Technical Compliance · Quellen geprüft am 29. Juli 2026
Google Analytics DSGVO: Setup testen
GA4 ist kein fester Datenfluss. Dokumentieren Sie, was Ihre Umsetzung in jedem Consent-Zustand sendet, speichert, verknüpft, exportiert und verändert. Danach entscheiden die zuständigen Owner.
Direkte Antwort
- Kein Produktetikett macht jedes Google-Analytics-4-Setup rechtmäßig oder rechtswidrig. Entscheidend sind Umsetzung, Zwecke, Zugriffe auf Endgeräte, Verarbeitung personenbezogener Daten, Rollen, Verträge, Transfers, Hinweise und die Consent-Entscheidung.
- Basic Consent Mode blockiert Google-Tags bis zur Interaktion und sendet vor Einwilligung keine Daten. Advanced Consent Mode lädt Tags mit abgelehnten Defaults und sendet cookielose Messungen. „Denied“ bedeutet nicht immer „kein Request“.
- GA4 bietet nicht den alten IP-Masking-Schalter aus Universal Analytics. Google sagt, dass individuelle IP-Adressen von Nutzern aus EU, Schweiz und UK für Geolokalisierung verwendet und vor dem Logging verworfen werden. Andere Kennungen und Events bleiben zu prüfen.
- Führen Sie ein Evidenzregister für Collection-Pfade, Zustände, Kennungen, Events, Ziele, verknüpfte Produkte, Retention, Exporte, Verträge, Transfers, Owner, Artefakte und offene Entscheidungen.
Die Entscheidung
Fragen Sie zuerst: „Was tut dieses GA4-Setup?“
Der Browser zeigt Requests, Speicher, Parameter, Consent-Signale und einige Ziele. Admin-Screenshots zeigen Property-Einstellungen, Produktverknüpfungen, Retention, Zugriffe und Exporte. Verträge und Datenschutzakten bilden eine weitere Ebene. Kein einzelnes Artefakt belegt, dass die ganze Umsetzung DSGVO und deutschem Recht entspricht.
§ 25 TDDDG betrifft das Speichern von Informationen auf oder den Zugriff auf Endeinrichtungen. Die DSK-Orientierungshilfe für digitale Dienste trennt diese Frage von der anschließenden Verarbeitung personenbezogener Daten nach DSGVO. Beides dokumentieren; DPO oder Rechtsberatung entscheiden Ausnahmen, Rechtsgrundlagen, Rollen, Transfers und Hinweise.
Consent Mode
Basic und Advanced erzeugen vor Consent unterschiedliche Evidenz.
| Umsetzung | Vor Consent | Prüfen | Entscheidung |
|---|---|---|---|
| Basic Consent Mode | Google-Tags sind blockiert; laut Google werden vor der Interaktion keine Daten gesendet, auch kein Consent-Status | Keine Google-Tag- oder GA-Requests, kein Analytics-Speicher und kein alternativer Injektionspfad | Ob Umsetzung und Consent-Interface zu den erklärten Zwecken passen |
| Advanced Consent Mode | Google-Tags laden mit abgelehnten Defaults und senden Messungen ohne Cookies für Modellierung | Requests, Parameter, Consent-Defaults, passive Header, Seitendaten, Redaction, URL Passthrough und Updates | Wie Operationen und Verarbeitung vor Consent einzuordnen sind |
| Keine oder defekte Integration | Hardcodierte Tags oder doppelte Injektoren können unabhängig von der CMP feuern | Jeden GTM-, Plugin-, Theme-, SDK-, Measurement-Protocol- und Server-Pfad | Fix-Owner und Release-Entscheidung |
Was Google dokumentiert
Ein verweigertes Storage-Signal kann trotzdem einen Request erzeugen.
Googles Consent-Mode-Übersicht sagt, dass Advanced Mode bei verweigertem Consent cookielose Pings sendet. Sie können Zeitstempel, User Agent, Referrer, Consent-Status, das Vorhandensein einer Ad-Click-Kennung und eine Zufallszahl pro Seitenaufruf enthalten. Der konkrete Request ist die Beobachtung; „cookielos“ ist keine Aussage zu Personenbezug oder Rechtsgrundlage.
