Google Analytics 4 DSGVO-konform einrichten: Was 2026 wirklich zählt

Warum ein Cookie-Banner allein keine DSGVO-konforme Umsetzung garantiert

Viele Unternehmen glauben, mit einem Cookie-Banner sei das Thema Datenschutz für Google Analytics erledigt. Banner einbauen, Häkchen für „Alle akzeptieren" und „Ablehnen" setzen, fertig. In der Praxis ist das einer der häufigsten und teuersten Irrtümer rund um Website-Tracking.

Ein Cookie-Banner ist eine notwendige Voraussetzung, aber nur ein Baustein von mehreren. Wenn im Hintergrund trotzdem schon Skripte laden, bevor eine Entscheidung getroffen wurde, wenn die Standardeinstellungen von Google Analytics zu viel erfassen, oder wenn die Datenschutzerklärung nicht zur tatsächlichen technischen Umsetzung passt, hilft der schönste Banner nichts. Das Risiko einer Abmahnung oder eines Bussgelds entsteht nicht durch das Fehlen eines Banners allein, sondern durch das Zusammenspiel aus Technik, Einwilligung und Dokumentation, das insgesamt nicht stimmt.

Dieser Artikel ordnet ein, was Consent Mode und Server-Side Tagging tatsächlich leisten, wie die einzelnen Bausteine zusammenspielen, welche Fehler in der Praxis am häufigsten passieren – und wie du Datenschutz und brauchbare Kampagnen-Daten miteinander verbindest, statt sie gegeneinander auszuspielen.

Die rechtliche Ausgangslage 2026: DSGVO, TDDDG und die Sache mit den US-Servern

Google Analytics verarbeitet personenbezogene Daten – dazu zählen unter anderem die IP-Adresse vor ihrer Kürzung sowie Geräte- und Verhaltensdaten. Damit greifen zwei Regelwerke gleichzeitig: die DSGVO, die eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten verlangt, und in Deutschland zusätzlich das TDDDG (vormals TTDSG), das in § 25 den Zugriff auf Informationen im Endgerät eines Nutzers grundsätzlich an eine Einwilligung knüpft. Für Google Analytics bedeutet das in der Praxis: ohne wirksame Einwilligung keine Datenverarbeitung.

Dazu kommt ein zweites, unabhängiges Problem: Google verarbeitet Daten teilweise auf Servern in den USA. Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs im Jahr 2020 ist klar, dass eine solche Datenübermittlung besondere Schutzmassnahmen braucht. Mehrere europäische Datenschutzbehörden haben in der Folge den Einsatz von Google Analytics in bestimmten Konstellationen als problematisch bis rechtswidrig eingestuft. Diese Entscheidungen wurden nicht pauschal aufgehoben, auch wenn sich die Rechtslage seither weiterentwickelt hat.

Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework wieder ein Angemessenheitsbeschluss für Datenübermittlungen an zertifizierte US-Unternehmen. Im September 2025 hat das Gericht der Europäischen Union eine Klage gegen diesen Beschluss abgewiesen und bestätigt, dass die USA zum Zeitpunkt seines Erlasses ein angemessenes Schutzniveau gewährleisteten. Damit ist das Framework weiterhin anwendbar. Vollständig abgeschlossen ist die rechtliche Diskussion dennoch nicht: Gegen das Urteil wurde Rechtsmittel eingelegt, und die Europäische Kommission muss die tatsächlichen Schutzmechanismen weiterhin überwachen. Für Unternehmen bedeutet das: Das Data Privacy Framework ist derzeit eine nutzbare Grundlage für Übermittlungen an zertifizierte Empfänger, ersetzt aber weder eine wirksame Einwilligung noch die Prüfung der konkreten GA4-Konfiguration.

Für dich als Unternehmen heisst das: Eine hundertprozentige, dauerhafte Rechtssicherheit gibt es beim Einsatz von Google Analytics aktuell nicht. Mit den richtigen technischen und organisatorischen Massnahmen lässt sich das Risiko aber deutlich reduzieren und auf ein Mass bringen, das für die meisten KMU vertretbar ist.

