Google Analytics 4 · DSGVO · Consent · Österreich
Google Analytics & Datenschutz in Österreich
Google Analytics 4 kann Unternehmen wertvolle Informationen
über die Nutzung ihrer Website liefern.
Datenschutzrechtlich reicht es jedoch nicht,
einfach einen Tracking-Code einzubauen und einen Standardtext
in die Datenschutzerklärung zu kopieren.
Dr. Thomas Ollinger prüft als zertifizierter Datenschutzbeauftragter
die tatsächliche technische Umsetzung, Consent-Konfiguration und Datenflüsse.
Rechtsanwältin Dr. Nina Ollinger, LL.M.
ergänzt die rechtliche Bewertung nach DSGVO und österreichischem Telekommunikationsrecht.
- GA4 · Consent Mode · § 165 TKG 2021
- technische und rechtliche Prüfung gemeinsam
- Cookies · Datenflüsse · Drittlandtransfer · Information
Kurzantwort
Ist Google Analytics in Österreich datenschutzkonform einsetzbar?
Das lässt sich nicht allein anhand des Produktnamens beantworten.
Entscheidend ist die konkrete Implementierung:
Welche Google-Analytics-Funktionen sind aktiviert?
Wann wird das Tag geladen?
Welche Daten werden übertragen?
Wie wird eine erforderliche Einwilligung eingeholt?
Welche Empfänger und Datenübermittlungen bestehen?
Für nicht unbedingt erforderliche Speicherungen
oder Zugriffe auf Informationen im Endgerät
verlangt § 165 Abs. 3 TKG 2021 grundsätzlich eine vorherige aktive Einwilligung.
Zusätzlich müssen die Anforderungen der DSGVO –
insbesondere Rechtsgrundlage, Transparenz,
Auftragsverarbeitung, Datensicherheit und mögliche Drittlandübermittlungen –
zur tatsächlichen GA4-Konfiguration passen.
Das Wichtigste in sechs Punkten
Google Analytics & Datenschutz auf einen Blick
- Google Analytics 4 sollte nicht ungeprüft vor einer erforderlichen Einwilligung aktiviert werden.
- § 165 Abs. 3 TKG 2021 verlangt für nicht unbedingt erforderliche Endgerätezugriffe grundsätzlich aktive Einwilligung.
- Google Consent Mode ersetzt kein Consent-Banner und keine rechtliche Prüfung.
- GA4 protokolliert oder speichert nach Angaben von Google keine einzelnen IP-Adressen.
- Auftragsverarbeitung und mögliche internationale Datenübermittlungen müssen separat eingeordnet werden.
- Consent-Banner, GA4-Konfiguration und Datenschutzerklärung müssen dieselbe technische Realität abbilden.
§ 165 Abs. 3 TKG 2021
Braucht Google Analytics in Österreich eine Einwilligung?
Für österreichische Websites ist neben der DSGVO
insbesondere § 165 Abs. 3 Telekommunikationsgesetz 2021 relevant.
Danach ist eine Ermittlung von Informationen aus dem Endgerät
grundsätzlich nur zulässig,
wenn der Nutzer aktiv und auf Grundlage klarer und umfassender Informationen
eingewilligt hat.
Ausgenommen sind insbesondere technisch unbedingt erforderliche Vorgänge,
die für einen ausdrücklich gewünschten Dienst notwendig sind.
Die österreichische Datenschutzbehörde
hat die Ausnahme für unbedingt erforderliche Technologien
restriktiv ausgelegt.
Reine Analyse- und Marketingfunktionen
sollten daher nicht allein deshalb als „notwendig“ behandelt werden,
weil sie für den Websitebetreiber wirtschaftlich nützlich sind.
Für klassische GA4-Nutzungsmessung mit analysebezogenen Speicherungen
ist eine vorherige Consent-Steuerung in der Regel der zentrale Ausgangspunkt.
Die konkrete technische Implementierung sollte dennoch geprüft werden.
Consent-Banner
Wie sollte Google Analytics mit einem Consent-Banner verbunden sein?
