Kernpunkt: Rechtlich sauber und technisch funktionierend sind zwei verschiedene Prüfungen. Ein Cookie-Banner beantwortet nur die erste. Bei meinen Prüfungen 2026 saß die teuerste Lücke hinter dem Banner, nicht im Banner: ein Ereignis, das auf einer wichtigen Seite nie ausgelöst wurde.
Die kurze Antwort: Banner, Consent Mode und Ereignisse gehören zusammen
DSGVO-konformes Tracking mit Google Analytics 4 braucht drei Teile, die zusammenpassen: einen Cookie-Banner, bei dem Zustimmen und Ablehnen gleich einfach sind, den Consent Mode, der Googles Werkzeugen diese Entscheidung mitteilt, und Ereignisse, die Anfragen tatsächlich zählen. Fehlt einer davon, ist das Tracking rechtlich angreifbar oder blind.
Überall heißt es: Banner drauf, Google Analytics rein, fertig. Aus meiner Arbeit mit kleinen Betrieben und Vereinen sehe ich das anders. Der Banner ist der sichtbare Teil, deshalb kümmern sich alle um ihn. Die meisten Probleme sitzen dahinter, dort, wo niemand hinschaut, solange die Statistik irgendwelche Zahlen zeigt.
Für dich heißt das: Prüf nicht nur, ob ein Banner erscheint. Prüf, was nach dem Klick passiert, und zwar auf jeder Seite, auf der jemand bei dir anfragen kann.
Wann brauchst du in Österreich einen Cookie-Banner?
Sobald deine Website Cookies oder ähnliche Technik einsetzt, die für den Betrieb der Seite nicht unbedingt nötig ist, brauchst du vorher eine Einwilligung. Das regelt in Österreich § 165 Abs. 3 Telekommunikationsgesetz 2021. Analyse- und Werbe-Cookies fallen darunter, ein Warenkorb-Cookie in der Regel nicht.
Daraus folgt eine brauchbare Faustregel. Eine Website, die nur Text und Bilder vom eigenen Server ausliefert, kommt meist ohne Banner aus. Sobald Google Analytics, ein Meta-Pixel, ein eingebettetes YouTube-Video oder eine Google-Karte dazukommt, brauchst du ihn fast immer. Der Banner ist also keine Pflicht für jede Website, sondern die Folge dessen, was du einbaust.
Ablehnen muss so leicht sein wie Zustimmen
Die europäischen Datenschutzbehörden haben Cookie-Banner in einer gemeinsamen Arbeitsgruppe untersucht. Eine große Mehrheit hält einen Banner für einen Verstoß, der dort, wo man zustimmen kann, keine Möglichkeit zum Ablehnen anbietet. Vorausgewählte Häkchen führen laut demselben Bericht zu keiner gültigen Einwilligung, und auch ein Ablehnen-Link, der sich im Fließtext versteckt, wird dort als Problem genannt (Europäischer Datenschutzausschuss, Januar 2023).
Achtung: Ein großer Button „Alle akzeptieren“ und daneben nur ein kleiner Link „Einstellungen“ ist ein verbreitetes Muster. Es ist bequem und genau deshalb heikel, weil Ablehnen dann mehr Klicks kostet als Zustimmen. Ein zweiter, gleich gut sichtbarer Button „Ablehnen“ löst das.
Kann man Google Analytics 4 in Österreich DSGVO-konform nutzen?
Ja, mit Einwilligung und sauberer Einrichtung. Google Analytics speichert laut Google keine IP-Adressen von Nutzer:innen aus der EU (Google-Hilfe). Und seit dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework dürfen Daten an teilnehmende US-Unternehmen wieder übermittelt werden (EU-Kommission).
Der Haken: Beides ersetzt die Einwilligung nicht. Die IP-Frage und das Data Privacy Framework regeln, was mit den Daten passiert und wohin sie fließen. Ob überhaupt Cookies gesetzt werden dürfen, entscheidet weiter das Telekommunikationsgesetz, und dort steht: erst nach Zustimmung.
Dazu gehören zwei Handgriffe, die gern vergessen werden. Google Analytics gehört mit Zweck und Speicherdauer in die Datenschutzerklärung. Und die Aufbewahrungsdauer der Daten stellst du in den Einstellungen von GA4 bewusst ein, statt sie beim Standard zu belassen, ohne ihn zu kennen.
Tipp: Frag dich vor der Einrichtung, welche Frage dir die Statistik beantworten soll. Wer nur grob wissen will, wie viele Leute die Seite besuchen, braucht oft weniger, als er denkt. Wer Google Ads schaltet oder Anfragen einem Kanal zuordnen will, kommt an GA4 mit Einwilligung kaum vorbei.
