Blog

Wie prüfe ich Analytics-Tools auf meiner Website auf DSGVO-Verstöße?

Herausgegeben von Decareto

4 Minuten lesen

September 29, 2026

Um Analytics-Tools auf DSGVO-Verstöße zu prüfen, untersuchen Sie, ob das Tool personenbezogene Daten wie IP-Adressen oder Nutzerverhalten ohne wirksame Einwilligung verarbeitet, Daten in unsichere Drittstaaten überträgt oder im Consent-Banner falsch eingestuft ist. Besonders kritisch sind Tools, die Cookies setzen oder externe Server kontaktieren, bevor der Nutzer aktiv zugestimmt hat. Dieser Artikel beantwortet die wichtigsten Folgefragen rund um DSGVO-konformes Analytics-Tracking.

Welche Analytics-Tools verstoßen häufig gegen die DSGVO?

Analytics-Tools verstoßen gegen die DSGVO vor allem dann, wenn sie ohne wirksame Einwilligung personenbezogene Daten verarbeiten oder diese in Länder ohne angemessenes Datenschutzniveau übertragen. Besonders häufig betroffen sind Tools, die Daten an US-amerikanische Server senden, da dort kein mit der EU vergleichbarer Datenschutzstandard gilt.

Google Analytics steht dabei besonders im Fokus. Mehrere europäische Datenschutzbehörden haben festgestellt, dass der Einsatz von Google Analytics in seiner Standardkonfiguration problematisch ist, weil Nutzerdaten in die USA übertragen werden. Ähnliches gilt für andere Google-Dienste: So wurde Google Fonts 2022 und 2023 in Deutschland und Österreich durch Gerichtsentscheidungen als datenschutzrechtlich riskant eingestuft, wenn es dynamisch von Google-Servern geladen wird. Dieser Umstand verschlechtert den Risiko-Score einer Website in automatisierten Prüftools zusätzlich.

Weitere häufig auffällige Tools sind Facebook Pixel, Hotjar und ähnliche Verhaltensanalyse-Dienste, die in der Kategorie „Werbung“ oder „Tracking“ eingestuft werden. Für diese gilt nach dem Grundsatz der DSGVO stets die Einwilligung als Rechtsgrundlage. Werden sie vor einer aktiven Nutzerinteraktion geladen, liegt ein potenzieller DSGVO-Verstoß vor.

Welche Datenschutzprobleme entstehen durch Analytics-Tracking?

Analytics-Tracking erzeugt Datenschutzprobleme, weil es typischerweise personenbezogene Daten wie IP-Adressen, Geräteinformationen und Nutzungsverhalten erfasst und an externe Anbieter überträgt, sobald eine Website aufgerufen wird. Geschieht dies ohne Einwilligung, fehlt die notwendige Rechtsgrundlage nach Art. 6 DSGVO.

Konkret entstehen dabei folgende Problemfelder:

Drittstaatentransfer: Bereits das Einbinden eines externen Dienstes überträgt die IP-Adresse des Nutzers an den jeweiligen Anbieter. Befinden sich dessen Server außerhalb der EU, etwa in den USA, ist ein Angemessenheitsbeschluss oder ein anderes geeignetes Schutzinstrument erforderlich.
Fehlende oder unwirksame Einwilligung: Viele Websites laden Analytics-Skripte, bevor der Nutzer im Consent-Banner aktiv zugestimmt hat. Das ist datenschutzrechtlich unzulässig.
Unvollständige Datenschutzerklärung: Dienste, die auf einer Website aktiv sind, müssen in der Datenschutzerklärung benannt werden. Fehlen Einträge zu verwendeten Analytics-Tools, liegt ein weiterer Verstoß vor.
Cookie-Setzung ohne Rechtsgrundlage: Analytics-Tools setzen häufig Cookies, die nicht technisch notwendig sind. Für diese ist eine Einwilligung erforderlich, bevor sie gesetzt werden dürfen.

Ein häufig übersehener Aspekt: Wenn ein Dienst eine Einwilligung benötigt, weil er Daten in einem unsicheren Drittstaat verarbeitet, gilt diese Einwilligungspflicht auch für seine Cookies, selbst wenn diese technisch als notwendig eingestuft werden könnten.