Ein Consent-Banner ist nur dann wirksam,
wenn die technische Umsetzung die Auswahl der Nutzer tatsächlich respektiert.
Kein vorzeitiges Tracking
Analysefunktionen sollten nicht bereits vollständig starten,
bevor eine dafür erforderliche Einwilligung erteilt wurde.
Aktive Auswahl
Einwilligung muss aktiv erfolgen
und darf nicht durch vorangekreuzte Optionen fingiert werden.
Widerruf ermöglichen
Nutzer sollten ihre Einwilligung
ebenso einfach wieder ändern oder widerrufen können.
Banner und Tag abstimmen
Consent Management Platform,
Google Tag Manager und GA4
müssen technisch aufeinander abgestimmt sein.
Google Consent Mode
Was ist der Google Consent Mode?
Der Google Consent Mode übermittelt
den Einwilligungsstatus von Website-Nutzern an Google-Tags.
Google unterscheidet dabei unter anderem
zwischen analytics_storage,
ad_storage,
ad_user_data und
ad_personalization.
Wichtig:
Consent Mode ist selbst kein Einwilligungsbanner.
Er verarbeitet die Entscheidung,
die über ein Consent-Banner oder eine Consent Management Platform getroffen wurde,
und passt das Verhalten der Google-Tags daran an.
- analytics_storage: analysebezogene Speicherung wie Analytics-Cookies
- ad_storage: werbebezogene Cookies und Speicherungen
- ad_user_data: Einwilligungsstatus für das Senden werbebezogener Nutzerdaten an Google
- ad_personalization: Einwilligungsstatus für personalisierte Werbung
Basic vs. Advanced Consent Mode
Was ist der Unterschied zwischen einfachem und erweitertem Consent Mode?
Google unterscheidet aktuell
zwischen einer einfachen und einer erweiterten Implementierung.
Einfacher Consent Mode
Google-Tags werden zunächst blockiert
und erst nach einer entsprechenden Einwilligung geladen.
Vor der Nutzerinteraktion werden nach Google-Angaben
keine Daten an Google übertragen.
Erweiterter Consent Mode
Google-Tags können bereits vor Einwilligung geladen werden
und bei verweigerter Speicherung sogenannte cookieless pings senden.
Modellierung
Google kann Signale aus dem Consent Mode
unter bestimmten Voraussetzungen
für modellierte Messwerte verwenden.
Rechtliche Bewertung
„Ohne Cookie“ bedeutet nicht automatisch „ohne Datenschutzbezug“.
Auch cookieless pings müssen technisch und rechtlich eingeordnet werden.
Google weist selbst darauf hin,
dass cookieless pings bei verweigertem
analytics_storagetechnische Informationen enthalten können.
Daher sollte nicht allein aus der Bezeichnung „cookieless“
auf Einwilligungsfreiheit geschlossen werden.
Google Analytics 4
Welche Datenschutz-Einstellungen bietet GA4?
GA4 bietet mehrere Einstellungen,
mit denen Unternehmen Datenerhebung und weitere Nutzung begrenzen können.
Diese sollten bewusst konfiguriert werden.
Datenaufbewahrung
Für bestimmte nutzer- und ereignisbezogene Daten
kann die Aufbewahrungsdauer in GA4 festgelegt werden.
Werbefunktionen
Funktionen für Werbung,
Personalisierung und Datenfreigabe
sollten nur aktiviert werden,
wenn Zweck und Rechtsgrundlage geklärt sind.
Google Signals
Zusätzliche Google-Signale
und werbebezogene Funktionen
sollten gesondert geprüft und bewusst gesteuert werden.
Unzulässige Daten vermeiden
Personenbezogene Klarinformationen
wie E-Mail-Adressen oder Namen
sollten nicht unbeabsichtigt über URLs, Events
oder benutzerdefinierte Parameter an Analytics gesendet werden.
IP-Adressen
Speichert Google Analytics 4 IP-Adressen?
