Google Tools und DSGVO: Was du wirklich brauchst, was du lassen kannst

Da hier deutsches Recht gilt, kein Internet-Führerschein existiert, Dummheit nicht verboten ist und das "Gesetz zur Stärkung des fairen Wettbewerbs" aus dem Jahre 2020 die Abmahn-Situation zwar etwas entschärft hat, aber immer noch genug Spielraum für Idioten lässt: Das hier ist selbstverständlich keine Rechtsberatung!

Die Search Console ist kein Problem. Google Analytics 4 ist es. Hier steht, was das bedeutet, was du konkret tun musst, und warum das transatlantische Datentransfer-Risiko seit Januar 2025 real ist.

Ich fasse am Anfang kurz die wichtigsten Implikationen der DSGVO für die Google Search Console (GSC), Google Analytics 4 (GA4) und den Google Tag Manager (GTM) zusammen. Ihr bekommt so eine schnelle Orientierung, bevor es in den nachfolgenden Kapiteln in die Details geht. Wer direkt auf der Suche nach einer datenschutzfreundlichen GA4-Alternative ist, findet im separaten Beitrag eine ausführliche Übersicht mit persönlichen Einschätzungen und Vergleichstabelle.

Zusammenfassung Google Search Console (GSC)

Geringes direktes DSGVO-Risiko für den Website-Betreiber.

• Begründung: Die GSC liefert aggregierte und anonymisierte Daten aus Googles eigenem Suchindex, keine personenbezogenen Daten, die direkt von Websitebesuchern erhoben werden. Google ist bei dieser Verarbeitung der Verantwortliche, nicht der Website-Betreiber.
  
  
• Erforderliche Maßnahmen: Kein Consent-Banner notwendig, keine spezifische Erwähnung in der Datenschutzerklärung erforderlich. Die primäre Pflicht des Betreibers liegt in der sorgfältigen Verwaltung der Zugriffsberechtigungen auf das GSC-Konto.

Zusammenfassung Google Analytics 4 (GA4)

Hohes direktes Risiko, erhebliche Compliance-Verpflichtungen für Website-Betreiber.

• Begründung: GA4 erhebt personenbezogene Daten (User-IDs, IP-Adressen, Geräteinformationen) direkt von Websitebesuchern. Diese Daten werden in die USA übermittelt, einem Drittland, dessen rechtliche Absicherung für diesen Datentransfer aktuell unter erheblichem Druck steht.
  
  
• Erforderliche Maßnahmen:
  - Ausdrückliche, granulare Nutzereinwilligung über ein konformes Consent-Banner, bevor GA4-Tags auslösen
  - Auftragsverarbeitungsvertrag (AVV) mit Google abschließen
  - Technische Datenschutzmaßnahmen: Datenspeicherdauer auf 2 Monate minimieren, Google Signals deaktivieren, IP-Anonymisierung sicherstellen
  - Datenschutzerklärung mit detaillierten GA4-Angaben aktualisieren

Zusammenfassung Google Tag Manager (GTM)

Neutrales Werkzeug, dessen Konformität vollständig von seiner Konfiguration abhängt. Häufig die zentrale Instanz zur Durchsetzung der Einwilligung.

• Begründung: Der GTM selbst verarbeitet keine Daten, er steuert Tags wie GA4, die es tun. Eine Fehlkonfiguration kann zu schwerwiegenden DSGVO-Verstößen führen.
  
  
• Erforderliche Maßnahmen:
  - GTM so konfigurieren, dass Tracking-Tags erst nach Nutzereinwilligung auslösen
  - Google Consent Mode v2 implementieren (seit März 2024 verpflichtend), vorzugsweise im Basic Mode
  - Strikte Verwaltung der Nutzerberechtigungen innerhalb des GTM

Übersichtstabelle:

Im Detail: Die Google Search Console und die DSGVO

Die Natur der GSC-Daten

Die GSC stellt Betreibern Daten über die Leistung ihrer Website in der Google-Suche bereit: Impressionen, Klicks, durchschnittliche Position, Suchanfragen. Google sammelt und aggregiert diese Daten aus dem eigenen Suchmaschinenbetrieb. Es wird kein Tracker auf der Website platziert, um das Verhalten einzelner Besucher zu erfassen. Diese Außenperspektive ist der entscheidende Unterschied zu GA4 und der Grund für den anderen DSGVO-Status.

