Einige Monate lang sah es 2022 so aus, als könnte Google Analytics in Europa unbrauchbar werden. Eine Datenschutzbehörde nach der anderen stellte fest, dass eine Standardinstallation gegen die DSGVO verstieß. Die niederländische Autoriteit Persoonsgegevens warnte Websitebetreiber sogar öffentlich, der Einsatz könne bald unzulässig sein.
Im Juli 2023 vereinbarten die EU und die USA dann einen neuen Rahmen für Datenübermittlungen, und die Diskussion verstummte. Viele Websitebetreiber gingen davon aus, das Problem sei gelöst, und beschäftigten sich nicht weiter damit.
Das Data Privacy Framework regelt internationale Übermittlungen an teilnehmende US-Unternehmen. Fragen zur Cookie-Einwilligung, Datenminimierung oder Rechtsgrundlage für die Erhebung von Analysedaten beantwortet es nicht. Diese Punkte müssen weiterhin gesondert geprüft werden.
Warum Google Analytics zum DSGVO-Problem wurde
Ausgangspunkt war das Schrems-II-Urteil vom Juli 2020. Der Gerichtshof der Europäischen Union erklärte den EU-US Privacy Shield für ungültig, weil die US-Überwachungsgesetze Europäern keinen Schutz boten, der dem von der DSGVO verlangten Niveau im Wesentlichen gleichwertig war. Unternehmen konnten für Übermittlungen weiterhin Standardvertragsklauseln verwenden, mussten dafür aber die Rechtslage im Empfängerland prüfen und bei Bedarf ergänzende Maßnahmen treffen.
Einen Monat später reichte die Datenschutzorganisation noyb EU-weit 101 Beschwerden gegen Websites ein, die weiterhin Besucherdaten an Google und Facebook übermittelten. Die Beschwerden gingen an die nationalen Aufsichtsbehörden. Diese mussten entscheiden, ob eine übliche Google-Analytics-Konfiguration den Anforderungen nach Schrems II genügte.
Im Kern ging es um eine einfache Frage. Google Analytics erfasst Kennungen wie Cookie-IDs und IP-Adressen, die nach der DSGVO als personenbezogene Daten gelten. Diese Daten gelangten an Google LLC, ein US-Unternehmen, das den dortigen Überwachungsgesetzen unterliegt. Die Behörden mussten beurteilen, ob Googles Schutzmaßnahmen ausreichten.
Was die Aufsichtsbehörden entschieden
Den Anfang machte die österreichische Datenschutzbehörde. Im Januar 2022 entschied sie, dass der Einsatz von Google Analytics auf einer Gesundheitswebsite gegen die DSGVO-Regeln für internationale Datenübermittlungen verstieß. Googles ergänzende Maßnahmen, darunter Verschlüsselung und IP-Anonymisierung, hinderten US-Behörden nach ihrer Einschätzung nicht am Zugriff auf die Daten.
Die französische CNIL folgte im Februar 2022 mit einer förmlichen Aufforderung an einen Websitebetreiber. Später veröffentlichte sie Hinweise, nach denen Google Analytics in der damaligen Konfiguration nicht rechtmäßig eingesetzt werden konnte. Als mögliche, wenn auch aufwendige Lösung nannte sie einen Proxy, der identifizierende Daten entfernt, bevor sie Google erreichen.
Die italienische Garante kam im Juni 2022 zum selben Ergebnis und gab dem Verantwortlichen in diesem Fall 90 Tage Zeit, die Vorgaben einzuhalten. Die dänische Datatilsynet veröffentlichte im Herbst 2022 eine Orientierungshilfe, nach der Organisationen das Werkzeug ohne wirksame ergänzende Maßnahmen nicht einsetzen sollten. Die schwedische IMY ging im Juli 2023 weiter und verhängte Bußgelder gegen mehrere Unternehmen. Tele2 musste 12 Millionen schwedische Kronen zahlen.
Die niederländische Position
Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens warnte 2022 während der Prüfung von Beschwerden vor dem Übermittlungsproblem. Diese damalige Warnung darf weder als EU-weites noch als heute geltendes GA4-Verbot dargestellt werden. Anfang 2022 teilte die AP mit, sie untersuche zwei Beschwerden zu Google Analytics. Sie warnte, dass der Einsatz möglicherweise bald nicht mehr zulässig sein werde, und empfahl Organisationen, Alternativen zu erwägen.
