Klar eingeordnet - Google-Analytics-Alternative DSGVO-konform

Verboten haben Aufsichtsbehörden Google Analytics nie, sie haben seine Datenflüsse nur schwer begründbar gemacht, weshalb eine Google-Analytics-Alternative DSGVO-konform auszuwählen damit beginnt, weniger zu erheben.

Teams ersetzen Google Analytics nicht nur, weil die Regulierungsbehörden es erwähnt haben. Sie ersetzen es, weil das alte Analyseabkommen schwieriger zu verteidigen ist: mehr Zustimmungskonflikte, mehr Übertragungsanalysen, mehr Werbeintegration, mehr Komplexität und weniger Vertrauen seitens datenschutzbewusster Benutzer.

Eine bessere Alternative ist nicht einfach „nicht Google“. Es sollte ein anderes Datenmodell haben. Wenn ein neues Tool außerdem auf dauerhaften Identifikatoren, umfassender Profilerstellung, Anzeigenaktivierung und internationalen Übertragungen basiert, kann es sein, dass die gleiche Compliance-Arbeit unter einer anderen Marke erneut durchgeführt wird.

Beginnen Sie mit dem eigentlichen GDPR-Problem

Bei der Verarbeitung personenbezogener Daten gilt der GDPR. Analysedaten sind personenbezogen, wenn sie Kennungen, Geräteinformationen, einen IP-abgeleiteten Standort, URLs mit persönlichen Daten, Konto IDs oder Verhaltensverläufe, die eine Person identifizieren, umfassen.

Mehrere europäische Behörden haben Google Analytics nach Schrems II unter die Lupe genommen, weil Besucherdaten in die Vereinigten Staaten übertragen wurden. In den Leitlinien der CNIL zur Zielgruppenmessung wird erläutert, dass sich Übertragungen an zertifizierte US-Entitäten auf das EU-US-Datenschutzrahmenwerk stützen können, es werden jedoch auch Proxying und technische Maßnahmen hervorgehoben, bei denen Übertragungen weiterhin problematisch sind (CNIL-Leitlinie).

In der eigenen Dokumentation von Google heißt es, dass GA4 keine IP-Adressen protokolliert oder speichert und Datenschutzkontrollen für Werbefunktionen und -speicherung enthält (Google Analytics-Schutzmaßnahmen). Diese Kontrollen sind wichtig, aber die GDPR-Auswertung ist umfassender als die IP-Speicherung. Sie müssen weiterhin Identifikatoren, Einwilligungen, Übertragungen, Zweckbindung und Integrationen berücksichtigen.

Kriterien für eine datenschutzorientierte Alternative

Suchen Sie nach einer Messung ohne Cookies. Wenn das Produkt Seitenaufrufe, Verweise, Kampagnen, Ziele und Trichter messen kann, ohne dauerhafte Besuchercookies zu setzen, werden sowohl die Einwilligung als auch die Genauigkeit einfacher.

Prüfen Sie, ob Daten Werbung einspeisen. Ein Website-Analysetool sollte Anzeigenprofile nicht automatisch anreichern oder Zielgruppen mit Werbenetzwerken synchronisieren. Wenn Sie eine Werbeaktivierung benötigen, bewahren Sie diese getrennt und mit Einwilligungsschutz auf.

Überprüfen Sie die Hosting- und Übertragungsmechanismen. EU-Hosting ist hilfreich, aber auch juristische Person, Support-Zugang, Unterauftragsverarbeiter und Weiterleitungen sind wichtig. Wenn sich der Anbieter auf das EU-US-Datenschutzrahmenwerk verlässt, überprüfen Sie die Zertifizierung und den Umfang. Wenn es auf SCCs angewiesen ist, fordern Sie die Transfer-Impact-Analyse und ergänzende Maßnahmen an.

Bewerten Sie die Aufbewahrung. Eine kürzere Aufbewahrung verringert das Risiko. Für Standortentscheidungen reichen in der Regel langfristige aggregierte Trends aus; Rohe Historien auf Ereignisebene sollten standardmäßig nicht für immer bestehen bleiben.

Lesen Sie den DPA. Der Anbieter sollte eine klare Datenverarbeitungsvereinbarung, eine Liste der Unterauftragsverarbeiter, eine Sicherheitsdokumentation und einen Löschprozess anbieten.

