DSGVO-konformes Website-Tracking ohne Consent mit Matomo: Was in Deutschland wirklich möglich ist

Website-Tracking ohne Cookie-Banner und trotzdem datenschutzkonform? Matomo bietet dafür interessante Möglichkeiten. Ganz so einfach wie „keine Cookies = keine Einwilligung“ ist es in Deutschland allerdings nicht. Entscheidend ist, wie die Daten technisch erhoben werden.

Für Marketingverantwortliche ist Website-Tracking ein kleines Dilemma.

Ohne Daten lässt sich schwer beurteilen, welche Inhalte funktionieren, über welche Kanäle Besucher kommen oder welche Seiten besonders häufig genutzt werden. Gleichzeitig darf Tracking nicht einfach gestartet werden, nur weil die Informationen fürs Marketing nützlich wären.

Consent-Banner lösen dieses Problem rechtlich und technisch – schaffen aber ein neues: Wer die Analyse ablehnt, taucht je nach Tracking-Konfiguration gar nicht oder nur eingeschränkt in den Daten auf.

Das kann die Datenbasis erheblich verändern.

Matomo bietet verschiedene Möglichkeiten, Website-Nutzung datenschutzfreundlicher zu analysieren. Dazu gehört auch Tracking ohne Cookies. Für deutsche Websites ist jedoch eine wichtige Unterscheidung notwendig:

Cookielos ist nicht automatisch einwilligungsfrei.

1. Kann Website-Tracking auch ohne Einwilligung funktionieren?

Grundsätzlich kann eine Website auch ohne vorherige Einwilligung bestimmte Informationen zur Nutzung erfassen. Ob das zulässig ist, hängt aber nicht allein davon ab, ob Cookies verwendet werden.

In Deutschland müssen dabei insbesondere zwei Regelungsbereiche unterschieden werden.

Die DSGVO regelt die Verarbeitung personenbezogener Daten. Das TDDDG – das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – schützt zusätzlich Informationen auf den Endgeräten der Nutzer.

§ 25 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen auf dem Endgerät gespeichert oder bereits vorhandene Informationen ausgelesen werden. Ausnahmen gelten insbesondere dann, wenn dies unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Genau deshalb reicht die Aussage „Wir setzen keine Cookies“ nicht aus.

Drei Arten von Tracking, die häufig verwechselt werden

Tracking mit Cookies

Der Browser speichert beispielsweise eine Kennung. Dadurch kann das Analysesystem erkennen, dass derselbe Browser mehrere Seiten besucht oder später erneut auf die Website kommt.

Matomo verwendet in seiner Standardkonfiguration unter anderem First-Party-Cookies für Besucher-ID, Sitzung und Referrer-Informationen.

Cookieloses JavaScript-Tracking

Matomo kann so konfiguriert werden, dass keine Analyse-Cookies gesetzt werden. Das JavaScript auf der Website läuft aber weiterhin und sendet Informationen an Matomo.

Technisch ist das also cookielos. Nach der aktuellen Matomo-Dokumentation sollte JavaScript-basiertes Tracking in Deutschland trotzdem grundsätzlich als einwilligungspflichtig behandelt werden, weil der Tracker weiterhin auf Informationen des Endgeräts zugreifen kann.

Serverseitige Reichweitenanalyse

Eine andere Möglichkeit besteht darin, Informationen auszuwerten, die beim normalen Abruf einer Website ohnehin am Webserver anfallen. Matomo kann dafür beispielsweise Server-Logfiles importieren.

Es wird dann kein zusätzliches Analyse-JavaScript im Browser ausgeführt und kein Analyse-Cookie gesetzt. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg nennt eine lokale Logfile-Analyse ausdrücklich als möglichen Baustein einer einwilligungsfreien Reichweitenanalyse – allerdings nur unter weiteren Bedingungen.

Das ist für deutsche Websites der entscheidende Unterschied.

2. Wann kann Matomo ohne Cookies und Consent eingesetzt werden?

Matomo selbst weist inzwischen sehr deutlich darauf hin, dass eine cookielose Konfiguration nicht automatisch von der Einwilligungspflicht befreit.

Für Deutschland empfiehlt Matomo bei JavaScript-basiertem Tracking grundsätzlich eine vorherige Einwilligung. Als Alternative nennt Matomo Log Analytics, also die Auswertung der Server-Logfiles ohne Zugriff des Analysewerkzeugs auf das Endgerät.

