Wer eine Website betreibt, will wissen, was darauf passiert: Welche Seiten werden gelesen, woher kommen die Besucher, wo brechen sie ab? Web-Analyse ist legitim und wichtig – aber sie bewegt sich auf rechtlich heiklem Terrain. Zwischen DSGVO, TTDSG und internationalen Datentransfers ist es leicht, etwas falsch zu machen. Dieser Guide zeigt dir, wie du Tracking und Analytics so einsetzt, dass du aussagekräftige Daten bekommst, ohne gegen den Datenschutz zu verstoßen.
Warum Tracking überhaupt heikel ist
Sobald ein Analyse-Tool Cookies setzt oder auf den Local Storage zugreift, greift Paragraf 25 des TTDSG: Der technische Zugriff auf das Endgerät ist nur mit Einwilligung erlaubt. Und sobald dabei personenbezogene Daten verarbeitet werden – und IP-Adressen oder eindeutige IDs sind in der Regel personenbezogen – kommt zusätzlich die DSGVO ins Spiel.
Daraus ergeben sich zwei zentrale Fragen, die du für jedes Analyse-Tool beantworten musst: Brauchst du eine Einwilligung, weil das Tool Cookies setzt? Und wenn ja, lädt das Tracking-Skript wirklich erst nach der Einwilligung? Ein Tool, das schon beim Seitenaufruf feuert, ist der häufigste und am leichtesten nachweisbare Verstoß.
Einwilligung oder berechtigtes Interesse?
Für die Web-Analyse kommen grundsätzlich zwei Rechtsgrundlagen in Betracht. Welche du brauchst, hängt davon ab, wie eingriffsintensiv das Tool arbeitet.
Klassisches Cookie-Tracking braucht Einwilligung
Reichweitenstarke Tools wie Google Analytics setzen Cookies und erstellen umfangreiche Nutzerprofile. Hier führt kein Weg an einer aktiven Einwilligung über ein Cookie-Banner vorbei. Das Tracking darf erst starten, wenn der Nutzer zugestimmt hat. Lehnt er ab, darf gar nichts erfasst werden.
Cookielose, anonyme Messung kann ohne Einwilligung möglich sein
Manche datenschutzfreundliche Tools verzichten vollständig auf Cookies und auf das Speichern personenbezogener Daten. Arbeitet ein Tool wirklich anonym – also ohne wiedererkennbare IDs und ohne Zugriff auf das Endgerät im Sinne des TTDSG – lässt es sich unter Umständen auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen und damit ohne Banner betreiben. Das ist allerdings eine Einzelfallfrage, die du sorgfältig prüfen und dokumentieren solltest. Die Aussage „cookielos = immer ohne Einwilligung" ist zu pauschal.
Das Problem mit US-amerikanischen Diensten
Ein eigenes Kapitel sind Datentransfers in die USA. Viele populäre Analyse- und Marketing-Tools übermitteln Daten an Server in den Vereinigten Staaten. Nachdem der Europäische Gerichtshof im „Schrems II"-Urteil das frühere Privacy-Shield-Abkommen gekippt hatte, herrschte jahrelang große Rechtsunsicherheit.
Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder eine Grundlage für Transfers in die USA – allerdings nur zu Unternehmen, die sich diesem Rahmen ausdrücklich angeschlossen haben. Du solltest daher für jeden US-Dienst prüfen, ob der Anbieter zertifiziert ist, und die Übermittlung zusätzlich über Standardvertragsklauseln absichern. Wer dieses Risiko ganz vermeiden möchte, greift zu europäischen oder selbst gehosteten Alternativen, bei denen die Daten das eigene Land nie verlassen.
Datensparsame Werkzeuge und Einstellungen
Unabhängig vom konkreten Tool gilt der DSGVO-Grundsatz der Datenminimierung: Erhebe nur, was du wirklich auswertest. Konkrete Maßnahmen, die fast jedes Tracking datenschutzfreundlicher machen:
- IP-Anonymisierung aktivieren: Die letzten Stellen der IP-Adresse werden gekürzt, sodass kein eindeutiger Personenbezug mehr besteht.
- Speicherdauer verkürzen: Stelle die Aufbewahrung der Rohdaten auf das nötige Minimum.
