Ist GA4 wirklich ein notwendiges Cookie? Die KVKK-Perspektive

Aktualisiert: 3. September 2026 · Kategorie: KVKK und digitale Compliance

Ist GA4 wirklich ein notwendiges Cookie? Die KVKK-Perspektive

Es gibt keine neue Entscheidung des türkischen Datenschutzrats speziell zu GA4. Seine Cookie-Entscheidungen und der Leitfaden zu Cookie-Praktiken zeigen jedoch, dass Leistungs-/Analyse-Cookies getrennt von unbedingt erforderlichen Cookies zu bewerten sind. Liegt keine andere rechtmäßige Verarbeitungsgrundlage vor, benötigen sie eine ausdrückliche Opt-in-Einwilligung durch aktive Nutzerentscheidung. GA4-Implementierungen sind außerdem hinsichtlich Zweck, Datenminimierung und Auslandsübermittlungen zu prüfen.

Inhaltsverzeichnis

Kurzantwort
Warum spielt das eine Rolle?
Was sollten Unternehmen tun?
Wie sollte es gemessen werden?
Quellen
Häufig gestellte Fragen

Kurzantwort

GA4 darf nicht allein anhand des Produktnamens automatisch als notwendiges Cookie oder als unter allen Umständen einwilligungspflichtiges Cookie eingestuft werden. Nach KVKK ist die tatsächliche Implementierung anhand der verwendeten Cookies, Messzwecke, Google-Funktionen, personenbezogenen Datenflüsse und anderer möglicher Verarbeitungsgrundlagen zu bewerten. Im konkreten Fall der Entscheidung 2024/1361 war für das nicht erforderliche Analyse-Cookie eine ausdrückliche Opt-in-Einwilligung nötig, weil keine andere rechtmäßige Verarbeitungsgrundlage vorlag.

Warum ist das wichtig?

Ein häufiger Website-Fehler ist, den Technologienamen an die Stelle einer Rechtskategorie zu setzen. Sowohl „Wir nutzen Google Analytics, also ist es ein notwendiges Cookie“ als auch „Jede analytische Nutzung unterliegt genau demselben Rechtsregime“ ignorieren die tatsächliche Datenverarbeitungsarchitektur. Für KVKK zählen die verarbeiteten Daten, ihre Zwecke, verwendete Cookies oder Kennungen und die Dritten, an die Daten übermittelt werden.

In der Entscheidung 2024/1361 bewertete der Datenschutzrat den Betrieb des nicht erforderlichen Analyse-Cookies auf der betreffenden Website ohne aktives Opt-in als unzulässig: Es war für den ausdrücklich angeforderten Dienst nicht nötig und es lag keine andere Verarbeitungsgrundlage vor. Dies war keine GA4-spezifische Entscheidung; sie zeigt, dass das tatsächliche Verhalten von Webanalyse-Implementierungen geprüft werden muss.

Warum ist die GA4-Konfiguration wichtig?

Zwei Unternehmen können beide GA4 nutzen und dennoch unterschiedliche Datenflüsse haben. Eines misst vielleicht nur grundlegenden Traffic, während das andere Werbefunktionen, domainübergreifende Messung, User-ID, erweiterte Signale, CRM-Abgleich oder weitere Integrationen aktiviert. Der Kategoriename im Cookie-Banner genügt deshalb nicht.

Die Prüfung muss sowohl Browser-Cookies als auch gesendete Ereignisse und Parameter erfassen. Verhindern Sie unnötige personenbezogene Daten in URLs, Formularfeldern, Abfragezeichenfolgen oder benutzerdefinierten Ereignissen. Serverseitiges Tagging ersetzt keine rechtliche Bewertung, sondern verändert nur die technische Datenflussarchitektur.

