Datenschutz ist bei Google Analytics kein lästiges Beiwerk mehr, sondern von Anfang an eingebaut. Mit GA4, dem Consent Mode V2 und ein paar klaren Einstellungen kannst du dein Tracking rechtssicher aufsetzen, ohne dich durch juristisches Kleingedrucktes zu quälen. Dieser Artikel zeigt dir, worauf es 2026 wirklich ankommt.

Warum Datenschutz und Analytics zusammengehören

Die DSGVO ist längst kein europäisches Sonderthema mehr – ähnliche Regeln wie der California Consumer Privacy Act (CCPA) gibt es mittlerweile weltweit. Dazu kommen technische Einschränkungen: Apple hat mit ITP (Intelligent Tracking Prevention) in Safari das Tracking per Cookie massiv eingeschränkt, und auch andere Browser ziehen nach. Das Ergebnis: Du bekommst nie mehr Daten von 100 % deiner Besucher:innen, egal wie sauber du trackst.

Mit dem Digital Markets Act (DMA) hat die EU 2024 nochmal nachgelegt und speziell für große Anbieter wie Google zusätzliche Pflichten geschaffen. Genau deshalb ist der Consent Mode Version 2 inzwischen verpflichtend für alle, die Google-Tags einsetzen – er überträgt bei jedem Messaufruf, welche Einwilligung ein Nutzer tatsächlich gegeben hat, statt sie pauschal vorauszusetzen.

Die wichtigsten Begriffe kurz erklärt

  • Anonymisierung: personenbezogene Daten werden unwiderruflich entfernt. GA4 macht das automatisch mit IP-Adressen.
  • Pseudonymisierung: personenbezogene Daten bleiben erhalten, werden aber durch eine Kennung ersetzt – genau das macht GA4 mit der Client-ID jedes Nutzers.
  • Personenbeziehbarkeit: Sobald sich Daten einer konkreten Person zuordnen lassen (z. B. per IP), gelten sie als personenbezogen und müssen entsprechend geschützt werden.
  • Hashing: eine Einwegverschlüsselung, mit der du Datensätze vergleichen kannst, ohne die Originaldaten preiszugeben.

Die Checkliste: Das musst du wirklich umsetzen

Wenn du GA4 sauber und datenschutzkonform betreiben willst, läuft es auf acht Punkte hinaus:

Einwilligung einholen und Widerspruch ermöglichen

GA4 verknüpft die Aktionen einzelner Nutzer über eine Kennung – genau diese Profilbildung macht die Einwilligung nötig. In der Praxis läuft das über eine Consent-Box (auch Cookie-Banner genannt), meist gesteuert von einem Consent-Manager wie Usercentrics oder Onetrust. Wichtig: Der Consent-Manager allein reicht nicht. Er fragt nur die Präferenz ab – die eigentliche Umsetzung, dass ohne Zustimmung wirklich nicht getrackt wird, musst du im Google Tag Manager oder direkt in deinem Code hinterlegen.

Genauso wichtig wie die Zustimmung ist der Widerspruch: Nutzer müssen alle nicht zwingend notwendigen Cookies auch ablehnen können.

Datenschutzerklärung anpassen

Alle Besucher:innen müssen erfahren, dass du mit GA4 Interaktionsdaten erfasst. Viele Consent-Manager liefern dafür fertige Textbausteine. Zusätzlich brauchst du eine leicht auffindbare eigene Datenschutzseite, auf der alle eingesetzten Dienste aufgeführt sind.

IP-Adressen anonymisieren

Gute Nachricht: Anders als früher in Universal Analytics musst du dafür nichts mehr konfigurieren. GA4 kürzt IP-Adressen grundsätzlich automatisch. Auf europäischen Servern wird die IP nur genutzt, um den Standort bis auf Stadtebene zu bestimmen – gespeichert wird sie nicht.

Aufbewahrungsdauer festlegen

In der Property-Verwaltung legst du fest, wie lange GA4 Ereignisdaten aufbewahrt, die mit Cookies, Nutzer-ID oder Werbe-IDs verknüpft sind – zwischen 2 und maximal 14 Monaten. Eine verbindliche Vorgabe für „2 Monate” gibt es nicht, du kannst die Einstellung also ruhig bei 14 Monaten belassen. Wichtig für Segmentierungen: Die Option Nutzerdaten bei neuer Aktivität zurücksetzen verlängert die Frist bei jedem erneuten Besuch. Ist sie deaktiviert, zählt das erste Ereignis als Startpunkt.

AVV abschließen und Kontaktperson benennen

Beim Anlegen eines Analytics-Kontos stimmst du automatisch den Datenverarbeitungsbedingungen zu – das entspricht dem Auftragsverarbeitungsvertrag (AVV). Zusätzlich solltest du in den Kontoeinstellungen eine Kontaktperson für Datenschutzfragen hinterlegen, ebenso wie einen Datenschutzbeauftragten und ggf. einen Bevollmächtigten für den europäischen Wirtschaftsraum.

Nicht konform gesammelte Daten löschen

Hast du Daten erfasst, bevor alle Vorgaben umgesetzt waren, gelten sie als unrechtmäßig erhoben und müssen gelöscht werden. GA4 erlaubt dir dafür gezielte Löschanfragen – sowohl für einzelne Nutzer als auch für bestimmte Ereignisse in einem festgelegten Zeitraum.

Und was ist mit dem US-Datentransfer?

Seit dem Schrems-2-Urteil 2020 galten die USA datenschutzrechtlich als unsicheres Land. Die EU-Kommission hat dafür 2023 einen neuen Angemessenheitsbeschluss erlassen – seitdem brauchst du für die Übertragung von Nutzerdaten an Google-Server keine zusätzlichen Instrumente nach Art. 46 DSGVO mehr.

Fazit

GA4 nimmt dir viele Datenschutz-Aufgaben inzwischen automatisch ab, die du früher manuell konfigurieren musstest – allen voran die IP-Anonymisierung. Was bleibt, ist überschaubar: sauberer Consent Mode V2, eine aktuelle Datenschutzerklärung, eine sinnvolle Aufbewahrungsfrist und die formalen Punkte wie AVV und Kontaktperson. Wer diese Checkliste einmal durchgeht, hat GA4 rechtssicher im Griff.