Website-Statistik datenschutzfreundlich

Datenschutzfreundliche Website-Statistik zählt Besuche und Seitenaufrufe, ohne Besucherinnen und Besucher über Tage oder Websites hinweg wiederzuerkennen. Werkzeuge wie Matomo (ohne Cookies eingestellt), Plausible oder Cloudflare Web Analytics sind dafür gebaut. Ob du damit ohne Cookie-Banner auskommst, lässt sich aber nicht pauschal sagen. Maßgeblich ist § 25 TDDDG, und die Datenschutzaufsicht prüft dabei die konkrete Konfiguration und den Zweck. Diese Seite erklärt die Regeln und die Werkzeuge, sie ersetzt keine Rechtsberatung.

Was das Gesetz sagt

Die zentrale Vorschrift ist § 25 des Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (TDDDG). Nach Absatz 1 ist die Speicherung von Informationen auf dem Gerät der Nutzer oder der Zugriff auf dort gespeicherte Informationen nur zulässig, wenn die Person auf Grundlage klarer und umfassender Informationen eingewilligt hat.

Absatz 2 nennt zwei Ausnahmen. Für Websites ist die zweite wichtig: Eine Einwilligung ist nicht nötig, wenn das Speichern oder Auslesen „unbedingt erforderlich“ ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Die Datenschutzkonferenz (DSK), der Zusammenschluss der deutschen Datenschutzaufsichtsbehörden, hat dazu im November 2024 die „Orientierungshilfe für Anbieter:innen von digitalen Diensten“ in Version 1.2 veröffentlicht. Daraus sind für Statistik vier Punkte wichtig:

1. Nicht nur Cookies: § 25 gilt für jedes Speichern oder Auslesen auf dem Endgerät. Auch wenn ein Skript per JavaScript Eigenschaften des Geräts ausliest und für einen Fingerabdruck an einen Server schickt, wertet die DSK das als Zugriff.
2. Kein Personenbezug nötig: Das Einwilligungserfordernis greift laut DSK unabhängig davon, ob die Informationen personenbezogen sind.
3. Keine Pauschalfreigabe für Reichweitenmessung: Die DSK trifft ausdrücklich keine allgemeine Aussage, dass Reichweitenmessung ohne Einwilligung erlaubt ist. Eine solche Festlegung sei „allenfalls für eine genau definierte Konfiguration und Zweckbestimmung“ möglich. Selbst die einfache Messung von Besucherzahlen sei nicht per se Teil des Basisdienstes.
4. Zwei Prüfschritte: Neben § 25 TDDDG muss die anschließende Verarbeitung personenbezogener Daten den Regeln der DSGVO entsprechen.

Als Beispiele für eine reine Zählung nennt die DSK, bei jedem Seitenabruf einen Zähler zu erhöhen, Logdateien ohne personenbezogene Daten auszuwerten oder ein einfaches Zählpixel der eigenen Seite zu nutzen, das keine weiteren Nutzerdaten erfasst.

Drei Werkzeuge im Vergleich

Matomo

Matomo kannst du auf dem eigenen Server betreiben, dann bleiben die Daten bei dir. Ohne Cookies läuft es, wenn du im Tracking-Code _paq.push(['disableCookies']); vor dem Seitenaufruf-Befehl einfügst, im WordPress-Plugin den Haken „Disable cookies“ setzt oder es im Tag Manager einstellst. Matomo weist darauf hin, dass das Tracking damit nicht abgeschaltet ist und einzelne technische Cookies trotzdem gesetzt werden können. Außerdem werden die Berichte ungenauer, weil Cookies helfen, wiederkehrende Besucher zu erkennen.

Plausible

Plausible setzt laut Datenschutzseite keine Cookies und erzeugt keine dauerhaften Besucherkennungen. Um Besucher eines Tages zu zählen, bildet der Dienst einen Hash aus einem täglich wechselnden Salt, der Domain, der IP-Adresse und dem User-Agent. Der Salt wird alle 24 Stunden erneuert und gelöscht. Rohe IP-Adressen und User-Agent-Strings speichert Plausible nach eigener Aussage nicht, die Daten liegen in der EU, der Quellcode ist öffentlich.