Auch deutsche Datenschutzaufsichtsbehörden unterscheiden zwischen klassischem Tracking und einer datensparsamen Reichweitenanalyse.

Der Landesdatenschutzbeauftragte Baden-Württemberg nennt für eine Reichweitenanalyse ohne Einwilligung unter anderem folgende Kriterien: lokale Logfile-Analyse, Verzicht auf externe Drittdienste, datensparsame Konfiguration, kein Zusammenführen von Nutzungsdaten über Anbieter- oder Gerätegrenzen hinweg und keine Verwendung von Wiedererkennungsinformationen für andere Zwecke. Ziel sollen nicht personenbezogene, aggregierte Statistiken sein.

Das bedeutet praktisch:

Matomo kann Teil einer einwilligungsfreien Reichweitenanalyse sein. Aber nicht Matomo als Produkt macht das Tracking einwilligungsfrei, sondern die konkrete technische und datenschutzrechtliche Konfiguration kann dies ermöglichen.

Ob eine bestimmte Umsetzung tatsächlich ohne Einwilligung betrieben werden kann, sollte für die jeweilige Website geprüft werden. Dieser Beitrag ersetzt keine individuelle Datenschutz- oder Rechtsberatung.

3. Welche Daten können ohne Einwilligung erfasst werden?

Die spannende Frage für das Marketing lautet natürlich: Was bleibt übrig, wenn auf Cookies, dauerhafte Nutzerkennungen und umfangreiches Client-Side-Tracking verzichtet wird?

Mehr, als man zunächst vermuten könnte.

Webserver erhalten technisch bedingt Informationen, wenn eine Seite abgerufen wird. Server-Logfiles können beispielsweise Zeitpunkt und aufgerufene URL sowie – abhängig von der Serverkonfiguration – Referrer, User-Agent und IP-Adresse enthalten. Matomo kann solche Logfiles importieren und daraus Analysen erstellen. Für aussagekräftigere Log-Analysen empfiehlt Matomo unter anderem Logdaten mit Referrer, User-Agent und vollständigen URLs.

Damit lassen sich je nach Konfiguration beispielsweise Fragen beantworten wie:

Welche Seiten werden besonders häufig aufgerufen?
Welche Inhalte werden wenig genutzt?
Über welche externen Websites oder Suchmaschinen entstehen Aufrufe?
Welche Landingpages erhalten besonders viel Traffic?
Wie entwickelt sich die Nutzung einer Website über Wochen oder Monate?
Welche Endgeräte oder Browsergruppen spielen eine Rolle, soweit die dafür erforderlichen Informationen datenschutzkonform verarbeitet werden können?

Für viele mittelständische Unternehmenswebsites sind genau diese Informationen bereits sehr wertvoll.

Wer beispielsweise wissen möchte, ob ein neuer Fachartikel gelesen wird oder welche Leistungsseite besonders häufig aufgerufen wird, braucht dafür nicht zwingend ein detailliertes personenbezogenes Nutzerprofil.

Anders sieht es aus, wenn Marketing einzelne Besucher über längere Zeiträume wiedererkennen, detaillierte Customer Journeys rekonstruieren oder Daten mit Werbeplattformen verbinden soll.

Dann verlässt man schnell den Bereich einer einfachen Reichweitenanalyse.

4. Wie aussagekräftig ist cookieloses Tracking im Vergleich zu Google Analytics?

Hier lohnt sich eine Gegenfrage:

Was möchten Sie eigentlich wissen?

Wenn Sie hauptsächlich verstehen möchten, welche Inhalte genutzt werden, woher Website-Aufrufe kommen und wie sich der Traffic entwickelt, kann eine datensparsame Matomo-Auswertung eine sehr brauchbare Entscheidungsgrundlage liefern.

Wenn Sie dagegen möglichst vollständige Nutzerreisen, wiederkehrende Besucher, kanalübergreifende Attribution, Zielgruppen oder umfangreiche Advertising-Funktionen benötigen, entstehen größere Einschränkungen.

Cookies helfen dabei, Besuche miteinander zu verbinden

Matomo weist selbst darauf hin, dass bei deaktivierten Cookies insbesondere Kennzahlen wie Unique Visitors sowie die Unterscheidung zwischen neuen und wiederkehrenden Besuchern ungenauer werden. Auch bestimmte Attribution-, Kohorten- und andere besucherbezogene Reports sind eingeschränkt.

Das ist logisch: Ohne dauerhafte Kennung wird es schwieriger festzustellen, ob zwei Besuche von derselben Person beziehungsweise demselben Browser stammen.