Der Implementierungsleitfaden verlangt Defaults vor Measurement-Kommandos und Updates nach Nutzeraktionen. Er beschreibt `analytics_storage`, `ad_storage`, `ad_user_data` und `ad_personalization`. Prüfen Sie Reihenfolge, Region, `wait_for_update`, URL Passthrough, Data Redaction und was die CMP speichert.
Evidenzregister
Acht Datensätze machen ein GA4-Review entscheidbar.
01
Jeden Collection-Pfad abbilden
gtag.js, GTM-Webcontainer, Plugins, Site Kit, Theme-Code, App-SDKs, Measurement Protocol, serverseitige Container, Proxies und Backend-Events erfassen. Owner und erreichbare Measurement-IDs nennen.
02
Fünf Consent-Zustände testen
Mit frischen Profilen vor Auswahl, Ablehnen, Analytics akzeptieren, Ändern und Widerrufen erfassen. Requests, Parameter, Cookies, Local Storage, Consent-Werte, Zeit, Route, Markt, Sprache und Screenshots speichern.
03
Kennungen und Payloads inventarisieren
Client ID, User-ID, Session- und Gerätedaten, URLs, Referrer, Eventnamen, Custom Dimensions, Formular- oder E-Commerce-Parameter und Ad-Click-IDs erfassen. Redaction und Löschpfade testen.
04
Ziele und Verknüpfungen verfolgen
GA4-Property, Google Ads, Search Console, BigQuery, Firebase, Looker-Studio-Connectoren, Audiences, APIs und Warehouses auflisten. Eine Property-Einstellung steuert nicht jede exportierte Kopie.
05
Aktuelle Konfiguration sichern
Data Sharing, Google Signals, Ads-Personalisierung, Standort- und Gerätedaten, Cross-Domain-Messung, internen Traffic, Consent, Zugriffe und Links mit Datum und Property-ID exportieren oder abbilden.
06
Retention je Datenspeicher erfassen
GA4-Retention für Nutzer und Events, Reset bei Aktivität, BigQuery-Ablauf, Warehouse-Backups, Dashboards, Audiences und Löschprozesse erfassen. Eine GA4-Einstellung ist keine universelle Löschfrist.
07
Verträge und Rollen den Features zuordnen
Vertragspartner, anwendbare Google-Bedingungen, Kundeneinheit und Kontakte, Dienste, Rollenanalyse, Empfänger, Länder, Transferinstrument, Nachweisdatum und freigebenden Owner erfassen.
08
Bei definierten Änderungen neu testen
CMP, GTM, Plugin, Eventschema, Produktlink, Ads-Kontrolle, Signals, Serverpfad, Export, Vertrag, Anbieter, Zweck, Retention oder Datenschutzhinweis lösen einen zielgerichteten Retest aus.
IP-Adressen und Kennungen
Eine alte GA-Anweisung korrigieren, ohne die übrigen Daten kleinzureden.
Google erklärt in der EU-bezogenen Analytics-Dokumentation, individuelle IP-Adressen von Nutzern aus EU, Schweiz und UK würden zur groben Geolokalisierung verwendet und vor dem Logging verworfen. GA4 braucht nicht die alte Universal-Analytics-Einstellung `anonymizeIp`.
Googles Dokumentation zur Datenerhebung sagt, Analytics speichere normalerweise eine Client ID im First-Party-Cookie `_ga` und speichere sie bei deaktiviertem Analytics Storage im Consent Mode nicht. Prüfen Sie den vollständigen Event-Payload und alle Ziele. Die IP-Aussage entfernt nicht Client ID, User-ID, URLs, Events oder andere Werte.
Retention
Die GA4-Retention ist enger als viele Datenschutzhinweise vermuten lassen.
