Stellen Sie sich vor: Sie öffnen morgens Ihre E‑Mails und finden eine Nachricht einer europäischen Aufsichtsbehörde. Eine Geldbuße von 1 Million Euro. Der Grund: Google Analytics, das Sie vor drei Jahren installiert und dann vergessen haben. Das ist keine Fantasie. Im Oktober 2025 bestätigte das Stockholmer Berufungsgericht die Sanktion gegen Tele2. Die Berufung wurde zurückgewiesen, die Geldbuße ist rechtskräftig.

Sieben europäische Länder haben Entscheidungen gegen Google Analytics in der Form erlassen, wie es 90% der Website-Betreiber konfigurieren. Das Problem ist nicht das Tool an sich, sondern wohin und wie die Daten europäischer Nutzer abfließen.

Google hat reagiert: GA4 mit erzwungener IP-Anonymisierung, Consent Mode v2, europäische Verarbeitungsserver. Die Europäische Kommission hat den Data Privacy Framework angenommen. Doch reicht das im Jahr 2026? Und vor allem: Was muss ein Website-Betreiber jetzt tun, um das Schicksal von Tele2 zu vermeiden? Betrachten wir die Faktenlage anhand echter Gerichts- und Behördenentscheidungen.

💡 Kurzer Überblick:

• Erfahren Sie, warum die Schrems-II-Entscheidung von 2020 den Privacy Shield zu Fall brachte und die Rechtsgrundlage für Google Analytics in Europa untergrub
• Sehen Sie sich echte Bußgelder an: Tele2 zahlte 1 Million Euro, CDON 27.700 Euro, und die Berufung von Tele2 scheiterte im Oktober 2025
• Erkunden Sie die Verbotslandkarte: sieben EU-Länder mit offiziellen Entscheidungen gegen bestimmte GA-Implementierungen
• Bewerten Sie die Reaktion von Google: erzwungene IP-Anonymisierung, europäische Server, Consent Mode v2
• Verstehen Sie den Status des Data Privacy Framework: Er ist in Kraft, doch NOYB bereitet bereits Schrems III vor
• Gehen Sie eine Acht-Punkte-Checkliste durch, um GA4 DSGVO-konform aufzustellen
• Vergleichen Sie GA4 mit cookielosen Alternativen wie Plausible, Fathom und Umami und wägen Sie ehrlich ab, was Ihnen entgeht

Schrems II: die Entscheidung, die die Rechtsgrundlage für Google Analytics untergrub

Am 16. Juli 2020 verkündete der Gerichtshof der Europäischen Union sein Urteil in der Rechtssache Schrems II (C-311/18). Das Gericht erklärte den Privacy Shield für ungültig. Dieser Mechanismus war die einzige Rechtsgrundlage, die es US-Unternehmen erlaubte, personenbezogene Daten rechtmäßig aus der EU zu empfangen.

Die Ursache: FISA Section 702 und Executive Order 12333. Diese beiden Rechtsakte geben US-Nachrichtendiensten Zugriff auf Daten, die bei amerikanischen Anbietern gespeichert sind. Google mit seinem kalifornischen Hauptsitz fällt vollständig in ihren Anwendungsbereich.

Nach Schrems II blieb Unternehmen nur ein Weg für legale Datenübermittlungen in die USA: Standardvertragsklauseln (SCC) zuzüglich „ergänzender Maßnahmen". Der EuGH stellte jedoch unmissverständlich klar: Vertragliche Zusagen setzen nationale Sicherheitsgesetze nicht außer Kraft. Kein Vertrag verpflichtet US-Nachrichtendienste, FISA zu ignorieren. Diese rechtliche Sackgasse wurde zur Grundlage der Entscheidungen gegen Google Analytics.

Weitere Details: GDPR-Audit.

