Was die DSGVO beim Tracking tatsächlich reguliert
Die DSGVO verbietet Tracking nicht. Sie reguliert die Verarbeitung personenbezogener Daten, und Webanalyse-Daten fallen häufiger darunter, als
Website-Betreiber annehmen.
Der Grund liegt in der Definition. Eine IP-Adresse zusammen mit einer Geräte-Kennung, einem Zeitstempel und einem Klickpfad lässt sich in der Regel einer Person zuordnen. Damit sind es personenbezogene Daten. Und damit brauchen Sie eine Rechtsgrundlage, bevor Sie sie erheben.
In der Praxis ist diese Rechtsgrundlage meist die Einwilligung. Einwilligung hat eine definierte Form: eine eindeutige bestätigende Handlung. Stillschweigen zählt nicht. Vorangekreuzte Kästchen zählen nicht. Der Hinweis "Durch die Nutzung dieser Website akzeptieren Sie Cookies" zählt ebenfalls nicht, denn er beschreibt lediglich, was ohnehin passiert.
Nicht jede Messung fällt in diese Kategorie. Wer rein aggregiert auswertet, ohne Identifikatoren zu setzen und ohne sitzungsübergreifende Profile zu bilden, kann je nach Konfiguration ohne Einwilligung auskommen. Diese Ausnahme ist real, aber eng: Sobald Sie User-IDs, Cross-Domain-Tracking oder Session-Replay aktivieren, sind Sie wieder in der Einwilligungspflicht.
Was auf dem Spiel steht, regelt Artikel 83 DSGVO. Verstöße gegen die Grundsätze der Verarbeitung und gegen die Regeln zur Drittlandübermittlung können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Als Maßstab dafür, wie ernst der Gesetzgeber das Thema nimmt, taugt die Zahl trotzdem.
Warum Google Analytics zum Rechtsproblem wurde
Der Einwand richtete sich nie gegen die Software. Er richtete sich dagegen, wohin die Daten flossen und wer dort auf sie zugreifen konnte.
Die Kette beginnt 2020. Der Europäische Gerichtshof kippte im
Schrems-II-Urteil das Datenschutzabkommen Privacy Shield und entzog damit vielen Übermittlungen in die USA ihre Grundlage. Standardvertragsklauseln blieben möglich, aber nur, wenn zusätzliche Maßnahmen den Zugriff durch US-Behörden tatsächlich verhinderten.
Am 13. Januar 2022 wandte die österreichische Datenschutzbehörde diese Logik konkret auf Google Analytics an. In ihrer Entscheidung hielt sie fest, dass die vorgelegten vertraglichen, organisatorischen und technischen Maßnahmen nicht erkennen ließen, inwieweit sie einen Zugriff durch US-Nachrichtendienste nach US-Recht überhaupt verhindern oder einschränken würden. Vergleichbare Entscheidungen folgten in Frankreich und Italien.
Dann drehte sich die Lage. Am 10. Juli 2023 verabschiedete die EU-Kommission ihren Angemessenheitsbeschluss für den EU-US Data Privacy Framework. Der Beschluss kommt zu dem Ergebnis, dass die USA für Daten, die unter diesem Rahmen übermittelt werden, ein angemessenes Schutzniveau bieten, vergleichbar mit dem der Europäischen Union. Seitdem ist die Übermittlung an zertifizierte US-Unternehmen wieder auf dieser Grundlage möglich.
Der zeitliche Verlauf im Überblick:
Datum
Ereignis
07/2020
Der Europäische Gerichtshof kippt im Schrems-II-Urteil das Privacy-Shield-Abkommen.
01/2022
Die österreichische Datenschutzbehörde erklärt den Einsatz von Google Analytics für rechtswidrig.
02/2022
Die französische CNIL richtet förmliche Aufforderungen an Website-Betreiber, den Einsatz zu beenden.
06/2022
Die italienische Garante untersagt den Einsatz ohne zusätzliche Schutzmaßnahmen.
07/2023
Die EU-Kommission verabschiedet den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.
Das ist die aktuelle Rechtslage. Google Analytics ist damit nicht verboten. Bemerkenswert bleibt allerdings, dass der Rahmen bereits gerichtlich angefochten wird. Wer heute entscheidet, entscheidet also unter der Annahme, dass sich diese Grundlage noch einmal verschieben kann.
Und die Regeln selbst sind ebenfalls in Bewegung. Mit dem Digital Omnibus hat die EU-Kommission im November 2025 ein Paket vorgelegt, das die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO überführen soll. Für die Messung ist ein Punkt besonders relevant: Eine aggregierte Reichweitenmessung soll unter engen Bedingungen ohne Einwilligung zulässig werden, etwa wenn die Verarbeitung auf eigener Infrastruktur läuft und keine Daten an Dritte gehen. Das Paket steckt noch in den Verhandlungen zwischen Parlament, Rat und Kommission, einzelne Vorschläge wurden bereits wieder gestrichen. Vor 2027 ist mit einer Anwendung kaum zu rechnen. Planen Sie mit der heutigen Rechtslage und behalten Sie den Entwurf im Auge.
