Google Analytics DSGVO-konform einbinden — messen, ohne sich angreifbar zu machen.
Fast jede Website misst Besucher, und fast jede macht dabei denselben Fehler: Das Analyse-Skript lädt schon, bevor jemand zugestimmt hat. Dabei ist die saubere Lösung weder kompliziert noch teuer. Hier steht, wie du Analytics richtig einbindest und welche Alternativen ganz ohne Einwilligung auskommen.
Google Analytics setzt Cookies und überträgt Daten an Google. Deshalb: Skript erst nach aktiver Einwilligung laden, nicht vorher und nicht „vorsorglich“. Dazu gehören ein Auftragsverarbeitungsvertrag, passende Einstellungen in GA4 (kurze Aufbewahrung, keine Werbefunktionen), ein Hinweis in der Datenschutzerklärung und der Ausschluss des eigenen Zugriffs. Wer keine Einwilligung einholen will, nutzt eine cookiefreie Alternative.
Dieser Ratgeber beschreibt die technische Umsetzung aus Entwicklersicht und ist keine Rechtsberatung. Die rechtliche Bewertung im Einzelfall gehört zu Datenschutzbeauftragten, einer Anwaltskanzlei oder einem Rechtstexte-Dienst.
Warum es so oft falsch läuft.
Viele Websites binden Analytics über ein Plugin oder direkt im Theme ein. Das Skript startet dann beim Seitenaufruf — also lange bevor der Besucher den Cookie-Banner überhaupt gesehen hat. Damit sind Daten übertragen und Cookies gesetzt, bevor eine Einwilligung vorliegt. Ein Banner, der nur hübsch aussieht, aber nichts blockiert, ändert daran nichts. Die technische Prüfung ist simpel: Netzwerkanalyse im Browser öffnen, Seite laden, ohne etwas anzuklicken, und nach Anfragen an Google schauen. Sind welche da, ist die Einbindung nicht sauber.
Einwilligung zuerst.
Die Reihenfolge muss stimmen: Seite lädt, Banner erscheint, Besucher entscheidet, und erst bei Zustimmung wird das Analyse-Skript nachgeladen. Ablehnen muss genauso einfach sein wie Zustimmen, und die Entscheidung muss widerrufbar sein — also braucht es einen Link, der den Dialog erneut öffnet. Wichtig ist außerdem, dass ohne Zustimmung wirklich nichts läuft, auch keine Vorab-Verbindung zu Google-Servern. Wie ein solcher Banner aufgebaut ist und welche Plugins das können, steht unter Cookie-Banner DSGVO-konform.
Technisch sauber einbinden.
Zwei Wege führen zum Ziel. Der bequeme: ein Consent-Plugin, das Analytics als Dienst kennt und das Skript selbst blockiert und freigibt. Der schlanke: eine eigene kleine Lösung, die das Skript erst bei Zustimmung in die Seite schreibt — genau so läuft es auf dieser Website. Entscheidend ist in beiden Fällen, dass der Aufruf nicht fest im Quelltext steht.
// Wird nur aufgerufen, wenn der Besucher „Statistik erlauben“ gewählt hat
function analyticsLaden(messId) {
if (window.__gaGeladen) return;
window.__gaGeladen = true;
var s = document.createElement('script');
s.async = true;
s.src = 'https://www.googletagmanager.com/gtag/js?id=' + messId;
document.head.appendChild(s);
window.dataLayer = window.dataLayer || [];
window.gtag = function () { window.dataLayer.push(arguments); };
gtag('js', new Date());
gtag('config', messId, {
anonymize_ip: true, // IP kürzen
allow_google_signals: false, // keine Werbe- und Zielgruppenfunktionen
allow_ad_personalization_signals: false
});
}Beim Ablehnen zusätzlich vorhandene Cookies entfernen, die mit _ga beginnen. Die Entscheidung selbst lässt sich im localStorage merken — dafür braucht es keine Einwilligung, weil sie nur die Wahl speichert.
Einstellungen in GA4.
- Auftragsverarbeitung: In der Verwaltung die Datenverarbeitungsbedingungen von Google akzeptieren und den eigenen Kontakt hinterlegen.
- Aufbewahrung kürzen: Die Speicherdauer der Nutzerdaten auf den kürzesten sinnvollen Wert stellen, oft zwei Monate.
- Werbefunktionen aus: Google-Signale und Werbepersonalisierung deaktivieren, wenn du kein Google Ads mit Zielgruppen fährst.
- Datenweitergabe prüfen: Die Optionen zur Freigabe an Google-Produkte bewusst setzen statt alles anzuhaken.
- Keine personenbezogenen Daten in Ereignissen: Keine Namen, E-Mail-Adressen oder Kundennummern als Parameter mitschicken. Wie Ereignisse sinnvoll aussehen, zeigt das Beispiel eines Kontaktformulars mit den Schritten Start, Absenden und Erfolg.
Consent Mode.
Google bietet mit dem Consent Mode eine Möglichkeit, dem Tag mitzuteilen, ob eine Einwilligung vorliegt. Ohne Zustimmung werden dann keine Cookies gesetzt, aber weiterhin Signale an Google gesendet, aus denen Google Modelldaten bildet. Das ist für Werbekampagnen interessant, datenschutzrechtlich aber nicht unumstritten, weil auch im eingeschränkten Modus Daten fließen. Wer auf Nummer sicher gehen will, lädt das Tag weiterhin erst nach Zustimmung. Wer Google Ads nutzt, kommt am Consent Mode in der Praxis kaum vorbei — dann gehört die Einrichtung sauber dokumentiert und mit der Rechtsberatung abgestimmt.
