DSGVO-konforme Analytics: Tools, Alternativen, Rechtsgrundlagen

Was DSGVO-konform wirklich heißt

Die DSGVO verlangt nicht „kein Tracking". Sie verlangt: eine nachvollziehbare Rechtsgrundlage, transparente Information der Nutzer, Umsetzung der Betroffenenrechte und technische Maßnahmen zum Schutz der Daten. Für Web-Analytics bedeutet das in der Praxis zwei Wege. Entweder eine valide Einwilligung einholen und messbar akzeptieren, dass ein Teil der Nutzer ablehnt. Oder auf Technologien setzen, die gar keine personenbezogenen Daten verarbeiten und damit ohne Banner auskommen.

Der zweite Weg ist 2026 der ruhigere. Cookielose, EU-gehostete Analytics erfasst aggregierte Reichweiten-Daten ohne Cookie, ohne IP-Speicherung, ohne Drittländer-Transfer. Kein Banner, kein Consent-Verlust, volle Abdeckung. Der Preis dafür ist weniger Granularität bei Attribution und Retargeting. Wer Google Ads mit Smart Bidding fährt, kommt um GA4 und ein sauberes Consent-Setup nicht herum.

Die besten DSGVO-konformen Google-Analytics-Alternativen

Es gibt keine einzelne beste Alternative, sondern eine je nach Setup. Vier Tools decken die meisten Fälle im DACH-Markt ab. Die Entscheidung fällt entlang von drei Fragen: Wie viel Attribution-Tiefe brauchen Sie, wie viel Self-Hosting-Aufwand ist vertretbar, und wie streng ist die EU-Cloud-Vorgabe im Haus.

Plausible Community Edition ist der Default für Content-Sites, Agenturen und Lead-Gen ohne tiefes Attribution-Modell. Cookiefrei, kein Banner, DSGVO-unkritisch, selbst gehostet in der EU. Der Funktionsumfang ist bewusst schmal: Reichweite, Quellen, Ziele. Details zur Einordnung stehen auf derPlausible-CE-Seite im Integrations-Katalog.

Matomo ist die mächtigere Open-Source-Option mit voller Datenhoheit. Es kann Cookies setzen und Heatmaps, Session-Recordings oder A/B-Tests abbilden. Je nach Konfiguration wird dann wieder ein Consent-Banner nötig. Sinnvoll für flexible Setups, die mehr als reine Reichweite brauchen und den Betrieb selbst stemmen.

Piwik PRO ist die Enterprise-Wahl aus Polen, mit EU-Servern und integriertem CMP. Technisch nah an GA4, rechtlich deutlich unkritischer. Die richtige Antwort für regulierte Branchen wie Banking oder Healthcare und für Konzerne mit expliziter EU-Cloud-Vorgabe. Mehr dazu auf derPiwik-PRO-Seite.

etracker ist die deutsche Antwort für KMU, die eine gehostete Lösung ohne Self-Hosting wollen. Server in Hamburg, cookieloser Betrieb möglich, Freigabe ohne Banner im datenschutzorientierten Modus. Der Funktionsumfang liegt zwischen Plausible und Matomo, der Preis im Mittelfeld.

Die fünf gängigen Tools im Vergleich

GA4 DSGVO-konform machen: die Checkliste

GA4 bleibt Pflicht, wenn Google Ads mit Smart Bidding, Enhanced Conversions oder Audiences ausgespielt werden. Rechtlich sauber wird der Betrieb erst mit dieser Konfiguration, die Standard-Einstellungen reichen nicht.

• DPA mit Google Ireland abschließen, nicht mit Google LLC.
• IP-Anonymisierung aktiviert, bevor Daten an Google gehen.
• Consent Mode V2 korrekt verdrahtet, mit einer CMP dahinter, nicht als Ersatz für sie.
• CMP-Integration mit Pre-Consent-Scan und sauberer Kategorisierung der Tags.
• Datenspeicherung auf 14 Monate begrenzt statt der voreingestellten Maximaldauer.
• US-Transfer bewusst entschieden und dokumentiert, siehe der nächste Abschnitt.