Wer ist der Datenverantwortliche?

Nach der DSGVO bestimmt der Verantwortliche die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Bei den in der GSC dargestellten Daten ist Google der Verantwortliche. Google sammelt die Suchaktivitäten der Nutzer seiner Suchmaschine, um den eigenen Dienst bereitzustellen und zu verbessern. Der Website-Betreiber ist lediglich Empfänger einer aggregierten, anonymisierten Teilmenge dieser Daten.

Viel Verwirrung über den DSGVO-Status der GSC entsteht durch die falsche Zuordnung des Verantwortlichen. Da der Betreiber die Erhebung der Suchdaten weder anweist noch deren Ausgestaltung bestimmt, treffen ihn die primären Pflichten eines Verantwortlichen nicht. Die Notwendigkeit, eine Einwilligung für die GSC-Datenerhebung einzuholen oder eine spezifische Klausel in die Datenschutzerklärung aufzunehmen, entfällt.

Was Ihr nicht tun müsst

Betreiber müssen für die GSC-Nutzung weder ein Cookie-Banner schalten noch eine eigene Klausel in der Datenschutzerklärung ihrer Website aufnehmen, da sie über die GSC keine Besucherdaten selbst verarbeiten.

Die versteckte Verpflichtung: Zugriffsmanagement

Das GSC-Konto enthält unter Umständen sensible Geschäftsinformationen: Leistungsdaten, Keyword-Strategie, Sicherheitsprobleme. Die Verwaltung der Zugriffsberechtigungen ist daher eine kritische interne Governance-Maßnahme.

Google bietet unterschiedliche Rollen:

• Inhaber (Bestätigter und Delegierter): Volle Kontrolle, kann Nutzer hinzufügen und entfernen, Einstellungen ändern. Diese Rolle gehört in wenige, vertrauenswürdige Hände.
• Vollständiger Nutzer: Kann Daten einsehen und Aktionen wie Sitemaps einreichen oder das Disavow-Tool nutzen, aber keine Nutzer verwalten. Geeignet für SEO-Manager oder Agenturpartner.
• Eingeschränkter Nutzer: Leserechte, keine Aktionen. Ideal für Content-Autoren oder Junior-Marketer.

Die GSC-API ermöglicht den programmatischen Datenzugriff, unterstützt aber keine Nutzerverwaltung. Zugriffsberechtigungen müssen manuell über die Benutzeroberfläche geprüft werden. Das ist unbequem, aber unvermeidbar.

Das primäre DSGVO-bezogene Risiko ist bei der GSC kein externes (Bußgelder von Aufsichtsbehörden), sondern ein internes: Datenpannen oder Missbrauch durch mangelnde Zugriffskontrollen. Übermäßige Berechtigungen, zum Beispiel Inhaber-Zugriff für alle Beteiligten, verstoßen gegen das Prinzip der geringsten Rechte (Principle of Least Privilege, PoLP) und erhöhen das Risiko versehentlicher oder böswilliger Änderungen. Da eine programmatische Überprüfung via API nicht möglich ist, sind regelmäßige manuelle Audits der Nutzer-und-Berechtigungen-Seite der einzige Weg, die Anforderungen aus Artikel 32 DSGVO (technisch-organisatorische Maßnahmen) zu erfüllen.

Im Detail: Google Analytics 4 (GA4) im DSGVO-Minenfeld

Im Gegensatz zur GSC platziert GA4 Tracker (Cookies, Skripte) auf dem Gerät des Nutzers und sammelt personenbezogene Daten, einschließlich Online-Kennungen, IP-Adressen (auch wenn nur vorübergehend) und Verhaltensdaten. Dies erfordert eine ausdrückliche, vorherige und informierte Einwilligung gemäß der ePrivacy-Richtlinie und der DSGVO. Ein einfacher "Diese Seite verwendet Cookies" - Banner ist unzureichend.

