Google Analytics DSGVO: Lehren aus Googles Strafe

Google Analytics DSGVO-konform zu nutzen heißt vor allem: erst Einwilligung, dann Messung, und nur so viele Daten wie nötig. Das Bußgeld über 403 Millionen Euro, das die irische Datenschutzbehörde am 21. September 2026 gegen Google verhängt hat, zeigt, wie ernst die Aufsicht Standortdaten und Transparenz nimmt. Für dein Marketing ist das ein guter Anlass, Tracking, Consent und Werbekonto einmal gründlich zu prüfen.

Was die irische Datenschutzbehörde entschieden hat

Die Data Protection Commission (DPC) in Irland ist für Google in der EU federführend zuständig, weil der Konzern dort seinen europäischen Sitz hat. Diese Behörde hat Google mit 403 Millionen Euro belegt. Es geht um die Verarbeitung von Standortdaten zwischen Mai 2018 und Februar 2020 über drei Funktionen: Web- und App-Aktivitäten, den Standortverlauf und die Standortgenauigkeit auf Android-Geräten.

Die Behörde bemängelt fehlende Transparenz, unzureichende Nachweise zur Rechtmäßigkeit und eine zu lange Speicherung der Daten. Google hat sechs Monate Zeit, die Verarbeitung an die DSGVO anzupassen. Der Konzern verweist darauf, dass es um frühere Praktiken gehe, die seit 2019 geändert wurden, etwa durch automatisches Löschen. Nach Angaben von The Next Web ist es das viertgrößte Bußgeld der irischen Behörde, übertroffen unter anderem von den 1,2 Milliarden Euro gegen Meta aus dem Jahr 2023.

Warum Standortdaten so heikel sind

Ausgelöst haben das Verfahren Beschwerden europäischer Verbraucherverbände aus sieben Ländern, angeführt vom Dachverband BEUC. Grundlage war eine Untersuchung des norwegischen Verbraucherrats, nach der die Gestaltung der Einstellungen Nutzer dazu brachte, die Standorterfassung eingeschaltet zu lassen. Solche Muster heißen Dark Patterns: Die Oberfläche lenkt, statt neutral zu fragen.

Standortdaten verraten mehr als fast jede andere Information. Aus Bewegungsprofilen lassen sich Wohnort, Arbeitsplatz, Arztbesuche oder Gewohnheiten ablesen. Die DPC hält fest, dass Nutzer möglicherweise nicht verstanden haben, dass ihr Standort etwa genutzt wurde, um ihnen passende Werbung auszuspielen. Genau an dieser Stelle berührt der Fall dein Marketing.

Was das Bußgeld mit deinem Marketing zu tun hat

Das Bußgeld richtet sich gegen Google, nicht gegen Werbetreibende. Trotzdem lohnt der Blick auf die eigene Seite, denn für das Tracking auf deiner Website bist du selbst verantwortlich. Wer Google Analytics, den Google Tag Manager oder Remarketing-Tags einbindet, entscheidet mit, welche Daten fließen, und muss erklären können, auf welcher Grundlage das geschieht.

Standortbezogene Werbung bleibt dabei erlaubt. Wenn du in Google Ads nur Menschen in Karlsruhe und Umgebung ansprichst, nutzt Google dafür seine eigenen Signale, für die der Konzern selbst die Einwilligung braucht. Anders ist es bei allem, was du auf deiner Seite erhebst. Wie sich Zielgruppen sauber eingrenzen lassen, zeigt unser Beitrag Zielgruppe durch gezieltes Targeting erreichen. Für die Einwilligung, die solche Daten voraussetzen, gilt dasselbe wie bei personalisierter Werbung mit KI: Transparenz zuerst.

Google Analytics DSGVO-konform einstellen: fünf Stellschrauben

Viele Einstellungen in Google Analytics 4 stehen ab Werk großzügiger, als du sie brauchst. Diese fünf Punkte entscheiden darüber, ob deine Messung einer Prüfung standhält:

1. Einwilligung vor dem Laden: Der Analytics-Tag darf erst Daten senden, wenn die Besucherin oder der Besucher zugestimmt hat. Ein Banner, hinter dem die Tags schon feuern, hilft nicht.
2. Consent Mode v2: Er übermittelt Google, welche Einwilligung vorliegt, und passt die Messung daran an. Ohne ihn fehlen dir in Google Ads Daten für Remarketing und Gebotsstrategien.
3. Granulare Standort- und Gerätedaten: In der Verwaltung unter Datenerfassung lässt sich je Region festlegen, ob detaillierte Standort- und Gerätedaten erfasst werden. Laut Google-Hilfe sinkt ohne diese Daten das Volumen modellierter Conversions, auch in verknüpften Google-Ads-Konten. Die Abwägung solltest du bewusst treffen.
4. Aufbewahrung: Für Standard-Properties stehen zwei oder vierzehn Monate zur Wahl. Nimm die kürzeste Frist, mit der deine Auswertungen noch funktionieren.
5. Google Signals und Datenfreigaben: Aktiviere nur, was du wirklich nutzt, und nenne es in deiner Datenschutzerklärung.

Ein Wort zur IP-Adresse, weil die Frage in fast jedem Gespräch kommt: Nach Angaben von Google protokolliert und speichert Google Analytics 4 keine IP-Adressen. Das nimmt dir aber die Einwilligung nicht ab. Schon das Setzen von Cookies und das Auslesen von Geräteinformationen braucht in Deutschland nach dem TDDDG grundsätzlich eine Zustimmung, soweit es nicht technisch notwendig ist. Reichweitenmessung gehört nicht dazu.

Wie du den Code überhaupt sauber einbindest, erklärt unser Leitfaden GA4-Trackingcode abrufen und installieren. Am saubersten läuft die Einbindung über den Tag Manager, weil sich dort Consent-Regeln zentral für alle Tags steuern lassen.

Consent Mode v2 und Google Ads: messen ohne Blindflug

Für Nutzer im Europäischen Wirtschaftsraum verlangt Google seit März 2024 den Consent Mode v2, damit Remarketing und personalisierte Werbung weiter funktionieren. Wer ihn nicht umsetzt, verliert Zielgruppen und Conversion-Daten. Das trifft kleine Konten besonders, weil automatische Gebotsstrategien ohnehin nur mit genug Conversions gut arbeiten.

In unseren Projekten richten wir den Consent Mode deshalb im Tag Manager ein und prüfen danach im Vorschaumodus, welche Tags vor und nach der Zustimmung auslösen. Erst wenn das stimmt, lohnt sich die Feinarbeit, die wir im Beitrag Google Ads Kampagnen optimieren beschreiben. Saubere Messung ist die Voraussetzung dafür, dass Budget bei den Kampagnen landet, die wirklich Anfragen bringen.

Die eigentliche Lehre: faire Cookie-Banner

Der Kern des Google-Falls ist nicht die Technik, sondern die Frage, ob Menschen verstanden haben, worauf sie sich einlassen. Das gilt eins zu eins für Cookie-Banner. Datenschutzbehörden in Europa erwarten, dass Ablehnen so einfach ist wie Zustimmen, dass keine Häkchen vorausgewählt sind und dass die Texte verständlich sagen, wofür die Daten genutzt werden.

Ein fairer Banner kostet dich zunächst Zustimmungen. Er schützt aber vor Abmahnungen und Bußgeldern und schafft Vertrauen, das sich bei der Anfrage auszahlt. Wer im Team zusätzlich KI-Werkzeuge nutzt, sollte dieselbe Sorgfalt auch dort anlegen, wie unser Beitrag ChatGPT und Datenschutz zeigt.

Checkliste für diese Woche

Du musst nicht alles auf einmal umbauen. Mit diesen Schritten hast du in wenigen Stunden einen belastbaren Überblick:

• Seite im Inkognito-Fenster öffnen, nichts anklicken und im Tag-Assistenten prüfen, ob schon Google-Tags Daten senden.
• Banner testen: Ist „Ablehnen“ auf der ersten Ebene genauso sichtbar wie „Akzeptieren“?
• In GA4 Aufbewahrungsdauer, Google Signals und die Erfassung granularer Standortdaten kontrollieren.
• In Google Ads im Diagnosebereich prüfen, ob der Consent Mode erkannt wird.
• Datenschutzerklärung mit den tatsächlich eingesetzten Diensten abgleichen.

Dieser Beitrag ersetzt keine Rechtsberatung. Für die rechtliche Bewertung deiner Datenschutzerklärung und deines Banners ist eine Kanzlei oder dein Datenschutzbeauftragter die richtige Adresse. Die technische Umsetzung übernehmen wir gern, als Google Ads Agentur Karlsruhe mit Blick auf Messung und Kampagnen zugleich.