Serverstandort und Rechtsraum sind nicht dasselbe
Daten in Frankfurt zu hosten setzt sie nicht automatisch außerhalb der Reichweite nicht-europäischen Rechts. Zuständigkeit folgt dem Anbieter, nicht der Festplatte.
An diesem Punkt laufen die meisten Entscheidungen schief. Es gibt zwei Variablen, nicht eine. Erstens: Wo liegen die Daten physisch? Zweitens: Welcher Rechtsordnung untersteht das Unternehmen, das über sie verfügt?
Ein US-Konzern mit Rechenzentrum in Deutschland und ein europäischer Anbieter mit Rechenzentrum in Deutschland beantworten die erste Frage identisch und die zweite völlig unterschiedlich. Beide werden Ihnen sagen, die Daten lägen in Europa. Beide haben recht. Das Risikoprofil ist trotzdem nicht dasselbe.
Ein Beispiel dafür, wie leicht sich das übersehen lässt: Matomo gilt in nahezu jedem deutschsprachigen Vergleich als die europäische Alternative schlechthin. Die Software ist quelloffen und lässt sich selbst hosten, und wer das tut, hat die Datenhoheit tatsächlich vollständig in der Hand. Das Unternehmen hinter Matomo sitzt allerdings in Neuseeland. Das ist kein Argument gegen Matomo. Im Gegenteil, gerade weil es eine gute Wahl ist, zeigt der Fall so deutlich, dass "europäisches Tool" und "europäisches Unternehmen" zwei verschiedene Aussagen sind. Beide sollten Sie prüfen.
Praktisch heißt das: Fragen Sie nach dem Sitz des Unternehmens, nicht nur nach dem Standort des Rechenzentrums. Beides steht in der Regel im Impressum und im Auftragsverarbeitungsvertrag.
Drei Wege zu DSGVO-konformer Messung
Realistisch stehen drei Architekturen zur Verfügung. Sie unterscheiden sich vor allem in Aufwand und laufenden Kosten. Rechtmäßig betreiben lassen sich grundsätzlich alle drei.
Weg 1: Google Analytics mit Einwilligung weiterbetreiben
Dieser Weg kostet am wenigsten, weil kein Umzug ansteht. Sie setzen einen Consent-Banner davor, aktivieren das Tracking erst nach ausdrücklicher Zustimmung und dokumentieren die Konfiguration.
Der Preis dafür steht in Ihren Zahlen. Ihre Messung bildet ab sofort nur noch den Teil der Besucher ab, der zugestimmt hat. Dieser Anteil verteilt sich nicht gleichmäßig über Kanäle und Kampagnen. Für ein grobes Reporting reicht das oft. Für die Steuerung bezahlter Kampagnen wird es schnell dünn.
Weg 2: Auf ein europäisches Analytics-Tool wechseln
Sie wechseln auf das Tool eines europäischen Anbieters und vereinfachen damit die rechtliche Bewertung erheblich. Die Drittland-Frage stellt sich nicht mehr. Allerdings sind Analytics-Tools für sich anfällig für Verluste in der Datenerfassung durch Ad Blocker und Browser-Restriktionen.
Der Aufwand liegt in der Migration und im Bruch der Historie. Ihre alten Daten wandern nicht ohne Weiteres mit. Ein Jahresvergleich über den Wechselzeitpunkt hinweg ist danach eine Schätzung, keine Messung. Wer gerade erst anfängt, verliert dabei wenig. Wer drei Jahre saubere Daten hat, verliert einiges.
Weg 3: Serverseitiges Tracking vorschalten
Sie behalten Ihre bestehenden Tools und verlagern die Datenerfassung auf einen Server, den Sie kontrollieren. Der Browser spricht nicht mehr direkt mit Google, Meta oder LinkedIn, sondern mit Ihrem eigenen Endpunkt. Von dort entscheiden Sie, welche Daten weitergehen.
Das ist der aufwendigste Weg. Sie zahlen eine Plattformgebühr und brauchen jemanden, der die Einrichtung übernimmt. Dafür bleibt Ihr Stack intakt, und die Datenerfassung liegt an einer Stelle, die Sie tatsächlich kontrollieren.
Weg
Einwilligung nötig?
Aufwand
Laufende Kosten
Datenverlust
1. Google Analytics mit Consent
Ja
Gering
Keine zusätzlichen
Hoch, abhängig von der Zustimmungsrate
2. Europäisches Analytics-Tool
Je nach Konfiguration
Mittel, Migration
Niedrig bis mittel
Historie bricht ab
3. Serverseitiges Tracking
Je nach Konfiguration
Hoch, Einrichtung
Ab etwa 200 Euro im Monat
Gering
Europäische Anbieter im Überblick
Es gibt einen funktionierenden Markt europäischer Anbieter. Zu den etablierten und bewährten Werkzeugen in diesem Feld zählt Jentis, tätig in
Deutschland und Österreich. Daneben stehen Piwik PRO aus Polen, Stape aus Estland/Spanien, Commanders Act aus Frankreich, etracker aus Deutschland und das quelloffene Matomo.
