Google Analytics gehört zu den bekanntesten und beliebtesten Analyse- und Statistiktools für Websites und Apps. Bei der Nutzung gibt es jedoch einige Einschränkungen, vor allem in technischer und rechtlicher Hinsicht. Viele Website-Betreiber fragen sich deshalb, ob sie Google Analytics ohne Einwilligung nutzen können. Denn jeder abgelehnte Cookie-Banner bedeutet einen Besucher, der aus den Berichten verschwindet.
In diesem Beitrag erklären wir, wie Google Analytics 4 funktioniert, warum das Standard-Setup eine Einwilligung erfordert, welche technischen Möglichkeiten es gibt und wie Google Analytics ohne Einwilligung in der Praxis aussieht.
- Im Standard-Setup lässt sich Google Analytics 4 nicht ohne Einwilligung nutzen: Es setzt Cookies und übermittelt IP-Adresse und User-Agent der Besucher an Google.
- Der Google Consent Mode v2 sendet im Advanced Mode cookielose Pings, die jedoch weiterhin direkt vom Browser an Google gehen.
- Server-side Tagging mit einem eigenen Client kann Cookies und personenbezogene Daten entfernen, bevor etwas bei Google ankommt.
- Eine Consent-Management-Plattform bleibt Pflicht, und die rechtliche Bewertung einwilligungsfreier Messung ist nicht einheitlich.
- In Kundenprojekten von DWC hat dieses Setup die Datenbasis um mindestens 30 % erhöht, in Einzelfällen um bis zu 80 %.
Kann man Google Analytics ohne Einwilligung nutzen?
Nicht im Standard-Setup. Google Analytics 4 speichert eine Client-ID in einem Cookie und übermittelt IP-Adresse und User-Agent der Besucher an Google. Damit ist nach DSGVO und § 25 TDDDG eine Einwilligung erforderlich. In reduzierter Form lassen sich Basisdaten jedoch auch ohne Einwilligung erheben: Ein Server-side-Tagging-Setup entfernt Cookies und personenbezogene Daten, bevor etwas bei Google ankommt.
Wichtig: „Ohne Einwilligung“ bedeutet nicht „ohne Cookie-Banner“. Sie benötigen weiterhin eine Consent-Management-Plattform (CMP), um Besucher um ihre Einwilligung zu bitten, deren Entscheidungen zu dokumentieren und den vollständigen Datensatz nur für Nutzer zu senden, die zugestimmt haben. Außerdem ist die rechtliche Bewertung einwilligungsfreier Messung nicht einheitlich. Darauf gehen wir im Abschnitt zu den rechtlichen Grenzen ein.
Wie funktioniert Google Analytics 4?
Um die Standard-Implementierung mit einer möglichen alternativen Implementierung für Google Analytics ohne Einwilligung vergleichen zu können, ist es wichtig zu verstehen, wie der Dienst funktioniert. Im Standard-Setup passieren bei jedem Seitenaufruf drei Dinge:
- Das Script wird von Google geladen. Zunächst wird das Google-Analytics-Script (das Google-Tag) vom Server von Google abgerufen. Auslöser kann ein <script>-Tag im Head der Website sein oder ein Tag-Management-System wie der Google Tag Manager.
- Tracking-Hits werden an Google gesendet. In einem zweiten Schritt sendet das Script sogenannte Tracking-Hits direkt aus dem Browser an Google (auch „Tracking Requests“ oder „Collects“ genannt). In GA4 ist jede Interaktion ein Event: ein Seitenaufruf, ein Scroll, ein Klick oder ein Kauf.
- Ein Cookie identifiziert den Nutzer. Die Hits enthalten die eigentlichen Tracking-Informationen, zum Beispiel die besuchte Seite, Geräte- und Browserinformationen (Bildschirmauflösung, Sprache usw.) sowie die Client-ID. Diese ID wird in einem First-Party-Cookie (_ga) gespeichert, damit Google Nutzer und Sitzungen wiedererkennen kann.