Für niederländische Unternehmen hatte diese Warnung Gewicht. Viele wechselten zu datenschutzfreundlichen Analysewerkzeugen. Außerdem vertritt die AP seit Langem eine Position zu Analyse-Cookies nach dem niederländischen Telekommunikationsgesetz: Cookies, die ausschließlich der Analyse dienen und die Privatsphäre kaum oder gar nicht beeinträchtigen, können von der Einwilligungspflicht ausgenommen sein, allerdings nur bei datenschutzfreundlicher Konfiguration. Eine Standardkonfiguration von Google Analytics, die Daten mit anderen Google-Diensten teilt, fällt nicht unter diese Ausnahme.
Der Angemessenheitsbeschluss vom Juli 2023 änderte den rechtlichen Rahmen für Datenübermittlungen. Er beantwortete nicht sämtliche Fragen zur Cookie-Einwilligung oder Verarbeitung von Analysedaten.
Was das EU-US Data Privacy Framework geändert hat
Am 10. Juli 2023 verabschiedete die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework. Darin stellt sie fest, dass die USA ein angemessenes Schutzniveau für personenbezogene Daten bieten, die an nach dem Framework zertifizierte Unternehmen übermittelt werden. Grundlage sind neue Beschränkungen für den Zugriff von US-Nachrichtendiensten und ein Rechtsbehelfsverfahren für Europäer.
Für Übermittlungen an einen Empfänger mit aktiver, die betreffenden Daten umfassender Zertifizierung bietet das Framework einen Übermittlungsmechanismus nach Artikel 45. Prüfe die aktuelle Zertifizierung von Google und den vertraglichen Empfänger, bevor du dich darauf stützt. Davon getrennt ist die Rechtsgrundlage nach Artikel 6 für das Erheben und Verwenden von Analysedaten.
Damit wird die Begründung der Entscheidungen von 2022 unmittelbar aufgegriffen. In allen Fällen fehlte damals ein angemessener Schutz für die Übermittlung. Eine Behörde, die diese Sachverhalte heute beurteilt, müsste den Angemessenheitsbeschluss berücksichtigen. Die übrigen Pflichten zur Verarbeitung und Einwilligung sind weiterhin gesondert zu prüfen.
Was sich nicht geändert hat
Das Framework ist bereits die dritte transatlantische Regelung dieser Art. Safe Harbor wurde 2015 aufgehoben, Privacy Shield 2020. Im September 2025 überstand das neue Framework seine erste gerichtliche Anfechtung: Das Gericht der Europäischen Union wies die Klage eines Abgeordneten der französischen Nationalversammlung ab. Dagegen wurde ein Rechtsmittel als Rechtssache C-703/25 P eingelegt. Die Einlegung des Rechtsmittels hat für sich genommen keine aufschiebende Wirkung. Sollte der Beschluss später für ungültig erklärt werden, müssten das Urteil, die verfügbaren Garantien und mögliche Übergangsregelungen geprüft werden. Eine identische Rückkehr zur Lage von 2022 lässt sich nicht einfach unterstellen.
Datenübermittlungen waren ohnehin nur ein Teil des Problems. Die DSGVO verlangt weiterhin eine Rechtsgrundlage für die Verarbeitung selbst, Datenminimierung, Transparenz in der Datenschutzerklärung und eine Vereinbarung zur Auftragsverarbeitung mit Google. Nach den ePrivacy-Regeln erfordert das Setzen von Google-Analytics-Cookies in der Regel zudem eine Einwilligung. Diese Frage ist von der Datenübermittlung getrennt und wird vom Framework nicht berührt.
Hinzu kommt die eigene Risikobewertung. Ein Anbieter mit Hauptsitz in den USA unterliegt unabhängig vom Angemessenheitsbeschluss weiterhin US-amerikanischen Rechtsverfahren. Manche Organisationen, insbesondere im Gesundheitswesen, in der Rechtsberatung und im öffentlichen Sektor, möchten davon nicht abhängig sein.
Ist Google Analytics derzeit also in der EU legal?
Stand Oktober 2026 kann Google Analytics in der EU rechtmäßig eingesetzt werden, sofern die Voraussetzungen erfüllt sind. Die Kommission beschreibt das Data Privacy Framework weiterhin als Übermittlungsmechanismus für teilnehmende US-Empfänger. Außerdem brauchst du eine Einwilligung für die Cookies, musst das Werkzeug sinnvoll konfigurieren, seinen Einsatz korrekt offenlegen und Googles Bedingungen zur Datenverarbeitung vereinbart haben.
