Funktioniert Google Analytics in China? PIPL, grenzüberschreitende Daten und Residenz
Google Analytics erhebt die Identifikatoren, Gerätedaten und den ungefähren Standort jedes Besuchers und sendet sie an Google-Server außerhalb Festlandchinas — ein grenzüberschreitender Transfer personenbezogener Daten nach PIPL, auf Infrastruktur ohne Festland-China-Region und hinter Endpunkten, die die Große Firewall sperrt oder drosselt. Ein Blick zuerst auf die Compliance: die Datenresidenz-Frage.
Funktioniert Google Analytics in China?
Nicht sauber. Google Analytics lädt auf einer auf China ausgerichteten Site, aber Ihre Festland-Besucher zu messen, sendet ihre Identifikatoren, Gerätedaten und den ungefähren Standort an Google-Server außerhalb Chinas — ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt — und Google betreibt keine Festland-China-Region, um irgendetwas davon im Inland zu halten.
In Googles eigenen Worten erhebt Analytics „the following information through the default implementation: Number of users, Session statistics, Approximate geolocation, Browser and device information“ (die folgenden Informationen durch die Standardimplementierung: Nutzerzahl, Sitzungsstatistiken, ungefähre Geolokalisierung, Browser- und Geräteinformationen) und „stores a client ID in a first-party cookie named _ga to distinguish unique users“ (speichert eine Client-ID in einem First-Party-Cookie namens _ga, um eindeutige Nutzer zu unterscheiden). Seine Ausnahme, die „not log or store individual IP addresses“ (keine einzelnen IP-Adressen protokolliert oder speichert), ist „from EU, Switzerland, or UK users“ (für EU-, Schweizer- oder UK-Nutzer) geschrieben — nicht für China; für alle anderen wird der Mess-Traffic „to Analytics servers for processing“ (an Analytics-Server zur Verarbeitung) auf Google-Infrastruktur ohne Festland-Standort weitergeleitet. Die personenbezogene Information Ihrer China-Nutzer dorthin zu senden, ist ein grenzüberschreitender Transfer nach PIPL (Mitteilung, gesonderte Einwilligung und ein Transfermechanismus), und dieselben Google-Endpunkte sind im Festland gesperrt oder gedrosselt — die Daten werden also zugleich exportiert und unzuverlässig erhoben. Die Tabelle unten ist Googles eigene Formulierung und die Regel, die jede Zeile auslöst.
Dies ist eine Risikokarte, kein Urteil — Ihre Exponierung hängt davon ab, was Sie erheben, wie viel und wer Ihre Nutzer sind. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Jeder GA-Treffer sendet die Identifikatoren Ihrer China-Besucher offshore an Google-Server
- ! Dieser Export ist ein grenzüberschreitender Transfer personenbezogener Daten — PIPL gilt für Sie
- ✕ Google betreibt keine Festland-China-Region oder Datenresidenz für Standard-Analytics
- ! Googles Keine-IP-Speicherung-Handhabung ist für EU, UK und die Schweiz ausgenommen — nicht für China
- ✕ Googles Analytics- und Tag-Endpunkte sind im Festland gesperrt oder gedrosselt
Was die offizielle Google Analytics-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
