Google Analytics 4 und DSGVO:Was es vor der Einwilligung sendet

Was GA4 beim Seitenaufruf tut: der Prüfstand

Die gängige Beschreibung von Google Analytics 4 stammt aus der Hersteller-Dokumentation. Wir haben es stattdessen gemessen. Der Prüfstand ist eine lokale Testseite ohne Cookie-Banner, die nichts bedient und damit den Zustand "vor jeder Entscheidung" nachbildet. Gemessen wurde am 29. Oktober 2026 in Chromium 153 (Playwright), mit einem frischen Browserkontext je Lauf, einer Wartezeit von 8 Sekunden nach dem Laden und einer Dummy-Messkennung ohne Konto. Jede Konfiguration lief dreimal. Als Befund gilt nur, was in allen drei Läufen identisch war.

Verglichen haben wir zwei Einbindungen: die Standard-Einbindung nach dem Google-Snippet (Skript laden, config senden) und eine gehärtete Variante mit Consent Mode, bei der alle vier Signale (ad_storage, ad_user_data, ad_personalization, analytics_storage) vor dem config-Aufruf auf denied stehen, Google-Signale und Anzeigenpersonalisierung abgeschaltet sind und die Anzeigendaten-Schwärzung (ads_data_redaction) aktiv ist.

Drei Befunde tragen den Rest dieser Seite.

1. Das Skript selbst ist schon die Verbindung. Der Abruf von gtag/js bei googletagmanager.com überträgt wie jede Verbindung die IP-Adresse des Besuchers an Google, bevor irgendetwas gemessen wird.
2. Consent Mode nahm die Cookies weg, nicht die Anfrage. In der gehärteten Variante blieben beide Cookies aus. Die Messanfrage ging trotzdem hinaus, mit gcs=G100 und demselben Satz Parameternamen, darunter cid, sid, dl und dt. Welche Werte darin standen, erfasst der Prüfstand bewusst nicht. Wir können sagen, dass die Anfrage existiert und welche Felder sie hat, nicht, was in den Feldern steht.
3. Es braucht keinen Klick und keine Interaktion. Innerhalb der 8 Sekunden Wartezeit, ohne Scrollen und ohne Klick, lief die Anfrage in beiden Varianten durch.

Ein Detail für alle, die selbst messen: GA4 sendete nicht an www.google-analytics.com, sondern an region1.google-analytics.com. Wer nur nach dem alten Host filtert, übersieht die Anfrage. Wo Google welchen Regionalhost verwendet, haben wir nicht untersucht.

Die Bilanz im Korpus: vor, nach und ohne Einwilligung

Ein Prüfstand zeigt, was möglich ist, der Korpus, was verbreitet ist. Grundlage sind Scans seit dem 1. Oktober 2026 (Stand B): 2.188.885 Websites, jeweils der letzte erfolgreiche Scan, davon 1.049.885 mit und 1.139.000 ohne erkanntes Banner. Auf 335.815 Seiten (15,34 %) haben wir eine GA4-Anfrage gesehen. Die folgende Tabelle zerlegt diese Zahl überschneidungsfrei; alle Anteile haben den Nenner 2.188.885.

Die 15,34 % sind also keine Quote von Verstößen: Knapp die Hälfte der Seiten mit GA4-Anfrage (170.309) lädt es erst nach dem Klick, was der erwartete Fall ist. Bei den 15.544 Stubs trägt jedes Signal analytics_storage=denied, keines granted. Seiten, die in mehr als einer Zeile stehen, gibt es nicht.

Wie diese Zahlen zu lesen sind

Die Banner-Spalte ist der Test, ob das Banner hält, was es verspricht. Von den 268.586 Banner-Seiten mit GA4-Anfrage laden 87.534 (32,6 %) das Tool schon vor dem Klick. Bei den übrigen ist es vor dem Klick nicht als Anfrage zu sehen.

Die Spalte ohne Banner ist anders gebaut. Wo der Scanner kein Banner findet, gibt es keinen Klick und damit keine Phase nach der Einwilligung. Dass dort 0 Seiten "nur nach der Einwilligung" stehen, ist Definition, kein Befund. Die beiden Spalten sind deshalb keine gleich gemessene Verbreitung. Und "ohne erkanntes Banner" heißt nicht "ohne Banner": Eigenbau-Banner und seltene Consent-Manager kann der Scanner übersehen.