Zwei Kategorien stecken darin. Analytics-Tools ersetzen Ihr bisheriges Werkzeug. Tag-Management-Systeme ersetzen es nicht, sondern schieben sich davor: Sie behalten Ihre Tools und ändern nur den Weg, den die Daten nehmen.
Jentis hostet europäische Kunden vollständig auf IONOS-Servern und kann über 150 Tools anbinden. Als Anbieter mit Sitz in der EU unterliegt das Unternehmen europäischem Recht - für Teams, die ihren bestehenden Stack behalten und trotzdem den Anforderungen der DSGVO (GDPR) genügen wollen, ist das in der Regel der kürzeste Weg.
Was das kostet und wann sich der Wechsel lohnt
Für die meisten frühen Projekte lautet die ehrliche Antwort: Am wenigsten kostet ein sauber konfigurierter Consent-Banner. Ein Plattformwechsel lohnt sich ab einem bestimmten Punkt, und dieser Punkt lässt sich benennen.
Zur Größenordnung: Serverseitige Plattformen in diesem Segment starten im Einstiegstarif bei etwa 199 Euro pro Monat, größere Tarife liegen deutlich darüber. Dazu kommt die Einrichtung. Rechnen Sie mit einigen Tagen Entwicklungszeit intern oder mit einem entsprechenden Dienstleisterbudget.
Zu früh ist dieser Schritt, wenn Sie noch keinen Umsatz haben, wenig Traffic messen und kein bezahltes Marketing betreiben. Dann kostet die Plattform Geld und löst ein Problem, das Sie in dieser Größe noch nicht haben.
Zu rechnen beginnt es an drei Stellen. Erstens: Sie schalten bezahlte Kampagnen, und der Einwilligungsverlust verzerrt Ihre
Attribution so weit, dass Sie Budget falsch verteilen. Zweitens: Sie arbeiten in einem regulierten Umfeld, in dem Sie Ihre Verarbeitung ohnehin lückenlos dokumentieren müssen. Drittens: Ein Enterprise-Kunde oder ein Investor prüft Ihre Datenverarbeitung im Rahmen einer Due Diligence.
Vorher ist der Consent-Weg keine Notlösung, sondern die richtige Entscheidung.
Checkliste vor dem Go-live
Die folgenden Punkte können Sie ohne Anwalt prüfen.
• Rechtsgrundlage schriftlich festhalten: Einwilligung oder berechtigtes Interesse, und warum.
• Prüfen, ob das Tool Cookies setzt oder sitzungsübergreifende Profile bildet.
• Sitzland des Anbieters prüfen, nicht nur den Standort des Rechenzentrums.
• Auftragsverarbeitungsvertrag einholen und ablegen.
• Widerspruch jederzeit erreichbar machen, nicht nur beim ersten Besuch.
• Konfiguration dokumentieren, mit Datum.
• Nach jeder Funktionsänderung erneut prüfen, die Identifikatoren zurückbringt: User-IDs, Cross-Domain-Tracking, Session-Replay.
Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung. Eine verbindliche Bewertung Ihres konkreten Setups gehört in die Hände einer qualifizierten Beraterin oder eines qualifizierten Beraters.
Häufige Fragen
Ist Google Analytics DSGVO-konform?
Seit dem
Angemessenheitsbeschluss vom Juli 2023 lässt sich Google Analytics auf einer gültigen Rechtsgrundlage betreiben, sofern Sie es korrekt konfigurieren und eine wirksame Einwilligung einholen. Die früheren Entscheidungen mehrerer Aufsichtsbehörden bezogen sich auf die Rechtslage davor. Da der Rahmen angefochten wird, bleibt in der Planung ein Restrisiko.
Geht Webanalyse ohne Cookie-Banner?
Unter Bedingungen ja. Wenn Ihre Lösung keine Identifikatoren setzt, keine sitzungsübergreifenden Profile bildet und ausschließlich aggregiert auswertet, kann die Einwilligungspflicht entfallen. Die Bedingungen sind eng, und sie hängen an der Konfiguration, nicht am Produktnamen.
Reicht ein Serverstandort in der EU?
Allein nicht. Der Standort beantwortet, wo die Daten liegen, nicht, welcher Rechtsordnung das verfügende Unternehmen untersteht. Prüfen Sie beides.
Was passiert bei einem Verstoß?
Der gesetzliche Rahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. In der Praxis beginnen Verfahren meist mit einer Beschwerde und der Aufforderung der Aufsichtsbehörde, nachzubessern. Der häufigere Schaden ist nicht das Bußgeld, sondern der Aufwand, ein gewachsenes Setup unter Zeitdruck zu reparieren.
23.1.2026