Tracking & Analytics rechtssicher: GA4 mit Einwilligung

Ist Google Analytics 4 DSGVO-konform?

Die folgende Übersicht zeigt die drei Bedingungen, die für rechtssicheres GA4-Tracking gleichzeitig erfüllt sein müssen.

Nur wenn Einwilligung, Auftragsverarbeitungsvertrag und Consent Mode v2 gleichzeitig erfüllt sind, ist GA4 DSGVO-konform.

Google Analytics 4 lässt sich DSGVO-konform betreiben, aber nur unter klaren Voraussetzungen. Sie brauchen eine wirksame Einwilligung des Nutzers, bevor GA4 überhaupt Daten erhebt, einen Auftragsverarbeitungsvertrag mit Google und eine korrekte Consent-Mode-Konfiguration. Fehlt eine dieser drei Bedingungen, ist der Einsatz nicht rechtssicher, egal wie die technischen Einstellungen sonst aussehen.

Kurz gesagt: GA4 ist nur mit aktiver Einwilligung, einem Auftragsverarbeitungsvertrag mit Google und korrekt konfiguriertem Consent Mode v2 rechtssicher. Ein Cookie-Banner allein reicht nicht, seit dem 6. März 2024 muss die Einwilligung technisch per Consent Mode an Google übermittelt werden.

GA4 selbst hat gegenüber dem Vorgänger einige Verbesserungen eingebaut: Die IP-Adresse wird automatisch gekürzt, bevor sie verarbeitet wird, und die Speicherdauer lässt sich auf wenige Monate begrenzen. Das macht die Ausgangslage besser als früher, ersetzt aber nicht die Einwilligung. Ohne aktive Zustimmung des Besuchers bleibt jedes Tracking-Cookie eindeutig ein Verstoß gegen deutsches und europäisches Recht.

Für Shopify-Betreiber heißt das konkret: Ein Consent-Banner allein reicht nicht. Die Einwilligung muss technisch bei Google ankommen, bevor GA4-Tags feuern, und genau dafür gibt es seit 2024 eine verbindliche Schnittstelle namens Consent Mode.

Was ändert sich bei Google Analytics 4 gegenüber Universal Analytics?

Universal Analytics wurde vollständig abgeschaltet und durch GA4 ersetzt, ein Wechsel zurück ist nicht mehr möglich. Der Umstieg ist endgültig. Für Shop-Betreiber, die noch alte Tracking-Snippets im Theme-Code stehen haben, bedeutet das: Diese Daten werden längst nicht mehr erfasst.

Drei Änderungen betreffen den Datenschutz direkt:

• IP-Anonymisierung läuft in GA4 automatisch, eine manuelle Konfiguration wie früher bei Universal Analytics entfällt.
• Die maximale Aufbewahrungsdauer für Ereignisdaten liegt bei 14 Monaten, lässt sich aber auf 2 Monate reduzieren.
• Cookie-freies Messen ist technisch möglich, allerdings mit Einschränkungen bei der Genauigkeit der Auswertung.

Diese Punkte verbessern die Ausgangslage, sie machen GA4 aber nicht automatisch einwilligungsfrei nutzbar.

Welche Rechtsgrundlage brauchen Sie für Tracking im Shop?

Die einzige tragfähige Rechtsgrundlage für GA4-Tracking-Cookies ist die Einwilligung nach Paragraf 25 TDDDG, nicht das berechtigte Interesse nach Artikel 6 DSGVO. Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) hat das bekanntere TTDSG am 14. Mai 2024 abgelöst, inhaltlich blieb Paragraf 25 dabei unverändert. Wer online noch Quellen findet, die von “TTDSG Paragraf 25” sprechen, meint also dieselbe Regelung, nur unter altem Namen.

Paragraf 25 TDDDG verlangt eine vorherige Einwilligung für jeden Zugriff auf Informationen, die im Endgerät des Nutzers gespeichert sind, außer bei technisch zwingend notwendigen Funktionen wie Login oder Warenkorb. Ein GA4-Tracking-Cookie zählt nicht zu diesen Ausnahmen. Das gilt unabhängig davon, ob Sie personenbezogene Daten im engeren Sinn erheben, weil bereits der Zugriff auf das Endgerät die Einwilligungspflicht auslöst. Mehr zu den Grundlagen des Gesetzes lesen Sie in unserem Beitrag zum TDDDG.

Für Ihren Shop bedeutet das: Ein Cookie-Banner muss GA4 aktiv blockieren, bis der Besucher zustimmt, und die Zustimmung muss granular für die Kategorie Statistik oder Marketing erfolgen, nicht als pauschales Alles-oder-nichts.

Wie funktioniert die Einwilligung für GA4 technisch?

Google Consent Mode v2 ist die Schnittstelle, über die Ihr Cookie-Banner die Einwilligung des Besuchers an GA4 und Google Ads weitergibt, und er ist seit dem 6. März 2024 im gesamten EWR und in Großbritannien verpflichtend für alle, die GA4, Google Ads oder die Google Marketing Platform einsetzen. Ohne Consent Mode drohen ab diesem Stichtag eingeschränkte Funktionen bei Google Ads und lückenhafte Messdaten in GA4.

