2026-08-04

Google Analytics und DSGVO: in Europa illegal?

Du hast die Schlagzeile 2022 gelesen. Österreich erklärt Google Analytics für unzulässig. Dann Frankreich. Dann Italien.

Du betreibst einen Shop. Du bist kein Jurist. Auf jeder Seite liegt ein Messcode, und es gibt eine Aufsichtsbehörde, die Bußgelder verhängen kann.

Also hast du getan, was die meisten getan haben. Du hast abgewartet.

Dann passierte nichts Sichtbares, und die Frage rutschte still ans Ende deiner Liste. Sie steht immer noch dort. Und sie hat immer noch eine echte Antwort.

Hier ist die ehrliche Fassung, ohne Angst-Schlagzeilen und ohne Anbieter-Rhetorik. Was wirklich passiert ist, was sich seitdem geändert hat, und die zwei Fragen, die darüber entscheiden, ob du ein Problem hast.

Vorher eine Anmerkung: Das ist keine Rechtsberatung. Es ist eine Landkarte der Entscheidungen, damit du deinem eigenen Anwalt eine schärfere Frage stellen kannst.

Was wirklich passiert ist, mit Daten

Die Geschichte ist kurz und hat vier Momente.

Wenn du die juristische Vorgeschichte überspringen willst, lautet die kurze Antwort: eine GA4-Alternative.

Juli 2020. Der Gerichtshof der Europäischen Union sprach das Urteil, das als Schrems II bekannt ist. Es erklärte das Privacy Shield für ungültig, den Rahmen, der Datentransfers aus der EU in die USA unkompliziert gemacht hatte. Der Grund war das US-Überwachungsrecht, das das Gericht mit dem europäischen Schutzniveau für unvereinbar hielt.

13. Januar 2022. Die österreichische Datenschutzbehörde entschied einen Musterfall der Datenschutzorganisation noyb. Ihr Ergebnis: Eine Website, die über Google Analytics personenbezogene Daten in die USA übermittelt, verstieß gegen die DSGVO.

10. Februar 2022. Die französische CNIL kam zum selben Ergebnis und gab der betroffenen Stelle einen Monat Zeit.

Im Lauf von 2022. Italien und weitere Mitgliedstaaten folgten mit vergleichbaren Entscheidungen. Der österreichische Fall war einer von 101 Beschwerden, die noyb europaweit eingereicht hatte, es war also eine abgestimmte Welle und kein lokaler Zufall.

„Statt ihre Dienste tatsächlich DSGVO-konform anzupassen, haben US-Unternehmen versucht, einfach etwas Text in ihre Datenschutzerklärungen zu schreiben und den Gerichtshof zu ignorieren."

Max Schrems, Ehrenvorsitzender von noyb, 13. Januar 2022

Etwa achtzehn Monate lang war das der Stand. Dann verschob sich die rechtliche Grundlage.

Was sich 2023 geändert hat

10. Juli 2023. Die Europäische Kommission traf einen Angemessenheitsbeschluss für den EU-US Data Privacy Framework.

Vereinfacht gesagt stellt ein Angemessenheitsbeschluss fest, dass ein Land personenbezogene Daten ausreichend schützt, sodass Übermittlungen dorthin keine zusätzlichen Garantien brauchen. Für Unternehmen, die unter diesem Rahmen zertifiziert sind, fiel damit genau das Problem weg, auf dem die Entscheidungen von 2022 beruhten.

Das ist der Teil, den die meisten Artikel aus 2022 nie nachgetragen haben.

Es ist auch der Teil, den Anbieter in beide Richtungen übertreiben. Der Beschluss hat Google Analytics nicht für konform erklärt. Er hat einen Einwand ausgeräumt, den Übermittlungseinwand, für zertifizierte Empfänger.

Zwei Punkte bleiben offen.

Der Rahmen ist umstritten. Die beiden Vorgänger, Safe Harbor und Privacy Shield, wurden beide von demselben Gericht gekippt. Gegen diesen laufen Klagen. Niemand kann dir versprechen, dass er in drei Jahren noch steht.

Die Cookie-Frage ging nie um Übermittlungen. Die ist getrennt, und 2023 hat daran nichts geändert.

Ist es heute also illegal?

Die brauchbare Antwort ist kein Ja oder Nein. Sie lautet: Bei welcher der beiden Pflichten stehst du im Risiko?

Pflicht eins: Einwilligung für das Speichern auf dem Gerät. Sie kommt aus den ePrivacy-Regeln, in Deutschland umgesetzt in § 25 TDDDG, dem früheren TTDSG. Setzt du ein Cookie, das für den Dienst nicht unbedingt erforderlich ist, brauchst du vorher eine Einwilligung. Statistik ist nicht unbedingt erforderlich.

Das gilt unabhängig von der Übermittlungslage. Es galt vor 2022 und es gilt jetzt.