- Datenweitergabe deaktivieren: Schalte Funktionen ab, die deine Daten mit dem Anbieter oder Werbenetzwerken teilen.
- Cross-Site-Tracking vermeiden: Verzichte auf seitenübergreifende Profilbildung, wenn du sie nicht zwingend brauchst.
Viele dieser Stellschrauben sind in den Einstellungen der Tools versteckt und standardmäßig auf die datenintensivste Variante gesetzt. Es lohnt sich, jede Option bewusst durchzugehen.
Datenschutzfreundliche Alternativen
Der Markt für privatsphärefreundliche Web-Analyse ist in den letzten Jahren stark gewachsen. Statt eines reichweitenstarken Datensammlers kannst du auf Tools setzen, die bewusst sparsam arbeiten – viele davon lassen sich sogar auf dem eigenen Server betreiben, sodass keine Daten an Dritte abfließen.
Wir haben mehrere solcher Lösungen ausführlich vorgestellt: Matomo zum Selbst-Hosten ist eine umfassende, voll kontrollierbare Analyse-Plattform; Plausible Analytics punktet mit einer schlanken, cookielosen Messung; und mit Heatmap-Tools verstehst du das Nutzerverhalten visuell. Welche Lösung passt, hängt davon ab, wie tief du analysieren willst und wie viel technischen Aufwand du betreiben kannst.
Server-Logs sind auch Tracking
Ein oft übersehener Punkt: Auch ohne jedes Analyse-Tool erhebt dein Webserver Daten. Die Logfiles speichern in der Regel IP-Adresse, Zeitstempel, abgerufene URL und Browserkennung jedes Besuchers. Das ist eine Verarbeitung personenbezogener Daten und gehört in deine Datenschutzerklärung.
Für reine Server-Logs zur Gewährleistung der IT-Sicherheit lässt sich meist das berechtigte Interesse heranziehen – wichtig sind aber kurze Löschfristen. Viele Betreiber speichern Logs deutlich länger, als nötig wäre. Eine Aufbewahrung von wenigen Tagen bis zu maximal einigen Wochen ist für Sicherheitszwecke in der Regel ausreichend.
Performance messen, ohne Nutzer zu tracken
Oft will man gar nicht das Verhalten einzelner Nutzer verstehen, sondern nur die technische Qualität der Seite. Ladezeiten, Core Web Vitals und Fehlerraten lassen sich messen, ohne personenbezogene Profile zu bilden. Werkzeuge wie Lighthouse-Audits liefern dir solche technischen Kennzahlen, ohne deine Besucher zu verfolgen. Auch die Webtools auf kotsch.tech helfen dir, deine Seite zu prüfen und zu optimieren, ohne dass dabei Nutzerdaten gesammelt werden.
Deine Tracking-Checkliste
Bevor du ein Analyse-Tool live schaltest, gehe diese Punkte durch:
- Setzt das Tool Cookies oder greift es auf das Endgerät zu? Wenn ja, brauchst du eine Einwilligung.
- Lädt das Tracking-Skript garantiert erst nach der Einwilligung?
- Werden Daten in die USA oder andere Drittländer übertragen? Ist das abgesichert?
- Hast du IP-Anonymisierung aktiviert und die Speicherdauer minimiert?
- Existiert ein Auftragsverarbeitungsvertrag mit dem Anbieter?
- Ist das Tool vollständig in deiner Datenschutzerklärung beschrieben?
Fazit
Datenschutzkonformes Tracking ist kein Widerspruch in sich. Wer auf datensparsame Tools setzt, Einwilligungen sauber einholt, internationale Transfers absichert und nur das erhebt, was er wirklich braucht, bekommt aussagekräftige Daten und bleibt auf der sicheren Seite. Der Trend geht klar zu privatsphärefreundlicher Analyse – und das ist gut so, denn es schafft Vertrauen bei deinen Besuchern.
Ergänzend lohnt sich der Blick in unseren Leitfaden zur korrekten Cookie-Banner-Einrichtung und in die DSGVO-Grundlagen für Unternehmen.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Bei rechtlichen Unsicherheiten ziehe einen spezialisierten Anwalt oder die Datenschutzaufsicht hinzu.