Die ersten Bußgelder: Tele2, CDON und der schwedische Präzedenzfall

Im Juni 2023 verhängte die schwedische Datenschutzbehörde (Integritetsskyddsmyndigheten, IMY) Bußgelder gegen zwei große Akteure:

• Tele2 (Telekommunikationsanbieter): 1 Million Euro (12 Millionen schwedische Kronen) wegen der Nutzung von Google Analytics ohne ausreichende Datenschutzmaßnahmen.
• CDON (Online-Händler): 27.700 Euro (300.000 Kronen) wegen derselben Verstöße.

Beide Unternehmen übermittelten Daten auf Basis von SCC in die USA. Die Aufsichtsbehörde befand jedoch, dass die zusätzlichen technischen Schutzmaßnahmen unzureichend waren. Der Vertrag existierte, aber es gab keinen echten Schutz vor dem Zugriff durch US-Nachrichtendienste.

Tele2 legte gegen den Bescheid Berufung ein. Im Oktober 2025 wies das Stockholmer Berufungsgericht die Berufung zurück und bestätigte die Sanktion. Dies ist ein entscheidender Moment: Das Gericht bestätigte, dass die Nutzung von Google Analytics ohne angemessene ergänzende Maßnahmen kein technisches Versäumnis, sondern ein vollwertiger DSGVO-Verstoß ist.

Parallel dazu überprüfte die IMY die Fälle von Coop und Dagens Industri. Auch diese Unternehmen nutzten Google Analytics. Sie erhielten keine Bußgelder. Der Unterschied: Sie führten ein technisches Audit durch, implementierten eine Verschlüsselung auf einem Niveau, das die Behörde als angemessen erachtete, und dokumentierten jeden Schritt.

Die Lehre aus dem schwedischen Präzedenzfall: Google Analytics selbst ist nicht verboten. Verboten ist die Datenübermittlung ohne nachgewiesene, funktionierende Schutzmaßnahmen. Der Unterschied zwischen einer Geldbuße von 1 Million Euro und keinen Beanstandungen liegt im Umfang der technischen Arbeit, nicht in der Wahl des Tools.

Die Verbotslandkarte: welche EU-Länder Entscheidungen gegen GA erlassen haben

Seit 2022 haben sieben europäische Länder offizielle Entscheidungen veröffentlicht, die die Nutzung von Google Analytics in den jeweils geprüften konkreten Implementierungen für rechtswidrig erklären:

Jede Entscheidung betraf eine bestimmte GA-Implementierung auf einer bestimmten Website. Es handelt sich nicht um ein EU-weites Verbot. Die koordinierte Position über den Europäischen Datenschutzausschuss (EDSA) bedeutet jedoch, dass eine Entscheidung in einem Land als Präzedenzfall für die anderen dient.

Die Kampagne von NOYB (der Organisation von Max Schrems) reichte bereits im August 2020 insgesamt 101 Beschwerden in 30 EU- und EWR-Ländern ein. Der Prozess zog sich über Jahre hin, ist aber nicht zum Stillstand gekommen. Die Aufsichtsbehörden leiten weiterhin Verfahren ein.

Was Google geändert hat: GA4, europäische Server und Consent Mode v2

Als Reaktion auf die Entscheidungswelle führte Google drei aus DSGVO-Sicht bedeutsame Änderungen ein.

IP-Anonymisierung als Standard. In Universal Analytics war die Anonymisierung eine Option. Sie wurde oft vergessen, und genau dieser Umstand tauchte in den österreichischen und französischen Entscheidungen auf. In GA4 ist die Anonymisierung erzwungen und kann nicht deaktiviert werden: Die IP-Adressen europäischer Nutzer werden entfernt, bevor die Daten in die Verarbeitung gelangen.

Verarbeitung auf EU-Servern. Seit 2023 kann der europäische Datenverkehr auf Google-Servern innerhalb der EU verarbeitet werden, bevor er die Region verlässt. Die Muttergesellschaft in den USA unterliegt weiterhin den amerikanischen Überwachungsgesetzen, aber die Angriffsfläche für Beanstandungen ist spürbar kleiner geworden.

