Google Analytics DSGVO-konform einbinden: Consent richtig umsetzen

Google Analytics DSGVO: die rechtliche Ausgangslage

Google Analytics setzt Cookies und überträgt IP-Adressen an US-amerikanische Server. Damit greifst du in die Endeinrichtung des Nutzers ein – und das ist nach § 25 TDDDG (früher TTDSG) nur mit vorheriger, informierter Einwilligung erlaubt. Parallel dazu brauchst du nach Art. 6 Abs. 1 lit. a DSGVO eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten.

Das bedeutet konkret: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) reicht für Tracking-Tools wie GA4 in Deutschland nicht aus. Der Europäische Datenschutzausschuss und die deutschen Datenschutzbehörden sind da eindeutig. Du brauchst Opt-in – kein Opt-out, kein "weiter surfen = Zustimmung".

Zwei Ansätze: Load-after-Consent vs. Google Consent Mode

Wenn du GA4 DSGVO-konform einsetzt, hast du im Wesentlichen zwei technische Wege:

Load-after-Consent (strenger, klarer)

Du lädst gtag.js erst, nachdem der Nutzer explizit zugestimmt hat. Bis dahin wird kein Google-Script aufgerufen, kein Cookie gesetzt, keine IP übertragen. Das ist der sauberste Weg und der, den ich auf dieser Site verwende.

// Nur aufrufen nach expliziter Zustimmung
function loadGoogleAnalytics(measurementId) {
  const script = document.createElement('script');
  script.src = `https://www.googletagmanager.com/gtag/js?id=${measurementId}`;
  script.async = true;
  document.head.appendChild(script);

  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }
  gtag('js', new Date());
  gtag('config', measurementId);
}

Google Consent Mode v2

Hier lädst du gtag.js zwar sofort, gibst aber über Consent-Signale an, was erlaubt ist. Google nutzt dann Modellierung (Machine Learning), um fehlende Daten zu schätzen. Das ist technisch ausgeklügelt, rechtlich aber schwieriger zu verteidigen: Das Script läuft, bevor der Nutzer zugestimmt hat – und ob das dem § 25 TDDDG genügt, ist umstritten. Consent Mode eignet sich besser für Szenarien, wo du GA mit Google Ads verknüpfst und Conversion-Modellierung brauchst.

Das Cookie-Consent-Banner richtig bauen

Ein rechtlich tragfähiger Consent-Banner muss folgendes erfüllen:

• Echte Wahl: Ablehnen muss genauso einfach sein wie Zustimmen – kein versteckter "Ablehnen"-Link, kein Dark Pattern
• Granularität: Statistik-Cookies (Analytics) getrennt von technisch notwendigen Cookies
• Keine vorausgefüllten Checkboxen: GA-Tracking darf nicht standardmäßig angehakt sein
• Widerrufbarkeit: Der Nutzer muss seine Einwilligung jederzeit widerrufen können – ein Link im Footer reicht
• Nachweisbarkeit: Du solltest speichern können, wann und womit jemand zugestimmt hat (Consent-Timestamp, Version)

Bibliotheken wie vanilla-cookieconsent oder cookieconsent nehmen dir viel Arbeit ab, sofern du sie korrekt konfigurierst. Wenn du lieber alles selbst baust: Ein localStorage-Eintrag mit Timestamp und Consent-Version ist ein solider Ausgangspunkt.

IP-Adressen in GA4: was sich geändert hat

Google gibt an, dass GA4 IP-Adressen serverseitig anonymisiert, bevor sie gespeichert werden. Im Gegensatz zu Universal Analytics gibt es keine anonymize_ip-Option mehr – die Anonymisierung soll standardmäßig aktiv sein. Das ist ein Fortschritt gegenüber GA3, ändert aber nichts an der Einwilligungspflicht: Die Datenübertragung an US-Server (auch ohne vollständige IP) bleibt ein grenzüberschreitender Transfer, der nach Schrems II einer Grundlage bedarf – und die liefert der EU-US Data Privacy Framework seit 2023, solange Google dort zertifiziert ist.

Datenschutzerklärung: was rein muss

In der Datenschutzerklärung musst du GA4 vollständig dokumentieren:

• Name und Anbieter des Tools (Google Ireland Ltd. / Google LLC)
• Zweck der Verarbeitung (Website-Analyse, Reichweitenmessung)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Drittlandtransfer in die USA und die zugrundeliegende Garantie (EU-US DPF)
• Speicherdauer der Daten in GA4 (konfigurierbar, Standard: 14 Monate)
• Link zur Google-Datenschutzerklärung und zur Opt-out-Möglichkeit
• Widerrufsmöglichkeit der Einwilligung

Wenn sich etwas an der Konfiguration ändert – neue Messung-ID, andere Aufbewahrungsdauer – muss die Datenschutzerklärung sofort angepasst werden.

Wie ich es auf kipphard.com umgesetzt habe

Auf dieser Site wird GA4 ausschließlich nach expliziter Zustimmung geladen. Das gtag.js-Script ist nicht im HTML vorhanden, bis der Nutzer dem Tracking aktiv zustimmt. Der Consent-Status wird in localStorage gespeichert, sodass beim nächsten Besuch keine erneute Abfrage nötig ist – außer nach einem Widerruf. Die Datenschutzerklärung beschreibt das vollständig.

Das Ergebnis: keine ungefragten Netzwerkaufrufe zu Google, kein unnötiges Risiko – und trotzdem vollständige Analysedaten für die Nutzer, die zustimmen.

Fazit

Google Analytics DSGVO-konform zu betreiben ist kein Hexenwerk, aber es erfordert sorgfältige Umsetzung. Der sichere Weg: erst zustimmen lassen, dann laden. Consent Mode ist eine Option für spezifische Szenarien, aber kein Freifahrtschein.

Wenn du Hilfe beim datenschutzkonformen Einbinden von Analytics oder beim Aufbau eines Consent-Banners brauchst, meld dich gerne. Ich schaue mir deine konkrete Situation an.