Was sollten Unternehmen tun? KVKK-Prüfung für GA4 in acht Schritten

Führen Sie einen tatsächlichen Cookie-Scan durch. Prüfen Sie die tatsächlich in der Produktionsumgebung gesetzten Cookies statt nur die Dokumentation.
Inventarisieren Sie GA4-Funktionen. Erfassen Sie Werbefunktionen, Google Signals, User-ID, domainübergreifende Messung und individuelle Integrationen getrennt.
Trennen Sie die Zwecke. Behandeln Sie grundlegende Messung, Leistungsanalyse, Remarketing und Werbeoptimierung nicht als einen einzigen Zweck.
Testen Sie die Einwilligung vor Tag-Auslösung. Prüfen Sie technisch, ob bei einwilligungspflichtigen Konfigurationen die betreffenden Tags und Cookies vor Zustimmung des Nutzers inaktiv bleiben.
Testen Sie den Ablehnungsweg. Ablehnen muss so einfach wie Zustimmen und tatsächlich wirksam sein.
Prüfen Sie Ereignis-Payloads. Verhindern Sie unnötige personenbezogene Daten in URLs, Formularen, benutzerdefinierten Dimensionen und Ereignisparametern.
Prüfen Sie Auslandsübermittlungen gesondert. Behandeln Sie Cookie-Einwilligung und Datenübermittlungsmechanismus nicht als denselben Rechtsakt.
Führen Sie Versionsprotokolle. Scannen Sie erneut, wenn sich GTM-Container, Einwilligungseinstellungen oder Analysekonfiguration ändern.

Wie sollte ein Einwilligungsbanner getestet werden?

Das sichtbare Banner allein genügt nicht. Beobachten Sie in einer neuen Browsersitzung, welche Netzwerkanfragen vor einer Präferenzauswahl gesendet und welche Cookies gesetzt werden. Testen Sie Analyse- und Werbetechnologien erneut, nachdem der Nutzer „Ablehnen“ gewählt hat.

Wiederholen Sie diesen Test nach jeder größeren GTM- oder CMP-Änderung. Auch bei unverändertem Rechtstext kann eine Container-Aktualisierung dazu führen, dass ein zuvor blockierter Tag außerhalb der Einwilligungskontrolle läuft.

Vorgeschlagenes Messmodell für B10

Kontrolle	KPI	Risikosignal
Vor Einwilligung	Anzahl der Analyse-Hits vor Einwilligung	Unerwartete Anfrage
Cookie	Nicht klassifizierte Cookie-Anzahl	Nicht inventarisiertes Cookie
Ablehnung	Technische Erfolgsquote des Ablehnungswegs	Tag-Auslösung nach Ablehnung
Nutzlast	Unerwartete PII-Parameteranzahl	Unnötige personenbezogene Daten
Konfiguration	Abdeckung des GA4-Funktionsinventars	Nicht dokumentierte Funktion
Übertragung	Abdeckung der Übermittlungsbewertung	Unüberprüfter Datenstrom

Diese Kennzahlen bewerten mehr als das Design des Einwilligungsbanners: Sie messen, ob es das Datenverarbeitungsverhalten tatsächlich verändert.

Sachverständigenbewertung

Bei GA4-Compliance sollte die Verarbeitung statt des Produkts klassifiziert werden. Dasselbe Analyseprodukt kann je nach Konfiguration unterschiedliche Daten-, Zweck- und Übermittlungsrisiken schaffen. Gleichen Sie die Cookie-Tabelle der Rechtsabteilung mit der GTM/GA4-Konfiguration des Technikteams in einem gemeinsamen Inventar ab.

Technische Lösungen wie Consent Mode oder serverseitiges Tagging bescheinigen allein keine Rechtskonformität. Prüfen Sie im tatsächlichen Datenverkehr, welche Datensignale bei den jeweiligen Einwilligungspräferenzen verarbeitet werden.

Digitale Risiko- und Compliance-Analyse

B10 kann tatsächliche Cookie-/Tag-Scans einer Website, GTM- und GA4-Funktionsinventare, Tests zur Einwilligung vor Tag-Auslösung, Ereignis-Payload-Prüfungen und Karten grenzüberschreitender Datenflüsse in einem Web Analytics Compliance Audit zusammenführen.

Verwandte Inhalte

Offizielle und primäre Quellen

Häufig gestellte Fragen Warum ist das jetzt wichtig?

Was sollten Unternehmen zuerst überprüfen?

Scannen Sie die tatsächlich von GA4 und GTM gesetzten Cookies.

Genügt eine einmalige Prüfung?

Nein. Die Bewertung darf sich nicht allein darauf stützen, ob GA4 vorhanden ist. Prüfen Sie verwendete Funktionen, Cookies, Ereignisdaten, Zwecke, Einwilligungsmechanismus und Übermittlungsstruktur gemeinsam.

Was kann B10 hierzu beitragen?

B10 kann den Unterschied zwischen Zustimmungsbanner und tatsächlichem technischen Verhalten durch Cookie-Scan, Netzwerkanfrage, GTM/GA4-Konfiguration und Datenflusstests messen.