Server-Side GTM setzt oben drauf: Es filtert PII, bevor sie Google erreicht, und macht den Consent-State serverseitig überprüfbar. Wie das im Detail aussieht, steht imMeasurement & Privacy Engineering.

Schrems II und der US-Datentransfer

Der wunde Punkt jedes US-Tools ist der Datentransfer in die USA. Nach dem Schrems-II-Urteil (2020) fiel der Privacy Shield, Standard Contractual Clauses allein reichten seither nicht. Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine Angemessenheits-Grundlage für zertifizierte US-Anbieter, Google ist zertifiziert. Damit ist GA4 auf einer belastbareren Basis als noch 2022.

Belastbar heißt nicht endgültig. Das Framework steht politisch unter Beobachtung und kann wie seine beiden Vorgänger vor dem EuGH scheitern. Wer dieses Risiko nicht tragen will, hat zwei saubere Auswege: EU-Hosting (Piwik PRO, Matomo, etracker, Plausible CE) oder cookieloses Messen ohne personenbezogene Daten. In beiden Fällen entfällt die Transfer-Frage, weil kein personenbezogener Transfer stattfindet.

Brauche ich ein Cookie-Banner?

Die Banner-Frage entscheidet sich nicht am Tool-Namen, sondern an einer einzigen technischen Tatsache: Werden Cookies gesetzt oder personenbezogene Daten verarbeitet, die nicht technisch notwendig sind?

• Cookielos und ohne PII (Plausible CE, etracker Signalize): kein Banner nötig, keine Einwilligung erforderlich.
• Cookies oder personenbezogene Verarbeitung (GA4, Matomo mit Cookies, Ads-Pixel): Einwilligung vor dem ersten Tag, umgesetzt über eine CMP plus Consent Mode V2.

Ein falsch konfiguriertes Banner ist teurer als gar keins: Es vernichtet Daten durch unnötige Opt-outs und schützt trotzdem nicht, wenn Tags vor der Einwilligung feuern. Der Pre-Consent-Scan ist deshalb der erste Prüfpunkt in jedem Consent-Audit.

Server-Side Tracking als Daten-Booster

Unabhängig vom Tool: Server-Side GTM (etwa via stape.io) verbessert die Datenqualität deutlich, weil Tags im Server-Kontext ausgeführt werden statt im Browser. Ad-Blocker greifen nicht, First-Party-Cookies bleiben länger gültig, und Weiterleitungen an Drittanbieter lassen sich kontrollieren. PII wird gefiltert, bevor sie an Google geht, der Consent-State läuft serverseitig davor. Das ist keine Trickserei, sondern eine architekturale Verschiebung, die Messung und Datenschutz gleichzeitig verbessert.

Wann lohnt welches Tool

Plausible CE ist der Default, wenn kein tiefes Attribution-Modell nötig ist und die Seite primär Content, Leads oder Brand Awareness bedient. GA4 bleibt Pflicht, sobald Google Ads mit Smart Bidding, Enhanced Conversions oder Audiences läuft. Piwik PRO ist die Wahl für Enterprise-Kunden mit EU-Cloud-Vorgabe. Matomo passt, wenn Sie volle Datenhoheit und mehr als Reichweite brauchen. etracker ist der pragmatische Mittelweg für deutsche KMU ohne Self-Hosting-Kapazität. In vielen Setups ist die richtige Antwort eine Kombination: cookielos für die Reichweite, GA4 mit Consent für die Ads-Steuerung.

Nächster Schritt: den Stack festlegen

Analytics ist ein Baustein von vieren. Den kompletten Werkzeugkasten, CMPs, Server-Side Tagging, Warehouse und Hosting mit DSGVO-Status je Tool, zeigt die Übersicht DSGVO-Tools für den Marketing-Stack.

Unsicher, welche Kombination zum Setup passt? DerDSGVO-Stack-Calculator zeigt in zwei Minuten die sinnvollste Kombination aus Analytics-Tool, Consent-Layer und Hosting, basierend auf Traffic-Profil, Marketing-Kanälen und Branche. Wer das bestehende Setup lieber prüfen lassen will, startet mit einem Audit Sprint: priorisierter Report, konkrete Handlungsliste, 90-Minuten-Walkthrough.