Consent Mode v2: einfach oder erweitert?
Der Consent Mode teilt Googles Werkzeugen mit, ob jemand zugestimmt hat. In der einfachen Variante laden sie erst nach der Entscheidung im Banner, vorher geht nichts an Google. In der erweiterten Variante laden sie sofort und senden bei Ablehnung Pings ohne Cookies, aus denen Google fehlende Conversions schätzt (Google-Dokumentation).
Google kennt dafür mehrere Signale. Die wichtigsten sind analytics_storage für die Statistik, ad_storage für Werbe-Cookies sowie ad_user_data und ad_personalization für die Weitergabe von Daten zu Werbezwecken und personalisierte Anzeigen. Für Nutzer:innen im Europäischen Wirtschaftsraum verlangt Google nach seiner EU-Richtlinie zur Nutzereinwilligung, dass die nötigen Einwilligungen eingeholt werden, sonst kann Google die Nutzung seiner Produkte einschränken. Der Consent Mode ist der Weg, auf dem diese Information bei Google ankommt.
| Einfacher Consent Mode | Erweiterter Consent Mode | |
|---|---|---|
| Wann laden Googles Tags? | Erst nach der Entscheidung im Banner | Sofort beim Seitenaufruf |
| Was geht vor der Zustimmung an Google? | Nichts, auch nicht der Einwilligungsstatus | Pings ohne Cookies |
| Schätzung fehlender Conversions | Allgemeines Modell | Auf dein Konto angepasstes Modell |
| Passt eher für | Kleine Websites, Vereine, wenig Werbebudget | Laufende Google-Ads-Kampagnen mit Budget |
Welche Variante passt, ist eine Abwägung und keine Glaubensfrage. Die erweiterte liefert Google Ads bessere Schätzungen, schickt aber auch bei Ablehnung Signale. Die einfache überträgt vor der Zustimmung nichts und ist leichter zu erklären. Mein Standard bei Kundenseiten von kleinen Betrieben und Vereinen ist deshalb: Wer ablehnt, wird nicht gemessen. Für Entscheidungen reichen die Zahlen trotzdem. Auf meiner eigenen Website teste ich die erweiterte Variante. Wer dort mit der Anleitung unten nachsieht, findet deshalb schon vor der Zustimmung Pings ohne Cookies.
Installiert heißt nicht gemessen: was ich bei Prüfungen finde
Ein installiertes Google Analytics oder Meta-Pixel sagt nichts darüber, ob Anfragen ankommen. Bei Prüfungen finde ich regelmäßig Werkzeuge, die sauber laden und trotzdem das Wichtigste nicht zählen: ein Pixel ohne ein einziges Ereignis, einen Auslöser, der auf einer Unterseite nie greift, oder Ereignisse, die doppelt zählen.
Ein Beispiel von meiner eigenen Website: Eine Regel „Ereignis erstellen“ in GA4 kopierte jedes eigene Ereignis ein zweites Mal. Alle eigenen Ereignisse zählten doppelt, bis ich es bemerkt habe.
Diesen Fall nenne ich mit Absicht. Er zeigt, dass so etwas nicht nur bei schlecht betreuten Seiten passiert. Und einen Fehler in der Methode habe ich selbst gemacht: Ich habe den Quelltext einer Website nach Tracking-Codes durchsucht, nichts gefunden und daraus „kein Tracking“ geschlossen. Die Seite lud ihre Werkzeuge aber erst nach der Zustimmung, im ausgelieferten Quelltext standen sie deshalb gar nicht. Gerade die sauber gebauten Seiten sind für diese Prüfmethode unsichtbar.
Kernpunkt: Fehlt ein Ereignis auf einer Seite, während eine zweite Messung derselben Handlung dort zählt, ist das ein Messfehler und kein Nutzerverhalten. Typisch bei PDF-Downloads: Die eingebaute Download-Messung von GA4 zählt, das eigene Ereignis nicht.
So prüfst du dein Tracking selbst in 15 Minuten
Mit einem Browser, einem privaten Fenster und den Entwicklerwerkzeugen prüfst du die drei wichtigsten Punkte selbst: ob vor der Zustimmung etwas an Google geht, ob nach der Zustimmung Ereignisse ankommen und ob jede Anfrage-Möglichkeit auf jeder Seite zählt. Programmieren musst du dafür nicht.
