistgenutzte Web-Analytics-Tool in Deutschland - und gleichzeitig eines der am häufigsten falsch konfigurierten. Viele Webseitenbetreiber glauben, mit der bloßen Installation von GA4 auf der sicheren Seite zu sein. Das stimmt nicht.

Die österreichische Datenschutzbehörde erklärte GA4 bereits im Dezember 2021 für DSGVO-widrig, Frankreichs CNIL folgte 2022. Seitdem haben mindestens sechs EU-Behörden entsprechende Entscheidungen veröffentlicht. Trotzdem lässt sich google analytics 4 dsgvo konform betreiben - wenn Sie die richtigen technischen und vertraglichen Maßnahmen konsequent umsetzen. Was das konkret bedeutet, erkläre ich in diesem Artikel.

Warum GA4 und DSGVO so kompliziert zusammenpassen

Das Grundproblem ist der Datentransfer in die USA. Google LLC hat seinen Sitz in den Vereinigten Staaten und unterliegt dort dem CLOUD Act sowie Section 702 des Foreign Intelligence Surveillance Act (FISA). Das bedeutet: US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, die Google speichert - auch wenn diese Daten von EU-Nutzern stammen.

Nach dem Schrems-II-Urteil des EuGH aus dem Juli 2020 sind Datentransfers in die USA ohne ausreichende Schutzmaßnahmen rechtswidrig. Mit dem EU-US Data Privacy Framework (DPF), das im Juli 2023 in Kraft trat, gibt es wieder eine formale Übertragungsgrundlage. Seit Anfang 2025 steht dieses Framework allerdings unter politischem Druck - mehrere EU-Datenschützer beobachten die Lage genau. Wer auf GA4 setzt, sollte das im Blick behalten.

Ich bin Webentwickler, kein Rechtsanwalt - dieser Artikel ersetzt keine Rechtsberatung, gibt aber einen praxisnahen Überblick über den aktuellen Stand.

Die drei Pflichtbausteine für rechtskonforme GA4-Nutzung

Bevor wir in die Details gehen: Es gibt drei Maßnahmen, ohne die GA4 in der EU nicht rechtssicher betrieben werden kann.

Schritt 1: Den Auftragsverarbeitungsvertrag mit Google abschließen

Nach Art. 28 DSGVO müssen Sie mit jedem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, einen AVV abschließen. Google ist ein solcher Auftragsverarbeiter. Ohne diesen Vertrag haben Sie keine rechtliche Grundlage für die Datenverarbeitung durch GA4.

Der AVV-Abschluss läuft vollständig digital:

1. GA4-Verwaltungsoberfläche öffnen
2. Unter "Verwaltung" die "Kontoeinstellungen" aufrufen
3. Den Punkt "Zusatz zur Datenverarbeitung" suchen und akzeptieren

Diese Bestätigung ist für alle Google Analytics 4-Konten möglich. Bei älteren Konten, die noch unter den alten Google-Werbeprodukt-Bedingungen liefen, wurde der AVV automatisch durch die neuen Datenverarbeitungsbedingungen ersetzt.

Schritt 2: Consent Mode v2 richtig einrichten

Consent Mode ist Googles Mechanismus, um GA4 auf die Einwilligungsentscheidungen der Nutzer zu reagieren. Seit dem 6. März 2024 ist Version 2 verpflichtend für alle, die Google-Werbefunktionen oder Remarketing nutzen wollen.

Die neue Version führt vier Parameter ein, die Sie mit Ihrem Consent-Banner verwalten müssen:

Wichtig: Der Standardwert aller Parameter muss auf "denied" gesetzt sein, bevor das Consent-Banner angezeigt wird. Das ist der sogenannte Default-State. Erst wenn ein Nutzer aktiv zustimmt, dürfen die Parameter auf "granted" umgestellt werden.

Für die technische Implementierung gibt es zwei Modi:

• Basic Mode: GA4-Tags feuern gar nicht, solange keine Einwilligung vorliegt. Kein Tracking ohne Consent.
• Advanced Mode: GA4-Tags feuern auch ohne Einwilligung, aber nur mit anonymisierten Ping-Daten. Google verwendet Modellierung, um fehlende Daten zu schätzen.