Google beschreibt den Mechanismus in der offiziellen Consent-Mode-Dokumentation, wie der folgende Screenshot der Hilfeseite zeigt.

Googles eigene Hilfeseite erklärt, wie der Einwilligungsmodus Consent-Signale aus dem Cookie-Banner übernimmt. (Quelle: Google)

Vier Parameter steuern, was Consent Mode an Google überträgt:

Parameter	Steuert
analytics_storage	Speicherung von GA4-Messdaten im Browser
ad_storage	Speicherung werbebezogener Cookies
ad_user_data	Übermittlung von Nutzerdaten für Werbezwecke
ad_personalization	Personalisierte Werbung auf Basis der Nutzerdaten

Welche Consent-Mode-Variante ist für deutsche Shops sicher?

Google unterscheidet zwei Implementierungsarten für Consent Mode v2: den Basic Mode und den Advanced Mode. Im Basic Mode lädt GA4 komplett erst nach erteilter Einwilligung, kein Tag feuert vorher. Im Advanced Mode sendet Google bereits vor der Einwilligung anonymisierte Pings an Google, um Modellierungslücken in den Daten zu schließen. Für deutsche Shops ist diese vorgezogene Datenübertragung ohne Einwilligung rechtlich riskant, weil sie im Widerspruch zur strikten Vorab-Einwilligungspflicht aus Paragraf 25 TDDDG steht. Die sicherere Wahl für den deutschen Markt ist deshalb der Basic Mode, bei dem wirklich keine Daten ohne Zustimmung an Google gehen. Klare Sache.

Wie richten Sie Tracking-Consent im Shopify-Shop ein?

Der folgende Ablauf zeigt alle fünf Schritte von der App-Installation bis zum Test des Ablehnen-Falls im Überblick.

Der komplette Ablauf von der App-Installation bis zum Test des Ablehnen-Falls, ohne eigenen Theme-Code.

Sie müssen dafür keinen eigenen Theme-Code schreiben. Shopify stellt eine native Customer Privacy API bereit, in die Consent-Management-Apps aus dem Shopify App Store ihre Einwilligungsstatus schreiben, und diese Signale werden automatisch an angebundene Google-Tags weitergereicht.

Der praktische Ablauf sieht so aus:

1. Installieren Sie eine Consent-Management-App aus dem Shopify App Store, die die Customer Privacy API unterstützt und Consent Mode v2 nativ anbietet.
2. Konfigurieren Sie die Cookie-Kategorien im Banner so, dass Statistik- und Marketing-Cookies standardmäßig deaktiviert sind, bis der Besucher aktiv zustimmt.
3. Verbinden Sie GA4 über die Google & YouTube-Channel-App aus dem Shopify App Store, denn eine vollständig native GA4-Integration wie früher bei Universal Analytics bietet Shopify nicht mehr.
4. Prüfen Sie im Google Tag Manager oder in den GA4-Echtzeitberichten, ob Messdaten erst nach erteilter Einwilligung ankommen.
5. Testen Sie den Ablehnen-Fall separat: Bricht ein Besucher die Einwilligung ab, dürfen im Netzwerk-Tab des Browsers keine GA4-Requests mit Nutzerdaten sichtbar sein.

Der Shopify App Store listet bereits im ersten Suchergebnis über tausend passende Apps, wie der folgende Screenshot zeigt.

Der Shopify App Store listet über tausend Consent-Apps, viele davon mit nativer Google-Consent-Mode-v2-Unterstützung. (Quelle: Shopify)

Cookie-Kategorien richtig zuordnen

Ordnen Sie GA4-Tags konsequent der Kategorie Statistik zu, nicht der Kategorie Notwendig. Google Ads Remarketing-Tags gehören in die Kategorie Marketing. Diese Trennung ist wichtig, weil viele Consent-Tools bei granularer Ablehnung nur einzelne Kategorien blockieren, nicht das gesamte Banner.

Achten Sie bei der App-Auswahl auf drei Punkte: native Unterstützung von Consent Mode v2 statt nur einem klassischen Cookie-Banner, eine dokumentierte Anbindung an die Shopify Customer Privacy API und die Möglichkeit, Kategorien einzeln statt pauschal abzulehnen. Apps, die nur ein Alles-akzeptieren-Banner ohne granulare Kategorien anbieten, erfüllen die Vorgaben aus Paragraf 25 TDDDG nicht, selbst wenn sie technisch mit Google verbunden sind.

Ist die Datenübertragung von GA4 in die USA erlaubt?

Aktuell ja, über das EU-US Data Privacy Framework, das die Datenübertragung von Google Ireland Limited an die Muttergesellschaft Google LLC in den USA rechtlich absichert. Google LLC ist seit August 2023 nach diesem Rahmenwerk zertifiziert.