Consent Mode v2, verpflichtend seit März 2024. Dies ist eine JavaScript-Schicht zwischen dem Consent-Banner und den Google-Tags. Wenn ein Nutzer Cookies ablehnt, blockiert Consent Mode v2 nicht einfach die Installation des Trackers, sondern sendet anonymisierte „cookieless pings". Ohne Consent Mode v2 kann GA4 mit europäischem Datenverkehr nicht rechtmäßig betrieben werden.

Eine wichtige Nuance: Consent Mode v2 hat zwei Modi. Der einfache Modus blockiert Tags, bis eine ausdrückliche Einwilligung vorliegt, ein rechtlich sicherer Weg. Der erweiterte Modus sendet in jedem Fall cookielose Signale, auch ohne Einwilligung. Google erhält mehr Daten für die Modellierung, rechtlich ist dies jedoch ein umstrittenerer Pfad. Die Wahl des Modus ist eine der ersten Entscheidungen, die Sie bei der Einrichtung treffen müssen.

Data Privacy Framework: Rettung oder vorübergehende Lösung

Am 10. Juli 2023 hat die Europäische Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) angenommen. Es ist der Nachfolger des Privacy Shield, das durch Schrems II gekippt wurde. Google LLC hat sich unter dem DPF zertifizieren lassen, womit das zentrale rechtliche Compliance-Problem formal gelöst ist: Datenübermittlungen an zertifizierte Unternehmen in den USA haben wieder eine Rechtsgrundlage.

Doch es ist zu früh, um sich zurückzulehnen. Drei Risikofaktoren.

Erstens: Das DPF beruht auf präsidialen Executive Orders der USA. Ein Regierungswechsel könnte diese Anordnungen abschwächen oder widerrufen. Max Schrems hat öffentlich erklärt, er könne sich nicht vorstellen, wie „eine den USA von Europäern auferlegte Anordnung, die amerikanische Überwachung im Ausland regelt, die America-First-Logik überleben soll".

Zweitens: NOYB greift das DPF bereits gerichtlich an. Der erste rechtliche Angriff auf das DPF wurde abgewehrt, doch NOYB bereitet ein neues, breiter angelegtes Verfahren vor, Schrems III. Juristen sprechen von einer Frage der Zeit, nicht der Wahrscheinlichkeit.

Drittens: Das DPF löst nur das Problem der grenzüberschreitenden Übermittlung. Alle übrigen DSGVO-Anforderungen, Einwilligung, Datenminimierung, Zweckbindung, bleiben in Kraft. Ein Banner, das nicht Artikel 7 DSGVO entspricht, macht die gesamte Kette unabhängig vom DPF rechtswidrig.

Die norwegische Datatilsynet brachte es präzise auf den Punkt: „Was bisher das Hauptproblem bei Google Analytics war, scheint gelöst zu sein. Wir schließen jedoch nicht aus, dass das Tool andere Datenschutzprobleme aufweisen kann."

Ist GA4 also 2026 in Europa legal

Die kurze Antwort: Es ist legal, wenn es korrekt konfiguriert ist. Mit Einschränkungen.

Wenn Sie GA4 mit Consent Mode v2, einem gültigen Einwilligungsbanner (gleichwertige „Akzeptieren"- und „Ablehnen"-Schaltflächen, keine vorangekreuzten Kästchen), Verarbeitung auf EU-Servern, unterzeichneten SCCs und minimierter Datenerhebung einsetzen, befinden Sie sich in einer verteidigungsfähigen Position. Klagen sind möglich. Aber Sie haben die Compliance dokumentiert, und genau darauf schaut die Aufsichtsbehörde.

Das Problem ist, dass die meisten Websites diesen Zustand nicht erreichen. Eine Analyse von 254.000 Websites aus dem Jahr 2025 zeigte, dass nur 15% der Cookie-Banner in Europa die Mindestanforderungen der DSGVO erfüllen. Eine weitere Studie über 35.000 Websites stellte bei 49% der geprüften Ressourcen Verstöße fest. Ist das Banner ungültig, erbt die GA4-Implementierung diese Ungültigkeit automatisch.