Nach den aktuellen Angaben von Google
werden einzelne IP-Adressen in Google Analytics 4
nicht protokolliert oder gespeichert.
Für Nutzer in der EU, der Schweiz und dem Vereinigten Königreich
erklärt Google außerdem,
dass IP-Adressen vor der Protokollierung
über entsprechende Domains und Server verworfen werden.
Deshalb muss in GA4
nicht mehr dieselbe manuelle IP-Anonymisierungsfunktion
eingerichtet werden,
die bei älteren Analytics-Versionen relevant war.
Das bedeutet jedoch nicht,
dass damit sämtliche Datenschutzfragen erledigt sind.
Auch andere Online-Kennungen,
Geräteinformationen, Events,
URLs und Nutzungsdaten
können datenschutzrechtlich relevant sein.
Datenminimierung
Wie lässt sich GA4 datenschutzfreundlicher konfigurieren?
Datenschutzfreundliche Konfiguration bedeutet,
nur jene Funktionen und Daten zu verwenden,
die für den tatsächlichen Analysezweck erforderlich sind.
Nur benötigte Events
Nicht jede denkbare Nutzerinteraktion
muss dauerhaft erfasst werden.
Keine PII in URLs
Formulare und Seitenparameter
sollten keine Namen, E-Mail-Adressen
oder andere direkt identifizierende Daten in Analytics übertragen.
Aufbewahrung begrenzen
Daten sollten nicht länger gespeichert werden,
als es für den definierten Analysezweck erforderlich ist.
Werbefunktionen bewusst wählen
Analytics-Messung und Werbeaktivierung
sollten nicht ungeprüft miteinander verbunden werden.
Auftragsverarbeitung
Braucht man für Google Analytics einen Auftragsverarbeitungsvertrag?
Bei Google Analytics sind die datenschutzrechtlichen Vertragsbedingungen
und die konkrete Rollenverteilung zu prüfen.
Google stellt für Analytics
Datenverarbeitungsbedingungen bereit,
die in die jeweilige Vertragsbeziehung einbezogen werden.
Unternehmen sollten nicht nur prüfen,
ob entsprechende Bedingungen akzeptiert wurden,
sondern auch,
welche Analytics- und Werbefunktionen tatsächlich aktiviert sind
und ob dadurch zusätzliche Rollen oder Datenverwendungen entstehen.
- aktuelle Google-Datenverarbeitungsbedingungen prüfen
- Account und Property korrekt zuordnen
- Werbefunktionen separat bewerten
- weitere Google-Dienste und Verknüpfungen berücksichtigen
- internen Dienstleister- und Vertragsnachweis aktuell halten
USA und internationale Datenübermittlung
Was gilt heute bei Datenübermittlungen in die USA?
Die österreichische Datenschutzbehörde
beurteilte in einem älteren Google-Analytics-Verfahren
eine konkrete Datenübermittlung in die USA
nach der damaligen Rechtslage als unzulässig.
Dieses Verfahren betraf eine frühere technische und rechtliche Situation.
Seit Juli 2023 besteht mit dem
EU-US Data Privacy Framework
wieder ein Angemessenheitsbeschluss der Europäischen Kommission
für zertifizierte US-Unternehmen.
Ob und in welchem Umfang eine konkrete Datenübermittlung darauf gestützt werden kann,
hängt davon ab,
welcher Empfänger beteiligt ist
und ob die Voraussetzungen des Angemessenheitsbeschlusses erfüllt sind.
Für Empfänger oder Übermittlungen,
die nicht von einem einschlägigen Angemessenheitsbeschluss erfasst sind,
können weiterhin andere Übermittlungsinstrumente
wie Standardvertragsklauseln
und gegebenenfalls zusätzliche Prüfungen erforderlich sein.
Weder die alte Google-Analytics-Entscheidung
noch ein heutiger Angemessenheitsbeschluss
ersetzt die Prüfung der konkreten GA4-Konfiguration,
Empfänger und Datenströme.
Historische DSB-Entscheidung
Was bedeutet die österreichische Google-Analytics-Entscheidung von 2021?