Googles Retention-Dokumentation beschreibt automatische Löschfristen für Nutzer- und Eventdaten. Sie sagt auch, dass diese Einstellung aggregierte Standardberichte nicht betrifft. „Reset on new activity“ kann die Frist einer Nutzerkennung bei weiterer Aktivität verlängern.
Ausgewählten Wert und Geltungsbereich dokumentieren. Danach jeden Export und jedes verknüpfte Ziel getrennt verfolgen. BigQuery, Warehouse, Download oder Ads Audience haben eigene Kontrollen und Owner.
Bedingungen, Rollen und Transfers
Die anwendbaren Dokumente neben der Feature-Landkarte halten.
Googles Seite zu Analytics-Datenverarbeitungsbedingungen sagt, die Google Ads Data Processing Terms hätten den früheren Analytics-Zusatz ersetzt, und erklärt, wann Bedingungen einbezogen oder im Konto akzeptiert werden. Erfassen Sie Konto, Kundeneinheit, Bedingungen, Kontakte und Datum. Der Vermerk „AVV erledigt“ allein reicht nicht.
Features schaffen weitere Nutzungen und Ziele. Googles Update der Datenkontrollen 2026 sagt, seit 15. Juni 2026 steuere Consent Mode die Erhebung von Ads-Daten, während Google Signals die Verknüpfung mit Daten angemeldeter Nutzer für Behavioral Reporting steuert. Weitere Änderungen zur Ads-Personalisierung sind für 2026 angekündigt. Aktuellen Stand sichern und nach Abschluss erneut prüfen.
Für Transfers Empfänger, Land, Daten, Feature und verwendetes Instrument erfassen. Die EU-Kommission pflegt Material zu EU-US-Datentransfers und Data Privacy Framework. Zertifizierung oder Angemessenheitsbeschluss sind Inputs für die aktuelle Transferprüfung, keine dauerhafte Garantie für jeden Datenfluss.
Nächster Schritt: Compliance
Compliance-Check zu: Google Analytics DSGVO
Schicken Sie uns den aktuellen Stand Ihrer Website. Wir antworten mit den Risiken, die wirklich zählen, nicht mit einer generischen Checkliste.
Alternativen
Die tatsächlichen Betriebsmodelle vergleichen.
| Modell | Evidenz vergleichen | Grenze sichtbar halten |
|---|---|---|
| GA4 mit Basic Consent Mode | Keine Google-Übertragung vor Consent, Property-Kontrollen, Links, Verträge und Messverlust | Consent und Verarbeitung danach bleiben zu prüfen |
| GA4 mit Advanced Consent Mode | Denied-State-Pings, Modellierung, Redaction, Parameter, Kontrollen und dokumentierte Einordnung | Cookielos klärt die Rechtsfragen nicht |
| Self-hosted oder EU-hosted Analytics | Code, Speicher/Zugriff, Hosting, Unterauftragnehmer, Kennungen, Retention und Zugriff | Hosting-Ort allein klärt Zweck und Rechtsgrundlage nicht |
| Serverseitige oder First-Party-Erhebung | Browser-zu-Server- und Server-zu-Anbieter-Flüsse, Transformationen, Logs und Exporte | Ein Proxy ändert den Pfad; er anonymisiert nicht automatisch |
| Keine personenbezogene Analytics | Geschäftsentscheidungen aus operativen oder aggregierten Messwerten | Prüfen, ob reduzierte Daten die echte Frage beantworten |
Review-Output
Ein brauchbares GA4-Evidenzpaket enthält Fakten, Entscheidungen und Grenzen.
✓
Datierte Architektur für Browser-, App-, Server-, Google-, Ads- und Exportpfade.
✓
Requests und Speicher in fünf Zuständen auf repräsentativen Routen und Geräten.
✓
Inventar für Kennungen, Events, Custom-Parameter, Zwecke, Empfänger und Ziele.
✓
Datierte Property-, Consent-, Ads-, Signals-, Zugriffs-, Retention-, Sharing-, Link- und Exportsettings.