Google Analytics 4 verwendet im regulären Betrieb ebenfalls First-Party-Cookies. Die darin gespeicherte Client-ID dient unter anderem dazu, pseudonyme Nutzer und Sitzungen zu unterscheiden.

Ein Consent-Banner verändert die Datenbasis

Bei einwilligungsabhängigem Tracking kommt ein anderes Problem hinzu.

Angenommen, 10.000 Menschen besuchen eine Website. Wenn ein Teil davon Analytics ablehnt und das Tracking bis zur Zustimmung vollständig blockiert wird, basiert die beobachtete Analyse nur auf dem verbleibenden Teil.

Das ist nicht nur eine Frage der Datenmenge.

Die Gruppe der Einwilligenden muss statistisch nicht identisch mit der Gruppe der Ablehnenden sein. Deshalb kann man nicht einfach sagen: „Wir erfassen 60 Prozent und rechnen die Zahlen mit Faktor 1,67 hoch.“

Google versucht solche Lücken unter bestimmten Voraussetzungen mit dem Consent Mode und modellierten Daten zu reduzieren. Google Analytics kann dabei fehlendes Verhalten anhand der beobachteten Daten von Nutzern mit Einwilligung modellieren. Dafür gelten allerdings Mindestanforderungen an Datenmenge und Implementierung; zudem unterstützen nicht alle Reports und Funktionen diese Modellierung.

Für kleinere Unternehmenswebsites können bereits die notwendigen Datenmengen eine relevante Einschränkung sein. Google nennt für bestimmte Formen des Behavioral Modeling unter anderem mindestens 1.000 tägliche Nutzer mit erteilter Analytics-Einwilligung an mindestens sieben der vorherigen 28 Tage sowie weitere Schwellenwerte.

Weniger Details können trotzdem bessere Entscheidungsgrundlagen bedeuten

Deshalb sollte man Tracking nicht nur danach beurteilen, welches System theoretisch die meisten Funktionen besitzt.

Für eine mittelständische Unternehmenswebsite kann eine breitere, aber bewusst reduzierte Datenbasis interessanter sein als eine hochdetaillierte Analyse eines kleineren Ausschnitts der Besucher.

Ein einfaches Beispiel:

Sie möchten wissen, ob die neue Leistungsseite zu Thema A oder Thema B stärker genutzt wird.

Dafür sind verlässliche Seitenaufrufe und langfristige Trends möglicherweise wichtiger als die Information, ob ein einzelner Besucher die Website bereits vor drei Wochen besucht hat.

Anders sieht es bei einem Onlineshop mit umfangreichen Kampagnen, mehreren Werbekanälen und komplexer Conversion-Attribution aus. Dort können genau diese Informationen wichtig sein.

Das beste Tracking ist deshalb nicht das Tracking mit den meisten Daten. Es ist das Tracking, das die richtigen Fragen ausreichend zuverlässig beantwortet.

5. Was muss technisch und beim Datenschutz beachtet werden?

Wer Matomo datenschutzfreundlich einsetzen möchte, sollte nicht einfach die Standardinstallation aktivieren und anschließend nur die Cookies abschalten.

Technik und Datenschutz müssen gemeinsam betrachtet werden.

1. Zuerst den Zweck definieren

Welche Entscheidungen sollen mit den Daten getroffen werden?

Geht es um Reichweite und Content-Nutzung? Um Kampagnen? Um Conversions? Um wiederkehrende Besucher? Um Remarketing?

Je klarer diese Frage beantwortet ist, desto leichter lässt sich entscheiden, welche Daten tatsächlich notwendig sind.

2. Erhebungsmethode festlegen

Für Deutschland sollte klar zwischen JavaScript-Tracking und serverseitiger Analyse unterschieden werden.

Wer eine Analyse ohne vorherige Einwilligung anstrebt, sollte insbesondere prüfen, ob eine lokale und datensparsame Logfile-Analyse ausreicht. Cookieloses Matomo-JavaScript sollte dagegen nicht einfach mit einwilligungsfreiem Tracking gleichgesetzt werden.

3. Personenbezug minimieren

IP-Adressen und andere potenziell identifizierende Informationen sollten nur verarbeitet werden, soweit dies erforderlich und rechtlich zulässig ist, und so früh wie möglich anonymisiert beziehungsweise vom Personenbezug befreit werden.

