Reichweite messen ohne US-Tools, datenschutzkonforme Alternativen für deutsche Websites

Das Wichtigste auf einen Blick

Empfehlung: Selbst gehostetes Matomo hat die günstigste Lizenz und den höchsten Betriebsaufwand. etracker und Piwik PRO bringen die Einwilligung integriert mit und senken den Betriebsaufwand.

Warum US-Tools für deutsche Websites zum Datenschutzproblem werden

Wer Reichweite messen will, greift traditionell zu Google Analytics. Der Dienst verarbeitet Nutzungsdaten auf Servern des Anbieters, überwiegend in den USA. Für deutsche Website-Betreiber entsteht dadurch ein doppeltes Problem: rechtlich und praktisch.

Rechtlich geht es um die Übermittlung personenbezogener Daten in ein Drittland. Auch nach dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework bleibt die Bewertung im Einzelfall nötig. Die Aufsichtsbehörden verlangen Nachweise, die viele kleine Teams nicht führen können.

Praktisch kommt der Aufwand für Einwilligungen, Verträge und Dokumentation hinzu. Jede Erweiterung, jedes neue Skript, jede Änderung an der Datenverarbeitung muss nachgeführt werden. Das bindet Zeit, die in Inhalte und Technik fehlt.

Hinzu kommt die Erwartung der Nutzer. Wer eine deutsche Zielgruppe anspricht, wird häufiger nach dem Zweck von Tracking gefragt. Ein Anbieter mit Serverstandort in der EU beantwortet diese Frage leichter.

Der Ausweg ist nicht der Verzicht auf Messung. Der Ausweg sind Werkzeuge, deren Datenverarbeitung sich beschreiben und belegen lässt.

Rechtsrahmen: DSGVO, BDSG und TDDDG für Webanalyse

Die DSGVO bildet den Rahmen, das BDSG füllt ihn national aus. Das BDSG als rechtliche Grundlage datenschutzkonformer Webanalyse regelt unter anderem Videoüberwachung, Beschäftigtendatenschutz und die Aufgaben der Aufsichtsbehörden. Für Webanalyse relevant sind vor allem die Vorgaben zu Verarbeitung und Aufsicht.

Für Cookies und vergleichbare Techniken gilt das TDDDG. Das TDDDG als Grundlage der Einwilligung für Cookies und Tracking verlangt eine informierte Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Ausnahmen gelten nur für unbedingt erforderliche Vorgänge.

Daraus folgt für die Praxis: Reichweitenmessung mit Cookies oder Gerätekennungen braucht ein Einwilligungsmanagement. Wer ohne Einwilligung messen will, muss auf Verfahren setzen, die keine personenbezogenen Daten verarbeiten und keine Kennungen auf dem Gerät speichern.

Der BfDI als Aufsichts- und Orientierungsquelle zu Webtracking veröffentlicht Hinweise und Prüfberichte. Diese ersetzen keine Rechtsberatung, geben aber die Richtung vor, an der sich Aufsichtsbehörden in Nordrhein-Westfalen, Bayern oder Berlin orientieren.

Wichtig ist die Trennung zweier Fragen. Erstens: Ist die Verarbeitung erlaubt? Zweitens: Ist sie belegbar dokumentiert? Beide müssen beantwortet sein, bevor ein Tool live geht.

Einwilligung oder anonyme Messung

Zwei Wege sind üblich. Der erste arbeitet mit Einwilligung und erlaubt detaillierte Auswertungen. Der zweite verzichtet auf personenbezogene Daten und kommt ohne Banner aus, liefert dafür weniger Tiefe.

Beide Wege sind zulässig, wenn sie sauber umgesetzt sind. Ein Mischbetrieb ohne klare Trennung führt dagegen regelmäßig zu Fehlern in der Dokumentation.

Was der Serverstandort bedeutet

Serverstandort meint den Ort, an dem die Rohdaten verarbeitet und gespeichert werden. Ein Serverstandort in Deutschland oder der EU vereinfacht die Auftragsverarbeitung und die Prüfung von Drittlandtransfers.

Entscheidend ist nicht nur das Rechenzentrum. Entscheidend ist auch, wo der Anbieter seinen Sitz hat und welches Recht auf den Vertrag anwendbar ist.

Matomo im Vergleich: Serverstandort, Betrieb und Kosten

Matomo ist die bekannteste Open-Source-Alternative. Der Kern lässt sich selbst hosten, der Serverstandort liegt dann bei Ihnen. Das ist der stärkste Hebel für Datenschutz und der größte Aufwand für den Betrieb.

Selbst gehostet bedeutet: Sie kümmern sich um Updates, Backups, Sicherheit und Ausfallsicherheit. Bei einer Installation auf einem deutschen Hoster bleiben die Daten in Deutschland. Ein Auftragsverarbeitungsvertrag mit dem Hoster ist Pflicht.