Consent Mode v2: was er wirklich regelt – und was nicht

Der Google Consent Mode ist ein technisches Signalsystem. Er teilt Google mit, ob ein Website-Besucher der Nutzung von Cookies für Analyse- oder Werbezwecke zugestimmt hat oder nicht – und passt danach automatisch an, welche Daten gesendet werden dürfen.

Ohne Einwilligung („denied") setzt Google Analytics keine Cookies und sendet höchstens anonymisierte, aggregierte Signale ohne Nutzer-Identifikatoren. Mit Einwilligung („granted") läuft die volle Analytics-Funktionalität, inklusive Cookies und detaillierterer Auswertung. Seit März 2024 setzt Google diesen Mechanismus für bestimmte Funktionen voraus, etwa für den Aufbau von Remarketing-Zielgruppen in Google Ads oder für Conversion-Modellierung in Ländern des Europäischen Wirtschaftsraums. Wer Consent Mode v2 nicht implementiert, verliert schrittweise Zugriff auf diese Funktionen.

Wichtig für die Einordnung: Consent Mode v2 ist eine von Google gesetzte Produktvoraussetzung, keine unmittelbare gesetzliche DSGVO-Pflicht. Trotzdem ist er ein sinnvolles technisches Werkzeug, um eine datenschutzkonforme Umsetzung überhaupt sauber abzubilden – weil er es technisch ermöglicht, vor einer Einwilligung wirklich nichts oder nur das Nötigste zu senden, statt einfach ein ganzes Skript zu blockieren oder eben nicht zu blockieren.

Was Consent Mode v2 nicht tut: Er ersetzt keinen rechtmässigen Cookie-Banner, keine Datenschutzerklärung und keine Rechtsgrundlage. Er ist die technische Umsetzung einer Entscheidung, die an anderer Stelle – nämlich im Cookie-Banner – getroffen werden muss. Ein häufiger Fehler ist deshalb, Consent Mode v2 zu implementieren und zu glauben, damit sei das Thema Datenschutz erledigt.

Server-Side Tagging: echter Nutzen und häufige Missverständnisse

Beim klassischen, browserseitigen Tracking sendet der Browser des Besuchers die Daten direkt an Google. Beim Server-Side Tagging läuft dieser Weg über einen eigenen, meist in der EU gehosteten Server, der die Daten zunächst entgegennimmt, filtert oder anonymisiert – und erst danach an Google weiterleitet.

Der echte Nutzen liegt in der Kontrolle: Du kannst serverseitig festlegen, welche Daten überhaupt weitergegeben werden, IP-Adressen kürzen oder entfernen, und Cookies über deine eigene Domain statt über eine google-analytics.com-Domain setzen. Das macht Tracking robuster gegenüber Ad-Blockern und Browser-Restriktionen und verbessert häufig auch die Ladezeit der Website, weil weniger Skripte direkt im Browser laufen.

Was Server-Side Tagging nicht löst: Es hebt die Einwilligungspflicht nicht auf. Es macht aus einer Datenverarbeitung ohne Rechtsgrundlage keine rechtmässige Verarbeitung. Und es löst die grundsätzliche Drittlandproblematik nicht vollständig auf, weil die Daten am Ende in aller Regel trotzdem bei Google landen – auch wenn der Weg dorthin technisch sauberer und kontrollierter gestaltet ist. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden bewertet Server-Side Tagging entsprechend als sinnvollen Baustein, der das Risiko mindert, nicht als Massnahme, die es vollständig beseitigt.

Für kleine Websites mit überschaubarem Traffic ist der technische und finanzielle Aufwand für Server-Side Tagging oft nicht verhältnismässig. Für Unternehmen mit intensiver Kampagnenauswertung, mehreren Marketingkanälen oder hoher Datenmenge zahlt sich die Investition dagegen häufig aus – sowohl datenschutzrechtlich als auch für die Datenqualität.

Das Zusammenspiel: GA4, Google Tag Manager, Consent-Plattform und Server-Container

Damit die einzelnen Massnahmen tatsächlich ineinandergreifen, hilft ein Blick auf die Systemarchitektur als Ganzes. Vier Bausteine arbeiten zusammen:

Die Consent-Plattform (auch Cookie-Banner oder CMP genannt) ist der erste Kontaktpunkt mit dem Besucher. Sie holt die Einwilligung ein, dokumentiert sie und gibt sie als Signal an den Google Tag Manager weiter.