Die Entscheidung wird häufig verkürzt
als allgemeines „Google-Analytics-Verbot“ dargestellt.
Das greift zu kurz.
Die Datenschutzbehörde beurteilte damals
eine konkrete Google-Analytics-Nutzung
hinsichtlich der internationalen Datenübermittlung
unter der damaligen Rechtslage.
Im Mittelpunkt standen Kapitel V DSGVO
und das damalige Schutzniveau für die Übermittlung an Google LLC in den USA.
Andere Fragen –
etwa die Rechtsgrundlage nach Art. 6 DSGVO –
waren laut Datenschutzbericht
nicht Gegenstand dieses konkreten Beschwerdeverfahrens.
Für heutige Websites ist deshalb
die aktuelle GA4-Technik,
die konkrete Consent-Implementierung,
die aktuelle Vertragslage
und der heutige Rechtsrahmen
gemeinsam zu beurteilen.
Informationspflicht
Was muss zur Nutzung von Google Analytics in der Datenschutzerklärung stehen?
Die Datenschutzerklärung sollte die tatsächliche GA4-Nutzung
transparent beschreiben.
Ein Standardbaustein ist nur dann brauchbar,
wenn er mit der realen technischen Konfiguration übereinstimmt.
Insbesondere sollten Zweck,
Rechtsgrundlage, Empfänger,
eingesetzte Speicher- und Trackingmechanismen,
Speicherdauer beziehungsweise Kriterien dafür
sowie mögliche internationale Datenübermittlungen
nachvollziehbar dargestellt werden.
Wird Google Analytics ausschließlich nach Einwilligung aktiviert,
sollte auch der Widerruf beziehungsweise
die Änderung der Consent-Einstellung praktisch möglich sein.
Tag Manager
Welche Rolle spielt der Google Tag Manager?
Der Google Tag Manager wird häufig verwendet,
um Analytics- und Marketing-Tags zentral zu verwalten.
Dadurch wird die Consent-Konfiguration flexibler,
aber auch technisch komplexer.
Entscheidend ist,
welche Tags der Tag Manager tatsächlich auslöst
und unter welchen Consent-Bedingungen.
Ein korrekt aussehendes Banner genügt nicht,
wenn Tags im Hintergrund trotzdem zu früh starten.
- Default-Consent korrekt setzen
- Trigger und Consent-Anforderungen prüfen
- GA4- und Werbetags unterscheiden
- Vorschau- und Debug-Modus verwenden
- Netzwerkaufrufe technisch kontrollieren
- Änderungen dokumentieren
Google Ads und Werbefunktionen
Warum ist GA4 mit Google Ads datenschutzrechtlich anspruchsvoller?
Wird Google Analytics mit Werbeprodukten verknüpft,
können zusätzliche Verarbeitungszwecke
und Consent-Signale relevant werden.
Werbeaktivierung
Analyse und reine Reichweitenmessung
sind von personalisierter Werbung
und Zielgruppenaktivierung zu unterscheiden.
ad_storage
Steuert im Consent Mode
werbebezogene Speicherung und Zugriffe.
ad_user_data
Steuert die Einwilligung
für das Senden werbebezogener Nutzerdaten an Google.
ad_personalization
Steuert die Einwilligung
für personalisierte Werbung.
Google hat die Steuerung bestimmter Werbe- und Signals-Funktionen
weiter in Richtung Consent Mode verlagert.
Bestehende GA4- und Google-Ads-Verknüpfungen sollten daher
nicht nur einmal eingerichtet,
sondern regelmäßig überprüft werden.
Prüfung
Wie prüfen wir Google Analytics datenschutzrechtlich?
Eine belastbare Prüfung verbindet
Browsertechnik, GA4-Konfiguration,
Consent Management und rechtliche Dokumentation.
Technik prüfen
Welche Tags,
Cookies und Netzwerkaufrufe
werden vor und nach Consent tatsächlich ausgelöst?
GA4 konfigurieren
Datenaufbewahrung,
Werbefunktionen,
Consent-Signale und Datenminimierung überprüfen.