Google Analytics erhebt standardmäßig personenbezogene Daten von jedem Besucher. In Googles eigenen Worten erhebt es „the following information through the default implementation: Number of users, Session statistics, Approximate geolocation, Browser and device information“ (die folgenden Informationen durch die Standardimplementierung: Nutzerzahl, Sitzungsstatistiken, ungefähre Geolokalisierung, Browser- und Geräteinformationen) und „stores a client ID in a first-party cookie named _ga to distinguish unique users and their sessions on your website“ (speichert eine Client-ID in einem First-Party-Cookie namens _ga, um eindeutige Nutzer und ihre Sitzungen auf Ihrer Website zu unterscheiden). Ungefährer Standort, Gerätedetails und eine persistente Client-ID sind personenbezogene Daten — einen Festland-Besucher zu messen, heißt also, seine personenbezogenen Daten zu verarbeiten. | Google — [GA4] Data collection (support.google.com), abgerufen 2026-10-07 |
| Googles „Keine-IP-Speicherung“-Schutz ist für Europa geschrieben, nicht für China. Google gibt an, Analytics „does not log or store individual IP addresses from EU, Switzerland, or UK users“ (protokolliert oder speichert keine einzelnen IP-Adressen von EU-, Schweizer- oder UK-Nutzern), und dass „all IP lookups are performed on EU, Switzerland, or UK-based servers“ (alle IP-Lookups auf Servern in der EU, der Schweiz oder dem UK durchgeführt werden). Für Festlandchina ist keine äquivalente Ausnahme veröffentlicht, sodass der Traffic Ihrer chinesischen Besucher auf Googles allgemeiner Infrastruktur wie jeder andere gehandhabt wird — nicht in-region gehalten. | Google — EU, Switzerland, or UK-focused data and privacy (support.google.com), abgerufen 2026-10-07 |
| Der Mess-Traffic von Festland-Besuchern wird offshore an Googles Analytics-Server weitergeleitet. Google: Nach dem regionalen IP-Lookup leitet es „traffic to Analytics servers for processing“ (Traffic zur Verarbeitung an Analytics-Server) weiter. Diese Server sitzen außerhalb Festlandchinas, sodass das Senden der personenbezogenen Information eines chinesischen Nutzers an sie ein grenzüberschreitender Transfer nach PIPL ist — der Verarbeiter (Sie, nicht Google) schuldet Mitteilung, gesonderte Einwilligung und einen Transfermechanismus: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (PIPL Art. 38–43). | Google — EU, Switzerland, or UK-focused data and privacy (support.google.com), abgerufen 2026-10-07; PIPL Art. 38–43 |
| Google betreibt kein Rechenzentrum in Festlandchina. Googles eigene Standorte laufen über Nord- und Südamerika, Europa und Asien — die nächsten in Asien sind „Changhua County, Taiwan“, „Inzai, Japan“, „Selangor, Malaysia“ und „Singapore“ — ohne eines im Festland. Standard-Google-Analytics hat daher keine Inland-Region, und für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die Offshore-Infrastruktur nicht erfüllen kann. | Google Data Centers — Locations (datacenters.google), abgerufen 2026-10-07; PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Publikum in Festlandchina ist die entscheidende Frage zu Google Analytics nicht, ob sich die Berichte mit Zahlen füllen — sondern, wessen personenbezogene Daten das Land verlassen müssen, damit diese Zahlen überhaupt existieren. Analytics misst einen Besucher, indem es seine Identifikatoren, Gerätedetails und den ungefähren Standort an Googles eigene Server sendet, und Google betreibt keine Region in Festlandchina. Es auf Ihre Festland-Besucher zu richten, exportiert deren personenbezogene Information daher über die Grenze — etwas, das Chinas Datenschutzrecht direkt regelt —, während die Google-Endpunkte, die sie erheben, im Land gesperrt oder gedrosselt sind. Das Reporting ist der leichte Teil; die Datenresidenz ist, wo die Exponierung sitzt.