Ausdrückliche und informierte Nutzereinwilligung

Ein konformer Einwilligungsmechanismus muss folgende Kriterien erfüllen:

• Aktiv sein: Keine vorab angekreuzten Kästchen, Nutzer müssen aktiv zustimmen.
• Granular sein: Nutzer müssen für spezifische Zwecke wie Analyse und Marketing separat einwilligen können.
• Freiwillig sein: Der Zugang zur Website darf nicht von der Einwilligung in nicht essenzielles Tracking abhängig gemacht werden.
• Leicht widerrufbar sein: Nutzer müssen ihre Präferenzen jederzeit einfach ändern können.

Auftragsverarbeitungsvertrag (AVV)

Bei GA4-Nutzung ist der Website-Betreiber der Datenverantwortliche, Google der Datenverarbeiter. Artikel 28 DSGVO schreibt einen rechtlich bindenden Vertrag zwischen beiden vor.

Der AVV ist nicht optional. GA4 ohne gültigen AVV zu betreiben, ist ein direkter DSGVO-Verstoß.

Der AVV wird elektronisch in der GA4-Verwaltungsoberfläche akzeptiert: Verwaltung > Kontoeinstellungen, dann unter "Zusatz zur Datenverarbeitung". Dafür werden Bearbeiter- oder Administrator-Berechtigungen benötigt.

Das transatlantische Datenrisiko

GA4 verarbeitet Daten auf US-Servern. Die DSGVO beschränkt Datenübermittlungen in Drittländer. Die aktuelle Rechtsgrundlage für Übermittlungen an zertifizierte US-Unternehmen wie Google ist das EU-US Data Privacy Framework (DPF), das im Juli 2023 in Kraft trat.

Dieses Framework war von Anfang an angefochten. NOYB hat bereits angekündigt, wieder vor den EuGH zu ziehen. Dass es einen ähnlichen Weg nehmen könnte wie Safe Harbor (gekippt 2015) und Privacy Shield (gekippt 2020), ist keine Spekulation, sondern eine reale juristische Möglichkeit.

Seit Januar 2025 hat sich die Situation weiter verschärft. Die Trump-Administration ordnete am 20. Januar 2025 an, alle Executive Orders der Biden-Ära innerhalb von 45 Tagen zu überprüfen. Darunter fällt auch die Executive Order 14086, auf der das DPF unmittelbar basiert. Am 27. Januar 2025 wurden zusätzlich drei demokratische Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB) entlassen. Das PCLOB ist das unabhängige Kontrollgremium, dessen Existenz und Unabhängigkeit eine zentrale Voraussetzung für den Angemessenheitsbeschluss der EU-Kommission war. Max Schrems hat es direkt auf den Punkt gebracht: Er könne sich nicht vorstellen, dass eine Biden-EO, die den USA von der EU aufgezwungen wurde und die Spionage der USA im Ausland regelt, in Trumps "America First"-Logik überleben könnte.

Das DPF steht formal weiterhin in Kraft, bis es von der EU-Kommission aufgehoben oder vom EuGH für unwirksam erklärt wird. Das ist noch nicht geschehen. 

Die Umstände sind aber deutlich ungünstiger als noch 2023. Sollte das DPF kippen, werden GA4-Datenübermittlungen über Nacht illegal, genau wie es bei Privacy Shield der Fall war.

Wer GA4 ohne Notfallplan betreibt, wettet auf den Fortbestand eines Abkommens, das auf einer Biden-Executive-Order fußt, die Trump nicht wollte.

Technische Konfiguration

Einwilligung und AVV allein reichen nicht. GA4 muss so datenschutzfreundlich wie möglich konfiguriert werden.

• IP-Anonymisierung: In GA4 standardmäßig aktiviert. Google verwendet die volle IP-Adresse jedoch kurzzeitig zur Geolokalisierung, bevor sie verworfen wird. Manche Datenschutzbehörden sehen auch diese initiale Verarbeitung als problematisch an.
  