Wie prüft man Analytics-Tools technisch auf DSGVO-Konformität?

Die technische DSGVO-Prüfung von Analytics-Tools umfasst die Analyse des Netzwerkverkehrs einer Website, die Identifikation gesetzter Cookies und die Überprüfung, ob externe Dienste vor oder nach einer Nutzereinwilligung geladen werden. Diese Prüfung lässt sich manuell oder automatisiert durchführen.

Manuelle Prüfung mit Browser-Entwicklertools

Öffnen Sie Ihren Browser und rufen Sie die zu prüfende Website auf, ohne im Consent-Banner auf „Akzeptieren“ zu klicken. Nutzen Sie die Entwicklertools (F12 in den meisten Browsern) und wechseln Sie zum Reiter „Netzwerk“. Filtern Sie nach externen Anfragen und prüfen Sie, welche Verbindungen bereits vor jeder Interaktion aufgebaut werden. Im Reiter „Anwendung“ oder „Speicher“ sehen Sie außerdem, welche Cookies bereits gesetzt wurden. Verbindungen zu Google-Servern, Facebook oder ähnlichen Anbietern vor der Einwilligung sind ein klares Warnsignal.

Automatisierte Prüfung per Website-Scanner

Manuelle Prüfungen sind zeitaufwendig und fehleranfällig, besonders wenn mehrere Unterseiten oder passwortgeschützte Bereiche untersucht werden sollen. Automatisierte DSGVO-Website-Scanner übernehmen diese Aufgabe systematisch: Sie erfassen alle gesetzten Cookies, identifizieren externe Dienste, prüfen den Zeitpunkt des Ladens in Relation zur Nutzerinteraktion und bewerten die Ergebnisse anhand hinterlegter Datenschutzkonfigurationen. Typischerweise prüft ein solcher Scanner auch, ob ein Consent-Management-Tool vorhanden ist und ob dieses korrekt konfiguriert ist.

Was muss eine DSGVO-konforme Einwilligung für Analytics enthalten?

Eine DSGVO-konforme Einwilligung für Analytics-Tools muss freiwillig, informiert, spezifisch und unmissverständlich sein. Der Nutzer muss aktiv zustimmen, etwa durch einen Klick auf „Akzeptieren“, bevor das Analytics-Tool Daten erfasst oder Cookies setzt. Eine vorausgefüllte Checkbox oder das bloße Weitersurfen genügt nicht.

Im Einzelnen bedeutet das für die Gestaltung des Consent-Banners:

Klare Information: Der Nutzer muss vor der Einwilligung erfahren, welche Tools eingesetzt werden, zu welchem Zweck und ob Daten in Drittstaaten übertragen werden.
Gleichwertige Ablehnung: Die Möglichkeit, Analytics-Cookies abzulehnen, muss genauso einfach zugänglich sein wie die Zustimmung. Ein versteckter „Ablehnen“-Button oder eine unübersichtliche Einstellungsseite genügt nicht.
Granularität: Nutzer sollten Analytics-Cookies separat von anderen Cookie-Kategorien (z. B. Marketing) akzeptieren oder ablehnen können.
Widerrufsmöglichkeit: Die Einwilligung muss jederzeit widerrufbar sein, und der Widerruf muss genauso einfach sein wie die ursprüngliche Zustimmung.
Kein Pre-Loading: Analytics-Skripte dürfen erst nach erfolgter Einwilligung geladen werden. Technische Voraussetzung ist eine korrekte Consent-Management-Integration.

Hinweis: Ob ein Consent-Banner im rechtlichen Sinne eine wirksame Einwilligung einholt, lässt sich durch automatisierte Tools nicht abschließend beurteilen. Automatisierte Scanner erkennen, ob ein Banner vorhanden ist und ob nach einer Nutzerinteraktion andere Dienste geladen werden. Die rechtliche Bewertung sollte durch einen Datenschutzbeauftragten oder eine Kanzlei erfolgen.