Eigenen Traffic ausschließen.
Bei kleinen Websites verfälschen die eigenen Besuche die Zahlen massiv. In GA4 lässt sich interner Traffic über die eigene IP-Adresse definieren und anschließend im Datenfilter aktiv schalten. Wer eine wechselnde IP hat, nutzt zusätzlich eine Browser-Erweiterung, die das Messen abschaltet. Ohne diesen Schritt misst du vor allem dich selbst und ziehst aus fünf Besuchen falsche Schlüsse.
Alternativen ohne Einwilligung.
| Werkzeug | Besonderheit | Einwilligung nötig? |
|---|---|---|
| Matomo (selbst gehostet) | Daten bleiben auf dem eigenen Server, sehr umfangreich | Ohne Cookies und mit anonymisierter Messung oft nicht — im Einzelfall prüfen |
| Plausible, Fathom | Leichtgewichtig, cookiefrei, EU-Hosting möglich | Meist nicht — Anbieterangaben prüfen |
| Server-Logs | Kostenlos, grobe Zahlen, keine Übertragung an Dritte | Nein |
| Google Analytics | Umfangreich, kostenlos, viele Integrationen | Ja, vor dem Laden |
Für die meisten Unternehmenswebsites reicht eine schlanke, cookiefreie Lösung völlig aus: Wie viele Besucher, woher, welche Seiten, wie viele Anfragen. Wer Werbekampagnen auswertet oder E-Commerce-Daten braucht, bleibt eher bei Analytics.
Selbst prüfen.
- Seite im privaten Fenster öffnen, nichts anklicken.
- Entwicklertools, Reiter Netzwerk, nach
googlefiltern und neu laden. - Erscheinen Anfragen an googletagmanager.com oder analytics.google.com, lädt Analytics zu früh.
- Im Reiter Anwendung prüfen, ob Cookies mit
_gagesetzt wurden. - Erst zustimmen, dann erneut prüfen: Jetzt sollen Anfragen und Cookies erscheinen.
- Ablehnen und Seite neu laden: Es darf wieder nichts kommen.
Die gleiche Prüfung lohnt für Schriften, Karten und Videos: Google Fonts lokal einbinden, YouTube und Karten einbinden.
Wenn du nicht weiterkommst.
Analytics richtig einzubinden, ist eine Sache von ein bis zwei Stunden — inklusive Prüfung, Datenschutzerklärung und Ausschluss des eigenen Zugriffs. Ich richte das ein, prüfe die Einbindung und erkläre dir, worauf es ankommt: WordPress-Hilfe. Damit es dauerhaft sauber bleibt: WordPress-Wartung.
Wer hilft.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.
Echte Projekte — live ansehen.
WordPress-Websites, die ich gebaut habe oder laufend betreue.
Markenfest
Stärkerer Online-Shop — Webdesign, Content und individuelle Shop-Funktionen.
Website ansehen ↗
KT Bodenteam
Professioneller Auftritt für einen Bodenleger — Vorher-Nachher-Slider und regionale SEO.
Website ansehen ↗
Potassco Solutions
Klare Website für ein KI-Unternehmen, die komplexe Technologie verständlich macht.
Website ansehen ↗FAQ — Google Analytics DSGVO-konform in WordPress.
Darf ich Google Analytics in Deutschland nutzen?
Der Einsatz ist verbreitet und wird in der Praxis auf eine Einwilligung gestützt. Das Skript darf deshalb erst nach aktiver Zustimmung laden. Dazu kommen Auftragsverarbeitung, passende Einstellungen und ein Hinweis in der Datenschutzerklärung. Die rechtliche Bewertung im Einzelfall übernehmen Fachleute.
Wie binde ich Analytics DSGVO-konform ein?
Das Tag wird nicht fest im Quelltext eingebunden, sondern erst nachgeladen, wenn der Besucher zugestimmt hat. Das übernimmt entweder ein Consent-Plugin, das Analytics als Dienst kennt, oder ein kleines eigenes Skript.
Wie prüfe ich, ob Analytics zu früh lädt?
Im privaten Fenster die Seite öffnen, ohne den Banner anzuklicken, in den Entwicklertools den Reiter Netzwerk nach google filtern und neu laden. Anfragen an googletagmanager.com bedeuten, dass zu früh geladen wird.
Was ist der Google Consent Mode?
Ein Mechanismus, der dem Tag mitteilt, ob eine Einwilligung vorliegt. Ohne Zustimmung werden keine Cookies gesetzt, es fließen aber weiterhin Signale an Google. Wer das vermeiden will, lädt das Tag erst nach Zustimmung.
Gibt es Alternativen ohne Cookie-Banner?
Ja, etwa selbst gehostetes Matomo ohne Cookies oder schlanke Dienste wie Plausible und Fathom mit EU-Hosting. Ob eine Einwilligung entfällt, hängt von der konkreten Konfiguration ab.
Wie schließe ich meine eigenen Besuche aus?
In GA4 internen Traffic über die eigene IP-Adresse definieren und den entsprechenden Datenfilter aktivieren. Bei wechselnder IP hilft zusätzlich eine Browser-Erweiterung, die das Messen abschaltet.
Das bin ich – rechts im BildErzähl mir, was nicht funktioniert.
Domain und eine kurze Beschreibung reichen — du bekommst eine ehrliche Einschätzung, was los ist und was die Behebung kostet.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de