Ein internationaler Tier-1-Automobilzulieferer, eine mittelständische Agentur in München, ein Zahnarzt in Hamburg — sie alle verbindet dasselbe Problem: Google Analytics läuft auf ihrer Website, und die Datenschutzbehörden schauen nicht mehr weg. Die österreichische DSB hat im Januar 2022 den ersten Bescheid erlassen, der die Nutzung von Google Analytics als rechtswidrig einstuft. Vier Jahre später hat sich an der technischen Realität nichts geändert — aber die Durchsetzung hat Fahrt aufgenommen.
Die Chronologie der Bescheide
Im Dezember 2021 reichte noyb — die von Max Schrems gegründete Organisation — 101 Beschwerden bei Datenschutzbehörden in der gesamten EU ein. Die Zielrichtung war klar: Websites, die Google Analytics einsetzen und damit personenbezogene Daten in die USA übermitteln, verstoßen gegen Kapitel V der DSGVO.
Die österreichische DSB entschied als erste Behörde, dass der Einsatz von Google Analytics ohne zusätzliche Schutzmaßnahmen gegen Art. 44 DSGVO verstößt. Die französische CNIL, die italienische Garante und die dänische Datatilsynet folgten innerhalb weniger Monate mit gleichlautenden Feststellungen.
2024 und 2025 kamen Bußgeldbescheide hinzu — nicht nur gegen Großkonzerne. Die bayerische Datenschutzaufsicht hat im ersten Halbjahr 2026 allein 34 Verfahren gegen mittelständische Unternehmen eingeleitet, die Google Analytics ohne wirksame Einwilligung betrieben.
Warum Google Analytics 4 das Problem nicht löst
Google hat mit GA4 eine vermeintliche Lösung präsentiert: IP-Anonymisierung, Server in der EU, Consent Mode. Die Realität sieht anders aus.
Datentransfer trotz EU-Servern
Auch wenn Google Messdaten zunächst auf EU-Servern verarbeitet, unterliegt Google als US-Unternehmen dem CLOUD Act und potenziell FISA 702. US-Behörden können auf Daten zugreifen, unabhängig davon, wo diese physisch gespeichert sind. Das EU-US Data Privacy Framework ändert daran strukturell nichts — es basiert auf Executive Orders, die jederzeit widerrufen werden können.
Fingerprinting statt Cookies
GA4 setzt auf maschinelles Lernen und modellierte Daten, wenn keine Cookies gesetzt werden können. Dabei kommen Signale wie Bildschirmauflösung, Spracheinstellungen und Browser-Version zum Einsatz. Die Artikel-29-Datenschutzgruppe hat bereits 2014 festgestellt, dass Fingerprinting unter die ePrivacy-Richtlinie fällt und eine Einwilligung erfordert.
Consent Mode v2 ist kein Freibrief
Im Consent Mode sendet Google Analytics auch ohne Einwilligung sogenannte „Pings" an Google-Server. Diese enthalten Zeitstempel, User-Agent-Strings und Referrer-Informationen. Die niederländische AP hat im März 2026 klargestellt, dass auch diese eingeschränkten Datenübertragungen einer Rechtsgrundlage bedürfen.
Was Unternehmen konkret tun sollten
1. Bestandsaufnahme durchführen
Prüfen Sie, welche Tracking-Dienste auf Ihrer Website aktiv sind — nicht nur im Quellcode, sondern im tatsächlichen Netzwerkverkehr. Ein Tag Manager mit 30 eingebundenen Diensten, von denen 12 ohne Einwilligung laden, ist keine Seltenheit. Unser kostenloser DSGVO-Scanner zeigt Ihnen in 60 Sekunden, was Ihre Website wirklich lädt.
2. Rechtsgrundlage prüfen
Für jeden Dienst, der personenbezogene Daten verarbeitet, brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Für Tracking-Dienste mit Drittlandtransfer kommt praktisch nur die Einwilligung nach Art. 6 Abs. 1 lit. a in Frage — und diese muss den Anforderungen des § 25 TDDDG genügen.
3. Alternative evaluieren
Selbst gehostete Analytics-Lösungen, die keine personenbezogenen Daten erheben und keine Cookies setzen, benötigen weder Einwilligung noch Cookie-Banner. Die Daten verlassen Ihren Server nicht. Es gibt keinen Drittlandtransfer, keinen Auftragsverarbeiter in den USA und keinen Zugriffsanspruch nach CLOUD Act.
Fazit
Google Analytics ist kein technisches Problem. Es ist ein strukturelles Risiko, das sich mit Updates, Consent-Bannern und Standardvertragsklauseln nicht wegkonfigurieren lässt. Unternehmen, die ihre Analytics heute auf eine selbst gehostete, DSGVO-konforme Lösung umstellen, eliminieren dieses Risiko vollständig — und behalten dabei die Datenhoheit.
