Google Analytics ist auf einer deutschen Firmenwebsite nur mit vorheriger Einwilligung der Besucher zulässig, weil das Tool personenbezogene Daten verarbeitet und Informationen auf dem Endgerät liest. Wer es einsetzt, braucht einen Cookie-Banner mit echter Wahlmöglichkeit, eine aktivierte Consent-Mode-Einbindung und eine aktuelle Datenschutzerklärung. Wer diesen Aufwand scheut, kommt mit cookielosen Alternativen wie Plausible oft ganz ohne Banner aus.

Warum Google Analytics eine Einwilligung braucht

Sobald eine Website etwas auf dem Endgerät eines Besuchers speichert oder ausliest, das nicht zwingend für die angeforderte Funktion nötig ist, greift § 25 TDDDG. Ein Kontaktformular ohne externe Dienste braucht dafür keine Einwilligung, ein Statistik-Tool wie Google Analytics dagegen schon, weil die Analyse selbst kein unbedingt erforderlicher Bestandteil der Website ist. Sobald Google anschließend personenbezogene Daten wie IP-Adresse, Geräte-Kennung oder Nutzungsverhalten verarbeitet, kommt zusätzlich die DSGVO ins Spiel, meist über Art. 6 Abs. 1 lit. a als Rechtsgrundlage. Wann ein Cookie-Banner grundsätzlich Pflicht wird, hat der Artikel Cookie-Banner Pflicht auf der Firmenwebsite ausführlich eingeordnet.

In der Praxis entsteht das Problem oft gar nicht durch eine bewusste Entscheidung. Viele Baukasten-Systeme und ältere Website-Vorlagen binden Google Analytics standardmäßig im HTML-Kopf ein, unabhängig davon, ob ein Besucher zugestimmt hat oder nicht. Der Betrieb merkt davon meist nichts, bis eine Prüfung durch die Aufsichtsbehörde, eine Abmahnung oder ein aufmerksamer Kunde auf das Problem stößt. Wer die eigene Website vor einigen Jahren einmal aufgesetzt und seither nicht mehr angefasst hat, sollte das gerade deshalb einmal gezielt prüfen.

Seit dem 6. März 2024 verlangt Google für alle EWR-, Schweizer- und UK-Besucher den sogenannten Consent Mode v2, sonst drohen Lücken in den Analytics- und Ads-Daten. Der Mechanismus kennt zwei Stufen. Im Basic Mode lädt Google Analytics erst, nachdem ein Besucher aktiv zugestimmt hat, technisch und rechtlich die einfachere Variante. Im Advanced Mode sendet die Website auch ohne Zustimmung anonymisierte Signale, sogenannte Pings, an Google, um fehlende Messwerte statistisch zu modellieren. Diese Variante gilt bei mehreren Datenschutzbehörden weiterhin als problematisch, weil damit Daten ohne echte Einwilligung übertragen werden, auch wenn Google sie als datenschutzfreundlich bewirbt. Für einen Handwerksbetrieb ohne eigene Rechtsabteilung ist der Basic Mode die risikoärmere Wahl.

Der Streit um den Datentransfer in die USA

2022 hat die österreichische Datenschutzbehörde entschieden, dass die damalige Übertragung von Analytics-Daten in die USA gegen die DSGVO verstößt, weil US-Behörden theoretisch Zugriff auf die Daten europäischer Nutzer nehmen können. Grundlage war das Schrems-II-Urteil des EuGH von 2020. Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework eine neue Rechtsgrundlage für den Datentransfer, die diese konkrete Lücke schließen soll, rechtlich aber weiter angegriffen wird und deren Bestand nicht als endgültig gesichert gilt. Was das für den Serverstandort und Drittanbieter allgemein bedeutet, erklärt der Artikel Muss die Website in Deutschland gehostet werden im Detail. Für Google Analytics heißt das praktisch: Der Transfer allein ist seit 2023 nicht mehr automatisch der Knackpunkt, die Einwilligungspflicht nach TDDDG bleibt davon unberührt bestehen.

Google Analytics DSGVO konform einrichten: die vier Bausteine

Wer bei Google Analytics bleiben möchte, kommt um vier Maßnahmen nicht herum.

  1. Auftragsverarbeitungsvertrag abschließen. Google stellt die Google Ads Data Processing Terms bereit, die Nutzung ohne Zustimmung zu diesen Bedingungen ist nicht zulässig.
  2. Consent Mode aktivieren, idealerweise im Basic Mode, damit Analytics wirklich erst nach Zustimmung lädt.
  3. Google Signals deaktivieren. Diese Funktion verknüpft Analytics-Daten mit Google-Konten für Remarketing und geht über reine Statistik hinaus, für einen Handwerksbetrieb ohne Retargeting-Kampagnen ist sie meist ohnehin unnötig.
  4. Datenschutzerklärung aktualisieren, mit Nennung von Google Analytics, Zweck der Verarbeitung, Speicherdauer und Widerrufsmöglichkeit.