- Vor der Zustimmung: Seite im privaten Fenster öffnen, mit F12 die Entwicklerwerkzeuge starten, Reiter „Netzwerk“, Filter auf
collect. Solange du im Banner nichts angeklickt hast, sollte dort bei einfachem Consent Mode nichts erscheinen. - Ablehnen: „Ablehnen“ klicken und die Seite neu laden. Es sollte weiter nichts mit
collectauftauchen. - Zustimmen: Neues privates Fenster, diesmal zustimmen. Jetzt erscheinen Anfragen mit
collect?v=2. Hinteren=steht der Name des Ereignisses, etwapage_view. - Anfragen auslösen: Telefonnummer antippen, Mail-Link klicken, Testformular absenden. Zu jeder Handlung sollte ein eigenes Ereignis erscheinen. Bequemer geht es mit dem Tag Assistant und der DebugView in GA4.
- Jede Seite: Schritt 4 auf jeder Seite wiederholen, die eine Anfrage auslösen kann: Kontakt, Angebotsseiten, Seiten mit PDF-Downloads. Eine Stichprobe auf der Startseite ist kein Test.
Tipp: Klick beim Testen bewusst auf den Button, der wirklich allem zustimmt. Viele Banner haben zwei ähnlich klingende Schaltflächen, und wer versehentlich „Nur notwendige“ erwischt, sieht null Anfragen und hält sein Tracking für kaputt.
Fünf Fehler, die ich immer wieder sehe
Die meisten Fehler bei Banner und Tracking sind klein und haben große Folgen: Werkzeuge laden vor der Zustimmung, Ablehnen ist versteckt, ein Auslöser prüft die Adresse zu streng, zwei wichtige Ereignisse hängen am selben Auslöser, oder GA4 zählt Ereignisse doppelt. Alle fünf lassen sich mit dem Test oben finden.
- Code doppelt eingebaut: Google Analytics steckt einmal im Tag Manager und einmal direkt im Theme oder in einem Plugin. Der direkte Code kümmert sich oft nicht um den Banner.
- Ablehnen versteckt: Zustimmen mit einem Klick, Ablehnen erst in den Einstellungen. Rechtlich heikel, siehe oben.
- „Endet auf“ statt „enthält“: Adressen bekommen hinten gern etwas angehängt, Versionsnummern oder Kampagnen-Parameter. Ein Auslöser, der auf das Ende der Adresse prüft, übersieht diese Fälle.
- Zwei harte Ereignisse an einem Auslöser: Fällt der Auslöser aus, verschwinden genau die beiden wichtigsten Zahlen, während Besuche und Scrolltiefe normal weiterlaufen.
- Doppelte Ereignisse: Sind alle Tageswerte eines Ereignisses gerade Zahlen, lohnt ein Blick in die GA4-Einstellungen unter „Ereignisse erstellen“.
Wenn du Google Ads schaltest, sind diese Fehler besonders teuer, weil die Werbung mit falschen Zahlen gesteuert wird. Wie eine Kampagne aufgebaut ist und warum sie Conversions braucht, steht im Beitrag Google Ads für Einsteiger. Für Vereine mit Google Ad Grants gilt dasselbe: Google verlangt dort eine funktionierende Conversion-Messung. Und wie du ein anderes Datenschutz-Dauerthema sauber löst, steht im Leitfaden zu WhatsApp Business und DSGVO.
Wenn du die Einrichtung lieber abgibst: Wie ich Tag Manager, GA4 und Consent Mode aufsetze und welche Ereignisse standardmäßig dazugehören, steht auf der Seite Tracking und Analytics.
Schluss: Ein Cookie-Banner beruhigt den Datenschutz, nicht die Statistik. Ob dein Tracking funktioniert, zeigt erst ein Test nach dem Klick, auf jeder Seite, die eine Anfrage auslösen kann. Eine Viertelstunde reicht dafür, und sie erspart dir Monate mit Zahlen, die etwas anderes messen, als du glaubst.
Transparenzhinweis: Dieser Beitrag wurde KI-unterstützt erstellt und vor Veröffentlichung inhaltlich geprüft, überarbeitet und redaktionell verantwortet von Lukas Tröls, Digitalisierungswerkstatt.at.
Rechtlicher Hinweis: Recherchiert nach bestem Wissen (Stand Oktober 2026), stellt jedoch keine Rechtsberatung dar. Für verbindliche Auskünfte zu deinem Fall wende dich an eine Rechtsanwältin oder die WKO-Rechtsberatung.
Quellen: Alle Quellen sind im Text verlinkt und wurden am 26. Oktober 2026 abgerufen. Eigene Erfahrung: Tracking-Prüfungen im Browser mit und ohne Zustimmung sowie Auswertungen in Google Analytics der eigenen Website, August bis Oktober 2026.