Der Google Tag Manager im Browser (Web-Container) verwaltet, welche Tags – etwa das GA4-Tag – überhaupt ausgelöst werden, und wie sich diese Auslösung je nach Consent-Status verhält. Ohne Einwilligung feuert im Idealfall gar nichts oder nur ein consent-loser Ping.

Google Analytics 4 empfängt die freigegebenen Daten und wertet sie aus – entweder direkt vom Browser aus, oder, bei Server-Side Tagging, über den Umweg des Server-Containers.

Der Server-Container ist der optionale vierte Baustein: ein separater Tag-Manager-Container, der auf einem eigenen Server läuft, Daten vom Web-Container entgegennimmt, sie filtert oder anonymisiert und erst dann an Google weiterreicht.

Entscheidend ist, dass diese vier Bausteine korrekt aufeinander abgestimmt sind. Ein perfekt konfigurierter Cookie-Banner nützt wenig, wenn der Tag Manager den Consent-Status ignoriert. Ein sauber eingerichteter Server-Container nützt wenig, wenn die Einwilligung davor gar nicht korrekt eingeholt wurde. Die Qualität der gesamten Kette hängt vom schwächsten Glied ab.

Typische Fehlkonfigurationen, die rechtlich oder analytisch zum Problem werden

In der Praxis entstehen die meisten Probleme nicht durch böse Absicht, sondern durch unvollständige oder veraltete Einrichtung. Die folgenden Fehler tauchen besonders häufig auf:

• Falscher Consent-Standardwert: Der Default Consent State ist nicht oder falsch gesetzt, sodass Analytics- oder Werbe-Cookies bereits vor jeder Einwilligung aktiv sind – einer der klassischen Abmahnungsgründe.
• Unnötige Google Signals: Geräteübergreifende Werbe-Daten bleiben aktiviert, obwohl sie für das Unternehmen gar nicht gebraucht werden, und erhöhen so unnötig den Personenbezug.
• Ungleichwertiger Cookie-Banner: Kein „Ablehnen"-Button auf der ersten Ebene, oder Skripte laden technisch bereits, bevor überhaupt eine Entscheidung getroffen wurde.
• Lückenhafter Auftragsverarbeitungsvertrag: Der AVV mit Google ist nur für einen Teil der eingesetzten Google-Dienste abgeschlossen, etwa nur für Analytics, nicht aber für Tag Manager oder Ads.
• Server-Side Tagging als vermeintliche Komplettlösung: Wird eingerichtet und dann als vollständige rechtliche Lösung missverstanden, ohne dass Cookie-Banner oder Consent Mode entsprechend nachgezogen werden.
• Veraltete Datenschutzerklärung: Beschreibt nach einer technischen Umstellung – etwa auf Server-Side Tagging – eine andere Realität, als tatsächlich läuft.
• Zu lange Datenaufbewahrung: Die Aufbewahrungsdauer in GA4 bleibt auf dem langen Standardwert stehen, statt auf ein sinnvolles Minimum reduziert zu werden.

Jeder einzelne dieser Punkte wirkt für sich genommen klein. In Kombination führen sie aber genau zu der Grauzone, in der Websites für Abmahnungen oder Beschwerden angreifbar werden – während gleichzeitig die Datenqualität für Kampagnenauswertungen leidet, weil zu viel oder zu wenig erfasst wird.

Cookie-Banner richtig aufsetzen: die Basis, auf der alles andere aufbaut

Auch mit Consent Mode v2 und Server-Side Tagging bleibt der Cookie-Banner die Grundlage von allem. Ohne eine wirksame Einwilligung ist jede nachgelagerte technische Massnahme rechtlich hinfällig.

Ein rechtssicherer Banner erscheint, bevor Google Analytics oder andere nicht notwendige Skripte laden. Er bietet „Ablehnen" auf der ersten Ebene, gleichwertig zum „Akzeptieren"-Button, ohne dass Nutzer dafür extra klicken oder scrollen müssen. Er verwendet keine vorausgewählten Häkchen für nicht notwendige Cookies. Er listet die Zwecke der Datenverarbeitung klar auf, etwa „Webanalyse mit Google Analytics", statt pauschal von „Cookies" zu sprechen. Und er lässt sich jederzeit widerrufen, üblicherweise über einen dauerhaft erreichbaren Link zu den Cookie-Einstellungen.

