Recht & Technik

Analytics rechtssicher einbinden.

Einwilligung zuerst GA4 statt UA Art. 28 DSGVO

Datenschutz bei der Reichweitenmessung — Datenschutz **Erst die Einwilligung, dann die Messung.**

Wer eine Kampagne bucht, will hinterher sehen, was sie gebracht hat — und landet dabei fast zwangsläufig bei Google Analytics. Das ist erlaubt, aber an Bedingungen geknüpft, die sich in den vergangenen Jahren zweimal geändert haben. Viele Anleitungen im Netz sind auf dem Stand von 2018 stehen geblieben und empfehlen Dinge, die heute nichts mehr bewirken. Hier steht, was aktuell gilt.

Der Hinweis vorweg: Das ist eine Orientierung aus der Praxis, keine Rechtsberatung. Im Zweifel gehört das zu jemandem, der dafür haftet.

Die Grundregel: erst fragen, dann messen

Seit der DSGVO und § 25 TTDSG gilt für alles, was Informationen im Endgerät speichert oder ausliest — also auch für die Cookies und Kennungen von Analytics — das Prinzip Opt-in: Die Messung darf erst starten, wenn der Besucher aktiv zugestimmt hat. Kein Vorankreuzen, kein „Weitersurfen gilt als Zustimmung“, und die Ablehnung muss genauso leicht sein wie die Zustimmung.

Praktisch bedeutet das: Das Messskript wird nicht im Seitenkopf fest eingebunden, sondern erst geladen, wenn die Einwilligung vorliegt. Genau dafür sind Einwilligungsbanner da — nicht als Dekoration, sondern als Schalter.

Drei Dinge, die heute nicht mehr stimmen

1. Universal Analytics ist abgeschaltet

Kennungen im Format UA-XXXXXX-X gehören zu Universal Analytics. Google hat es im Juli 2023 eingestellt. Wer diesen Code noch eingebunden hat, misst schlicht nichts. Der Nachfolger ist GA4 mit einer Mess-ID im Format G-XXXXXXXXXX.

2. anonymize_ip ist wirkungslos

In vielen Anleitungen steht dieser Parameter als der entscheidende Datenschutz-Schalter. In GA4 werden IP-Adressen ohnehin grundsätzlich gekürzt — die Angabe wird ignoriert. Sie schadet nicht, sie hilft nur nicht, und sie ersetzt die Einwilligung erst recht nicht.

3. § 11 BDSG gibt es nicht mehr

Für den Auftragsverarbeitungsvertrag mit Google wird gelegentlich noch § 11 BDSG genannt. Die Vorschrift ist seit Mai 2018 durch Art. 28 DSGVO abgelöst. Der Vertrag selbst wird in den Analytics-Einstellungen abgeschlossen.

Opt-out und Opt-in — der Unterschied

Opt-out: der alte Weg

Gemessen wird von Anfang an. Wer nicht will, muss selbst tätig werden und einen Link anklicken. Als alleinige Lösung reicht das seit der DSGVO nicht mehr.

Opt-in: was heute verlangt wird

Gemessen wird erst nach aktiver Zustimmung. Der Opt-out-Link bleibt trotzdem sinnvoll — er setzt das Widerrufsrecht nach Art. 7 Abs. 3 DSGVO um und ergänzt das Banner.

So sieht der Einbau heute aus

Der Baustein gehört nicht ungeprüft in den Seitenkopf, sondern wird von deinem Einwilligungswerkzeug nachgeladen, sobald zugestimmt wurde. G-XXXXXXXXXX ersetzt du durch deine eigene Mess-ID.

GA4 — erst nach erteilter Einwilligung laden

<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX"></script>
<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}
  gtag('js', new Date());
  gtag('config', 'G-XXXXXXXXXX');
</script>

Die Punkte auf einen Blick

Einwilligung vor der Messung — Ablehnen so leicht wie Zustimmen
GA4 mit G-Mess-ID, Universal Analytics ist tot
anonymize_ip in GA4 wirkungslos
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen
Datenschutzerklärung nennt Zweck, Werkzeug und Widerrufsmöglichkeit
Dass Analytics weniger zählt als die Kampagnenstatistik, ist die unvermeidliche Folge davon

Häufig gefragt

Fragen zu Analytics und Datenschutz

Reicht ein Hinweis in der Datenschutzerklärung?

Nein. Ein Hinweis informiert, er holt aber keine Einwilligung ein. Verlangt ist eine aktive Zustimmung, bevor die Messung startet.

Genügt ein Opt-out-Link?

Nicht mehr. Ein Opt-out setzt das Widerrufsrecht um (Art. 7 Abs. 3 DSGVO) und ergänzt das Einwilligungsbanner — es ersetzt es nicht.

Brauche ich anonymize_ip noch?

Nein. In GA4 werden IP-Adressen grundsätzlich gekürzt, der Parameter wird ignoriert. In älteren Anleitungen steht er noch als das Entscheidende — das ist überholt.

Was ist mit UA-Kennungen im Format UA-XXXXXX-X?

Die gehören zu Universal Analytics, das Google im Juli 2023 abgeschaltet hat. Neue Kennungen haben das Format G-XXXXXXXXXX. Wer noch den alten Code eingebunden hat, misst gar nichts mehr.

Brauche ich einen Vertrag mit Google?

Ja, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er wird in den Analytics-Einstellungen abgeschlossen. Der früher genannte § 11 BDSG ist seit Mai 2018 abgelöst.

Gilt das auch für andere Messwerkzeuge?

Ja. Die Einwilligungspflicht hängt am Zugriff auf Informationen im Endgerät, nicht am Anbieter. Nur Werkzeuge, die ohne solchen Zugriff auskommen, sind ausgenommen.

Passende Fragen dazu

Warum zählt Analytics weniger Besucher? CSP und X-Frame-Options als Bremse Views, Klicks oder Besucher? Impressum und Datenschutz

Sauber messen, sauber werben.

Wenn deine Messung steht, siehst du auch, was eine Kampagne wirklich bringt. Die Preise findest du auf einen Blick — und wenn etwas unklar bleibt, frag einfach nach.

Preise ansehen Frage stellen