Recht und Texte abstimmen
Rechtsgrundlage,
Verträge, Drittlandtransfer
und Datenschutzerklärung zur tatsächlichen Technik passend gestalten.
Typische Fehler
Was läuft bei Google Analytics häufig schief?
Viele Probleme entstehen
durch die Lücke zwischen Consent-Banner,
Tag-Konfiguration und Datenschutzerklärung.
GA4 startet vor Consent
Das Banner erscheint,
Analytics sendet aber bereits vorher Daten.
Consent Mode falsch interpretiert
„Denied“ oder „cookieless“
wird automatisch mit vollständiger Einwilligungsfreiheit gleichgesetzt.
Werbefunktionen ungeprüft
Google Ads,
Signals oder Personalisierung
laufen zusätzlich zur eigentlichen Webanalyse.
PII wird übertragen
E-Mail-Adressen,
Namen oder Kundennummern
landen über URLs oder Events unbeabsichtigt in Analytics.
Datenschutzerklärung veraltet
Der Text beschreibt eine frühere Analytics-Konfiguration
und nicht den aktuellen Einsatz.
Drittlandfrage pauschal behandelt
Die konkrete Empfänger-
und Transferstruktur wird nicht mehr geprüft.
Technik, Datenschutz und Recht
Google Analytics mit Dr. Thomas und Dr. Nina Ollinger prüfen
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater.
Er prüft den tatsächlichen Einsatz von Google Analytics,
Consent-Strukturen und die Einbindung in die Datenschutzorganisation.
Rechtsanwältin Dr. Nina Ollinger, LL.M.
ergänzt die rechtliche Bewertung
von Rechtsgrundlagen, Informationspflichten,
Vertragsfragen und internationalen Datenübermittlungen.
Gerade bei Tracking-Technologien ist diese Kombination wichtig:
Ein rechtlich guter Text hilft nicht,
wenn die Website technisch etwas anderes macht –
und eine saubere technische Konfiguration
ersetzt keine rechtliche Einordnung.
Tags, Consent und tatsächliche Datenflüsse
GA4 passend zu Zweck und Unternehmen konfigurieren
TKG, DSGVO, Verträge und Datenübermittlung
Beratung für Unternehmen und Websitebetreiber
Passende Vertiefung
Weitere Themen rund um Website-Datenschutz
Tracking transparent beschreiben
Informationspflichten
an die tatsächliche Website-Technik anpassen.
Website und Tracking prüfen
Consent-Banner,
Tags, Datenflüsse und Dokumentation gemeinsam analysieren.
Digitale Tools einordnen
Datenschutzrecht,
Technik und Unternehmenspraxis verbinden.
Google und weitere Anbieter einbinden
Rollen,
Verträge und internationale Datenflüsse prüfen.
Webanalyse dokumentieren
Verarbeitungstätigkeiten,
Empfänger und Consent-Prozesse nachvollziehbar erfassen.
Tracking angemessen einsetzen
Datenschutzfreundliche
und pragmatische Lösungen für kleinere Unternehmen.
Häufige Fragen
FAQ zu Google Analytics und Datenschutz
Ist Google Analytics in Österreich erlaubt?
Eine pauschale Antwort allein anhand des Produktnamens ist nicht sinnvoll.
Entscheidend sind die konkrete GA4-Konfiguration,
Consent-Steuerung, Rechtsgrundlage,
Vertragsbeziehung, Informationspflichten
und gegebenenfalls internationale Datenübermittlungen.
Braucht Google Analytics eine Einwilligung?
Für nicht unbedingt erforderliche Speicherungen
oder Zugriffe auf Informationen im Endgerät
verlangt § 165 Abs. 3 TKG 2021 grundsätzlich
eine vorherige aktive Einwilligung.
Die konkrete GA4-Implementierung sollte technisch geprüft werden.
Reicht der Google Consent Mode ohne Cookie-Banner?
Nein. Google beschreibt Consent Mode ausdrücklich
als technische Verarbeitung des Einwilligungsstatus.