✓
Anwendbare Bedingungen, Einheiten, Rollen, Transferakte, Datenschutzhinweis und Freigabe-Owner.
✓
Findings mit technischem Owner, Datenschutz- oder Rechts-Owner, Termin, Retest-Auslöser und Verifikationsgrenze.
Nächster Schritt
Wenn die Entscheidung wichtig ist, die Umsetzung unabhängig testen.
Der Cookie-Banner-Leitfaden deckt Interface und Enforcement in fünf Zuständen ab. Die DSGVO-Website-Checkliste erweitert auf Formulare, Anbieter, Hinweise, Rechte, Security und Löschung.
Für unabhängige Browser-Evidenz, Konfigurationsprüfung, Finding-Owner und Retest nach Fixes: technisches DSGVO-Audit. Der Kostenleitfaden hilft, Scope und veröffentlichte Preise zu vergleichen.
Häufige Fragen
Fragen zu Google Analytics und DSGVO.
Ist Google Analytics in Deutschland illegal?
Eine belastbare Produktantwort für jedes GA4-Setup gibt es nicht. Dokumentieren Sie Umsetzung, Zwecke, TDDDG-Operationen, Verarbeitung, Consent-Verhalten, Rollen, Bedingungen, Transfers, Hinweise, Retention und Security. DPO oder Rechtsberatung können dann die konkrete Umsetzung bewerten.
Braucht GA4 in Deutschland Consent?
Das ist eine fallbezogene Entscheidung über tatsächliches Speichern, Zugreifen und Verarbeiten. Der Produktname allein kann sie nicht beantworten. Typische Marketing-Analytics-Setups nutzen häufig Consent. Der Reviewer muss § 25 TDDDG und DSGVO auf die dokumentierten Fakten und Zwecke anwenden.
Stoppt denied Consent Mode alle Google-Requests?
Nicht im Advanced Mode. Google dokumentiert, dass Tags laden und bei verweigertem Consent cookielose Messungen senden. Basic Mode blockiert Tags und sendet vor Consent keine Daten. Testen Sie den tatsächlich verwendeten Modus und zusätzliche Tags.
Reicht GA4-IP-Anonymisierung?
GA4 hat dafür keinen alten IP-Anonymisierungs-Schalter. Google sagt, individuelle IP-Adressen aus EU, Schweiz und UK würden nach Geolokalisierung vor dem Logging verworfen. Andere Kennungen, Events, Zwecke, Empfänger, Verträge, Transfers, Hinweise und Kontrollen bleiben zu prüfen.
Brauchen wir einen AVV mit Google Analytics?
Erfassen Sie anwendbare Bedingungen, Kunden- und Google-Einheiten, Features und Rollenanalyse. Google sagt, seine Ads Data Processing Terms hätten den früheren Analytics-Zusatz ersetzt und würden je nach Kunde unterschiedlich einbezogen oder akzeptiert. Der zuständige Owner bestätigt die vollständige Vertrags- und Rollenakte.
Macht Server-side Tagging GA4 DSGVO-konform?
Kein Architekturetikett belegt Compliance. Server-side Tagging ändert den Erhebungspfad und kann mehr Kontrolle über Filter und Ziele schaffen. Prüfen Sie Browser-Request, Serverlogs, Transformationen, Weitergaben, Kennungen, Zwecke, Sicherheit, Retention und Consent-Verhalten.
Verfasst von
Vineet Talwar
Co-Founder, Tech & Operations bei Some Tech Work. WordCamp-Speaker in Europa und Asien und Host des WP-Shoutout-Podcasts.
Hier starten
Bereit fürs Gespräch.Buchen Sie eine kurze Diagnose.
Sagen Sie uns, was nicht läuft
Wir lesen jedes Briefing und antworten innerhalb eines Werktags.
Lieber erst sprechen?oder Tech-Stack-Audit anfragen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die hängende Entscheidung, den Workflow oder die Seite. Wir sagen, ob ein Diagnosegespräch, ein Tech-Stack-Audit oder ein anderer erster Schritt passt.