Google Analytics ist damit aber keine abschließend geklärte, risikolose Wahl. Die Rechtsgrundlage für die Übermittlung beruht auf einem Framework, gegen das ein Rechtsmittel läuft. Cookie-Einwilligungen sind in der Praxis erforderlich, und die Entscheidungen der Nutzer machen Berichte unvollständig. Die erweiterte Implementierung von Consent Mode kann cookielose Pings senden und modellierte Berichte erzeugen. Eine abgelehnte Einwilligung bedeutet daher nicht zwingend, dass keinerlei Messung oder Datenübertragung stattfindet.
Dieser letzte Punkt entscheidet in der Praxis häufig. Auf vielen Websites lehnt ein erheblicher Anteil der Besucher Analyse-Cookies ab. Die Google-Analytics-Daten in der EU sind damit schon unvollständig, bevor die rechtliche Frage überhaupt berücksichtigt wird.
Wenn du bei Google Analytics bleibst: sorgfältig konfigurieren
Nutze eine saubere Consent-Management-Lösung, die Google Analytics blockiert, bis der Besucher einwilligt. Googles Consent Mode v2 ist für bestimmte Werbefunktionen bei Traffic aus dem EWR vorgeschrieben. Prüfe außerdem genau, was vor einer Einwilligung übertragen wird, denn auch cookielose Pings senden einige Daten.
Überprüfe die Dateneinstellungen. Wähle die kürzeste Aufbewahrungsfrist, die für deine Berichte ausreicht, deaktiviere Google Signals ohne konkreten Bedarf, schalte die Weitergabe an andere Google-Produkte aus und verhindere, dass personenbezogene Daten wie E-Mail-Adressen in URLs oder Ereignisparametern landen.
Dokumentiere die Entscheidung. Deine Datenschutzerklärung sollte Google Analytics nennen, erläutern, welche Daten zu welchem Zweck erhoben werden, auf die internationale Übermittlung und ihre Rechtsgrundlage hinweisen und erklären, wie Nutzer ihre Einwilligung widerrufen können.
Die Alternative: datenschutzfreundliche Webanalyse
Viele europäische Unternehmen haben sich für den einfacheren Weg entschieden und senden gar keine Besucherdaten mehr an ein US-Unternehmen. Datenschutzfreundliche Werkzeuge wie Plausible, Matomo und Umami verfolgen unterschiedliche Ansätze, konzentrieren sich aber alle auf eine sparsame Datenerhebung und Kontrolle über die eigenen Daten.
Am weitesten geht Self-Hosting. Eine Analyseplattform auf einem EU-Server kann Datenflüsse an Dritte reduzieren. Trotzdem müssen Hosting-Anbieter, Unterauftragsverarbeiter, Fernwartung, Back-ups und ausgehende Integrationen geprüft werden. Self-Hosting schließt Zugriffe durch Dritte oder internationale Übermittlungen nicht automatisch aus. Wir zeigen Schritt für Schritt, wie du Plausible selbst hostest. Matomo und Umami lassen sich mit Docker ähnlich unkompliziert betreiben.
Einige dieser Werkzeuge können vollständig ohne Cookies konfiguriert werden. Abhängig von Rechtsraum und technischer Umsetzung kann das eine Einwilligungsabfrage vereinfachen oder entbehrlich machen. Die französische CNIL kennt beispielsweise eine Ausnahme für Reichweitenmessung, sofern strenge Bedingungen erfüllt sind. Die niederländische AP verfolgt bei Analyse-Cookies mit geringen Auswirkungen auf die Privatsphäre einen ähnlichen Ansatz. Bevor du das Banner entfernst, solltest du die Vorgaben deiner eigenen Aufsichtsbehörde prüfen, denn sie unterscheiden sich von Land zu Land.
So findest du die passende Lösung für deine Website
Frage zuerst, welche Auswertungen du tatsächlich nutzt. Wenn dein Team vor allem Seitenaufrufe, beliebte Seiten, Verweisquellen und Conversions betrachtet, reicht ein schlankes, datenschutzfreundliches Werkzeug meist aus. Wer auf die Integration mit Google Ads, Zielgruppenbildung oder geräteübergreifende Berichte angewiesen ist, braucht Funktionen, die Google Analytics bietet und die Alternativen nicht abdecken.
Berücksichtige deine Branche. Gesundheitswesen, Finanz- und Rechtsdienstleistungen, der öffentliche Sektor und Angebote für Kinder unterliegen stärkerer Aufsicht und verarbeiten sensiblere Daten. Das spricht eher dafür, die Daten in der eigenen Infrastruktur zu halten.
