Braucht man für Google Analytics eine Cookie-Zustimmung?

Die Kurzfassung

Google Analytics 4 setzt Cookies. Cookies sind nicht zwingend erforderlich. Nicht zwingend erforderliche Cookies braucheninformierte Zustimmung zum Opt-inunter der EU-ePrivacy-Richtlinie und dem PECR des Vereinigten Königreichs, bevor sie auf dem Gerät eines Besuchers gesetzt werden können. Diese Regelung gilt für alle, deren Website für EU- oder UK-Bewohner zugänglich ist — dein physischer Standort ist egal, ihrer zählt.

In der Praxis heißt das, dass du drei Dinge tun musst:

• Zeig ein Cookie-Banner mit einem funktionierenden "Ablehnen"-Button.
• Blockiere GA4, bis du auf Akzeptieren klickst.
• Akzeptiere, dass 30–60% der EU-Besucher ablehnen (Branchenbenchmark) und nicht mehr in deinen Statistiken auftauchen.

Warum "einfach den Consent Mode einschalten" das Problem nicht löst

Der Google Consent Mode v2 hebt die Verpflichtung nicht auf. Wenn ein Besucher die Zustimmung verweigert, sendet der Consent Mode "cookieless pings", die GA4 dabei helfen, statistisch zu modellieren, was der fehlende Besucher wahrscheinlich gemacht hat. Du brauchst nach wie vor das Banner. Du brauchst weiterhin die Zustimmung des Besuchers für echte Daten. Mehrere EU-Datenschutzbehörden haben den Ansatz mit modellierten Daten als rechtlich bedenklich eingestuft – die CNIL in Frankreich und der Garante in Italien haben beide Maßnahmen gegen Seiten ergriffen, die GA vor der Zustimmung auslösen.

Die Kosten für ein Bannerbedarf

Zwei echte Kosten.Betriebsbereit: du zahlst für eine Consent-Management-Plattform (normalerweise 10–100 $/Monat für konforme Lösungen — Cookiebot, OneTrust, Iubenda, Termly), plus Zeit für die Integration mit deinem Tag-Manager.Daten: Jeder Besucher, der ablehnt, ist aus deinen Analytics verschwunden. Bei Ablehnungsraten in der EU von 30–60% verpasst du regelmäßig die Hälfte deines Traffics in den Märkten, wo das Gesetz gilt.

Beide Kosten fallen weg, wenn das Analytics-Tool, das du nutzt, gar keine Cookies setzt. Das ist der cookieless Analytics-Weg.

Wie cookiefreie Analysen ablaufen

Die ePrivacy-Richtlinie betrifftInformationen auf dem Gerät des Nutzers speichern oder darauf zugreifen— d.h., Cookies setzen, localStorage schreiben, Fingerprinting. Wenn dein Analytics-Tool das nicht macht, gilt das Gesetz nicht.

Cookielose Tools (Gizmo, Plausible, Fathom, Umami) erstellen Besucher-IDs serverseitig aus einem täglich rotierenden, gesalzenen Hash von IP + User-Agent. Der Hash wird nicht auf dem Gerät gespeichert, ist kein Cookie und wechselt alle 24 Stunden, sodass er nicht dazu genutzt werden kann, eine Person über verschiedene Sitzungen hinweg zu verfolgen. Die CNIL und der Europäische Datenschutzausschuss haben beide Richtlinien veröffentlicht, die bestätigen, dass dieses Verfahren ohne Zustimmung verwendet werden kann.

Kein Speicher auf dem Gerät → kein ePrivacy-Trigger → kein Banner nötig → kein Datenverlust bei abgelehntem Einverständnis.

FAQ

Brauche ich für Google Analytics eine Cookie-Zustimmung?

Ja. GA4 setzt _ga und _gid Cookies bei jedem Besucher, und laut der EU ePrivacy-Richtlinie (dem 'Cookie-Gesetz') braucht jedes nicht essentielle Cookie eine informierte Opt-in-Zustimmung, bevor es gesetzt werden kann. Das heißt, du benötigst ein Cookie-Banner mit einem funktionierenden 'Ablehnen'-Button, und GA4 darf erst aktiv werden, wenn der Besucher auf Akzeptieren klickt. Die DSGVO bringt noch eine zweite Ebene ins Spiel: GA4 sammelt persönliche Daten (IP-Adressen, Geräte-IDs), also brauchst du auch eine rechtliche Grundlage gemäß der DSGVO — für fast alle ist das die gleiche Opt-in-Zustimmung.

Was passiert, wenn ich den Google Consent Mode nutze?

Der Consent Mode v2 hebt die Zustimmungspflicht nicht auf — er erlaubt GA4 lediglich, 'pinged' Signale zu senden, wenn die Zustimmung verweigert wird, damit Google die fehlenden Daten modellieren kann. Die rechtlichen Anforderungen bleiben unverändert: Du brauchst nach wie vor ein Banner, Besucher müssen sich weiterhin anmelden, und Besucher, die ablehnen, werden nicht gezählt (oder statistisch von Google modelliert, was mehrere DPAs als rechtlich heikel eingestuft haben).