Beispielkonfiguration: ein Cloud-Server bei einem deutschen Anbieter wie Hetzner in Nürnberg oder Manitu in St. Wendel mit zwei Kernen, vier GB Arbeitsspeicher, PHP 8.2 und MariaDB. Die Archivierung läuft per Cronjob, das Dashboard ist per HTTPS und zusätzlichem Passwortschutz erreichbar. Solche Server kosten typischerweise unter zehn Euro monatlich.

Alternativ gibt es Matomo Cloud mit Serverstandort in der EU. Der Aufwand sinkt, die Kosten steigen, und die Verantwortung für die Infrastruktur liegt beim Anbieter.

Funktional deckt Matomo ab, was die meisten Websites brauchen: Seitenaufrufe, Verweildauer, Absprungpunkte, Kampagnen, Ziele und Segmente. Erweiterungen für Formulare, Videos oder E-Commerce lassen sich nachinstallieren.

Für die Einwilligung nach TDDDG bringt Matomo Mechanismen mit, mit denen sich Tracking erst nach Zustimmung starten lässt. Ohne Zustimmung kann eine cookiefreie Zählung laufen, sofern sie ohne personenbezogene Daten auskommt.

Ein Praxisbeispiel: Ein Handwerksbetrieb in Niedersachsen hostet Matomo bei einem Anbieter in Frankfurt. Der Serverstandort ist Deutschland, die Datenbank liegt in der EU, der Vertrag unterliegt deutschem Recht. Der Betrieb dokumentiert Zweck, Speicherdauer und Löschkonzept in einer kurzen Verfahrensbeschreibung.

Betriebsaufwand realistisch schätzen

Eine kleine Installation läuft auf einem üblichen Webhosting-Paket. Bei hohen Zugriffszahlen braucht die Datenbank eigene Ressourcen, sonst bremsen Berichte die Seite.

Rechnen Sie mit laufender Pflege. Sicherheitsupdates müssen zeitnah eingespielt werden, sonst wird das Analysewerkzeug selbst zum Risiko.

Wann Matomo passt

Matomo passt, wenn Sie Kontrolle über Daten und Server wollen und technische Betreuung haben. Es passt weniger, wenn niemand Updates und Backups übernehmen kann.

etracker und Piwik PRO: Funktionen, Einwilligung und Preise

etracker ist ein deutscher Anbieter mit Serverstandort in Deutschland. Das Unternehmen sitzt in Hamburg, verarbeitet Daten hierzulande und richtet sich an mittlere Websites und Shops. Die Einwilligungssteuerung ist Teil des Produkts.

Piwik PRO ist ebenfalls europäisch aufgestellt und bietet wählbare Serverstandorte, darunter Deutschland und weitere EU-Standorte. Der Funktionsumfang reicht von Webanalyse über Tag-Management bis zu Produktanalysen. Für regulierte Branchen gibt es Varianten mit strengerer Datenhaltung.

Beide Anbieter arbeiten mit Auftragsverarbeitungsverträgen und stellen Dokumentation für das Verzeichnis von Verarbeitungstätigkeiten bereit. Das erleichtert die Prüfung durch Datenschutzbeauftragte in Hessen, Baden-Württemberg oder Sachsen.

Der Unterschied liegt im Zuschnitt. etracker ist schlanker und auf klassische Webanalyse zugeschnitten. Piwik PRO bietet mehr Bausteine, verlangt aber mehr Einarbeitung und ein höheres Budget.

Für die Einwilligung gilt bei beiden dasselbe Prinzip: Das Tracking startet erst nach Zustimmung, und die Ablehnung muss gleichwertig einfach sein. Die Konfiguration gehört in die Dokumentation.

Preise und Vertragsmodelle

Preisstand: Abruf der Preisseiten der Anbieter für diesen Beitrag. Matomo On-Premise kostet keine Lizenzgebühr, weil die Software unter der GPL steht. Bezahlt wird nur das Hosting, typischerweise unter zehn Euro monatlich.

Der Matomo-Cloud-Tarif Essential startet nach Anbieterangabe bei 19 Euro monatlich bei jährlicher Zahlung für bis zu 10.000 Hits. Piwik PRO bietet einen Free Plan bis 500.000 Events monatlich, darüber folgen kostenpflichtige Tarife auf Angebot.

Bei etracker richten sich die Kosten nach Seitenaufrufen, Funktionsumfang und Laufzeit. Der Einstieg liegt nach Anbieterangabe im niedrigen zweistelligen Eurobereich pro Monat.

Prüfen Sie die Konditionen über die Preisseite des Anbieters, bevor Sie kalkulieren. Achten Sie auf Laufzeiten und Kündigungsfristen. Ein Jahresvertrag mit automatischer Verlängerung bindet länger als viele kleine Teams erwarten.

