Cookie Confirm
de

Google Analytics und DSGVO: Was gilt in Deutschland?

Ob Sie für Google Analytics 4 eine Einwilligung brauchen, was sich mit dem EU-US Data Privacy Framework geändert hat und wie Sie GA4 in Deutschland datenschutzgerecht einsetzen.

Zuletzt geprüft am 13 Oktober 2026

Kurz gesagt

  • Google Analytics braucht in Deutschland in der Praxis immer eine Einwilligung nach § 25 TDDDG.
  • Eine anerkannte einwilligungsfreie Konfiguration für Google Analytics gibt es in Deutschland nicht.
  • Seit dem 10. Juli 2023 können Daten auf Grundlage des EU-US Data Privacy Framework an Google in den USA übermittelt werden.
  • Laden Sie GA4 erst nach der Einwilligung und geben Sie die Entscheidung per Consent Mode v2 an Google weiter.

Braucht Google Analytics eine Einwilligung?

Ja, in Deutschland praktisch immer. Maßgeblich ist zunächst § 25 TDDDG: Google Analytics 4 speichert Cookies wie _ga und _ga_<container-id>, standardmäßig mit zwei Jahren Laufzeit, und liest sie bei jedem Besuch wieder aus. Das ist nur ohne Einwilligung erlaubt, wenn es unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Die Datenschutzkonferenz (DSK) sieht das bei Analysediensten in aller Regel nicht. In ihrer Orientierungshilfe Digitale Dienste (Version 1.2, November 2024) schreibt sie, dass schon die Messung von Besucherzahlen nicht automatisch zum Basisdienst gehört. Analysedienste von Drittanbietern verarbeiten zudem regelmäßig weitgehende Informationen über Nutzer, von Geräten und Nutzer-IDs bis zu Einstiegsseiten und internen Suchen. Ob eine Reichweitenmessung ohne Einwilligung zulässig ist, könne allenfalls für eine genau definierte Konfiguration und einen bestimmten Zweck beurteilt werden.

Bereits 2020 haben die deutschen Aufsichtsbehörden in einem Beschluss zu Google Analytics festgehalten, dass der Einsatz in den Standardeinstellungen eine informierte, freiwillige, aktive und vorherige Einwilligung erfordert. Damals ging es noch um Universal Analytics; an der Einwilligungspflicht hat sich mit GA4 nichts geändert.

Eine von den deutschen Aufsichtsbehörden anerkannte Konfiguration, mit der Google Analytics ohne Einwilligung betrieben werden kann, gibt es nicht. Allgemeine Ausnahmen für Analyse-Cookies, wie sie manche andere EU-Länder kennen, sieht das deutsche Recht nicht vor.

Datenübermittlung in die USA: von 2022 bis heute

2022: Aufsichtsbehörden in Europa gegen Google Analytics

Nachdem der EuGH 2020 das Privacy Shield gekippt hatte (Schrems II), stellten mehrere europäische Aufsichtsbehörden fest, dass Websites mit Google Analytics Daten ohne ausreichenden Schutz in die USA übermittelten:

  • die österreichische Datenschutzbehörde im Dezember 2021 (bekannt geworden im Januar 2022),
  • die französische CNIL im Februar 2022,
  • die italienische Garante im Juni 2022.

In Deutschland urteilte das OLG Köln am 3. November 2023 (6 U 58/23) in einem Verfahren gegen die Deutsche Telekom, dass die Übermittlung von IP-Adresse und Geräteinformationen an Google-Server in den USA ohne wirksame Einwilligung unzulässig war. Das Urteil war bei Veröffentlichung nicht rechtskräftig.

Seit Juli 2023: das EU-US Data Privacy Framework

Am 10. Juli 2023 hat die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) erlassen. Unternehmen, die sich unter dem DPF zertifiziert haben, dürfen personenbezogene Daten aus der EU ohne weitere Garantien empfangen. Google LLC ist zertifiziert und stützt Übermittlungen für seine Werbe- und Analyseprodukte nach eigenen Angaben seit dem 1. September 2023 auf das DPF.

Das Gericht der EU hat am 3. September 2025 die Klage des französischen Abgeordneten Philippe Latombe gegen den Beschluss abgewiesen (T-553/23). Latombe hat Rechtsmittel beim EuGH eingelegt (C-703/25 P). Bis zu einer gegenteiligen Entscheidung bleibt der Angemessenheitsbeschluss wirksam.

Wichtig: Das DPF löst nur die Frage der Übermittlung. An der Einwilligungspflicht nach § 25 TDDDG ändert es nichts.