  
• Datenspeicherung: Die Aufbewahrungsfrist für Daten auf Nutzerebene auf das Minimum von 2 Monaten setzen. Längere Fristen bis 14 Monate sind möglich, erfordern aber eine stichhaltige rechtliche Begründung. Einstellung: Verwaltung > Dateneinstellungen > Datenaufbewahrung.

• Google Signals deaktivieren: Diese Funktion sammelt geräteübergreifende Daten für Remarketing. Ohne klare Rechtsgrundlage und explizite Nutzerinformation sollte sie abgeschaltet bleiben. Einstellung: Verwaltung > Dateneinstellungen > Datenerhebung.
  
  
• Datenfreigabeeinstellungen: Alle optionalen Datenfreigaben mit anderen Google-Produkten deaktivieren. Einstellung: Verwaltung > Kontoeinstellungen.
  
  
• Serverseitiges Tracking als Risikominderung: Wer GA4 über einen serverseitigen GTM-Container implementiert, schaltet einen Proxy zwischen Browser und Google-Server. Personenbezogene Daten wie IP-Adressen können so vor der Übermittlung an Google entfernt oder gehasht werden. Aufwendig, aber wirksam.

Datenschutzerklärung aktualisieren

Die Datenschutzerklärung muss GA4 abdecken. Folgende Elemente sind erforderlich:

• Zweck der Verarbeitung (z. B. Website-Analyse)
• Rechtsgrundlage (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO)
• Datenempfänger (Google Ireland Ltd. mit anschließender Übermittlung an Google LLC, USA)
• Hinweis auf den US-Datentransfer und den DPF-Angemessenheitsbeschluss
• Dauer der Datenspeicherung (z. B. 2 Monate)
• Erklärung, wie Nutzer ihre Einwilligung widerrufen können

Für ein rechtssicheres Impressum und eine auf die jeweilige Website angepasste Datenschutzerklärung nutze ich schon seit Jahren die Schutzpakete der it-recht-kanzlei.de. Empfehlenswert.

Im Detail: Google Tag Manager als zentrale Compliance-Drehscheibe

Der GTM ist ein Tag-Management-System. Er ermöglicht die Bereitstellung und Verwaltung von Tracking-Skripten, ohne den Quellcode der Website anfassen zu müssen.

Die Rolle des GTM: Ein Werkzeug, keine Lösung

Der GTM selbst ist DSGVO-neutral. Sein Konformitätsstatus ergibt sich direkt aus seiner Konfiguration. Ein gut konfigurierter GTM ist nützlich, ein schlecht konfigurierter eine Quelle massiver Datenlecks.

Einwilligungsmanagement als Kernfunktion

Der GTM fungiert im DSGVO-Kontext als Torwächter: Tags, die personenbezogene Daten verarbeiten (GA4, Google Ads, Facebook Pixel), dürfen erst auslösen, wenn der Nutzer seine Zustimmung erteilt hat. Umgesetzt wird das über Trigger, die den Einwilligungsstatus des Nutzers prüfen, bevor ein Tag ausgeführt wird.

Google Consent Mode v2

Seit März 2024 ist der Google Consent Mode v2 für Websites verpflichtend, die Google-Dienste nutzen und auf Nutzer im EWR abzielen. Er führt zwei neue Parameter ein: ad_user_data und ad_personalization, zusätzlich zu analytics_storage und ad_storage.

Im Basic Mode werden Google-Tags vollständig blockiert, bis der Nutzer einwilligt. Ohne Einwilligung werden keine Daten an Google gesendet. Das ist der rechtlich sicherste Ansatz.

Im Advanced Mode werden Google-Tags geladen, bevor der Nutzer einwilligt. Bei Ablehnung senden die Tags cookielose "Pings" an Google, mit Zeitstempel, Referrer und Ad-Klick-Kennungen.

Der Advanced Mode ist aus DSGVO-Sicht problematisch. Diese Pings übermitteln Daten, die in Kombination als personenbezogen eingestuft werden können, ohne dass eine Rechtsgrundlage vorliegt. Aus strenger datenschutzrechtlicher Sicht führt kein Weg am Basic Mode vorbei.