Er stellt selbst kein Consent-Banner bereit
und ersetzt keine erforderliche Einwilligung.
Was ist Advanced Consent Mode?
Beim erweiterten Consent Mode
können Google-Tags bereits vor Einwilligung geladen werden
und bei verweigerter Speicherung sogenannte cookieless pings senden.
Diese Konfiguration sollte daher gesondert technisch
und rechtlich bewertet werden.
Speichert GA4 IP-Adressen?
Nach aktuellen Angaben von Google
werden einzelne IP-Adressen in Google Analytics 4
nicht protokolliert oder gespeichert.
Andere Online-Kennungen und Nutzungsdaten
können dennoch datenschutzrechtlich relevant sein.
Muss man in GA4 IP-Anonymisierung aktivieren?
Nach Angaben von Google
ist die frühere manuelle IP-Maskierung bei GA4 nicht erforderlich,
weil einzelne IP-Adressen dort nicht protokolliert oder gespeichert werden.
Ist Google Analytics wegen der österreichischen DSB-Entscheidung verboten?
Nein, aus der damaligen Entscheidung
sollte kein pauschales Produktverbot abgeleitet werden.
Die Datenschutzbehörde beurteilte eine konkrete frühere Konfiguration
und Datenübermittlung unter der damaligen Rechtslage.
Heutige GA4-Implementierungen müssen anhand der aktuellen Technik
und Rechtslage neu bewertet werden.
Was hat sich beim EU-US-Datentransfer geändert?
Seit Juli 2023 besteht ein Angemessenheitsbeschluss
der Europäischen Kommission zum EU-US Data Privacy Framework
für entsprechend zertifizierte US-Unternehmen.
Ob er eine konkrete Übermittlung trägt,
hängt vom jeweiligen Empfänger und der konkreten Verarbeitung ab.
Muss Google Analytics in der Datenschutzerklärung stehen?
Wenn Google Analytics eingesetzt wird
und personenbezogene Daten verarbeitet werden,
muss die Nutzung in den einschlägigen Datenschutzinformationen
transparent abgebildet werden.
Reicht eine Datenschutzerklärung ohne Consent-Banner?
Nein, wenn für die konkrete Technologie
eine vorherige Einwilligung erforderlich ist.
Eine Datenschutzerklärung informiert,
ersetzt aber keine Einwilligung.
Kann man Google Analytics über den Tag Manager datenschutzkonform steuern?
Der Tag Manager kann Teil einer sauberen Consent-Architektur sein.
Entscheidend ist aber,
dass Trigger, Consent-Status und tatsächliche Netzwerkaufrufe
korrekt konfiguriert und getestet werden.
Wer prüft Google Analytics bei den Datenschutzprofis?
Dr. Thomas Ollinger prüft als zertifizierter Datenschutzbeauftragter
die technische und organisatorische Datenschutzumsetzung.
Rechtsanwältin Dr. Nina Ollinger, LL.M.
ergänzt die rechtliche Bewertung.
Offizielle Quellen
Google Analytics, Consent und österreichisches Datenschutzrecht
Für die österreichische Cookie- und Endgeräte-Regelung ist insbesondere
§ 165 TKG 2021
relevant.
Google erläutert die aktuelle Funktionsweise des
Consent Mode
und seine
Datenschutzeinstellungen in Google Analytics
.
Die Europäische Kommission veröffentlicht Informationen
zum
EU-US Data Privacy Framework
.
Die frühere österreichische Google-Analytics-Entscheidung
wird unter anderem im
Datenschutzbericht 2022 der Datenschutzbehörde
dargestellt.
Tracking technisch und rechtlich abstimmen
Google Analytics 4 datenschutzrechtlich prüfen lassen
Sie möchten wissen,
ob GA4, Consent-Banner und Datenschutzerklärung
auf Ihrer Website tatsächlich zusammenpassen?
Wir prüfen Technik, Datenschutzorganisation und rechtliche Umsetzung gemeinsam.