Ein weiteres Kopfzerbrechen: Datenverlust. Dieselbe Untersuchung verzeichnet einen Verlust von 40 bis 70% der erfassten Daten, wenn ein echtes Banner mit einer gleichwertigen „Ablehnen"-Schaltfläche eingesetzt wird. Wenn bis zu zwei Drittel der europäischen Besucher Cookies ablehnen, werden die Zahlen in GA4 eher modelliert als gemessen. Aufsichtsbehörden stellen bereits Fragen: ob die Modellierung selbst neue DSGVO-Probleme schafft.

Die praktische Schlussfolgerung: GA4 in Europa ist 2026 ein gemanagtes Risiko, keine abgeschlossene Angelegenheit.

Was jetzt zu tun ist: eine praktische Checkliste

Hier sind acht Punkte, auf die europäische Aufsichtsbehörden bei der Prüfung einer GA-Implementierung achten. Gehen Sie jeden einzelnen durch.

• Wechseln Sie zu GA4, falls Sie noch Universal Analytics nutzen. Universal Analytics wurde von Google im Juli 2024 eingestellt. Es werden keine Daten mehr erhoben, aber die DSGVO-Risiken sind nicht verschwunden.

• Implementieren Sie Consent Mode v2. Ohne ihn kann GA4 europäischen Traffic nicht rechtmäßig verarbeiten. Die Integration erfolgt über eine CMP-Plattform: CookieYes, Cookiebot, Complianz oder iubenda. Wählen Sie den Basic-Modus für maximalen rechtlichen Schutz.

• Prüfen Sie Ihr Einwilligungsbanner. Zwei gleichwertige Schaltflächen: „Alle akzeptieren" und „Alle ablehnen". Keine vorangekreuzten Kästchen, kein „berechtigtes Interesse" als Vorwand für die Erhebung. Überprüfen Sie dies über den Netzwerk-Tab in den DevTools: Wenn Sie Cookies ablehnen, dürfen keine Anfragen an google-analytics.com erfolgen.

• Aktivieren Sie die Verarbeitung auf EU-Servern. GA4, Verwaltung, Dateneinstellungen, Datenerhebung, Regionale Datenerhebung. Zwei Minuten.

• Setzen Sie die Datenaufbewahrung auf 14 Monate. GA4, Verwaltung, Dateneinstellungen, Datenaufbewahrung. Dies ist der kürzeste von Google erlaubte Zeitraum. Die DSGVO verlangt, dass Daten nicht länger als nötig aufbewahrt werden.

• Deaktivieren Sie die Datenweitergabe an Google-Produkte. GA4, Verwaltung, Dateneinstellungen, Datenweitergabe: Entfernen Sie alle Häkchen. Standardmäßig erhält Google Ihre Daten, um seine Dienste zu verbessern. Für die DSGVO-Compliance muss dies deaktiviert sein.

• Schließen Sie einen Auftragsverarbeitungsvertrag mit Google ab. Der AVV ist in Ihren GA4-Kontoeinstellungen verfügbar. Stellen Sie sicher, dass die Datenschutzerklärung Ihrer Website die Nutzung von Google Analytics und die Zwecke der Verarbeitung ausdrücklich erwähnt.

• Auditieren Sie Ihre Datenerhebungs- und Speicherprozesse. Für Unternehmen mit hohem Traffic-Volumen ist dies keine Option, sondern eine Pflicht. Ein Prüfer wird die tatsächlichen Datenflüsse mit den dokumentierten Prozessen abgleichen. Eine Diskrepanz zwischen dem, was in der Richtlinie steht, und dem, was GA4 tatsächlich erhebt, ist ein direkter Weg zu einem Bußgeld.