Diese vier Schritte ersetzen den Cookie-Banner nicht, sie sind zusätzlich zur Einwilligungslösung nötig.

Was bei einer Kontrolle oder Abmahnung droht

Ein fehlender oder unwirksamer Banner vor Google Analytics ist über § 28 TDDDG mit einem Bußgeldrahmen bis 300.000 Euro bewehrt. Verhängte Bußgelder speziell wegen eines fehlenden Analytics-Consents sind für deutsche Handwerksbetriebe bislang kaum dokumentiert, das reale Risiko liegt derzeit öfter bei Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände, die offensichtlich fehlerhafte Banner beanstanden. Größere Verfahren wie die 150-Millionen-Euro-Strafe der französischen CNIL gegen Google 2021 betrafen einen völlig anderen Unternehmensmaßstab, zeigen aber, dass die Aufsicht das Thema ernst nimmt.

So prüfst du den Status auf deiner eigenen Website

Bevor du etwas änderst, lohnt sich ein kurzer Check des Ist-Zustands. Drei Stellen zeigen in der Regel schon, wo du stehst.

  • Quellcode oder Tag-Management-Tool: Suche nach gtag, google-analytics.com oder googletagmanager.com. Findet sich der Code außerhalb eines Consent-Management-Tools direkt im HTML-Kopf, lädt er wahrscheinlich unabhängig von einer Einwilligung, ein klarer Verstoß.
  • Cookie-Banner im Live-Test: Öffne die Website im Inkognito-Fenster und lehne im Banner alles außer den notwendigen Diensten ab. Prüfe danach in den Entwicklertools des Browsers, ob trotzdem eine Verbindung zu Google-Analytics-Servern aufgebaut wird. Falls ja, greift der Banner technisch nicht.
  • Datenschutzerklärung: Steht dort noch der alte Gesetzesname TTDSG statt TDDDG, oder fehlt ein Hinweis auf Google Analytics und Consent Mode, ist ein Update fällig. Ein veralteter Rechtstext allein macht die Datenverarbeitung zwar nicht automatisch rechtswidrig, ist aber ein Signal, dass die gesamte Einrichtung länger nicht angefasst wurde.

Wer bei diesem Check merkt, dass Analytics-Code unabhängig von der Einwilligung feuert, sollte das nicht auf die lange Bank schieben. Der Fix ist in den meisten Content-Management-Systemen eine Frage von Minuten, sobald das Consent-Management-Tool korrekt mit dem Tag-Manager verknüpft ist.

Wer den Consent-Mode-Aufwand ganz vermeiden will, kann auf datensparsame Tools umsteigen, die ohne Cookies auskommen und Besucher nicht individuell wiedererkennen.

ToolCookiesHostingPreis abFür wen
Google Analytics 4Ja (mit Consent Mode)USA, über DPF-RahmenKostenlosBetriebe mit Google Ads oder Retargeting
PlausibleNeinEUrund 9 USD/Monat für 10.000 AufrufeKleine Websites ohne Werbekampagnen
Matomo CloudOptionalEUrund 29 Euro/Monat für 50.000 HitsBetriebe mit Wunsch nach mehr Auswertungstiefe
Matomo Community (selbst gehostet)Optionaleigener ServerKostenlos, plus ServerkostenBetriebe mit eigener IT-Betreuung
eTrackerJa, datensparsam konfigurierbarDeutschlandrund 11 Euro/Monat für 25.000 AufrufeBetriebe, die Wert auf deutschen Serverstandort legen

Für einen typischen Handwerksbetrieb, der wissen will, wie viele Besucher die Website hat und über welche Suchbegriffe sie kommen, reicht in den meisten Fällen ein cookieloses Tool wie Plausible völlig aus. Wer dagegen bereits Google Ads schaltet und Zielgruppen für Retargeting aufbauen will, kommt an Google Analytics mit korrekt eingerichtetem Consent Mode kaum vorbei.

Was das in der Praxis für deinen Betrieb bedeutet

Die Entscheidung läuft am Ende auf eine einzige Frage hinaus: Brauchst du die Verknüpfung mit Google Ads und detaillierte Zielgruppendaten, oder reicht dir ein Überblick über Besucherzahlen und Herkunft? Für die meisten Handwerksbetriebe ohne eigene Marketingabteilung genügt ein einfacher Blick auf Besucherzahlen, Herkunftsquellen und die am häufigsten aufgerufenen Seiten völlig, ohne dass eine aufwendige Ads-Verknüpfung nötig wäre. Im ersten Fall bleibt Google Analytics mit den vier oben genannten Maßnahmen die passende Wahl, im zweiten Fall spart ein cookieloses Tool den Banner-Aufwand komplett. Mr.Site betreut im Rahmen der laufenden Website-Pflege für mehrere hundert Unternehmens-Websites auch die technische Einrichtung solcher Analyse-Tools, inklusive der rechtlich sauberen Einbindung. Wer das nicht selbst nachhalten möchte, findet unter Website-Betreuung eine Übersicht, was in der laufenden Pflege enthalten ist.