Testleistung. Analyseskripte können sich auf Core Web Vitals auswirken, wenn sie umfangreich sind, blockieren oder mit Tag-Manager-Overhead belastet sind. Ein leichtgewichtiges Skript ist nicht nur schneller; es ist einfacher zu prüfen.

Migrationscheckliste

Exportieren Sie vor dem Entfernen von GA die Berichte, die Sie noch benötigen. Universal Analytics hat die Verarbeitung neuer Daten für Standard-Properties bereits eingestellt und GA4 hat sie als aktuelle Plattform von Google ersetzt (Ersetzungsmitteilung für Google UA). Behalten Sie historische Dashboards, Namenskonventionen für Kampagnen, Conversion-Definitionen und Berichtsanforderungen für Stakeholder bei.

Dann definieren Sie den kleineren Messplan:

• Top-Seiten und Zielseiten;
• Referrer und Kampagnen-UTMs;
• Ziele wie Anmeldung, Demo, Kauf oder Newsletter;
• Trichter für kritische Reisen;
• Trends auf Geräte-, Browser- und Länderebene;
• Ausschlüsse für internen und Bot-Verkehr;
• Aufbewahrungs- und Exportbedürfnisse.

Installieren Sie das neue Tool zunächst auf einer Staging-Site. Vergleichen Sie Seitenaufrufe, Referrer und Conversions für einen kurzen Zeitraum mit Serverprotokollen oder Backend-Ereignissen. Unterschiede sind normal, insbesondere wenn das alte Tool auf genehmigte Cookies angewiesen war. Entscheidend ist, ob die neuen Daten konsistent genug sind, um Entscheidungen zu unterstützen.

Vermeiden Sie die Feature-Falle

GA4 ist leistungsstark, aber viele Teams nutzen nur einen kleinen Teil davon. Wenn Ihre eigentlichen Fragen lauten: „Welche Seiten konvertieren?“, „Welche Kampagnen bringen Testversionen?“ und „Wo fällt das Onboarding ab?“, ist ein einfacheres Tool die bessere Wahl.

Kaufen Sie keinen Ersatz, indem Sie alle GA-Funktionen eins zu eins anpassen. Fragen Sie, welche Funktionen Sie tatsächlich genutzt haben, welche Berichte zu Maßnahmen geführt haben und welche Nachverfolgung ein Risiko ohne Wert geschaffen hat.

Die beste GDPR-Alternative ist ein kleinerer Datenbedarf

Die GDPR-Compliance ist einfacher, wenn Ihre Analysearchitektur bescheiden ist. Sammeln Sie aggregiertes Verhalten, vermeiden Sie die Identifizierung von Besuchern, verkaufen oder teilen Sie keine Daten, halten Sie Übertragungen einfach und stellen Sie eine transparente Dokumentation bereit.

Das ist der wahre Grund, warum Privacy-First-Analysen attraktiv sind. Es verspricht nicht, dass die Compliance verschwindet. Dadurch lässt sich die Compliance-Story leichter nachweisen, da das Produkt von Anfang an auf Minimierung ausgelegt war.

Fragen an Anbieter

Wenn Sie Alternativen vergleichen, fragen Sie die Anbieter nach präzisen Antworten: Setzen Sie Cookies? Erstellen Sie dauerhafte Besucherkennungen? Werden Daten für Werbung genutzt oder an Dritte weitergegeben? Wo werden Daten verarbeitet? Welche Unterauftragsverarbeiter werden eingesetzt? Wie lange werden rohe Ereignisdaten aufbewahrt? Können Kunden Website-Daten löschen? Was passiert, wenn ein Besucher ein Do Not Track- oder Global Privacy Control-Signal sendet? Bieten Sie ein DPA an?

Bitten Sie um eine Implementierungsdokumentation, nicht nur um Marketingaussagen. Ein Anbieter, der sagt, dass er „GDPR-freundlich“ sei, sollte erklären können, warum: Datenminimierung, rechtmäßige Rollen, Übertragungsmechanismus, Aufbewahrung, Einwilligungsverhalten und Sicherheitskontrollen.

Führen Sie abschließend vor dem Kauf einen Browsertest durch. Installieren Sie das Skript auf einer Testseite und prüfen Sie die Anfragen. Die besten Datenschutzansprüche sind diejenigen, die Sie im Netzwerk-Panel überprüfen können.