Eine zweite Zählweise ergibt eine etwas niedrigere Quote. Von den 149.962 Seiten haben 149.559 einen Ziel-Host im SSL-Check; das sind 130.512 verschiedene Hosts, weil sich 19.047 Seiten (12,7 %) den Host mit einer anderen Seite teilen (Alias, Weiterleitung). Rechnet man pro Host statt pro Seite, ergibt sich grob 5,98 % (6,85 % × 130.512 / 149.559). Wir zitieren die seitenbezogene Zahl und nennen diese als Untergrenze der Zählweise.

Stände nicht mischen. In einer früheren Auswertung über 4.920.998 Seiten seit dem 8. August (Stand A, gemischte Scanner-Stände) lag der Wert bei 5,82 %. Dass Stand B höher liegt, erklärt sich nicht allein mit dem Scanner-Fix für regionale GA4-Endpunkte vom 29. September: Bei denselben Seiten mit altem Scan ab dem 19. August (gleicher Fingerprint-Stand) steigt GA4 von 5,18 auf 6,75 %. Wie viel davon der Fix und wie viel echte Änderung im Web ist, lässt sich nicht trennen. Zur Einordnung: Die ältere Bibliothek Universal Analytics lädt noch auf 2,64 % der Seiten (57.758, Stand B), obwohl Google die Verarbeitung im Juli 2024 eingestellt hat.

Cookies vor der Einwilligung: das Muster auf den Seiten

Das Cookie-Aggregat liegt nur für Stand A vor (4.920.998 Seiten seit dem 8. August, gemischte Scanner-Stände) und steht deshalb getrennt von der Bilanz oben. Gezählt sind die 337.883 Seiten, auf denen GA4 nach der Zählweise des Cookie-Abschnitts vor der Einwilligung lädt. Die Zahl liegt über der strengen Zählung desselben Stands (286.427); die Auswertung erklärt die Differenz nicht.

Belegt: Auf drei von vier dieser Seiten steht neben der Anfrage schon ein GA-Cookie, es ist also nicht nur ein Ping. Die Namenslisten sind eine Annahme unseres Auswertungsskripts, und andere Dienste auf denselben Seiten setzen ebenfalls Cookies. Vermutung, nicht belegt: Die übrigen 25 % ohne GA-Cookie sind mit Consent Mode oder cookielosen Konfigurationen vereinbar. Dazu ein Gegenstück, ebenfalls Stand A: Auf 1,60 % aller Seiten steht vor der Einwilligung ein GA-Cookie, ohne dass der Scanner eine GA-Anfrage gesehen hat.

Consent Mode: was er leistet und was nicht

Consent Mode ist der Mechanismus, mit dem Google-Tags den Einwilligungsstatus des Besuchers erfahren. Er ist eine Schnittstelle zwischen Ihrem Consent-Tool und den Google-Tags, kein Datenschutz-Schalter.

Die Hersteller-Dokumentation und der Prüfstand widersprechen sich nicht, sie beantworten verschiedene Fragen. Google beschreibt, was in den Cookies passiert, der Prüfstand zeigt, dass es die Verbindung gibt. Nur Advanced erlaubt in GA4 die Modellierung fehlender Daten, dafür gibt es die Verbindung vor der Entscheidung.

Wie der Scanner Consent Mode behandelt

Der Scanner liest das Signal in der Messanfrage: gcs und gcd kodieren nach der Auswertung unseres Scanners den Einwilligungsstatus (unsere Lesart aus Beobachtung, keine geprüfte Herstellerangabe). Eine Anfrage mit gesperrtem Analyse-Signal führen wir nicht als Befund vor der Einwilligung, weil in diesem Zustand laut Google keine Analytics-Cookies entstehen; das sind die 15.544 Stubs der Bilanz. Das gemessene Verhalten schlägt aber die Selbstauskunft. Trägt dieselbe Seite vor dem Klick trotz gesperrtem Signal ein GA-Cookie, wird das Signal nicht als Entlastung gewertet. Trägt der Ping identifizierende Zusatzfelder, geht der Fall zur manuellen Prüfung. Ein gesperrtes Signal ist ein Hinweis, kein Freibrief.