Ein separater Weg für diejenigen, die dieses Risiko überhaupt nicht managen möchten: Cookieless-Tools. Plausible, Fathom, Umami und Swetrix erheben definitionsgemäß keine personenbezogenen Daten. Keine Cookies, keine Einwilligungsbanner-Pflicht. Keine Datenübermittlungen in die USA, kein Schrems-II-Problem. Der Preis: Sie verlieren Nutzer-Funnels, Google-Ads-Attribution und die gewohnte Segmentierungstiefe. Für Content-Projekte, Blogs und kleine Unternehmen ist dies oft ein ehrlicher Kompromiss.

⁉️🤔 Häufige Fragen

Ist Google Analytics in Europa vollständig verboten?

Nein. Einzelne EU-Länder haben bestimmte GA-Implementierungen auf bestimmten Websites für rechtswidrig befunden. Ein EU-weites Verbot existiert nicht. GA4 mit Consent Mode v2, europäischen Servern und einem gültigen Consent-Banner befindet sich 2026 in einer verteidigungsfähigen Position.

Wichtig ist, die Größenordnung zu verstehen: Die Entscheidungen betrafen Fälle, in denen Daten ohne zusätzliche technische Schutzmaßnahmen in die USA übermittelt wurden. Die bloße Nutzung von GA4 mit einem vollständigen Compliance-Stack wurde bisher kein einziges Mal mit einem Bußgeld belegt. Das ist jedoch keine Garantie: Aufsichtsbehörden arbeiten mit einem Zeitverzug von zwei bis drei Jahren, und Verfahren aus den Jahren 2023 bis 2024 haben das Entscheidungsstadium noch nicht erreicht.

Wie unterscheidet sich GA4 aus DSGVO-Sicht von Universal Analytics?

In GA4 ist die IP-Anonymisierung erzwungen und kann nicht deaktiviert werden. Universal Analytics machte sie optional, und genau das war die Grundlage für die ersten Entscheidungen in Österreich und Frankreich. GA4 verwendet ein ereignisbasiertes statt eines sitzungsbasierten Modells, was den Umfang der erhobenen personenbezogenen Daten reduziert. Hinzu kommt der verpflichtende Consent Mode v2.

GA4 wurde architektonisch für die Post-Schrems-Realität konzipiert. IP-Adressen werden vor der Verarbeitung bereinigt, Consent Mode v2 ist seit März 2024 verpflichtend, und die Datenverarbeitung auf EU-Servern verringert die Angriffsfläche für Klagen. Die Compliance hängt jedoch von Ihrer Konfiguration ab: GA4 allein macht eine Website nicht DSGVO-konform.

Was kostet ein Bußgeld wegen eines DSGVO-Verstoßes durch Google Analytics tatsächlich?

Die Obergrenze gemäß DSGVO Artikel 83: bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes. Dokumentierte Bußgelder für GA: Tele2, 1 Million Euro, CDON, 27.700 Euro. Die Höhe hängt vom Umfang der Verstöße, der Menge der verarbeiteten Daten und den gegenüber der Aufsichtsbehörde nachgewiesenen Schutzmaßnahmen ab.

Das schwedische Präzedenzverfahren zeigte: Der Unterschied zwischen keinen Ansprüchen und einem Bußgeld von 1 Million Euro liegt im Umfang der technischen Arbeit und Dokumentation, nicht in der Wahl des Tools. Coop und Dagens Industri nutzten dasselbe Google Analytics, jedoch mit angemessenen zusätzlichen Maßnahmen, und wurden nicht mit einem Bußgeld belegt.

Benötige ich Consent Mode v2, wenn ich Google Ads nicht nutze?

Ja. Consent Mode v2 ist für jede Website mit europäischem Traffic, die GA4 nutzt, verpflichtend. Ob Sie Google Ads verwenden, ist unerheblich. Seit März 2024 kann GA4 ohne Consent Mode v2 keine Daten über europäische Besucher rechtmäßig erheben.