Datenlecks verhindern

Auch offiziell unterstützte GTM-Tags können beliebige Drittanbieter-Skripte einschleusen und das GTM-Berechtigungssystem umgehen. Das ist kein theoretisches Risiko, sondern in der Praxis dokumentiert.

Tags aus nicht vertrauenswürdigen Quellen gehören nicht in den Container, und das Verhalten aller bereitgestellten Tags sollte regelmäßig überprüft werden.

Zugriffskontrolle im GTM

GTM-Zugriff wird auf Konto- und Container-Ebene vergeben. Berechtigungen auf Kontoebene gewähren Zugriff auf alle Container dieses Kontos. Container-spezifische Berechtigungen sind der richtige Weg, um das Prinzip der geringsten Rechte konsequent anzuwenden.

Tabelle: GTM-Nutzerrollen und empfohlene Anwendungsfälle

Die GTM-API ermöglicht programmatische Verwaltung von Konten, Containern und Berechtigungen.

API-Schlüssel und Service-Account-Anmeldeinformationen sind mit der gleichen Sorgfalt zu schützen wie Administrator-Passwörter.

Übergreifende Empfehlungen und strategischer Ausblick

DSGVO-Konformität ist kein Zustand, den man einmal erreicht und dann abhaken kann.

Kein einmaliges Projekt

Rechtslage, Konfigurationen und Personalstrukturen ändern sich. Wer keine regelmäßigen Audits durchführt, schläft auf einem Pulverfass.

Ein Reifegradmodell für Data Governance kann helfen, den eigenen Stand zu bewerten und Verbesserungen zu planen. Die meisten KMU befinden sich irgendwo zwischen Stufe 2 und 3. Das ist kein Drama, solange man weiß, wo man steht und in welche Richtung man geht.

Regelmäßige Audits

Vierteljährliche oder halbjährliche Audits des gesamten Analyse- und Tag-Management-Setups sind kein Overkill, sondern Minimum.

Audit-Checkliste:

• Nutzerberechtigungen: Alle Nutzer und ihre Zugriffsebenen in GSC, GA4 und GTM überprüfen. Abgegangene Mitarbeiter und Ex-Dienstleister entfernen, übermäßige Rechte reduzieren. In GA4 liefert die Änderungshistorie eine Übersicht der Nutzeraktivitäten.
• Tool-Konfiguration: GA4-Datenaufbewahrung, Google Signals-Status und andere Datenschutzeinstellungen prüfen.
• Einwilligungsmechanismus: Consent-Banner testen, GTM-Vorschaumodus nutzen, um sicherzustellen, dass Tags korrekt auf Basis der Einwilligungsentscheidungen auslösen.
• Datenschutzerklärung: Sicherstellen, dass alle aktuellen Verarbeitungsaktivitäten korrekt abgebildet sind.

Rechtslage beobachten, Notfallplan entwickeln

Die Stabilität, die das DPF seit Juli 2023 bietet, steht auf wackligem Fundament. Ein vollständig besetztes, unabhängiges PCLOB ist eine Voraussetzung für den Angemessenheitsbeschluss. Beide Bedingungen sind seit Januar 2025 nicht mehr zuverlässig erfüllt. Schrems III ist kein apokalyptisches Gedankenspiel, sondern ein realistisches Szenario.

Strategische Maßnahmen:

• Alternativen kennen: EU-gehostete Analyseplattformen recherchieren und bewerten. Den Migrationsaufwand und die Kosten kennen, bevor man unter Druck handeln muss. Eine Übersicht über 14 getestete und bewertete Alternativen gibt es im separaten Beitrag zu GA4-Alternativen.
• Budget für Veränderungen einplanen: Eine erzwungene Migration weg von GA4 kostet Zeit und Geld. Das ist ein Geschäftsrisiko, das seinen Platz in der Budgetplanung hat.
• Serverseitiges Tracking prüfen: Eine serverseitige Infrastruktur gibt die nötige Kontrolle, um GA4 auch bei einer Verschlechterung der Rechtslage zumindest zeitweise konformer betreiben zu können, indem sichergestellt wird, dass keine personenbezogenen Daten übertragen werden.

Häufige Fragen