Die häufigste Konfigurationsfalle: die Reihenfolge

Laut Google muss der Standardwert für die Einwilligung gesetzt werden, bevor ein Befehl Messdaten sendet, also vor config und event; sonst greifen die Standardwerte nicht. Lädt das Consent-Tool später als das Tag, gibt wait_for_update ihm eine Zeitspanne in Millisekunden, um den Status nachzureichen. Die gehärtete Variante des Prüfstands sah so aus (Messkennung als Platzhalter). Ihre Messanfrage kam bei 699 ms, die der Standard-Variante bei 182 ms; das ist eine Beobachtung, keine Erklärung.

gtag('consent', 'default', {
  ad_storage: 'denied', ad_user_data: 'denied',
  ad_personalization: 'denied', analytics_storage: 'denied',
  wait_for_update: 500
});
gtag('set', 'ads_data_redaction', true);
gtag('js', new Date());
gtag('config', 'G-XXXXXXXXXX', {
  allow_google_signals: false,
  allow_ad_personalization_signals: false
});

Auch diese Konfiguration sendete die Messanfrage mit gcs=G100. Wer vor der Entscheidung keine Verbindung zu Google haben will, lädt das Skript erst nach der Freigabe der Kategorie Statistik (Basic) und prüft danach im Netzwerk-Reiter, nicht im Consent-Tool, was tatsächlich ausgeht. Das gilt für jede Einbindung, auch die im Theme, im Plugin oder im Tag-Manager-Container.

Rechtliche Einordnung mit Fundstellen

Die folgenden Aussagen stützen sich auf Gesetzestext, Urteile und die Orientierungshilfe der Datenschutzkonferenz. Wo es Auffassung ist und nicht Gesetz, steht das dabei. Eine Rechtsberatung ersetzt das nicht.

Zugriff auf das Endgerät: § 25 TDDDG

§ 25 Abs. 1 TDDDG macht das Speichern von Informationen im Endgerät oder den Zugriff darauf von der Einwilligung des Endnutzers abhängig, auf Grundlage klarer und umfassender Informationen. Abs. 2 Nr. 2 nimmt aus, was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst erbracht werden kann. Der EuGH hat im Fall Planet49 (C-673/17) klargestellt, dass die Einwilligung aktiv erteilt werden muss; ein vorab gesetztes Häkchen genügt nicht.

Ob Reichweitenmessung unter die Ausnahme fällt, ist der Kern des Streits. Die Orientierungshilfe verzichtet ausdrücklich auf eine generelle Aussage (Rn. 87) und hält fest, dass auch die einfache Messung von Besucherzahlen nicht per se Bestandteil des Basisdienstes ist, sondern vom konkret verfolgten Zweck abhängt (Rn. 90). Eine Festlegung ohne Einwilligung könne allenfalls für eine genau definierte Konfiguration und Zweckbestimmung getroffen werden und gelte nicht mehr, wenn weitere Informationen über Nutzende oder ein weiteres Auswertungsergebnis hinzukommen (Rn. 89). Drittanbieter verarbeiten zur Reichweitenmessung regelmäßig weitgehende Informationen über Nutzende (Rn. 88). Unsere Einordnung: Für einen Dienst mit Verhaltensanalyse, Geräteinformationen und Quellenauswertung, wie ihn GA4 bietet, bleibt in der Praxis meist nur die Einwilligung.

Rechtsgrundlage, Auftragsverarbeitung, berechtigtes Interesse

Die Aufsichtsbehörden halten im Zusammenhang mit Tracking fest, dass die Voraussetzungen des berechtigten Interesses nur in wenigen Konstellationen erfüllt sind (Rn. 109). Verarbeitet ein eingebundener Dienstleister die Daten auch zu eigenen Zwecken, auch nur abstrakt vorbehalten, überschreitet das nach ihrer Auffassung den Rahmen einer Auftragsverarbeitung, und für die Übermittlung, auch der bloßen IP-Adresse, kann das berechtigte Interesse dann in der Regel keine wirksame Grundlage sein (Rn. 111).