Warum Google Analytics im Standard eine Einwilligung braucht
Grob gesagt ergeben sich bei der Nutzung von Google Analytics zwei große datenschutzrechtliche Probleme, dazu ein drittes, weil die Daten die EU verlassen.
Personenbezogene Daten: IP-Adresse und User-Agent
Da das Google-Analytics-Script in der Regel von einem Google-Server abgerufen wird, landen IP-Adresse und User-Agent der Besucher zwangsläufig bei Google. Nach der DSGVO gilt eine IP-Adresse auch zu personenbezogenen Daten. Auch datenschutzfreundliche Einstellungen ändern daran nichts, denn die IP-Adresse wird beim Abruf des Tracking-Scripts und mit jedem Tracking-Request mitgesendet.
Die Einstellung „IP anonymisieren“ aus Universal Analytics gibt es in GA4 nicht mehr. Laut Google werden IP-Adressen in GA4 weder protokolliert noch gespeichert. Das passiert allerdings erst, nachdem die Anfrage die Google-Server erreicht hat. Die Übertragung selbst lässt sich im Standard-Setup nicht verhindern.
Datenübermittlung in die USA
Mit dem Schrems-II-Urteil von 2020 wurde die Übermittlung personenbezogener Daten in die USA zu einem besonderen Problem, da das Land als unsicheres Drittland galt. 2022 stuften mehrere europäische Aufsichtsbehörden, darunter die aus Österreich und Frankreich, die Nutzung von Google Analytics aus diesem Grund als rechtswidrig ein.
Seit Juli 2023 erlaubt das EU-US Data Privacy Framework (DPF) wieder Übermittlungen an zertifizierte US-Unternehmen. Im September 2025 wies das Gericht der Europäischen Union eine Klage gegen das Abkommen ab (Latombe/Kommission, T-553/23). Ein Rechtsmittel ist beim Gerichtshof anhängig (C-703/25 P), also bei dem Gericht, das beide Vorgängerabkommen gekippt hat. Übermittlungen sind derzeit zulässig, die Rechtsgrundlage bleibt aber fragil.
Cookies und Profilbildung
Damit Google Nutzer und Sitzungen wiedererkennen kann, wird beim Abruf des Google-Analytics-Scripts ein Cookie mit einer Client-ID im Browser gesetzt. Mithilfe dieses Cookies lassen sich Nutzer über verschiedene Sitzungen und Zeiträume hinweg zuordnen. Verschiedene Aufsichtsbehörden haben die Google-Analytics-Cookies bereits vor Jahren als einwilligungspflichtig eingestuft.
In Deutschland verlangt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG) eine Einwilligung für das Speichern oder Auslesen jeglicher Informationen auf dem Endgerät, sofern dies nicht für einen vom Nutzer gewünschten Dienst unbedingt erforderlich ist. Das gilt unabhängig davon, ob die Informationen personenbezogen sind. Website-Betreiber können die Client-ID deshalb auch nicht einfach in einen anderen Speicher verlagern, etwa in den Local Storage oder Session Storage.
Das Ergebnis: Ein großer Teil der mit Google Analytics erhobenen Informationen ist nicht personenbezogen und könnte daher theoretisch ohne Einwilligung verarbeitet werden. Da im Standard-Setup jedoch zwangsläufig Browser-Metadaten (IP-Adresse und User-Agent) übertragen werden und ein Cookie gesetzt wird, ist eine Nutzung ohne Einwilligung nicht möglich. Das gilt auch für das Speichern von Informationen auf dem Smartphone bei der Nutzung einer mobilen App.