Gilt das nur für die EU?

Die ePrivacy-Richtlinie gilt für alle, deren Website für EU-Bewohner zugänglich ist — deine Geografie spielt keine Rolle, ihre schon. Das Vereinigte Königreich hat eigene, nahezu identische PECR-Regeln. Kaliforniens CCPA / CPRA hat 'Do Not Sell or Share'-Verpflichtungen, die GA4 in den meisten Konfigurationen auslöst. Brasiliens LGPD, Kanadas CPPA und andere folgen ähnlichen Mustern. Wenn dein Traffic eine dieser Jurisdiktionen umfasst, brauchst du das Banner.

Was kostet es, ein Zustimmungsbanner zu haben?

Zwei Kosten. Betrieblich: Du zahlst für eine CMP (Consent Management Platform) — normalerweise $10–$100/Monat für konforme — plus Entwicklungszeit für die Integration. Daten: Jeder Besucher, der die Zustimmung ablehnt, verschwindet aus deinen Analysen. Branchenbenchmarks zeigen, dass die Ablehnungsraten in der EU je nach Branche bei 30–60% liegen, also hört ungefähr die Hälfte deines Traffics auf, messbar zu sein. Beide Kosten entfallen, wenn dein Analysetool überhaupt keine Cookies setzt.

Gibt's eine Möglichkeit, GA4 ohne Banner zu verwenden?

Nein, das ist nicht legitim. Einige Seiten aktivieren GA4 vor der Zustimmung und hoffen, dass es niemand merkt — das ist eine regulatorische Geldstrafe, die nur darauf wartet, dass sie fällig wird. Mehrere EU-Datenschutzbehörden haben bereits gegen genau dieses Vorgehen Maßnahmen ergriffen (CNIL in Frankreich, Garante in Italien, die österreichische DSB usw.). Die rechtssicheren Optionen sind: (1) um Zustimmung bitten und den Datenverlust in Kauf nehmen, (2) auf cookielose Analysen umsteigen, die die Verpflichtung von Anfang an vermeiden.

Wie kommt cookieless analytics ohne Zustimmungspflicht aus?

ePrivacy betrifft das Speichern oder Zugreifen auf Informationen auf dem Gerät des Nutzers – also Cookies setzen, localStorage schreiben, Fingerprinting. Cookieless Analytics (Gizmo, Plausible, Fathom, Umami) macht davon nichts. Besucher-IDs werden serverseitig aus einem täglich rotierenden, gesalzenen Hash von IP + User-Agent abgeleitet. Die CNIL und EDPB haben in ihren veröffentlichten Leitlinien bestätigt, dass diese ohne Zustimmung verarbeitet werden können, da sie anonymisiert sind und keine individuelle Identifizierung über Sitzungen hinweg ermöglichen. Keine Speicherung auf dem Gerät = kein ePrivacy-Auslöser = kein Banner nötig.

Beeinflusst der Umstieg auf cookielose Analysen meine Daten?

Du holst dir die Besucher zurück, die der Zustimmung abgelehnt hätten – typischerweise 30–60% in der EU. Du verlierst Googles plattformübergreifende Nutzerverknüpfung, die Attribution von bezahlten Anzeigen und die Funktionen zur Zielgruppenmodellierung. Für die meisten Betreiber-Websites (Inhalte, indie SaaS, Agenturen mit Flotten) ist der Tausch klar im Vorteil: einfacherer Stack, kein Banner, sichtbarere Daten. Für Websites, deren Einnahmen von der Attribution durch Google Ads abhängen, bleibt GA4 die bessere Wahl.

Was macht Gizmo Analytics besonders?

Gizmo ist cookieless Web-Analytics, das MCP-first entwickelt wurde — keine Cookies, kein localStorage, kein Fingerprinting, keine PII-Speicherung. Ein Einzeiler ersetzt das GA4-Snippet. Kein Banner nötig. Für immer kostenlos für 10k Events / Monat, unbegrenzte Seiten, und dein KI-Coding-Agent (Cursor, Claude, usw.) kann es mit einem Prompt über unseren MCP-Server auf einer neuen Seite installieren.

Weiterlesen

• Ist Google Analytics wirklich DSGVO-konform?Wo GA4 rechtlich in der EU steht und welche Optionen du hast.
• Cookieless Tracking, einfach erklärtWas es ist, wie's funktioniert und die Tools, die das richtig gut hinbekommen.
• Website-Tracking ganz ohne CookiesWie cookiefreies Tracking funktioniert und was du damit messen kannst.
• Datenschutzfreundliche AnalyticsDSGVO-sichere Analysen ganz ohne Zustimmungsbanner.