GA4 und Google Tag Manager DSGVO-konform einrichten

Die Rechtslage kurz erklärt

Zwei Regelwerke sind entscheidend. Erstens das Telekommunikationsrecht: In Österreich § 165 Abs. 3 TKG 2021, in Deutschland § 25 TDDDG. Danach dürfen Informationen nur dann auf dem Gerät gespeichert oder ausgelesen werden, wenn die Nutzerin oder der Nutzer eingewilligt hat oder es für den Dienst unbedingt erforderlich ist. Analyse- und Werbe-Cookies sind nicht unbedingt erforderlich.

Zweitens die DSGVO, die regelt, auf welcher Grundlage personenbezogene Daten verarbeitet und ob sie in Drittländer übermittelt werden dürfen. In einer Anfang 2022 veröffentlichten Entscheidung stellte die österreichische Datenschutzbehörde fest, dass eine damalige Google-Analytics-Einbindung wegen der Datenübermittlung in die USA unzulässig war. Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss, unter dem Google zertifiziert ist. Die Pflicht zur Einwilligung für Tracking bleibt davon unberührt.

Übrigens: Das alte Universal Analytics verarbeitet seit Juli 2023 keine Daten mehr. Wer noch einen UA-Code eingebunden hat, sollte ihn entfernen.

Das Cookie-Banner: gleichwertige Wahl

Ein Banner ist nur dann rechtssicher, wenn die Einwilligung freiwillig, informiert und eindeutig ist. In der Praxis bedeutet das:

• Vor der Einwilligung werden keine Tracking-Skripte geladen und keine Cookies gesetzt.
• „Ablehnen“ ist auf der ersten Ebene genauso einfach erreichbar wie „Akzeptieren“, gleich groß und gleich auffällig.
• Keine vorausgewählten Kästchen für Statistik oder Marketing.
• Dienste, Zwecke und Speicherdauer werden verständlich beschrieben.
• Die Einwilligung lässt sich jederzeit so leicht widerrufen, wie sie erteilt wurde, etwa über einen Link im Footer.

Google Consent Mode v2

Der Consent Mode übermittelt Googles Diensten, ob und wofür eine Einwilligung vorliegt. Seit März 2024 verlangt Google für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum zusätzlich die Signale ad_user_data und ad_personalization. Ohne diese Signale funktionieren Messung und Personalisierung in Google Ads nur noch eingeschränkt.

Es gibt zwei Varianten:

GA4 datensparsam einrichten

• Datenaufbewahrung bewusst wählen: GA4 bietet für Standard-Properties zwei oder 14 Monate.
• Google Signals deaktivieren, sofern Sie die geräteübergreifende Auswertung nicht wirklich brauchen.
• Keine personenbezogenen Daten wie E-Mail-Adressen oder Namen in URLs oder Ereignisse schreiben.
• Datenfreigabe-Einstellungen in der Verwaltung prüfen und nur aktivieren, was Sie benötigen.
• Den Auftragsverarbeitungszusatz von Google in der Verwaltung akzeptieren und die Datenschutzerklärung anpassen.
• Ziele definieren: Messen Sie vor allem, was zählt, zum Beispiel Formularanfragen über die Danke-Seite.

Was bringt Server-Side-Tagging?

Beim Server-Side-Tagging laufen die Daten nicht direkt vom Browser zu Google, sondern zuerst über einen eigenen Tagging-Server, meist unter einer Subdomain Ihrer Website. Das hat echte Vorteile:

• Sie kontrollieren, welche Daten weitergegeben werden, und können etwa IP-Adressen kürzen oder Parameter entfernen.
• Im Browser laufen weniger Skripte, was der Ladezeit zugutekommt.
• Ad-Blocker und Browser-Einschränkungen wirken sich weniger stark aus.

Was Server-Side-Tagging nicht leistet: Es macht Tracking nicht einwilligungsfrei. Wer Nutzerverhalten zu Analyse- oder Werbezwecken auswertet, braucht weiterhin eine Einwilligung. Dazu kommen Kosten für den Server und ein höherer Einrichtungsaufwand. Für viele kleine Websites lohnt sich das erst ab einem gewissen Werbebudget.

Alternativen zu Google Analytics

Wenn Sie vor allem wissen wollen, wie viele Menschen welche Seiten besuchen, reicht oft ein datensparsames Werkzeug wie ein selbst gehostetes Matomo oder ein europäischer Dienst wie Plausible. Je nach Konfiguration lassen sich solche Tools cookielos betreiben. Ob dann eine Einwilligung entbehrlich ist, hängt vom Einzelfall ab und sollte geprüft werden. Für die Erfolgsmessung von Google-Ads-Kampagnen führt allerdings kaum ein Weg an Googles eigenen Tags vorbei.

Häufige Fehler

• Der Tag Manager lädt Tags bereits vor der Einwilligung, weil Trigger falsch gesetzt sind.
• Das Banner hat nur „Akzeptieren“ und „Einstellungen“, aber kein „Ablehnen“ auf der ersten Ebene.
• Google Fonts, YouTube oder Google Maps werden ohne Einwilligung von Google-Servern geladen.
• Die Datenschutzerklärung nennt Dienste, die gar nicht genutzt werden, oder vergisst eingesetzte Dienste.
• Conversions werden doppelt gezählt, etwa durch Neuladen der Danke-Seite.

Prüfen können Sie das selbst: Öffnen Sie Ihre Website in einem privaten Fenster, lehnen Sie im Banner alles ab und sehen Sie in den Entwicklertools unter „Netzwerk“ nach, ob trotzdem Anfragen an Google-Domains gehen. Weitere Prüfpunkte enthält unsere SEO-Audit-Checkliste.