Option 1: Google Consent Mode v2
Der Google Consent Mode gibt den Einwilligungsstatus der Besucher von Ihrer CMP an alle Google-Tags weiter, die ihr Verhalten daraufhin anpassen. Seit März 2024 ist der Consent Mode v2 für Werbetreibende Pflicht, die Googles Mess- und Personalisierungsfunktionen für Nutzer im EWR verwenden möchten. Es gibt ihn in zwei Varianten:
| Basic Mode | Advanced Mode | |
|---|---|---|
| Google-Tags vor der Consent-Entscheidung | Blockiert | Geladen, Einwilligung standardmäßig abgelehnt |
| Daten ohne Einwilligung | Keine | Cookielose Pings |
| Verhaltensmodellierung in GA4 | Nicht verfügbar | Verfügbar, wenn Schwellenwerte erreicht werden |
Was cookielose Pings enthalten
Lehnt ein Besucher ab, setzt der Advanced Mode keine Cookies. Stattdessen senden die Tags Pings mit Zeitstempel, User-Agent, Referrer, Einwilligungsstatus, einer Zufallszahl pro Seitenaufruf und, falls vorhanden, einer Anzeigen-Klick-ID wie der GCLID. Eine Client-ID gibt es nicht, deshalb kann GA4 einen Seitenaufruf nicht mit dem nächsten verknüpfen.
Wie GA4 diese Pings nutzt
GA4 verwendet die Pings für die Verhaltensmodellierung (Behavioral Modeling): Machine Learning schätzt, was Nutzer ohne Einwilligung getan haben, basierend auf dem Verhalten ähnlicher Nutzer, die eingewilligt haben. Eine Property ist nur berechtigt, wenn:
- der Consent Mode auf allen Seiten im Advanced Mode läuft
- sie mindestens 7 Tage lang mindestens 1.000 Events pro Tag mit analytics_storage=’denied‘ erfasst
- an mindestens 7 der letzten 28 Tage mindestens 1.000 Nutzer pro Tag Events mit analytics_storage=’granted‘ senden
Viele kleine und mittelgroße Websites erreichen diese Schwellenwerte nie. Außerdem sind modellierte Daten eine Schätzung, keine Beobachtung.
Warum der Consent Mode allein nicht ausreicht
Cookielose Pings werden weiterhin direkt vom Browser an Google gesendet, zusammen mit IP-Adresse und User-Agent der Besucher. Der Advanced Mode allein löst das oben beschriebene Problem also nicht. Dazu braucht es einen Server zwischen Browser und Google. Einen ausführlichen Vergleich von Basic und Advanced Mode und wie sich beide mit Server-side Tracking kombinieren lassen, finden Sie in unserem Leitfaden zu datenschutzkonformem Tracking ohne Einwilligung.
Option 2: Server-side Tagging
Um Google Analytics ohne Einwilligung nutzen zu können, sind zwei Anpassungen an der Standardkonfiguration nötig. Zum einen darf der Dienst keine Cookies oder vergleichbaren Informationen auf dem Endgerät speichern. Zum anderen müssen alle personenbezogenen Daten aus dem Tracking-Hit entfernt werden, bevor er Google erreicht.
Die Lösung ist ein Server-Tag-Manager. Statt die Daten direkt vom Browser an Google zu senden, schickt der Browser sie nur an Ihren eigenen Server. Dieser Server baut seinerseits die Verbindung zu den Google-Analytics-Servern auf und übermittelt nur Informationen, die keinen Personenbezug haben. Sensible Daten wie die IP-Adresse oder der User-Agent bleiben auf Ihrem Server. Es werden weder ein Cookie noch eine Client-ID verwendet. In Google Analytics kommen die Basisinformationen (welche Seite wann und mit welchem Gerätetyp aufgerufen wurde) weiterhin an, Google kann aber nicht mehr erkennen, wer die Anfrage ausgelöst hat. Wenn dieses Konzept für Sie neu ist, starten Sie mit unserer Erklärung, was Server-side Tracking ist.
Der Tagging-Server
Es gibt verschiedene Möglichkeiten, einen Tagging-Server aufzusetzen. Unsere Empfehlung, gerade für Google-Produkte wie Analytics, ist der Server-Container des Google Tag Managers. Wie der bekannte Web-Container ist er für alle Google-Nutzer kostenlos. Ein Google-Analytics-360-Abo ist nicht erforderlich.