Aus Datenschutzsicht ist der Basic Mode der sichere Weg. Der Advanced Mode ist umstritten - mehrere Datenschützer bezweifeln, dass modellierte Pings wirklich frei von personenbezogenen Daten sind.

Bei einem Kundenprojekt aus Hamburg - einem Onlineshop für Haushaltsgeräte - haben wir uns nach langen Abwägungen für den Basic Mode entschieden. Der Verlust an Datenpunkten war messbar (ca. 20-30 % der Sessions wurden nicht erfasst), aber der Rechtsrahmen war deutlich klarer.

Schritt 3: IP-Anonymisierung und Datenspeicherung

GA4 anonymisiert IP-Adressen standardmäßig. Sie müssen dafür nichts konfigurieren - das ist ein klarer Vorteil gegenüber Universal Analytics, wo man die Anonymisierung explizit aktivieren musste.

Allerdings gibt es einen technischen Haken: Die IP-Anonymisierung in GA4 erfolgt erst nach der Geo-Lokalisierung. Das bedeutet, die vollständige IP-Adresse wird kurzzeitig für die Standortbestimmung verwendet und dann verworfen. Mehrere EU-Datenschutzbehörden haben genau das kritisiert.

Für die Datenspeicherung empfehle ich folgende Einstellung:

Die Datenspeicherdauer stellen Sie unter "Verwaltung" - "Dateneinstellungen" - "Datenspeicherung" ein. Für die meisten kleinen und mittleren Unternehmen reichen 2 Monate aus, um saisonale Trends zu erkennen.

Schritt 4: Der Datentransfer in die USA nach Schrems II

Das ist der heikelste Punkt. GA4 überträgt Daten an Google-Server in den USA. Nach dem Schrems-II-Urteil des EuGH (Juli 2020) ist das ohne geeignete Schutzmaßnahmen rechtswidrig.

Die aktuelle Rechtslage basiert auf dem EU-US Data Privacy Framework, das im Juli 2023 in Kraft trat und das zuvor gekippte Privacy Shield ersetzte. Unter diesem Framework kann Google als zertifizierter Anbieter Daten aus der EU verarbeiten. Google ist in der DPF-Liste eingetragen.

Aus Datenschutzsicht gibt es aber einen Unsicherheitsfaktor: Mit den politischen Entwicklungen in den USA seit Anfang 2025 haben mehrere Datenschutzexperten und EU-Behörden Bedenken geäußert, ob das DPF langfristig stabil bleibt. Wer auf der sicheren Seite bleiben will, sollte zusätzliche Maßnahmen prüfen.

Server-Side Tagging: Die technisch sauberste Lösung

Server-Side Tagging ist für datenschutzkritische Projekte die empfehlenswerteste Methode. Anstatt GA4-Tags direkt aus dem Browser des Nutzers zu feuern, laufen die Tags auf einem eigenen Server - idealerweise einem EU-Server.

Das hat mehrere Vorteile:

• Die IP-Adresse des Nutzers landet auf Ihrem Server, nicht direkt bei Google. Sie können sie anonymisieren, bevor Sie Daten weiterleiten.
• Sie kontrollieren, welche Daten an Google übertragen werden.
• Die Anonymisierung passiert, bevor irgendetwas die EU verlässt.

Der Nachteil: Server-Side Tagging erfordert einen eigenen Cloud-Server (z. B. Google Cloud Run oder Stape.io) und technisches Know-how. Die laufenden Kosten liegen je nach Traffic zwischen 10 und 80 EUR pro Monat.

Für einen Kunden aus dem Hamburger Gesundheitsbereich, der besonders sensible Webseitendaten (nicht Gesundheitsdaten, aber HIPAA-ähnliche Anforderungen der Geschäftsführung) hatte, haben wir Server-Side Tagging auf einem deutschen Cloud-Server eingerichtet. Die Konfiguration dauerte drei Tage, läuft seitdem aber stabil und liefert sauberere Daten als das clientseitige Setup vorher.

Mehr zu technischen Webprojekten finden Sie unter meinen Website-Leistungen für Unternehmen.

Das richtige Consent-Banner: Worauf Sie achten müssen

Consent Mode v2 ist technisch wertlos, wenn das Consent-Banner rechtlich nicht sauber ist. Die häufigsten Fehler, die ich in Projekten sehe:

Für WordPress empfehle ich Cookiebot (Usercentrics) oder Borlabs Cookie. Beide Tools unterstützen Consent Mode v2 nativ und werden regelmäßig aktualisiert. Die Kosten liegen bei 8-20 EUR pro Monat, je nach Seitenaufrufen.