Consent Mode v2 verwaltet die Signale analytics_storage und ad_storage. Ohne ordnungsgemäß konfigurierte Einwilligung erhebt GA4 entweder gar keine Daten oder erhebt sie unter Verstoß gegen die DSGVO. Aus Sicht der Aufsichtsbehörde gibt es keinen Unterschied zwischen „nur Analytics" und „Analytics für Werbung": Die Verarbeitung personenbezogener Daten erfordert in beiden Fällen eine Einwilligung.

Was passiert, wenn das Data Privacy Framework gekippt wird?

Die Situation würde auf den Stand nach Schrems II zurückfallen: Unternehmen, die Daten in die USA übermitteln, müssen sich auf Standardvertragsklauseln plus zusätzliche Schutzmaßnahmen stützen. Der Unterschied ist, dass GA4 mit Consent Mode v2 und europäischen Servern auf ein solches Szenario besser vorbereitet ist, als Universal Analytics es 2020 war.

Eine Aufhebung des DPF erfolgte nicht schlagartig: Gerichtsverfahren in der EU dauern Jahre, und Unternehmen erhielten eine Übergangsfrist. Praktischer Rat: Testen Sie einen Monat lang parallel zu GA4 eine cookielose Alternative. Sollte das DPF kollabieren, wechseln Sie an einem Tag, statt einen Monat Notfallmigration zu betreiben.

Kann ich GA4 auf einer Website in der Ukraine und anderen Nicht-EU-Ländern einsetzen?

Technisch ja. Rechtlich: Die DSGVO gilt für die Verarbeitung von Daten von EU-Bürgern unabhängig vom geografischen Standort der Website. Wenn Ihre Website von Nutzern aus Deutschland, Frankreich oder Polen besucht wird, verarbeiten Sie deren personenbezogene Daten und müssen die DSGVO einhalten. Der Serverstandort ist unerheblich.

Die DSGVO ist ihrem Wesen nach extraterritorial. Eine ukrainische Website mit europäischem Publikum befindet sich in genau derselben rechtlichen Situation wie eine deutsche. Der praktische Unterschied liegt allein in der Wahrscheinlichkeit der Durchsetzung: Die schwedische IMY wird nicht direkt ein Bußgeld gegen ein ukrainisches Unternehmen verhängen, aber europäische Nutzer können über NOYB Beschwerde einreichen, und die lokale Aufsichtsbehörde wird über die EDPB-Koordination eingebunden.

Das Fazit: Risiko und Handeln abwägen

GA4 ist 2026 weder „verboten" noch „vollkommen sicher". Es ist ein Tool, das eine durchdachte Konfiguration erfordert. Sieben EU-Länder haben Entscheidungen dagegen erlassen, ein Bußgeld von 1 Million Euro wurde bereits verhängt und von einem Berufungsgericht bestätigt, und NOYB übt weiterhin Druck auf die Aufsichtsbehörden aus. Gleichzeitig hat Google einen Compliance-Stack aufgebaut, den es 2020 nicht gab: erzwungene IP-Anonymisierung, Consent Mode v2, europäische Server, DPF-Zertifizierung.

Für einen Website-Betreiber läuft die Wahl auf zwei Optionen hinaus. Wenn Sie die volle Tiefe von GA4 benötigen (Funnels, Attribution, Remarketing, Google Ads-Integration), gehen Sie die obige Acht-Punkte-Checkliste durch, konfigurieren Sie jeden Punkt und schlafen Sie ruhig mit dokumentierter Compliance. Wenn Tiefe nicht entscheidend ist und Rechtssicherheit mehr zählt, wechseln Sie zu einem cookielosen Tool und schließen Sie die DSGVO-Frage vollständig ab.

Die dritte Option, „GA4 so installieren, wie es ist, und auf das Beste hoffen", existiert 2026 nicht mehr. Die Aufsichtsbehörden in Europa haben bewiesen, dass sie dafür Bußgelder verhängen werden. Mit echtem Geld, nicht mit Verwarnungen. Die Entscheidung liegt bei Ihnen, aber sie sollte auf informierter Grundlage getroffen werden.