Im Server-Container müssen sogenannte Clients angelegt werden. Clients sind die Endpunkte, die eingehende Analytics-Daten empfangen, verarbeiten und an die Google-Server weiterleiten. Google bietet eigene Client-Vorlagen für Analytics und Ads an, diese eignen sich jedoch nicht für den Betrieb von Google Analytics ohne Einwilligung. Stattdessen muss eine eigene Client-Vorlage entwickelt werden, die die Daten entsprechend empfängt und bereinigt. Das ist nicht trivial: Es erfordert fundiertes Wissen darüber, wie Google Analytics technisch funktioniert, sowie solide JavaScript-Kenntnisse. Mehr zum Setup lesen Sie in unserem Leitfaden zu Server-side Tagging mit dem Google Tag Manager.
Hosting und Kosten
Der Server-Container benötigt eine eigene Infrastruktur, in der Regel Google Cloud Run oder einen spezialisierten Hosting-Anbieter. Idealerweise läuft er auf einer Subdomain Ihrer Website (zum Beispiel data.ihredomain.de) mit Servern in der EU. Die laufenden Kosten hängen vor allem vom Traffic-Volumen ab. Wir schätzen sie individuell im Rahmen eines Server-side-Tracking-Projekts.
Weniger anfällig für Browser-Tracking-Prevention
Die meisten Browser nutzen heute standardmäßig Tracking-Schutz, etwa die Intelligent Tracking Prevention (ITP) von Safari oder den Verbesserten Schutz vor Aktivitätenverfolgung (ETP) von Firefox. Sie verkürzen die Lebensdauer von Cookies oder unterbrechen den Datenfluss zu bekannten Tracker-Domains. Da alle Daten über einen Tagging-Server auf Ihrer eigenen Domain laufen, ist Server-side Tagging von diesen Mechanismen deutlich weniger betroffen.
Dabei geht es um technische Datenqualität, nicht um die Entscheidung der Besucher. Ob ein Nutzer eingewilligt hat, bestimmt weiterhin, welche Daten an Google gehen.
Google Analytics ohne Einwilligung in der Praxis: das DWC-Setup
Unseren Kunden empfehlen wir folgendes Setup: Ein Server-Container des Google Tag Managers empfängt alle Daten, unabhängig davon, ob die Nutzer eingewilligt haben oder nicht. Eine Google-zertifizierte CMP erfasst die Entscheidung jedes Besuchers, und der Consent Mode gibt sie mit jeder Anfrage weiter. Je nach Einwilligung werden entweder nur die sogenannten Basisdaten (nicht personenbezogen) oder der vollständige Datensatz (personenbezogen) an Google übermittelt.
Da die Daten in beiden Fällen parametrisiert sind, können Sie später in Google Analytics entweder die Gesamtdatenmenge oder nur die Daten der Nutzer mit bzw. ohne Einwilligung auswerten.
Die Ergebnisse: In den meisten Fällen konnte DWC die Datenbasis der Kunden um mindestens 30 % erhöhen. In Einzelfällen wurde sogar ein Plus von bis zu 80 % erreicht. Gründe dafür sind nicht nur die Erhebung von Basisdaten ohne Einwilligung, sondern auch der geringere Einfluss von Browser-Tracking-Prevention dank des eigenen Servers. Wie viel Sie zurückgewinnen, hängt von Ihrer Einwilligungsrate, den Browsern Ihrer Besucher und dem Anteil an Adblockern ab.
Rechtliche Grenzen und Risiken
Server-side Tagging reduziert die Daten, die bei Google ankommen. Es macht eine Einwilligung aber nicht automatisch überflüssig. Drei Punkte sind weiterhin umstritten:
- § 25 TDDDG: Die Vorschrift erfasst jedes Speichern von oder jeden Zugriff auf Informationen im Endgerät, egal ob personenbezogen oder nicht. Deutsche Aufsichtsbehörden legen sie weit aus. Ob schon die Anfrage vom Browser an Ihren eigenen Server als Zugriff auf Endgeräteinformationen gilt, ist umstritten.