Das Thema Cookies und TDDDG (früher TTDSG, umbenannt im Mai 2024) ist eng damit verknüpft: Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz regelt auf nationaler Ebene, welche Daten bei der Nutzung von Telekommunikationsdiensten verarbeitet werden dürfen. Für Cookies bedeutet das: Einwilligung vor dem Setzen nicht notwendiger Cookies ist Pflicht.

Datenschutzerklärung anpassen

Mit GA4 müssen Sie Ihre Datenschutzerklärung konkret auf folgende Punkte eingehen:

• Zweck der Datenverarbeitung (Websiteanalyse)
• Rechtsgrundlage (in der Regel Art. 6 Abs. 1 lit. a DSGVO - Einwilligung)
• Empfänger der Daten (Google Ireland Limited und Google LLC, USA)
• Übertragungsgrundlage in die USA (EU-US Data Privacy Framework)
• Hinweis auf den AVV mit Google
• Hinweis auf Widerspruchsmöglichkeit (Consent zurückziehen)
• Datenspeicherdauer

Verwenden Sie keinen Generator-Text aus dem Jahr 2021 oder früher. Die rechtlichen Anforderungen haben sich seitdem mehrfach verändert.

Häufige Fragen

Ist Google Analytics 4 automatisch DSGVO-konform?

Nein, GA4 ist nicht out-of-the-box DSGVO-konform. Sie müssen aktiv Consent Mode v2 einrichten, einen AVV mit Google abschließen und ein konformes Consent-Banner einbinden. Erst die Kombination dieser Maßnahmen schafft eine tragfähige rechtliche Grundlage.

Muss ich für GA4 einen Auftragsverarbeitungsvertrag abschließen?

Ja, nach Art. 28 DSGVO ist ein AVV Pflicht, weil Google als Auftragsverarbeiter personenbezogene Daten für Sie verarbeitet. Der Vertrag wird direkt in der GA4-Oberfläche unter 'Verwaltung' - 'Kontoeinstellungen' - 'Zusatz zur Datenverarbeitung' elektronisch akzeptiert. Ohne AVV riskieren Sie Bußgelder bis 10 Mio. EUR oder 2 % des Jahresumsatzes.

Was ist der Unterschied zwischen Consent Mode v1 und v2?

Consent Mode v2 führt zwei neue Parameter ein: 'ad_user_data' und 'ad_personalisation'. Damit können Sie die Einwilligungspräferenzen für Werbedaten und personalisierte Anzeigen getrennt verwalten. Seit März 2024 ist v2 für Google-Werbefunktionen verpflichtend - wer noch v1 nutzt, verliert Remarketing-Möglichkeiten.

Wie funktioniert IP-Anonymisierung in GA4?

GA4 anonymisiert IP-Adressen standardmäßig, ohne dass Sie etwas konfigurieren müssen. Die vollständige IP-Adresse wird nie dauerhaft gespeichert. Kritisch ist jedoch: Die Anonymisierung erfolgt erst nach der Geo-Lokalisierung, was mehrere EU-Datenschutzbehörden beanstandet haben. Server-Side Tagging kann dieses Problem entschärfen.

Welche Datenspeicherdauer sollte ich in GA4 einstellen?

Empfohlen wird die kürzeste verfügbare Einstellung: 2 Monate für ereignisbezogene Daten. Sie finden diese Option unter 'Verwaltung' - 'Dateneinstellungen' - 'Datenspeicherung'. Für die meisten KMU reichen 2 Monate aus, um Trends zu erkennen, ohne unnötig lange personenbezogene Daten zu speichern.

Was passiert nach dem Ende des EU-US Data Privacy Framework?

Das EU-US Data Privacy Framework (seit Juli 2023) ist derzeit die Rechtsgrundlage für Datenübertragungen in die USA. Seit Anfang 2025 steht es unter politischem Druck. Falls es für ungültig erklärt wird, wäre GA4 ohne Alternativen wie Server-Side Tagging in einer EU-Region oder eine europäische Analytics-Alternative rechtlich problematisch.