Die meisten gängigen Cookie-Banner-Lösungen unterstützen Consent Mode v2 inzwischen technisch. Entscheidend ist trotzdem, die konkrete Konfiguration zu prüfen, statt sich auf die Standardeinstellung des jeweiligen Anbieters zu verlassen – gerade der Default Consent State ist ein häufiger Stolperstein, wenn er nicht bewusst kontrolliert wird.

Datenschutz und brauchbare Kampagnendaten: wie beides zusammengeht

Die grösste Sorge vieler Unternehmen ist, dass eine saubere Datenschutz-Umsetzung automatisch schlechtere, unbrauchbare Kampagnendaten bedeutet. Das stimmt nur teilweise.

Es ist richtig, dass Besucher, die Tracking ablehnen, nicht mehr individuell nachverfolgt werden können – das ist so gewollt und Teil der Idee der Einwilligung. Genau für diesen Fall bietet Consent Mode v2 aber eine Conversion-Modellierung: Aus den Daten der Besucher, die zugestimmt haben, modelliert Google statistisch hochgerechnete Werte für die Besucher, die abgelehnt haben. Die Datenbasis wird dadurch nicht lückenlos, aber deutlich brauchbarer, als wenn diese Besucher komplett aus der Auswertung fallen.

Ergänzend hilft eine bewusste First-Party-Daten-Strategie: eigene Formular-Anmeldungen, Kontaktanfragen und CRM-Daten, die auf legitimer Grundlage erhoben werden und nicht von der Einwilligung ins Tracking abhängen. Diese Daten lassen sich mit den modellierten Kampagnendaten kombinieren und liefern gerade für KMU oft ein realistischeres Bild als ein einzelner Analytics-Wert.

Wichtig ist die Erwartungshaltung: Eine DSGVO-konforme Umsetzung bedeutet nicht „alle Daten wie früher", sondern „weniger, aber verlässlichere und rechtlich abgesicherte Daten". Für die meisten KMU ist das ein guter Tausch – vor allem, weil die Alternative, Datenschutz zu ignorieren, im Ernstfall deutlich teurer werden kann als der Verzicht auf ein paar Prozent Tracking-Abdeckung.

Fazit: praktisches Vorgehen für KMU

Ein Cookie-Banner allein reicht nicht, aber er ist der notwendige erste Schritt, ohne den alles andere hinfällig ist. Consent Mode v2 macht die Einwilligung technisch sauber nutzbar und ist für viele Google-Funktionen inzwischen vorausgesetzt, ersetzt aber keine Rechtsgrundlage. Server-Side Tagging verbessert Datenkontrolle und Datenqualität spürbar, löst aber weder die Einwilligungspflicht noch die grundsätzliche Drittlandproblematik vollständig auf.

Für die meisten KMU im DACH-Raum ist ein realistischer, gestufter Weg sinnvoll: zuerst ein rechtssicherer Cookie-Banner mit korrekt gesetztem Default Consent State, dann eine saubere Implementierung von Consent Mode v2, danach reduzierte GA4-Einstellungen auf das Nötige (Google Signals, Datenaufbewahrung, erweiterte Messung) – und erst danach, wenn Traffic und Kampagnenvolumen es rechtfertigen, Server-Side Tagging. Wer alle vier Bausteine als zusammenhängendes System versteht, statt sie einzeln abzuhaken, reduziert sowohl das rechtliche Risiko als auch den Frust über unbrauchbare Auswertungen.

WebStrategen richtet im Rahmen der Website-Umsetzung auch Google Tag Manager, GA4, Conversion-Tracking und Retargeting ein und achtet dabei von Anfang an auf ein technisch sauberes Zusammenspiel mit Cookie-Banner und Einwilligung. Wenn du unsicher bist, ob deine aktuelle Tracking-Einrichtung wirklich zusammenpasst, ist ein unverbindliches Erstgespräch ein guter erster Schritt – für rechtliche Detailfragen bleibt zusätzlich eine Fachperson für Datenschutzrecht der richtige Ansprechpartner.