Braucht Google Analytics 4 in Deutschland eine Einwilligung?

In der üblichen Konfiguration ja. GA4 speichert mit _ga eine eindeutige Kennung im Browser. Das ist für die Bereitstellung Ihrer Website nicht unbedingt erforderlich, also verlangt § 25 TDDDG eine Einwilligung. Die anschließende Verarbeitung der Daten durch Google braucht zusätzlich eine Rechtsgrundlage nach der DSGVO.

Reicht es, wenn GA4 keine vollständigen IP-Adressen speichert?

Nein. § 25 TDDDG greift unabhängig davon, ob im Cookie personenbezogene Daten stehen. Das hat der EuGH im Urteil Planet49 für die zugrunde liegende EU-Vorschrift entschieden. Entscheidend ist, dass GA4 Informationen im Browser speichert und ausliest.

Hilft serverseitiges Tagging?

Serverseitiges Tagging verändert, welche Daten an Google fließen. An der Einwilligungspflicht ändert es nichts, solange dabei Informationen im Browser gespeichert oder ausgelesen werden, etwa ein Cookie mit Client-ID.

In welche Kategorie gehören die Cookies?

Die GA4-Cookies _ga und _ga_ gehören zu Statistik. Die Google-Ads-Cookies wie _gcl_au dienen der Werbemessung und gehören zu Marketing. Consentaur ordnet bekannte Cookies beim Scan automatisch zu.

Was passiert mit meinen Zahlen, wenn Besucher ablehnen?

Wenn Sie GA4 bis zur Einwilligung blockieren, erfasst GA4 diese Besuche nicht. Ihre Zahlen zeigen dann nur Besucher, die zugestimmt haben. Google kann fehlende Conversions über Consent Mode modellieren.

Google Analytics 4 Cookies: Liste und Laufzeiten

Die Cookies von Google Analytics 4

Laut der Google-Analytics-Hilfe setzt das GA4-Tag auf Websites zwei eigene Cookies. Google nennt sie First-Party-Cookies, die einzelne Nutzer und ihre Sitzungen unterscheiden. Sie werden also unter der Domain Ihrer Website gespeichert:

_ga2 Jahre

Unterscheidet Nutzer. Enthält eine eindeutige Client-ID, über die GA4 einen Browser bei späteren Besuchen wiedererkennt.

_ga_<Container-ID>2 Jahre

Speichert den Sitzungsstatus, damit GA4 die Seitenaufrufe eines Besuchs einer Sitzung zuordnen kann.

Zusätzliche Cookies mit Google Ads

Ist Ihre GA4-Property mit Google Ads verknüpft oder nutzen Sie das Conversion-Tracking von Google Ads, kommen weitere Cookies hinzu. Google führt sie in seiner Übersicht der Werbe- und Mess-Cookies, unter anderem:

Cookie	Laufzeit	Zweck laut Google
_gcl_au	90 Tage	Analyse, Werbung, Sicherheit
_gcl_aw	90 Tage	Analyse, Werbung, Sicherheit
_gcl_dc	90 Tage	Analyse, Werbung, Sicherheit
_gac_<ID>	90 Tage	Werbung, Sicherheit

In derselben Übersicht nennt Google auch _gid (24 Stunden) und _gat (1 Minute). Die GA4-Dokumentation führt diese beiden für GA4-Tags nicht auf. Findet Ihr Cookie-Scan sie, lohnt ein Blick in den Quellcode: Möglicherweise ist noch ein älterer Analytics-Code eingebunden.

Warum GA4-Cookies eine Einwilligung brauchen

Nach § 25 TDDDG ist das Speichern und Auslesen von Informationen im Browser nur mit Einwilligung zulässig, es sei denn, es ist unbedingt erforderlich, um den vom Besucher gewünschten Dienst bereitzustellen. Eine Reichweitenanalyse mit Google Analytics ist dafür nicht nötig: Ihre Website funktioniert ohne sie genauso.

Die Datenschutzkonferenz betont außerdem, dass Cookies mit eindeutigen Kennungen, wie die Client-ID in _ga, nur in wenigen Fällen unbedingt erforderlich sind. Die GA4-Cookies gehören deshalb in die Kategorie Statistik, und das GA4-Tag darf erst nach der Einwilligung laden.

GA4 mit Consentaur blockieren

Binden Sie zuerst das Consentaur-Script als erstes Script im <head> ein:

<script src="https://cdn.consentaur.com/v1/IHRE_SITE_ID.js"></script>

Ergänzen Sie dann an beiden Teilen des GA4-Tags das Attribut data-cookiebar-category="analytics":

<script
  async
  src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"
  data-cookiebar-category="analytics"
></script>
<script data-cookiebar-category="analytics">
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}
  gtag('js', new Date());
  gtag('config', 'G-XXXXXXX');
</script>

Consentaur hält beide Skripte zurück, bis der Besucher der Kategorie Statistik zustimmt, und führt sie dann aus. Gleichzeitig setzt es analytics_storage für Google Consent Mode v2 von denied auf granted. Nutzen Sie auch Google Ads, markieren Sie dessen Tags mit "marketing".

So prüfen Sie das Ergebnis

Öffnen Sie Ihre Website in einem privaten Fenster.
Öffnen Sie die Entwicklertools (F12) und dort die Cookies Ihrer Domain.
Vor der Entscheidung dürfen _ga und _ga_… nicht auftauchen.
Klicken Sie „Alle ablehnen“ und laden Sie die Seite neu: Die Cookies bleiben aus, und im Netzwerk-Tab gibt es keine Anfragen an google-analytics.com.
Wiederholen Sie den Test in einem neuen privaten Fenster mit „Alle akzeptieren“: Jetzt erscheinen die Cookies.

Welche Cookies Ihre Website insgesamt setzt, zeigt der Cookie-Scan in Consentaur. Die Einrichtung für alle Plattformen beschreibt die Installationsanleitung.