Was Verbraucherseite und Aufsicht erwarten

Die Verbraucherzentrale Online-Dienste als Beleg für datenschutzkonforme Alternativen zeigt, dass Nutzer zunehmend auf transparente Verarbeitung achten. Wer Reichweite messen will, sollte das in der Datenschutzerklärung erklären.

Die Datenschutzkonferenz der Länder hat eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Danach ist Reichweitenmessung mit Cookies in der Regel einwilligungspflichtig, sofern die Speicherung nicht unbedingt erforderlich ist. Der BfDI ergänzt das mit Tätigkeitsberichten und Prüfhinweisen.

Beschwerden von Nutzern landen bei der Landesdatenschutzaufsicht am Sitz des Betreibers. Für Bundesbehörden und bestimmte Bereiche ist der BfDI zuständig. Verbraucherzentralen prüfen Beschwerden und können gegen rechtswidrige Banner vorgehen.

Search Console API als datengetriebene Ergänzung ohne US-Tools

Die Google Search Console liefert Daten zu Suchanfragen, Impressionen, Klicks und Indexierung. Diese Daten stammen aus der Google-Suche und nicht aus einem Tracking-Skript auf Ihrer Website.

Die Search Console API als Grundlage datengetriebener Sichtbarkeitsmessung erlaubt es, diese Werte automatisiert abzurufen. Sie können Berichte bauen, ohne ein US-Analysewerkzeug auf der Seite zu betreiben.

Das ist ein wichtiger Unterschied. Die Search Console misst nicht das Verhalten auf Ihrer Website, sondern die Sichtbarkeit in der Google-Suche. Sie ergänzt damit die Webanalyse, ersetzt sie aber nicht.

Für deutsche Websites ist das besonders nützlich. Sie erhalten Klicks und Suchbegriffe, ohne dass Besucher durch ein zusätzliches Skript erfasst werden. Die Datenhoheit liegt beim Suchanbieter, nicht bei Ihnen.

Grenzen der Search Console

Die Daten sind aggregiert und teils unvollständig. Sie sehen keine einzelnen Besucher, keine Verweildauer und keine Conversions. Auch die Aufbewahrung ist begrenzt.

Für Entscheidungen zu Inhalten und Sichtbarkeit reicht das oft. Für Produkt- oder Funnelanalysen brauchen Sie zusätzlich eine eigene Messung.

API-Zugriff einrichten

Der Zugriff läuft über ein Google-Cloud-Projekt mit Dienstkonto. Sie erteilen dem Dienstkonto in der Search Console die nötigen Rechte und rufen die Daten über die API ab.

Dokumentieren Sie den Zugriff. Auch wenn keine Endnutzerdaten fließen, gehört der Vorgang in Ihr Verzeichnis der Verarbeitungstätigkeiten.

Kostenvergleich und Entscheidungshilfe für kleine und mittlere Websites

Die folgende Übersicht ordnet die drei Anbieter nach den Kriterien, die für deutsche Websites zählen. Preisstand: Abruf der Preisseiten der Anbieter für diesen Beitrag, vor Vertragsabschluss zu prüfen.

Der Kostenvergleich zeigt: Selbst gehostetes Matomo ist bei den Lizenzkosten am günstigsten, bei der Arbeitszeit am teuersten. Cloud-Lösungen verschieben Aufwand in laufende Gebühren.

Für eine Website mit wenigen tausend Seitenaufrufen im Monat ist eine Cloud-Variante oft wirtschaftlicher. Für Verbände, Verlage oder Shops mit eigenen IT-Ressourcen lohnt der Eigenbetrieb.

Prüfen Sie vor der Entscheidung drei Punkte. Erstens: Wer betreut das System im Urlaub und bei Ausfall? Zweitens: Wie lange müssen Daten aufbewahrt und wie werden sie gelöscht? Drittens: Welche Auswertungen werden tatsächlich genutzt?

Entscheidung in drei Schritten

Typische Fehlannahmen

Ein EU-Server allein genügt nicht, wenn der Anbieter seinen Sitz außerhalb der EU hat oder Supportzugriffe von dort erfolgen. Auch ein Banner löst nicht alle Pflichten: Ohne saubere Konfiguration und Dokumentation erfüllt es die Anforderungen nicht.

Checkliste für die Tool-Auswahl nach DSGVO-Konformität

Die folgende Liste lässt sich vor dem Vertragsabschluss abarbeiten. Jeder Punkt sollte mit einem Dokument belegbar sein.

Wer diese Punkte abarbeitet, hat eine belastbare Grundlage. Die Aufsicht prüft am Ende nicht die Technik, sondern die Nachvollziehbarkeit.

Häufige Fragen