Google Analytics in China auf einen Blick
| Worüber es entscheidet | In Googles eigenen Worten |
|---|---|
| Was es erhebt | Standardmäßig erhebt Analytics „Number of users, Session statistics, Approximate geolocation, Browser and device information“ (Nutzerzahl, Sitzungsstatistiken, ungefähre Geolokalisierung, Browser- und Geräteinformationen) und speichert eine persistente Client-ID im First-Party-Cookie _ga — allesamt personenbezogene Daten. |
| Wo es verarbeitet wird | Google listet kein Rechenzentrum in Festlandchina; seine Einrichtungen laufen über Nord- und Südamerika, Europa und Asien (Taiwan, Japan, Malaysia, Singapur, Indien). Festland-Treffer werden zur Verarbeitung „to Analytics servers for processing“ (an Analytics-Server) offshore weitergeleitet. |
| Die IP-Ausnahme | Google „does not log or store individual IP addresses from EU, Switzerland, or UK users“ (protokolliert oder speichert keine einzelnen IP-Adressen von EU-, Schweizer- oder UK-Nutzern). Für China ist kein Äquivalent festgeschrieben — dieser Schutz reicht nicht zu Ihren Festland-Besuchern. |
| Die Residenzregel | Die personenbezogenen Daten von China-Nutzern zu exportieren, ist ein grenzüberschreitender Transfer nach PIPL (Mitteilung, gesonderte Einwilligung, ein Transfermechanismus); Betreiber kritischer Informationsinfrastruktur und Verarbeiter großer Mengen müssen sie im Festland speichern — was Offshore-Google-Infrastruktur nicht leisten kann. |
| Ist es erreichbar? | Analytics lädt sein Tag und sendet Treffer von Google-betriebenen Domains, die die Große Firewall sperrt oder drosselt — die Festland-Erhebung ist also unzuverlässig und grenzüberschreitend zugleich. |
Einen Besucher zu messen, heißt seine personenbezogenen Daten zu verarbeiten
Google Analytics wartet nicht darauf, dass Sie etwas Zusätzliches erheben — die Messung selbst ist die Datenerhebung. In seiner eigenen Dokumentation sagt Google, Analytics „collects the following information through the default implementation: Number of users, Session statistics, Approximate geolocation, Browser and device information“ (erhebt durch die Standardimplementierung die folgenden Informationen: Nutzerzahl, Sitzungsstatistiken, ungefähre Geolokalisierung, Browser- und Geräteinformationen) und dass es „stores a client ID in a first-party cookie named _ga to distinguish unique users and their sessions on your website“ (eine Client-ID in einem First-Party-Cookie namens _ga speichert, um eindeutige Nutzer und ihre Sitzungen auf Ihrer Website zu unterscheiden). Ungefährer Standort, Geräte- und Browserdetails und ein persistenter Pro-Nutzer-Identifikator sind personenbezogene Daten nach chinesischem Recht. In dem Moment, in dem Analytics für einen Festland-Besucher läuft, verarbeiten Sie also die personenbezogenen Daten dieses Besuchers — und verarbeiten sie, indem Sie sie an Google senden.
Die Datenschutz-Ausnahme nennt Europa — nicht China
Google hat echten In-Region-Schutz gebaut, aber er ist ausdrücklich regional. Analytics „does not log or store individual IP addresses from EU, Switzerland, or UK users“ (protokolliert oder speichert keine einzelnen IP-Adressen von EU-, Schweizer- oder UK-Nutzern), und „all IP lookups are performed on EU, Switzerland, or UK-based servers before forwarding traffic to Analytics servers for processing“ (alle IP-Lookups werden auf Servern in der EU, der Schweiz oder dem UK durchgeführt, bevor der Traffic zur Verarbeitung an Analytics-Server weitergeleitet wird). Es gibt keine Festland-China-Version dieses Satzes. Für einen chinesischen Besucher wird der Mess-Treffer wie jeder andere an Googles Analytics-Server weitergeleitet — und diese Server sitzen außerhalb des Festlands, weil Google kein Rechenzentrum darin betreibt. Die personenbezogene Information Ihrer China-Nutzer dorthin zu exportieren, ist ein grenzüberschreitender Transfer nach PIPL: Als Verarbeiter müssen Sie — nicht Google — Mitteilung erteilen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) nach Art. 38–43. Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die ein Offshore-Analytics-Backend nicht erfüllen kann und die kein Konfigurations-Schalter in Analytics ändert.
Auch an der Grenze blockiert — die Auslieferungs-Hälfte
Ein zweites, einfacheres Problem sitzt über dem rechtlichen: Die Endpunkte, von denen Analytics abhängt, sind Google-betrieben, und Google-Dienste sind in Festlandchina gesperrt oder gedrosselt. Das Tag lädt möglicherweise nicht, Treffer kommen möglicherweise nie an, und die Berichte, auf die Sie sich stützen, können genau den Markt, den Sie zu verstehen versuchen, stillschweigend unterzählen. Aber Erreichbarkeit ist nur die Auslieferungs-Hälfte der Frage. Selbst an den Tagen, an denen die Daten durchkommen, kamen sie durch, indem sie das Land verließen — eine schnellere oder stabilere Verbindung würde den Transfer also nicht rechtmäßig machen, sondern die Daten nur effizienter exportieren. Die Hälfte, die darüber entscheidet, ob Sie Analytics für China nutzen dürfen, ist die rechtliche, nicht die des Netzes.