Denke auch an Zukunftssicherheit. Müsstest du kurzfristig die Analyseplattform wechseln, wenn das Data Privacy Framework für ungültig erklärt wird? Ein Werkzeug ohne Abhängigkeit von transatlantischen Übermittlungen beseitigt dieses Risiko vollständig.
Fazit
Die Entscheidungen aus Österreich, Frankreich, Italien und Dänemark aus dem Jahr 2022 sowie die Warnung der niederländischen AP beruhten auf dem fehlenden gültigen Übermittlungsmechanismus. Das EU-US Data Privacy Framework hat dieses Problem vorerst gelöst. Google Analytics kann daher mit Einwilligung und sorgfältiger Konfiguration in der EU eingesetzt werden. Risikofrei ist es nicht, und über die Zukunft des Frameworks entscheidet weiterhin der Gerichtshof der Europäischen Union.
Für viele europäische Websites, die ohnehin mit Consent-Bannern und unvollständigen Daten kämpfen, ist eine datenschutzfreundliche Webanalyse auf eigener Infrastruktur langfristig die einfachere Lösung.
Danke fürs Lesen! Wenn du deine Webanalyse unter EU-Recht selbst betreiben möchtest, bietet QDE unmanaged KVM VPS-Hosting in Amsterdam mit DSGVO-konformer Infrastruktur, minimaler Datenerhebung und vollem Root-Zugriff für selbst gehostete Werkzeuge wie Plausible, Matomo oder Umami.
Du brauchst Hilfe bei der Tarifwahl? Du kannst unser Team jederzeit kontaktieren.
Häufig gestellte Fragen zu Google Analytics und DSGVO
Ist Google Analytics in der EU verboten?
Nein. Es gibt kein EU-weites Verbot. Mehrere Aufsichtsbehörden stellten 2022 fest, dass bestimmte Konfigurationen gegen die DSGVO-Regeln für Datenübermittlungen verstießen. Das im Juli 2023 verabschiedete EU-US Data Privacy Framework bietet Übermittlungen an zertifizierte Unternehmen wie Google inzwischen eine Rechtsgrundlage.
Brauche ich für Google Analytics eine Cookie-Einwilligung?
In der Praxis ja. Google-Analytics-Cookies gelten nach den ePrivacy-Regeln in der Regel als nicht erforderlich. Sie dürfen daher erst nach vorheriger Einwilligung (Opt-in) gesetzt werden. Das gilt unabhängig vom Data Privacy Framework.
Was sagte die niederländische Datenschutzbehörde zu Google Analytics?
Die Autoriteit Persoonsgegevens teilte 2022 mit, sie untersuche Beschwerden, und warnte, Google Analytics könne bald unzulässig sein. Diese Warnung bezog sich auf die Rechtslage vor dem Data Privacy Framework und stellt für sich genommen kein heute geltendes pauschales Verbot von GA4 dar.
Ist GA4 DSGVO-konformer als Universal Analytics?
Google dokumentiert, dass GA4 individuelle IP-Adressen von Nutzern aus der EU weder protokolliert noch speichert. Vor dem Verwerfen werden sie allerdings zur groben Standortbestimmung verwendet. GA4 bietet außerdem Einstellungen für Aufbewahrungsfristen. Daten werden weiterhin an Google gesendet, Cookies erfordern eine Einwilligung, und für Daten außerhalb des EWR ist ein anwendbarer Übermittlungsmechanismus erforderlich. Für zertifizierte Empfänger, deren Zertifizierung die betreffenden Daten abdeckt, kann das Data Privacy Framework ein solcher Mechanismus sein.
Was passiert mit Google Analytics, wenn das Data Privacy Framework für ungültig erklärt wird?
Websites, die sich auf den Beschluss stützen, müssten das Urteil und ihre anderen Übermittlungsmechanismen prüfen. Standardvertragsklauseln, ergänzende Schutzmaßnahmen und mögliche Übergangsregelungen wären neu zu bewerten. Die Folgen wären nicht automatisch mit der Situation von 2022 identisch.
Was ist die datenschutzfreundlichste Alternative zu Google Analytics?
Mit einer selbst gehosteten Installation von Plausible, Matomo oder Umami erhältst du mehr Kontrolle über die Datenerhebung. Prüfe trotzdem den Zugriff des Hosters, Unterauftragsverarbeiter und Integrationen. Ein EU-Server garantiert allein nicht, dass keine internationalen Übermittlungen stattfinden. Auch ein cookieloser Betrieb beseitigt nicht automatisch sämtliche Datenschutzpflichten.