GA4 serverseitig: So bereinigen Sie Daten vor dem Versand an Google

«Dürfen wir Google Analytics überhaupt noch verwenden?» Diese Frage fällt in vielen Marketingmeetings in der Schweiz. Zwischen dem DSG und Datenübermittlungen in die USA wechseln manche Unternehmen zu Matomo oder Plausible und verlieren dabei das Google-Ökosystem (Ads, BigQuery). Es gibt einen anderen Weg: GA4 behalten, aber ändern, wie die Daten dort ankommen.

Kurz gesagt

• In der klassischen Installation sendet der Browser des Besuchers seine Anfragen direkt an Google, samt vollständiger URL.

• Ein serverseitiges GA4-Setup wirkt wie ein Zoll: Es prüft und bereinigt jedes Event, bevor es weitergeht.

• Drei zentrale Bereinigungen: IP-Adresse, Personendaten in URLs, Gerätedetails.

• Die Bereinigung senkt das Risiko, ersetzt aber weder die Einwilligung noch eine aktuelle Datenschutzerklärung.

Das Problem: die direkte Verbindung zu Google

Bei einer clientseitigen Installation läuft das Google-Analytics-Skript im Browser des Besuchers:

1. Der Nutzer besucht ihrkunde.ch.

2. Sein Browser sendet eine Anfrage direkt an die Server von Google.

3. Diese Anfrage enthält technisch die IP-Adresse (für die Verbindung nötig), den User Agent des Browsers und die vollständige URL der Seite.

Google gibt an, dass GA4 IP-Adressen von Nutzern aus der Schweiz und der EU nicht speichert und nur für eine grobe Standortbestimmung verwendet (Google-Analytics-Hilfe). Sie kontrollieren aber nicht, was gesendet wird: Steht eine E-Mail-Adresse in der URL, geht sie unverändert mit. Google ist seit dem 15. September 2024 unter dem Swiss-U.S. Data Privacy Framework zertifiziert. Das regelt die Übermittlung, entbindet Sie aber nicht von der Informationspflicht gegenüber Ihren Besuchern.

Die Lösung: ein Server als Zollstelle

Das serverseitige Tracking schaltet eine Zwischenstelle ein, die Sie kontrollieren. Statt mit Google spricht der Browser mit Ihrem Server, zum Beispiel data.ihrkunde.ch, einem Proxy bei Stape.

Der Server empfängt die Daten, prüft und verändert sie und leitet sie erst dann an Google weiter. Genau hier findet die Bereinigung statt. Den vollständigen Aufbau beschreibt unser Leitfaden zu GA4 serverseitig mit Stape.

Die drei Schritte der Datenbereinigung

So gehen wir bei GA4-Konten aus sensiblen Branchen vor (Banken, Versicherungen, Gesundheit).

1. Die IP-Adresse: entfernen oder kürzen

• Auf dem Server: Wir konfigurieren den Container so, dass er die IP-Adresse in der Anfrage an Google entfernt oder kürzt.

• Der Zielkonflikt: Ohne IP-Adresse kann GA4 den Besucher nicht mehr korrekt verorten oder ordnet ihn dem Standort des Servers zu. Wer Land oder Region behalten will, übermittelt besser eine gekürzte IP oder serverseitig berechnete Geodaten.

2. Personendaten in URLs (PII)

Ein Klassiker: Ein Formular leitet auf eine Bestätigungs-URL weiter, die die E-Mail im Klartext enthält (?email=anna.muster@beispiel.ch).

• Das Risiko: Die Richtlinien von Google Analytics verbieten das Senden von Informationen, die eine Person identifizieren, auch in URLs. Nach dem DSG sind es Personendaten, die ohne Notwendigkeit weitergegeben werden.

• Die serverseitige Lösung: Eine Transformationsregel prüft eingehende URLs und Parameter. Wird ein E-Mail- oder Telefonmuster erkannt, ersetzt sie es durch [REDACTED], bevor etwas an Google geht.

• Ergänzend: Aktivieren Sie auch die integrierte Datenentfernung (E-Mails und Abfrageparameter) in den GA4-Webstreams.

3. Den User Agent reduzieren

Der User Agent beschreibt das Gerät genau (Modell, Systemversion). Zusammen mit anderen Signalen erleichtert er das Fingerprinting. Der Server kann ihn auf das Wesentliche reduzieren (Mobilgerät oder Desktop, Browser), sodass der Besucher weniger unterscheidbar ist.

Tipp von A-Track

Vorsicht bei Google Signals. Einmal in GA4 aktiviert, verknüpfen sie Daten mit Nutzern, die in ihrem Google-Konto angemeldet sind und personalisierte Werbung erlaubt haben. Das kann Ihre Anonymisierung abschwächen. Bei sehr sensiblen Kunden sollte diese Option deaktiviert bleiben.

Hosting bei Stape: was sich wirklich ändert

«Wenn der Server bei Google Cloud läuft, was ändert das?» Eine berechtigte Frage. Stape bietet zwei Hosting-Varianten an (Stape-Dokumentation):

• Globales Hosting: von Stape auf Google Cloud betrieben, mit mehreren Zonen in Europa.

• EU-Hosting: von einer europäischen Stape-Gesellschaft auf der Infrastruktur von Scaleway betrieben, einem europäischen Anbieter, für Unternehmen mit strengeren Anforderungen.

Eine Zone in der Schweiz bietet Stape nicht an. Für ein Schweizer Unternehmen bleibt EU-Hosting vertretbar: Die EU-Staaten gehören zu den Ländern, denen der Bundesrat einen angemessenen Datenschutz attestiert. Der eigentliche Gewinn liegt anderswo: Die Rohdaten (IP, vollständige URLs) enden auf einem Server, dessen Regeln Sie bestimmen. Für einen Vergleich der Hosting-Optionen lesen Sie unseren Leitfaden Infomaniak, Google Cloud oder Stape.

So erklären Sie diese Absicherung Ihren Kunden

Für Ihre Kunden wirkt die Bereinigung oft abstrakt. Eine ehrliche Formulierung:

«Heute sendet ein klassisch installiertes Google Analytics alles an Google, was auf der Seite steht, auch versehentlich enthaltene Personendaten. Mit einem serverseitigen Proxy bauen wir einen Filter ein: IP-Adressen, E-Mails und Gerätedetails werden vor dem Versand entfernt. Vorteil: Sie behalten die Stärke von Google für Ihr Marketing und setzen den Grundsatz des Datenschutzes durch Technik um, wie ihn das DSG vorsieht (Art. 7). Und bei einer Prüfung können Sie genau zeigen, was an Google geht.»

Verzichten Sie auf Versprechen wie «unangreifbar»: Server-Side senkt das Risiko, beseitigt es aber nicht. Einwilligung, Datenschutzerklärung und Verzeichnis der Bearbeitungstätigkeiten bleiben nötig. Den vollständigen Rahmen finden Sie in unserem Leitfaden zu DSG und DSGVO.

Fazit: Ihre Bereinigungs-Checkliste

1. Suchen Sie in den von GA4 erfassten URLs nach E-Mails oder Telefonnummern (Bericht Seiten, letzte 30 Tage).

2. Entscheiden Sie je nach Bedarf an Geodaten zwischen Entfernen und Kürzen der IP.

3. Richten Sie die serverseitigen Bereinigungsregeln ein und prüfen Sie danach die ausgehenden Anfragen in der Container-Vorschau.