Dies ist eine Risikokarte, kein Urteil: Ob Sie gesonderte Einwilligung, einen Transfermechanismus, Inland-Speicherung oder alle drei schulden, hängt davon ab, was Sie erheben, wie viel davon und wer Ihre Nutzer sind — zu klären mit Rechtsbeistand, bevor Sie sich auf die Zahlen verlassen.
Wo 21YunBox hineinpasst — eine Compliance-Overlay, keine Migration
Sie betreiben Google Analytics weiter wie heute. Was wir ergänzen, ist das eine, das Google nicht bietet: ICP-gemeldete, inländische Auslieferung, vor Ihren bestehenden Origin in Festlandchina gesetzt — kein Neuaufbau, keine zweite Codebasis, keine Migration weg von Ihrem aktuellen Stack. Unser China-Team kartiert, wohin Ihre Besucherdaten heute reisen, wägt Ihre PIPL-Grenztransfer- und Datenresidenzpflichten anhand Ihrer Rechtsperson und Ihrer Datenmengen ab und baut die rechtmäßige, inländische Grundlage auf, die eine rechtskonforme China-Präsenz braucht — während Ihre Anwendung und Ihre globale Analyse genau dort weiterlaufen, wo sie bereits sind.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Verstößt die Nutzung von Google Analytics in China gegen PIPL?
Behandeln Sie es als ein mit Rechtsbeistand zu bewertendes Risiko, kein pauschales Ja oder Nein. Sicher ist: Einen Festland-Besucher zu messen, sendet seine personenbezogene Information — ungefährer Standort, Gerätedaten und eine persistente Client-ID — an Google-Server außerhalb Chinas, und Googles Keine-IP-Speicherung-Handhabung ist für EU-, UK- und Schweizer-Nutzer geschrieben, nicht für China. Dieser Export ist ein grenzüberschreitender Transfer, den PIPL regelt, sodass der Verarbeiter — Sie, nicht Google — Mitteilung, gesonderte Einwilligung und einen Transfermechanismus schuldet. Ob zusätzlich eine Datenlokalisierungspflicht gilt, hängt von Ihrer Rolle (etwa als Betreiber kritischer Informationsinfrastruktur) und Ihren Datenmengen ab.
Löst GA4, das keine IP-Adressen speichert, das China-Problem nicht bereits?
Nein. Googles Aussage, es „does not log or store individual IP addresses“ (protokolliere oder speichere keine einzelnen IP-Adressen), ist auf „EU, Switzerland, or UK users“ (EU-, Schweizer- oder UK-Nutzer) begrenzt, und selbst wo die rohe IP verworfen wird, erhebt Analytics weiterhin ungefähre Geolokalisierung, Geräteinformationen und eine persistente Client-ID und leitet sie an Googles Infrastruktur außerhalb des Festlands weiter. Ein gespeichertes Feld fallen zu lassen, hält die Daten Ihrer China-Nutzer nicht im Inland, und es entfernt nicht den grenzüberschreitenden Transfer, für den PIPL Sie zur Rechenschaft zieht.
Kann 21YunBox helfen, China-Traffic rechtskonform zu messen?
Ja. Unser China-Team kann Ihre PIPL-Grenztransfer- und Datenresidenz-Exponierung für Ihre Rechtsperson, Datenmengen und Nutzer kartieren und ICP-gemeldete, inländische Auslieferung vor Ihre bestehende Site stellen — sodass eine rechtmäßige, inländische Grundlage neben dem globalen Analyse-Stack sitzt, den Sie bereits betreiben, ohne Neuaufbau und ohne zweite Codebasis. Nehmen Sie Kontakt auf, um Ihr konkretes Setup durchzugehen.