Die Rechtslage hat allerdings eine Vorgeschichte, die für die Bewertung wichtig ist. Die Vorgängerregelungen Safe Harbor und Privacy Shield wurden beide vom Europäischen Gerichtshof gekippt, zuletzt 2020 im sogenannten Schrems-II-Urteil. Das Data Privacy Framework wurde 2023 als Nachfolger eingeführt und im September 2025 vom Europäischen Gericht in einem ersten Verfahren bestätigt. Eine weitere Klage liegt derzeit beim Europäischen Gerichtshof, der höchsten Instanz. Solange keine neue Entscheidung vorliegt, bleibt das Data Privacy Framework die gültige Rechtsgrundlage, Shop-Betreiber sollten die Entwicklung aber im Blick behalten, weil sich die Lage erneut ändern kann.

Brauchen Sie einen Auftragsverarbeitungsvertrag mit Google?

Ja, ohne einen wirksamen Auftragsverarbeitungsvertrag ist der Einsatz von GA4 nicht DSGVO-konform. Google stellt diesen Vertrag als Google Ads Data Processing Terms direkt im Werbe- oder Analytics-Konto bereit, Sie müssen ihn dort aktiv akzeptieren. Ohne diese Zustimmung fehlt die vertragliche Grundlage dafür, dass Google in Ihrem Auftrag personenbezogene Daten verarbeiten darf.

Halten Sie den Abschluss dieses Vertrags schriftlich fest, etwa durch einen Screenshot der Bestätigung, damit Sie im Zweifel gegenüber einer Aufsichtsbehörde nachweisen können, wann und wie die Vereinbarung geschlossen wurde.

Was passiert bei einem Verstoß gegen die Tracking-Vorgaben?

Ein Verstoß gegen die Einwilligungspflicht kann zwei Konsequenzen auslösen: ein Bußgeldverfahren durch die zuständige Datenschutz-Aufsichtsbehörde nach Artikel 83 DSGVO oder eine wettbewerbsrechtliche Abmahnung durch Mitbewerber oder Verbraucherschutzverbände. Beide Wege sind in der Praxis bei GA4 ohne Einwilligung dokumentiert, die genaue Höhe eines Bußgelds hängt immer vom Einzelfall ab und lässt sich nicht pauschal beziffern.

Für den laufenden Betrieb ist das wichtigste Risiko meist nicht ein einzelnes Bußgeld, sondern die Häufung: Läuft GA4 dauerhaft ohne korrekte Einwilligung, potenziert sich das Risiko mit jedem Besucher, dessen Daten unrechtmäßig erhoben wurden.

Ein zweiter, oft unterschätzter Effekt betrifft die Datenqualität selbst. Fehlt die Einwilligung technisch korrekt, filtert Google die betroffenen Sitzungen nicht sauber heraus, sondern die Berichte in GA4 zeigen teils verzerrte oder unvollständige Zahlen. Sie riskieren damit nicht nur ein rechtliches Problem, sondern auch Entscheidungen auf Basis fehlerhafter Kennzahlen, etwa bei der Bewertung von Werbekampagnen im Shop.

Häufige Fragen zu Google Analytics und DSGVO

Reicht ein normaler Cookie-Banner ohne Consent Mode aus?

Nein, ein Cookie-Banner allein reicht keinesfalls aus, weil er die Einwilligung nur auf Ihrer eigenen Website einholt, sie aber nicht automatisch an Google weiterleitet. Ohne Consent Mode v2 kann GA4 die Einwilligungsinformation nicht auswerten und Google Ads reduziert ab dem 6. März 2024 die Funktionalität für Konten ohne diese Anbindung.

Was ist ga4 einwilligung technisch genau?

Ga4 einwilligung bezeichnet den Zustand, den Consent Mode v2 über die vier Parameter analytics_storage, ad_storage, ad_user_data und ad_personalization an Google überträgt. Erst wenn diese Parameter auf “granted” stehen, darf GA4 die entsprechenden Daten tatsächlich speichern und verarbeiten.

Muss ich Google Analytics deaktivieren, wenn kein Consent Mode möglich ist?

Ja, wenn Ihre Consent-Management-App Consent Mode v2 nicht unterstützt, sollten Sie GA4 deaktivieren oder auf eine kompatible App umsteigen, weil sonst entweder Tracking ohne Einwilligung läuft oder Ihre Messdaten durch fehlende Google-Modellierung stark lückenhaft werden.

Gilt die Einwilligungspflicht auch für kleine Shops mit wenig Traffic?

Ja, die Einwilligungspflicht nach Paragraf 25 TDDDG gilt unabhängig von der Shopgröße oder der Besucherzahl, denn sie knüpft am Zugriff auf das Endgerät des Nutzers an, nicht an ein Umsatz- oder Traffic-Kriterium.

Kann ich GA4 auch ohne Cookies DSGVO-konform betreiben?

Teilweise, cookie-freies Messen reduziert die Einwilligungsanforderungen für den reinen Speicherzugriff, ersetzt aber nicht die Informationspflicht und ist bei jeder Übertragung personenbezogener Daten in die USA weiterhin an das Data Privacy Framework gebunden.