Für GA4: Laut Google-Hilfe ersetzen die Datenverarbeitungsbedingungen den bisherigen Zusatz zur Datenverarbeitung. Für Kunden mit Sitz im EWR, im Vereinigten Königreich oder in der Schweiz sind sie nach Googles Angabe bereits Teil der Vereinbarungen, andere Kunden müssen sie in den Kontoeinstellungen akzeptieren. Die Hilfeseite nennt Google nicht ausdrücklich Auftragsverarbeiter; die Einordnung als Auftragsverarbeitung ist unsere Lesart, und Rn. 111 ist eine Prüffrage, keine Feststellung zu Google. Ob die Datenfreigaben Ihres Kontos (zum Beispiel für Googles eigene Zwecke) so stehen, wie Sie es in Verzeichnis und Datenschutzerklärung beschreiben, sieht keine Messung von außen.

Drittland: Data Privacy Framework

Die Kommission hat mit dem Angemessenheitsbeschluss vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795) das Data Privacy Framework anerkannt. Das Gericht der EU hat eine Nichtigkeitsklage dagegen am 3. September 2025 abgewiesen (T-553/23). Gegen das Urteil wurde am 31. Oktober 2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P, Latombe/Kommission; laut InfoCuria am 29. Oktober 2026 als anhängig geführt); eine Entscheidung in der Hauptsache ist uns nicht bekannt. Der Beschluss gilt nach unserem Kenntnisstand weiter. Ob Google als Empfänger zertifiziert ist, zeigt die Teilnehmerliste auf dataprivacyframework.gov; wir haben das für diese Seite nicht geprüft. Die Drittlandfrage ist zusätzlich zur Rechtmäßigkeit zu prüfen (Rn. 113 und 114).

In Complianty ist GA4 mit der Stufe "safeguarded" geführt: USA, Grundlage Data Privacy Framework und Standardvertragsklauseln (Stand Code 29. Oktober 2026). Die Stufe sagt, dass eine dokumentierte Grundlage besteht, nicht, ob sie im Streitfall trägt.

Speicherdauer im Konto

Die Aufbewahrungsdauer für Ereignisdaten stellen Sie in GA4 selbst ein. Laut Google-Hilfe sind bei Standard-Properties 2 oder 14 Monate wählbar, bei 360-Properties zusätzlich 26, 38 und 50 Monate; Daten zu Alter, Geschlecht und Interessen werden unabhängig von der Einstellung nach 2 Monaten gelöscht. Einen Standardwert nennt die Hilfeseite nicht. Ein Scan sieht die Einstellung nicht.

Was ein Scan bei GA4 nicht sieht

• Serverseitiges oder über die eigene Domain geleitetes GA4 ist für die URL-Erkennung unsichtbar. In Stand A zeigten 150.838 Seiten ein schwaches GA4-Signal im Seitenaufbau ohne passende Anfrage. Das sind Hinweise, keine Treffer, und sie stehen in keiner Quote oben (Hintergrund zur Erkennung).
• Unterseiten mit eigenem Tracking, etwa ein Shop oder eine Landingpage, haben ihre eigene Einbindung. Unsere Quoten kennen nur den ersten Seitenaufruf.
• GA4 hinter einem Container: Der Tag Manager lädt GA4, das Consent-Tool kennt aber nur das GA4-Skript. Das Muster behandelt die Seite zum Google Tag Manager.

Wo GA4 in Complianty auftaucht

Der Scanner lädt jede Kundenseite in einem frischen Browser und trennt die Anfragen vor und nach dem Einwilligungsklick. Lädt GA4 davor, entsteht ein To-Do am Mandanten mit einem Beweis-Block, der die redigierte Anfrage, den Zeitpunkt relativ zum Klick und das dekodierte Consent-Signal zeigt. Ein gesperrtes Signal mit Zusatzfeldern geht zur Prüfung statt als sicherer Befund. Der Dienst erscheint außerdem im AVV-Tracker und im Verarbeitungsverzeichnis des Mandanten, und die Datenschutzerklärung wird gegen beide abgeglichen. Mehr zur Messung steht in der Scanner-Methodik.