Ist Google Analytics 4 DSGVO-konform? Eine Analyse der Datenschutzversprechen

GA4 wurde als datenschutzfreundlichere Version von Google Analytics vermarktet, doch die grundlegenden DSGVO-Konformitätsprobleme bestehen fort. Mehrere europäische Datenschutzbehörden haben bestätigt, dass ihre Entscheidungen für alle Versionen gelten -- einschließlich GA4.

Was GA4 geändert hat

GA4 führte standardmäßige IP-Anonymisierung ein, reduzierte die Abhängigkeit von Cookies für einige Messungen und wechselte zu einem ereignisbasierten Datenmodell. Diese Änderungen stellen schrittweise Datenschutzverbesserungen dar.

Was GA4 nicht geändert hat

GA4 sammelt weiterhin personenbezogene Daten über Cookies und eindeutige Kennungen. Daten werden weiterhin an US-basierte Server übertragen. Google gilt weiterhin als Anbieter elektronischer Kommunikation, der den US-Überwachungspflichten unterliegt. Die verfügbaren Standardvertragsklauseln und technischen Maßnahmen schützen die Daten nicht ausreichend vor einem möglichen Zugriff der US-Regierung.

Regulatorische Position

Die CNIL und andere EU-Behörden haben ausdrücklich bestätigt, dass ihre Entscheidungen gegen Google Analytics unabhängig von Version oder Konfiguration gelten. Keine technische Einrichtung kann das grundlegende Problem lösen: Personenbezogene Daten werden in eine Jurisdiktion übertragen, in der sie von Geheimdiensten ohne angemessene Schutzmaßnahmen eingesehen werden können.

Das Urteil

GA4 ist aus denselben Gründen nicht DSGVO-konform wie Universal Analytics: Das Datentransferproblem ist strukturell, nicht technisch. Organisationen, die echte Konformität anstreben, benötigen Lösungen, die entweder keine personenbezogenen Daten erheben oder diese ausschließlich innerhalb der EU/des EWR verarbeiten.