Checkliste für Lieferantenentscheidungen

Wählen Sie die Alternative, die den kleinsten nützlichen Datenfluss leicht verifizierbar macht. Bevor Sie sich abmelden, bestätigen Sie die Cookies oder das Speicherverhalten des Tools, die Ereignisnutzdaten, den Hosting-Standort, die Unterauftragsverarbeiter, die Aufbewahrungseinstellungen, den Löschvorgang und die DPA-Bedingungen.

Testen Sie dann das Skript auf einer Staging-Seite. Eine gute GDPR-Alternative sollte es Ihnen ermöglichen, den Messplan in einfacher Sprache zu erklären und ihn im Browser zu beweisen, nicht nur in einer Anbietervergleichstabelle.

Häufig gestellte Fragen

Verbietet die DSGVO Google Analytics?

Regulierungsbehörden haben Google Analytics nie verboten, sie haben es schwer gemacht, seine Datenflüsse zu rechtfertigen. Die Alternativen, die Aufsichtsbehörden akzeptieren, beginnen damit, weniger Daten zu erheben, statt GA4 Funktion für Funktion nachzubilden.

Ist GA4 allein schon DSGVO-konform?

Gooogles eigene Dokumentation besagt, dass GA4 keine IP-Adressen protokolliert oder speichert und Kontrollen für Werbefunktionen und Aufbewahrung bietet. Die DSGVO-Bewertung geht aber über die IP-Speicherung hinaus. Identifikatoren, Einwilligung, Übertragungen, Zweckbindung und Integrationen müssen ebenfalls berücksichtigt werden.

Warum haben europäische Behörden Google Analytics genau geprüft?

Mehrere europäische Behörden prüften Google Analytics nach Schrems II, weil Besucherdaten in die USA übertragen wurden. Die Leitlinien der CNIL erklären, dass Übertragungen an zertifizierte US-Unternehmen auf dem EU-US Data Privacy Framework beruhen können, weisen aber auch auf Proxying und technische Maßnahmen hin, wo Übertragungen weiterhin problematisch bleiben.

Was ist mit Universal Analytics passiert?

Universal Analytics verarbeitet für Standardproperties bereits keine neuen Daten mehr, GA4 hat es als aktuelle Plattform von Google abgelöst.

Muss eine DSGVO-Alternative vollständig auf Cookies verzichten?

Cookiefreie Messung ist das Ziel. Wenn ein Tool Seitenaufrufe, Referrer, Kampagnen, Ziele und Funnels ohne persistente Besucher-Cookies messen kann, werden Einwilligung und Genauigkeit einfacher.

Sollten Analytics-Daten in Werbeprofile einfließen?

Ein Website-Analytics-Tool sollte Werbeprofile nicht automatisch anreichern oder Zielgruppen mit Werbenetzwerken synchronisieren. Wer Werbeaktivierung braucht, sollte sie getrennt halten und an eine Einwilligung koppeln.

Was sollte ich einen Anbieter zu Datenübertragungen fragen?

Fragen Sie nach der juristischen Einheit, dem Support-Zugriff, den Subunternehmern und den Weiterübertragungen. Beruft sich der Anbieter auf das EU-US Data Privacy Framework, prüfen Sie Zertifizierung und Geltungsbereich; bei SCCs verlangen Sie die Transfer-Folgenabschätzung und ergänzende Maßnahmen.

Wie lange sollten Rohdaten aufbewahrt werden?

Kürzere Aufbewahrung verringert das Risiko. Langfristige aggregierte Trends reichen für Website-Entscheidungen meist aus, Rohdaten auf Ereignisebene sollten nicht standardmäßig unbegrenzt gespeichert bleiben.

Kann ein Analytics-Skript meine Website verlangsamen?

Ja, Analytics-Skripte können Core Web Vitals beeinträchtigen, wenn sie schwer, blockierend oder mit Tag-Manager-Overhead geladen werden. Ein schlankes Skript ist nicht nur schneller, es lässt sich auch leichter prüfen.

Was sollte ich vor dem vollständigen Wechsel des Analytics-Tools testen?

Installieren Sie das neue Tool zunächst auf einer Staging-Seite. Vergleichen Sie Seitenaufrufe, Referrer und Conversions für einen kurzen Zeitraum mit Serverlogs oder Backend-Events. Abweichungen sind normal, besonders wenn das alte Tool auf eingewilligten Cookies beruhte.