Is Google Analytics AVG-compliant? Niet zonder meer, en "verboden" is het verkeerde woord. Sinds 2022 oordeelden verschillende EU-gegevensbeschermingsautoriteiten dat standaardimplementaties van Google Analytics de AVG (GDPR) schonden door bezoekersdata van EU-burgers naar de VS te sturen, waar ze toegankelijk zijn onder Amerikaanse surveillancewetgeving. Het EU-VS Data Privacy Framework van 2023 herstelde daarna een juridisch doorgiftemechanisme, dus vandaag draait GA op dezelfde basis van compliant via doorgifte als elke Amerikaanse tool, niet op vaste bodem van dataopslag in de EU.
Die nuance telt, dus dit artikel is de eerlijke versie: wat de toezichthouders echt oordeelden, wat het Data Privacy Framework wel en niet oploste en de in de EU gehoste alternatieven als je de vraag wilt laten verdwijnen. Het is een stuk uit het compliancecluster, dus de besluiten worden aangehaald. Voor de bredere stap weg van Amerikaanse tools is EU-alternatieven voor Amerikaanse SaaS het bijbehorende artikel.
Wat de toezichthouders echt oordeelden
De controverse is echt, en ze is ouder dan het huidige framework.
Vanaf 2022 vonden de gegevensbeschermingsautoriteiten van Oostenrijk, Frankrijk, Italië, Denemarken en andere landen dat standaardopzetten van Google Analytics de AVG schonden. De richtlijn van de Franse CNIL is het duidelijkst om te lezen: het probleem was de doorgifte van bezoekersdata van EU-burgers naar de VS, waar surveillancewetgeving (met name FISA Section 702) ze toegankelijk maakt op een manier die hoofdstuk V van de AVG over internationale doorgifte zonder passende waarborgen niet toestaat. Die waarborgen waren destijds net ingestort met het Schrems II-arrest, dus GA stond bloot.
Twee dingen om uit elkaar te houden. De uitspraken richtten zich op de datadoorgifte, niet op de analytics zelf, en ze gelastten naleving in plaats van het product te verbieden. Dat onderscheid sloegen de krantenkoppen "GA is illegaal" over.
Heeft het Data Privacy Framework het opgelost?
Grotendeels verplaatste het het probleem in plaats van het weg te nemen.
Het EU-VS Data Privacy Framework, in 2023 aangenomen, gaf gecertificeerde Amerikaanse bedrijven een nieuwe juridische grondslag voor doorgifte van de EU naar de VS, en Google is eronder gecertificeerd. Dat adresseert rechtstreeks het kernbezwaar uit de uitspraken van 2022: er is weer een doorgiftemechanisme. Het strikte standpunt dat elke GA-doorgifte onrechtmatig is, is dus verzwakt.
De kanttekeningen zijn dezelfde als die we maakten bij de AVG-positie van Bitly. Het framework is de derde poging nadat Safe Harbour en Privacy Shield allebei werden vernietigd, en privacyactivisten hebben een aanval aangekondigd, dus een derde Schrems-arrest is een reëel risico. En de doorgiftegrondslag is maar één van je verplichtingen; toestemming is een andere, en die verdwijnt niet.
De toestemmingslaag die mensen vergeten
Zelfs als de doorgiftevraag volledig was geregeld, zou GA in de EU niet plug-and-play compliant zijn.
Google Analytics plaatst cookies en verwerkt persoonsgegevens, dus het heeft geldige, voorafgaande, geïnformeerde toestemming nodig voordat het draait, plus een werkende Consent Mode-configuratie om zich te gedragen wanneer toestemming wordt geweigerd. Die verplichting staat los van waar de data heen gaan. Daarom draaien zoveel EU-sites GA achter een toestemmingsbanner die een groot deel van de bezoekers weigert, wat de data ondertussen stilletjes uitholt. Een cookievrije, in de EU gehoste analyticstool omzeilt zowel de doorgiftevraag als de toestemmingsbanner, en dat is een groot deel van waarom teams overstappen.
Wat het betekent voor link- en kliktracking
Dit is niet alleen een probleem van websiteanalytics, want linktracking heeft dezelfde vorm.
Elke redirect via een URL-verkorter legt een IP-adres en een user-agent vast, beide persoonsgegevens van identificeerbare personen, precies zoals een GA-hit. Een Amerikaanse URL-verkorter roept dus dezelfde doorgiftevraag op als GA. Trek je je analyticsstack strakker voor de AVG, dan hoort de link- en campagnetracking in dezelfde beoordeling. De klikdata in de EU houden is de gelijkwaardige oplossing: de analytics van Elido bewaren klikdata in de EU-regio in plaats van ze door te geven, en je kunt beginnen met het gratis abonnement met een EU-verwerkersovereenkomst inbegrepen. De diepere behandeling staat in AVG voor URL-verkorters.
Over de updates van GA4 in 2026 hoort hier één kanttekening. Google blijft de meetkant verbeteren, het meest recent met het nieuwe kanaal AI Assistant dat verkeer van ChatGPT en Gemini uit Referral haalt. Dat is een nuttige wijziging in de classificatie, maar het zegt niets over waar de data worden verwerkt. Een schoner rapport bovenop een doorgifte naar de VS blijft een doorgifte naar de VS.