Welche Tools helfen bei der automatisierten DSGVO-Prüfung von Analytics?

Für die automatisierte DSGVO-Prüfung von Analytics-Tools eignen sich spezialisierte Website-Scanner, die Cookies, externe Dienste und Consent-Banner systematisch analysieren und die Ergebnisse in strukturierten Reports aufbereiten. Sie reduzieren den manuellen Aufwand erheblich und ermöglichen die Überwachung mehrerer Websites gleichzeitig.

Dabei unterstützt uns decareto als SaaS-Plattform mit folgenden Funktionen gezielt:

Automatisierter DSGVO-Website-Scan: Wir prüfen Unterseiten, Cookies, Tracker und Consent-Banner in Minuten statt Stunden, einschließlich passwortgeschützter Bereiche.
Risiko-Score und Handlungsempfehlungen: Jeder Scan erzeugt eine strukturierte Risikobewertung. Dienste, die ohne Einwilligung geladen werden, verschlechtern den Score und werden mit konkreten Hinweisen versehen.
Kontinuierliche Überwachung: Hunderte Websites lassen sich dauerhaft überwachen. Bei Änderungen, etwa wenn ein neues Analytics-Tool auf einer Website erscheint, erhalten Sie automatisch eine Benachrichtigung.
Datenschutzerklärungsabgleich: Wir gleichen die gefundenen Dienste mit dem Inhalt der Datenschutzerklärung ab und weisen auf fehlende Einträge hin. Der Datenschutzgenerator erstellt auf Basis des Scans passgenaue Datenschutztexte in 24 Sprachen.
Manuelle Überschreibung von Bewertungen: Wenn eine automatische Einstufung nicht dem tatsächlichen Sachverhalt entspricht, können Sie diese im Report anpassen oder uns per E-Mail auf mögliche Fehlbewertungen hinweisen.

Starten Sie jetzt und prüfen Sie Ihre Website auf Analytics-Verstöße: Kostenlos registrieren und ersten DSGVO-Scan starten.

Welche Alternativen zu Google Analytics sind DSGVO-konform?

Es gibt mehrere Analytics-Tools, die als datenschutzfreundlicher als Google Analytics gelten, weil sie Daten auf europäischen Servern speichern, keine personenbezogenen Daten in Drittstaaten übertragen oder vollständig ohne Cookies auskommen. Ob ein Tool im konkreten Einsatz ohne Einwilligung betrieben werden kann, hängt jedoch von der jeweiligen Konfiguration ab.

Zu den häufig genannten Alternativen zählen:

Matomo (selbst gehostet): Wird Matomo auf dem eigenen Server betrieben und entsprechend konfiguriert (z. B. IP-Anonymisierung, kein Cross-Site-Tracking), kann es in vielen Fällen einwilligungsfrei eingesetzt werden. Die genaue Ausgestaltung sollte mit einem Datenschutzbeauftragten abgestimmt werden.
etracker: etracker ist ein deutsches Tool, das ohne Cookies und ohne Übertragung personenbezogener Daten in Drittstaaten betrieben werden kann. In dieser Konfiguration ist es häufig einwilligungsfrei einsetzbar. Setzt etracker jedoch Cookies, erscheinen im DSGVO-Scan entsprechende Warnungen, da dann eine Einwilligung erforderlich wird.
Plausible Analytics: Plausible ist ein europäisches Tool, das keine Cookies setzt und keine personenbezogenen Daten speichert. Es gilt als datenschutzfreundliche Alternative, die in der Regel keine Einwilligung erfordert.
Fathom Analytics: Ähnlich wie Plausible verzichtet Fathom auf Cookies und personenbezogene Daten. Die Server befinden sich in der EU oder in Kanada, das einen Angemessenheitsbeschluss der EU-Kommission besitzt.

Wichtig: Keine dieser Alternativen garantiert automatisch DSGVO-Konformität. Entscheidend ist die konkrete Konfiguration auf Ihrer Website. Ein regelmäßiger Website-Check auf DSGVO-Konformität hilft dabei, Abweichungen frühzeitig zu erkennen, bevor sie zum Problem werden.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.