Google Analytics datenschutzkonform nutzen: der Leitfaden für 2026

1. Darf ich Google Analytics 2026 überhaupt noch nutzen?

Ja. Mit Einwilligung.

Google Analytics setzt Cookies und liest Informationen aus dem Browser deiner Besucher. Dafür verlangt § 25 TDDDG eine Einwilligung, denn eine Analyse-Software ist für den Betrieb deiner Website nie unbedingt nötig.

Die Übermittlung in die USA ist derzeit erlaubt, weil Google unter dem EU-US Data Privacy Framework zertifiziert ist. Das Gericht der EU hat das Abkommen im September 2025 bestätigt, endgültig ist das aber noch nicht (mehr in Abschnitt 7).

Wer es falsch macht, bekommt als kleines Unternehmen eher ein Anwaltsschreiben mit Schadensersatzforderung als einen Bußgeldbescheid. Bußgelder nach § 25 TDDDG können bis zu 300.000 Euro betragen.

2. Was hat sich seit 2020 geändert?

Unsere beiden Artikel von 2020 zu Google Analytics und zu Cookie-Bannern haben wir zusammengelegt.

3. Wie sieht ein rechtssicheres Cookie-Banner aus?

Am Banner entscheidet sich, ob deine Einwilligungen etwas wert sind. Das Verwaltungsgericht Hannover und das Oberlandesgericht Köln haben klargemacht, worauf es ankommt.

Checkliste für dein Banner:

• „Ablehnen“ auf der ersten Ebene, gleich groß und mit einem Klick erreichbar.
• Kein „Akzeptieren und schließen X“. Wer das Banner wegklickt, hat nicht eingewilligt.
• Nichts lädt vor der Zustimmung, auch nicht der Google Tag Manager.
• Keine vorausgewählten Häkchen bei Statistik oder Marketing.
• Widerruf so leicht wie die Zustimmung, etwa über einen Link im Footer.
• Einwilligungen werden protokolliert, und die Seite funktioniert auch bei „Ablehnen“ vollständig.

Für WordPress setzen wir meistens Borlabs Cookie ein, teilweise auch Usercentrics. Ein typischer Fehler: Google Analytics lädt trotzdem vor dem Klick, weil der Tracking-Code zusätzlich fest im Theme steckt.

4. Wie richte ich GA4 datensparsam ein?

Auch mit Einwilligung gilt: so wenig Daten wie möglich. Eine Unternehmenswebsite braucht ein paar Kennzahlen, kein Profil jedes Besuchers.

• Datenverarbeitungsbedingungen akzeptieren in der GA4-Verwaltung. Damit ist der Vertrag zur Auftragsverarbeitung abgeschlossen.
• Google Signals ausschalten und detaillierte Standort- und Gerätedaten nur nutzen, wenn du sie wirklich brauchst.
• Aufbewahrungsdauer kurz halten. Für Ereignisdaten reichen meist 2 statt 14 Monate.
• Datenschutzerklärung anpassen: Zweck, Rechtsgrundlage (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG), Übermittlung in die USA, Widerruf.

5. Consent Mode v2: Basic oder Advanced?

Seit März 2024 verlangt Google für Besucher aus dem EWR den Consent Mode v2. Er gibt die Entscheidung aus deinem Banner an GA4 und Google Ads weiter.

Wir empfehlen Basic. Bei Advanced fließen Daten an Google, obwohl dein Besucher gerade „Nein“ gesagt hat.

6. Gibt es bessere Alternativen?

Es gibt datensparsamere Alternativen, aber keinen Freifahrtschein ohne Banner. Wir setzen das Tool ein, das zum Kunden passt, oft GA4, manchmal Matomo.

§ 25 TDDDG greift bei jedem Zugriff auf das Endgerät, mit oder ohne Cookies. Der Vorteil von Matomo: Die Daten verlassen die EU nicht. Schaltest du ohnehin Google Ads, ist GA4 meist die pragmatische Wahl.

7. Was kommt als Nächstes?

Das EuGH-Verfahren zum Data Privacy Framework. Gegen das Urteil läuft ein Rechtsmittel (C-703/25 P). Die Vorgänger Safe Harbor und Privacy Shield hat der EuGH gekippt. Fällt auch dieses Abkommen, wird die Übermittlung an Google wieder zum Problem.

Der Digital Omnibus der EU. Die EU-Kommission will die Cookie-Regeln in die DSGVO holen und für einige Zwecke mit geringem Risiko auf die Einwilligung verzichten. Ob Reichweitenmessung dazu gehört, ist offen, und in Kraft ist noch nichts.

Bis auf Weiteres bleibt das Cookie-Banner Pflicht.

8. Fazit: Was wir unseren Kunden raten

Google Analytics datenschutzkonform zu nutzen ist 2026 machbar. Vorher steht aber die Frage: Was willst du eigentlich wissen? Für die meisten Unternehmenswebsites sind es ein paar Zahlen, dafür braucht es kein Maximum an Tracking.

• Du schaltest Google Ads? Dann GA4 mit Consent Mode v2 in der Basic-Variante.
• Du willst vor allem wissen, was auf deiner Seite passiert? Dann prüf Matomo.
• In beiden Fällen: Banner mit gleichwertigem „Ablehnen“, nichts lädt vorher, Datenschutzerklärung aktuell.

Über den Autor: Benno Schmidtler hat memedia gegründet und baut seit über 30 Jahren Websites. Er führt jedes Projekt persönlich, von der Strategie bis zur Betreuung.