Ist Google Analytics DSGVO-konform?

Google Analytics 4 lässt sich in der EU rechtmäßig einsetzen, bringt aber Pflichten mit sich, die cookielose Tools vermeiden. Diese Seite fasst die Lage im Oktober 2026 zusammen. Sie enthält allgemeine Informationen und keine Rechtsberatung.

Eine Einwilligung ist erforderlich

GA4 setzt Cookies (_ga und _ga_<id>, bis zu zwei Jahre gespeichert), um wiederkehrende Besucher zu erkennen. Nach EU-Recht erfordert das die vorherige Einwilligung des Besuchers, und Googles eigene Richtlinie zur Einwilligung der Nutzer in der EU verlangt von Websites, diese einzuholen. In der Praxis heißt das: ein Cookie-Banner, und GA4 lädt erst, nachdem der Besucher zugestimmt hat.

Übermittlung in die Vereinigten Staaten

Google LLC ist ein US-Unternehmen. Zwischen 2020 und 2023 stellten mehrere EU-Behörden fest, dass der Einsatz von Google Analytics gegen die DSGVO verstieß, weil Daten ohne angemessenen Schutz in die USA gelangten. Im Juli 2023 verabschiedete die EU das EU-US Data Privacy Framework. Google ist danach zertifiziert, was die Übermittlung wieder rechtmäßig macht.

Das Framework ist nicht endgültig gesichert. Eine Klage dagegen (Rechtssache T-553/23, Latombe) wies das Gericht der EU im September 2025 ab; sie liegt jetzt im Rechtsmittelverfahren beim Gerichtshof. Fällt das Framework, wie seine Vorgänger 2015 und 2020, stellt sich die Frage erneut.

Speicherdauer

GA4 speichert Daten auf Ereignisebene je nach Einstellung 2 oder 14 Monate. Aggregierte Standardberichte sind davon nicht betroffen.

Was das für Sie bedeutet

• Laden Sie GA4 nur nach Einwilligung und nehmen Sie in Kauf, dass Besucher, die ablehnen, in Ihren Berichten fehlen.
• Dokumentieren Sie die Übermittlung an Google in Ihrer Datenschutzerklärung und Ihrem Verarbeitungsverzeichnis.
• Verfolgen Sie das Rechtsmittelverfahren Latombe.

Oder nutzen Sie ein Analyse-Tool, das keine Cookies setzt, keine personenbezogenen Daten speichert und alles in der EU ablegt, sodass nichts davon zutrifft. Genau das macht Statsdot; siehe Statsdot vs. Google Analytics.