Eine Reichweitenanalyse ohne Einwilligung sollte gerade nicht dazu dienen, langfristige Profile einzelner Besucher aufzubauen. Die deutsche Datenschutzaufsicht betont die Bedeutung aggregierter, nicht personenbeziehbarer Statistiken.

4. Keine Daten auf Vorrat sammeln

Nur weil Matomo eine Funktion anbietet, muss sie nicht aktiviert werden.

Heatmaps, Session Recordings, User IDs, detaillierte E-Commerce-Daten oder Advertising-Funktionen verändern den Charakter der Datenverarbeitung erheblich. Matomo weist selbst darauf hin, dass weitergehende Funktionen und Marketingzwecke außerhalb möglicher Ausnahmen liegen können.

5. Hosting und Datenflüsse prüfen

Entscheidend ist nicht nur, was Matomo misst, sondern auch, wo die Daten verarbeitet werden und wer Zugriff darauf erhält.

Bei einer On-Premise-Installation kann Matomo auf einer selbst kontrollierten Infrastruktur betrieben werden. Aber auch dann müssen Hosting, Zugriffsrechte, Löschfristen, Backups und gegebenenfalls beteiligte Auftragsverarbeiter betrachtet werden.

6. Datenschutzerklärung anpassen

„Ohne Consent“ bedeutet nicht „ohne Datenschutzinformation“.

Auch eine datensparsame Reichweitenanalyse muss transparent dokumentiert werden. Welche Informationen verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden, hängt von der konkreten Umsetzung ab.

7. Consent-Banner nicht einfach entfernen

Das ist besonders wichtig.

Eine Website besteht selten nur aus Matomo. YouTube-Einbettungen, Google Maps, Marketing-Pixel, externe Schrift- oder Mediendienste, Chatfunktionen und andere Drittanbieter können weiterhin eine Einwilligung erforderlich machen.

Eine datenschutzfreundliche Matomo-Konfiguration bedeutet deshalb nicht automatisch, dass die gesamte Website keinen Consent-Mechanismus mehr benötigt.

Matomo ohne Consent: Der interessante Ansatz ist nicht einfach „Tracking ohne Cookies“

Für deutsche Unternehmen liegt der entscheidende Punkt tiefer.

Es geht nicht darum, einen technischen Trick zu finden, mit dem ein Cookie-Banner verschwindet.

Es geht darum, Website-Analyse auf die Daten zu reduzieren, die für sinnvolle Entscheidungen tatsächlich benötigt werden – und dafür eine passende Erhebungsmethode zu wählen.

Für manche Websites bleibt ein einwilligungsbasiertes Analytics-Setup die richtige Lösung.

Für andere kann eine datensparsame, serverseitige Reichweitenanalyse mit Matomo eine interessante Alternative sein. Sie liefert weniger personenbezogene Details, kann dafür aber eine robuste Grundlage für Fragen zu Reichweite, Content und Website-Nutzung schaffen.

Und manchmal ist weniger Tracking tatsächlich mehr Erkenntnis.

Fazit

Website-Tracking ohne vorherige Einwilligung ist mit Matomo nicht grundsätzlich ausgeschlossen. Cookieloses JavaScript-Tracking allein ist in Deutschland dafür aber keine sichere Abkürzung.

Besonders relevant ist die serverseitige Analyse von Logfiles, weil dabei kein zusätzliches Tracking-Skript auf das Endgerät des Besuchers zugreifen muss. Auch hier müssen jedoch Zweck, Datenumfang, Anonymisierung, Rechtsgrundlage, Speicherfristen und technische Umsetzung geprüft werden.

Unternehmen sollten deshalb nicht mit der Frage beginnen: „Wie bekommen wir das Cookie-Banner weg?“

Die bessere Frage lautet:

Welche Daten brauchen wir wirklich, um unser Marketing und unsere Website sinnvoll zu steuern – und wie können wir diese möglichst datensparsam erheben?

Wer sein bestehendes Tracking schon länger nicht überprüft hat, sollte genau dort anfangen. HEYKIM verbindet Tracking und Erfolgsmessung mit Website, Marketing und Datenanalyse und kann bestehende Setups technisch und konzeptionell überprüfen.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick über technische und datenschutzrechtliche Aspekte des Website-Trackings. Er stellt keine Rechtsberatung dar. Ob eine konkrete Tracking-Konfiguration ohne Einwilligung zulässig ist, sollte im Einzelfall unter Berücksichtigung der Website, der eingesetzten Technologien und der zuständigen Datenschutzaufsicht geprüft werden.