Pflicht zwei: Rechtsgrundlage und Garantien für personenbezogene Daten. Das ist die DSGVO. IP-Adressen und Gerätekennungen sind personenbezogene Daten. Übermittlungen in die USA sind derzeit vom Angemessenheitsbeschluss gedeckt, wenn der Empfänger zertifiziert ist.

Die meisten Shops, die Ärger bekommen, bekommen ihn wegen Pflicht eins und nicht wegen Pflicht zwei. Das Banner ist falsch eingestellt, es feuert das Tag vor der Einwilligung, oder es bietet keine echte Wahl.

Noch dabei? Gut, denn jetzt kommt, worauf eine Prüfung tatsächlich schaut.

Worauf eine Behörde tatsächlich schaut

Aufsichtsbehörden sind pragmatisch. Bei einer Prüfung nach Beschwerde sehen sie sich eine kurze Liste konkreter Dinge an.

• Feuert der Tracker vor der Einwilligung? Öffne deine Seite im privaten Fenster und sieh in den Reiter Netzwerk. Geht eine Anfrage raus, bevor du irgendwo klickst, ist das der häufigste Befund.
• Ist Ablehnen so einfach wie Zustimmen? Ein auffälliger Zustimmen-Knopf neben einem versteckten Einstellungen-Link ist europaweit ein dokumentiertes Problem.
• Passt deine Datenschutzerklärung zur Wirklichkeit? Nennt sie drei Werkzeuge und die Seite lädt fünf, sieht man das in dreißig Sekunden.
• Kannst du die Einwilligung nachweisen? Du musst belegen können, dass eingewilligt wurde, also musst du das speichern.
• Hast du einen Auftragsverarbeitungsvertrag? Für jedes Werkzeug, das in deinem Auftrag personenbezogene Daten verarbeitet.

Nichts davon braucht einen Anwalt zum Prüfen. Alles davon braucht jemanden, der tatsächlich nachsieht.

Drei Wege, das Risiko zu senken, nach Wirkung sortiert

1. Die Pflicht beseitigen statt sie zu verwalten. Verarbeitet deine Statistik keine personenbezogenen Daten und speichert nichts auf dem Gerät, entfallen beide Pflichten für dieses Werkzeug. Es gibt keine Einwilligung einzuholen, keine Übermittlung zu rechtfertigen und keinen Nachweis aufzubewahren.

2. Die Daten in der EU halten. Läuft deine Statistik auf EU-Servern bei einem EU-Anbieter, stellt sich die Übermittlungsfrage gar nicht, egal was mit dem Angemessenheitsrahmen passiert.

3. Wenn Google Analytics bleibt, zuerst das Banner reparieren. Tag erst nach Einwilligung, Ablehnen mit einem Klick, Einwilligung protokollieren, Datenschutzerklärung aktualisieren. Das beseitigt das Risiko nicht, es verwaltet es. Und du verlierst weiterhin die Besucher, die ablehnen.

Beachte, dass die ersten beiden eine Risikokategorie entfernen, während die dritte sie nur verkleinert. Dieser Unterschied wiegt schwerer als jede einzelne Entscheidung.

Was dich Nichtstun kostet

Bußgelder sind die Schlagzeile, aber selten das Erste, was passiert. Eine Beschwerde beginnt meist mit einem Auskunftsersuchen und einer Frist.

Die echten Kosten sind leiser.

Du steckst Stunden in Consent-Werkzeuge. Du erklärst einem Kunden oder Partner, warum dessen Daten zu einem US-Unternehmen fließen. Du trägst einen Punkt im Risikoregister, der sich nie erledigt. Und du entscheidest mit Zahlen, in denen alle fehlen, die Nein gesagt haben.

Hier kommt StatJolt ins Spiel

StatJolt ist so gebaut, dass beide Pflichten nicht mehr greifen.

Es setzt keine Cookies und schreibt nichts auf das Gerät des Besuchers. Damit entfällt die Einwilligungspflicht nach § 25 TDDDG für die Statistik selbst.

Es sammelt keine personenbezogenen Daten und baut keine Besucherprofile. Es gibt nichts, wofür eine Rechtsgrundlage zu finden wäre.

Die Server stehen in der EU, in Deutschland und Finnland. Eine Übermittlungsfrage entsteht nicht, auch dann nicht, wenn sich der Angemessenheitsrahmen erneut ändert.

Für eine Prüfung wird aus einem langen Gespräch damit ein kurzes. Es gibt keinen Einwilligungsnachweis für die Statistik vorzulegen, weil es keine Einwilligung einzuholen gibt.

Wenn du nur einen Absatz liest

Mehrere EU-Behörden haben Google Analytics 2022 tatsächlich für unzulässig erklärt, und zwar wegen der Datenübermittlung, und der Angemessenheitsbeschluss von 2023 hat genau diesen Einwand für zertifizierte Empfänger ausgeräumt. Die Einwilligungspflicht für Cookies war davon nie berührt, und genau dort stehen die meisten Shops im Risiko. Willst du die Frage schließen statt sie zu verwalten, nimm eine Statistik, die nichts auf dem Gerät speichert und innerhalb der EU läuft.

Zurück