De alternatieven gehost in de EU
Wil je de doorgiftevraag helemaal niet beheren, dan is de Europese analyticsmarkt nu diep genoeg om GA volledig te vervangen.
- Plausible en Simple Analytics: licht, cookievrij, gehost in de EU; voor basisstatistieken is geen toestemmingsbanner nodig.
- Matomo: het dichtst bij de functies van GA4, met een zelfgehoste optie voor volledig eigendom van de data.
- Piwik PRO: enterprise-niveau, gehost in de EU, met toestemmings- en tagbeheer ingebouwd.
- Pirsch: eenvoudig en budgetvriendelijk voor kleinere teams.
Elk houdt de data in de EU, en die eigenschap neemt de doorgifteanalyse weg in plaats van haar te beheren. Combineer er een voor siteanalytics met een in de EU gehoste URL-verkorter voor linkanalytics, en je hele meetstack valt onder EU-jurisdictie. Voor het bredere beeld per tool behandelen de beste EU-URL-verkorters en dataopslag in de EU voor marketing de rest van de stack.
Wat je nu moet doen
Je hoeft GA niet vanmiddag eruit te slopen, maar je moet de vraag niet langer als gesloten behandelen.
Drie praktische stappen. Bevestig eerst dat je echt geldige toestemming en een werkende Consent Mode-opzet hebt, want die verplichting geldt ongeacht de doorgiftegrondslag en is het makkelijkst fout te doen. Voer ten tweede een gegevensbeschermingsbeoordeling uit die ook je link- en campagnetracking omvat, niet alleen de websitetag, omdat ze dezelfde doorgiftebelasting dragen. Plan ten derde, als je sector of een klantcontract verwerking uitsluitend in de EU vereist, nu een overstap naar een in de EU gehoste tool in plaats van te wachten tot de volgende rechterlijke uitspraak het afdwingt. De teams die dit goed aanpakken, behandelen het huidige framework als uitstel om onder te migreren, niet als blijvende oplossing.
Lees de hoeksteen
Dit hoort bij het compliancecluster. De hoeksteen is AVG voor URL-verkorters. Voor de samenvatting voor inkoop zijn solutions/compliance en de trustpagina de twee om te bookmarken.
Verwant op de blog
Veelgestelde vragen
Is Google Analytics AVG-compliant (GDPR)?
Niet zonder meer. Sinds 2022 oordeelden verschillende EU-gegevensbeschermingsautoriteiten dat standaardimplementaties van Google Analytics de AVG schonden door bezoekersdata van EU-burgers door te geven aan de VS, waar ze toegankelijk zijn onder Amerikaanse surveillancewetgeving. Het EU-VS Data Privacy Framework van 2023 herstelde een juridisch doorgiftemechanisme, dus GA draait nu op dezelfde basis van compliant via doorgifte als andere Amerikaanse tools, niet op vaste EU-dataopslagbodem. Het is bruikbaar met zorg, niet standaard compliant.
Is Google Analytics verboden in de EU?
Nee, het is niet verboden. De besluiten van de toezichthouders vonden specifieke implementaties niet-conform en gaven bevelen tot herstel; ze verboden het product niet. Na het Data Privacy Framework van 2023 heeft GA weer een doorgiftemechanisme. Maar het framework is juridisch aanvechtbaar en GA stuurt EU-data nog steeds naar de VS, dus het volledig geregeld noemen is te veel gezegd. Verboden is het verkeerde woord; onzeker is het juiste.
Heeft het Data Privacy Framework Google Analytics weer legaal gemaakt?
Het herstelde een rechtmatige grondslag voor de doorgifte naar de VS, en dat is de kern van waar de eerdere uitspraken bezwaar tegen maakten. Google is onder het framework gecertificeerd. Twee kanttekeningen blijven: het framework staat bloot aan dezelfde soort juridische aanval die zijn twee voorgangers neerhaalde, en je blijft verplicht tot geldige toestemming en cookieverplichtingen, ongeacht de doorgiftegrondslag. Het verbeterde de positie dus zonder de vraag te laten verdwijnen.
Wat zijn AVG-conforme alternatieven voor Google Analytics?
Privacyvriendelijke analytics uit de EU die de data in de EU houden: Plausible en Simple Analytics voor lichte cookievrije statistieken, Matomo voor bijna dezelfde functies als GA4 met zelfhosting, Piwik PRO voor enterprise en Pirsch voor budgetbewuste teams. Voor link- en klikanalytics houdt een URL-verkorter gehost in de EU die data ook in de EU, wat de doorgiftevraag voor je campagnetracking wegneemt.
Heeft Google Analytics nog steeds cookietoestemming nodig?
Ja. De doorgiftegrondslag en de toestemmingseis zijn aparte verplichtingen. Ook als het Data Privacy Framework de doorgifte naar de VS dekt, plaatst GA cookies en verwerkt het persoonsgegevens, dus in de EU heb je nog steeds geldige voorafgaande toestemming nodig en een werkende Consent Mode-opzet. Een cookievrije EU-analyticstool kan de toestemmingsbanner helemaal vermijden, en dat is een deel van waarom teams overstappen.
Probeer Elido
Plak een URL, krijg een werkende korte link
Geen aanmelding nodig. Link blijft 30 dagen actief. Meld je aan om hem voor altijd te bewaren.
Geen account nodig. Meld je gratis aan voor 50 links per maand.