- Ihr eigener Server verarbeitet personenbezogene Daten: Die IP-Adresse erreicht weiterhin Ihren Tagging-Server. Dafür brauchen Sie eine Rechtsgrundlage, in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, gestützt auf eine dokumentierte Interessenabwägung.
- Advanced Consent Mode ohne Server: Cookielose Pings, die direkt an Google gehen, enthalten die IP-Adresse. Für sich allein lässt sich der Advanced Mode ohne Einwilligung kaum rechtfertigen.
Bevor Sie Google Analytics ohne Einwilligung live schalten, sollten Sie Folgendes sicherstellen:
- eine Google-zertifizierte CMP, die jede Einwilligung und Ablehnung dokumentiert
- eine Datenschutzerklärung, die die serverseitige Verarbeitung und die an Google gesendeten Basisdaten beschreibt
- Auftragsverarbeitungsverträge mit Google und Ihrem Hosting-Anbieter
- Server mit Standort in der EU
- eine dokumentierte Interessenabwägung zum berechtigten Interesse, geprüft von Ihrem Datenschutzbeauftragten
- regelmäßige Prüfungen Ihres Setups, zum Beispiel mit unserem kostenlosen Consent Mode Decoder
Fazit: Google Analytics ohne Einwilligung braucht das richtige Setup
Google Analytics ohne Einwilligung ist möglich, aber nicht ab Werk. Das Standard-Setup setzt Cookies und sendet IP-Adresse und User-Agent an Google, deshalb ist eine Einwilligung nötig. Daran ändert auch der Consent Mode v2 allein nichts.
Ein serverseitiges Setup mit eigenem Client sendet für Nutzer, die ablehnen, nicht personenbezogene Basisdaten an GA4 und für Nutzer, die einwilligen, den vollständigen Datensatz. In unseren Projekten hat das die Datenbasis um 30 bis 80 % erhöht. Da die rechtliche Bewertung nicht einheitlich ist, sollte das Setup sorgfältig dokumentiert und mit Ihrem Datenschutzbeauftragten abgestimmt werden.
Zögern Sie nicht, ein unverbindliches Erstgespräch mit uns zu vereinbaren. Wir prüfen Ihre aktuelle Webanalyse- und Online-Marketing-Konfiguration kostenfrei und optimieren Ihre Google-Analytics-Einstellungen.
Kostenloses Erstgespräch vereinbaren oder kostenlosen Website Check anfordern
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.
FAQ zu GA4 ohne Einwilligung
Kann ich Google Analytics ohne Cookie-Banner nutzen?
Nein. Auch wenn Sie Basisdaten ohne Einwilligung erheben, brauchen Sie weiterhin eine Consent-Management-Plattform. Sie holt die Einwilligung für das vollständige Tracking ein und dokumentiert jede Entscheidung.
Ist Google Analytics (GA4) DSGVO-konform?
GA4 lässt sich DSGVO-konform nutzen, wenn Sie eine Einwilligung einholen, die Datenverarbeitungsbedingungen von Google abschließen und den Consent Mode korrekt implementieren. Ohne Einwilligung ist die Nutzung nur in einem reduzierten serverseitigen Setup möglich, das Cookies und personenbezogene Daten entfernt.
Ersetzt Server-side Tagging die Einwilligung?
Nein. Server-side Tagging steuert, welche Daten bei Google ankommen. Ob der vollständige Datensatz inklusive Cookies und Client-ID erhoben werden darf, entscheidet weiterhin die Einwilligung.
Macht IP-Anonymisierung GA4 einwilligungsfrei?
Nein. GA4 speichert keine IP-Adressen, die IP-Adresse wird aber trotzdem mit jeder Anfrage an Google übertragen, und das Standard-Setup setzt weiterhin Cookies.
Wie viele Daten kann ich mit Google Analytics ohne Einwilligung zurückgewinnen?
In Kundenprojekten von DWC ist die Datenbasis um mindestens 30 % gewachsen, in Einzelfällen um bis zu 80 %. Der genaue Wert hängt von Ihrer Einwilligungsrate, den Browsern Ihrer Besucher und dem Anteil an Adblockern ab.