Ist Google Analytics in Frankreich illegal?

Kurze Antwort: nein. 2026 darf eine französische Website Google Analytics 4 rechtmäßig nutzen. Sie darf es aber nicht ohne Einwilligung der Besucher, und die Rechtsgrundlage für die Übermittlung der Daten in die USA wird vor den EU-Gerichten weiter angefochten. So kam es dazu, und das bedeutet es für Websitebetreiber. Dieser Artikel betrifft Frankreich; für Deutschland gilt § 25 TDDDG. Er ist eine allgemeine Information, keine Rechtsberatung.

2022: Die CNIL erklärt die Übermittlungen für rechtswidrig

Im Juli 2020 kippte der Gerichtshof der EU den Privacy Shield, das Abkommen für die Übermittlung personenbezogener Daten in die USA (Urteil Schrems II). Der Verein noyb reichte daraufhin 101 Beschwerden gegen europäische Websites ein, die Google Analytics nutzten.

Am 10. Februar 2022 gab die französische Datenschutzbehörde CNIL bekannt, dass sie einen französischen Websitebetreiber zur Abhilfe aufgefordert hatte: Die an Google in den USA gesendeten Daten seien nicht ausreichend geschützt, ein Verstoß gegen Artikel 44 ff. DSGVO. Der Betreiber hatte einen Monat Zeit, und die CNIL nannte weitere Verfahren dieser Art. Die österreichische Behörde hatte im Januar 2022 ähnlich entschieden, die italienische folgte im Juni 2022, und die schwedische verhängte im Juli 2023 Bußgelder.

Für Websites, die das Tool behalten wollten, beschrieb die CNIL 2022 eine Lösung: einen Proxy-Server, der jeden direkten Kontakt zwischen Besucher und Google unterbindet. Das ist aufwendig, und nur wenige Websites haben es umgesetzt.

2023: Das Data Privacy Framework

Am 10. Juli 2023 erließ die Europäische Kommission einen Angemessenheitsbeschluss für den EU-US-Datenschutzrahmen (Data Privacy Framework). Google LLC ist danach zertifiziert, damit sind Übermittlungen an Google wieder rechtmäßig.

Der Rahmen ist wackelig. Philippe Latombe, französischer Abgeordneter und Mitglied des Kollegiums der CNIL, hat ihn im eigenen Namen angefochten (Rechtssache T-553/23). Das Gericht der EU wies die Klage im September 2025 ab, das Verfahren liegt nun in der Berufung beim Gerichtshof. Die beiden Vorgänger wurden 2015 und 2020 gekippt. Fällt auch dieser, kehrt die Frage der Übermittlungen zurück.

Was bleibt: die Einwilligung

Die Übermittlungen sind nur ein Teil. Artikel 82 des französischen Datenschutzgesetzes verlangt eine Einwilligung, bevor Tracker auf dem Gerät eines Besuchers gespeichert oder ausgelesen werden, mit einigen Ausnahmen. GA4 setzt die Cookies _ga und _ga_<id>, die bis zu zwei Jahre gelten.

Die CNIL kennt eine Ausnahme für die Reichweitenmessung unter strengen Bedingungen: Messung nur für den Websitebetreiber, anonyme Statistiken, keine Verfolgung über Websites hinweg, keine Weiterverwendung durch den Anbieter. Google Analytics gehörte nie zu den Tools, die die CNIL dafür als geeignet ansah, und seine Werbefunktionen (Verknüpfung mit Google Ads, Google Signals) gelten in der Selbstbewertung der CNIL vom Juli 2025 als Marketing. In der Praxis lädt GA4 erst nach einem Klick auf „Akzeptieren“.

Der Einwilligungsmodus von Google (Consent Mode v2), seit März 2024 für Werbefunktionen im Europäischen Wirtschaftsraum Pflicht, ändert daran nichts. Im erweiterten Modus sendet er vor der Wahl des Besuchers Signale ohne Cookies, und GA4 modelliert danach die fehlenden Daten. Auch diese Signale lesen Informationen vom Gerät aus, und Artikel 82 ist nicht auf Cookies beschränkt. Was die modellierten Zahlen wert sind, steht in GA4-Einwilligungsmodus und modellierte Daten.

Die CNIL prüft Cookies

In den letzten Jahren betrafen die Bußgelder der CNIL vor allem Cookies ohne wirksame Einwilligung. Google erhielt 2020 100 Millionen Euro, im Januar 2022 angekündigte 150 Millionen und im September 2025 325 Millionen; Shein am selben Tag 150 Millionen. Diese Entscheidungen betreffen nicht die Nutzung von Google Analytics auf einer Website, zeigen aber, dass Banner und die Beachtung einer Ablehnung geprüft werden.

Was das für Websites in Frankreich bedeutet

• Sie behalten GA4. Es bleibt hinter dem Banner, misst nur Besucher, die zustimmen, und Ihre Datenschutzerklärung nennt die Übermittlung an Google. Verfolgen Sie die Berufung im Fall Latombe.
• Sie wechseln zu einem Tool, das für die Ausnahme eingerichtet ist. Es zählt alle Besucher, auch die, die das Banner ablehnen, sofern es die Kriterien der CNIL erfüllt. Matomo erlaubt das mit seiner CNIL-Konfiguration (siehe Matomo und die CNIL-Ausnahme), Statsdot mit seinem CNIL-Ausnahmemodus, und unsere Selbstbewertung geht jedes Kriterium durch.
• Sie machen beides. Viele Websites behalten GA4 oder Google Ads hinter dem Banner für die Werbung und ein ausgenommenes Tool für die Besuche. Das Banner bleibt, aber Ihre Besucherzahlen hängen nicht mehr von den Ablehnungen ab.

In Deutschland beurteilen die Aufsichtsbehörden jede Einrichtung im Einzelfall; eine allgemeine Ausnahme wie in Frankreich gibt es dort nicht. Was Ihre Website heute lädt, zeigt unser kostenloser Website-Check. Den europäischen Rahmen fasst Google Analytics und die DSGVO 2026 zusammen.