IP-Adressen und Datenverarbeitung in GA4

  • IP-Adressen: Google gibt an, dass Google Analytics 4 keine IP-Adressen protokolliert oder speichert. Eine eigene IP-Anonymisierung wie bei Universal Analytics ist deshalb nicht mehr nötig.
  • EU-Datenerfassung: Daten von Geräten in der EU werden laut Google über Server in der EU erfasst, bevor sie zur Verarbeitung weitergeleitet werden.
  • Vertrag: Akzeptieren Sie in der Verwaltung von Google Analytics die Bedingungen zur Datenverarbeitung von Google. Die DSK hat 2020 die Auffassung vertreten, dass zwischen Websitebetreiber und Google keine reine Auftragsverarbeitung vorliegt; prüfen Sie Ihre vertraglichen Grundlagen deshalb sorgfältig.
  • Datenfreigabe und Google Signals: Jede zusätzliche Freigabe und Verknüpfung mit Google Ads erweitert die Zwecke. Darüber müssen Sie im Banner und in der Datenschutzerklärung informieren.

Google Analytics richtig einbinden

  1. Laden Sie GA4 erst nach der Einwilligung in der Kategorie Statistik. Ohne Einwilligung darf kein Analyse-Skript Cookies setzen.
  2. Nutzen Sie Google Consent Mode v2, damit Google die Entscheidung kennt. Im Basismodus werden die Google-Tags erst nach der Entscheidung geladen; das ist in Deutschland die vorsichtigere Variante. Mehr dazu in Google Consent Mode v2 erklärt.
  3. Informieren Sie konkret: Anbieter (Google), Zwecke, Laufzeit der Cookies, Übermittlung in die USA auf Grundlage des DPF und Widerrufsmöglichkeit. Das gehört in Banner und Datenschutzerklärung.
  4. Halten Sie die Einstellungen sparsam: Datenaufbewahrung und Datenfreigaben nur so weit, wie Sie sie brauchen.
  5. Dokumentieren Sie die Einwilligungen, damit Sie sie nachweisen können.

Cookie Confirm blockiert Google Analytics, bis der Besucher der Statistik zustimmt, gibt die Entscheidung mit allen vier Signalen an Consent Mode v2 weiter und speichert jede Einwilligung 12 Monate als Nachweis.

Quellen

Häufige Fragen

Ist Google Analytics in Deutschland verboten?

Nein. Sie dürfen Google Analytics nutzen, wenn Besucher vorher wirksam eingewilligt haben und Sie transparent informieren. Die Datenübermittlung in die USA stützt Google seit 2023 auf das EU-US Data Privacy Framework.

Kann ich Google Analytics ohne Einwilligung betreiben?

In der Praxis nein. GA4 setzt Cookies wie _ga mit einer Standardlaufzeit von zwei Jahren und überträgt Nutzungsdaten an Google. Nach § 25 TDDDG ist dafür eine Einwilligung nötig, weil die Analyse nicht unbedingt erforderlich für den vom Besucher gewünschten Dienst ist. Die deutschen Aufsichtsbehörden haben schon 2020 festgehalten, dass Google Analytics in den Standardeinstellungen eine Einwilligung braucht.

Speichert GA4 IP-Adressen?

Nach Angaben von Google protokolliert oder speichert Google Analytics 4 keine IP-Adressen. Die IP-Adresse wird für die Verbindung aber übertragen und kann für die grobe Standortbestimmung genutzt werden. Das ändert nichts an der Einwilligungspflicht nach § 25 TDDDG.

Ist das Data Privacy Framework noch gültig?

Ja. Das Gericht der EU hat die Klage gegen den Angemessenheitsbeschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe). Der Kläger hat dagegen Rechtsmittel beim EuGH eingelegt (C-703/25 P). Solange der Beschluss nicht aufgehoben ist, bleibt er wirksam.

Gibt es Alternativen zu Google Analytics?

Es gibt Analysewerkzeuge, die Sie selbst hosten oder bei europäischen Anbietern betreiben können, etwa Matomo. Auch dafür gilt § 25 TDDDG: Ob eine Einwilligung entfallen kann, hängt nach der DSK von der genauen Konfiguration und dem Zweck ab.

Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung. Wir prüfen ihn regelmäßig, aber Gesetze und Leitlinien ändern sich. Unsicher, was für Sie gilt? Fragen Sie eine Anwältin oder einen Anwalt.

Weiterlesen

Weitere Ratgeber

Alle Ratgeber →

Die ersten 7 Tage komplett kostenlos

Erstellen Sie ein kostenloses Konto und finden Sie heraus, ob Cookie Confirm zu Ihnen passt. In 5 Minuten live.

  • Keine Kreditkarte erforderlich
  • Danach €7,95 pro Monat
  • Plug-and-play-Installation
Kostenlos testen

4,9/5 5.000+ Websites