Cloudflare Web Analytics

Cloudflare beschreibt seine kostenlose Statistik so, dass sie keinen clientseitigen Zustand wie Cookies oder localStorage nutzt und Personen nicht über IP-Adresse oder User-Agent per Fingerprinting erfasst. Gemessen wird entweder per JavaScript-Beacon im Browser oder, bei Seiten hinter Cloudflare, direkt an den Servern.

Was „ohne Cookies“ bedeutet und was nicht

Alle drei Werkzeuge verzichten auf Tracking-Cookies oder lassen sich so einstellen. Das ist ein großer Schritt gegenüber Werbe-Tracking. Rechtlich ist damit aber nicht automatisch alles geklärt:

• Läuft ein Skript im Browser, das Geräteeigenschaften ausliest und an einen Server schickt, kann das nach Auffassung der DSK ein Zugriff im Sinne von § 25 sein.
• Ob eine Ausnahme greift, hängt am Zweck. Die DSK unterscheidet zwischen dem, was Besucher selbst wollen (etwa eine fehlerfreie Auslieferung der Seite), und dem, was vor allem dem Betreiber dient.
• Auch ohne Cookies verarbeiten die Werkzeuge IP-Adressen oder andere Daten auf dem Server. Dafür gelten die Regeln der DSGVO, beschreibe die Verarbeitung deshalb auch in deiner Datenschutzerklärung.

Die sparsamste Variante: Serverlogs

Gibt dir dein Hoster Zugriff auf die Logdateien des Webservers, kannst du Abrufe auch dort auswerten. Werden daraus nur Seitenaufrufe gezählt, ohne personenbezogene Daten auszuwerten, kommt das dem nahe, was die DSK als reine Zählung beschreibt. Der Nachteil: Logs können auch Abrufe von Bots enthalten, und Auswertungen wie Verweildauer oder Herkunft sind damit nur grob möglich. Für einen kleinen Blog, der nur wissen will, welche Beiträge gelesen werden, reicht das oft.

So gehst du vor

1. Zweck festlegen. Schreib auf, welche Fragen die Statistik beantworten soll, etwa „Welche Seiten werden gelesen?“ oder „Woher kommen Besucher?“.
2. Datenumfang begrenzen. Erfasse nur, was dafür nötig ist. Weniger Auswertungen heißt weniger Daten.
3. Werkzeug wählen. Wenn dir Seitenaufrufe reichen, kommst du vielleicht mit Serverlogs oder einem schlanken Dienst aus. Für tiefere Auswertungen bietet sich ein selbst gehostetes Matomo an.
4. Sparsam konfigurieren. Cookies abschalten, IP-Adressen kürzen oder gar nicht speichern lassen, keine Verknüpfung mit Werbediensten.
5. Datenschutzerklärung anpassen. Beschreibe Werkzeug, Zweck, Daten und Speicherdauer.
6. Im Zweifel prüfen lassen. Ob deine Einstellung ohne Einwilligung auskommt, beurteilt im Streitfall die Aufsicht. Bei Unsicherheit hilft eine Datenschutzberatung.

Beispiel: Eine Fotografin betreibt einen Portfolio-Blog und möchte wissen, welche Fotostrecken am meisten angesehen werden und ob Besucher über die Suche kommen. Personenprofile oder Werbung braucht sie nicht. Sie richtet ein Werkzeug ohne Cookies ein, schaltet alle Zusatzberichte ab, die sie nicht liest, und beschreibt alles in der Datenschutzerklärung. Welche Themen gut ankommen, nutzt sie für ihren Redaktionsplan, wie im Ratgeber Blog-Themen finden beschrieben.

Weitere Schritte für die eigene Seite

Wer gerade erst startet, findet die Grundlagen zu Domain, Hosting und Pflichtangaben unter Blog starten. Läuft deine Seite mit WordPress, gehört ein Statistik-Plugin wie jedes andere zu den Erweiterungen, die du aktuell halten musst, siehe WordPress absichern. Besonders treue Leserinnen und Leser erreichst du übrigens ganz ohne Statistik über einen RSS-Feed.

Den Gesetzestext findest du unter § 25 TDDDG, die Orientierungshilfe in der Liste der Orientierungshilfen der Datenschutzkonferenz. Die Werkzeuge beschreiben ihre Arbeitsweise unter Matomo ohne Cookies und in der Datenschutzerklärung von Plausible. Weitere Ratgeber stehen im Bereich Website.