Reichweite messen ohne US-Tools, datenschutzkonforme Alternativen für deutsche Websites

Das Wichtigste auf einen Blick

• Reichweite messen lässt sich auch ohne US-Anbieter, wenn Serverstandort, Auftragsverarbeitung und Einwilligung zusammenpassen.
• Matomo, etracker und Piwik PRO sind die drei naheliegenden Kandidaten für deutsche Websites.
• Ohne gültige Einwilligung nach TDDDG darf in der Regel nicht auf Endgeräte zugegriffen werden.
• Die Search Console API liefert Sichtbarkeitsdaten zu Google, ersetzt aber keine eigene Webanalyse.
• Kleine Websites zahlen je nach Modell zwischen null und rund 50 Euro im Monat.
• Die Aufsichtsbehörden und der BfDI liefern Orientierung, keine Freigabe.

Warum US-Tools für deutsche Websites zum Datenschutzproblem werden

Wer Reichweite messen will, greift traditionell zu Google Analytics. Der Dienst verarbeitet Nutzungsdaten auf Servern des Anbieters, überwiegend in den USA. Für deutsche Website-Betreiber entsteht dadurch ein doppeltes Problem: rechtlich und praktisch.

Rechtlich geht es um die Übermittlung personenbezogener Daten in ein Drittland. Auch nach dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework bleibt die Bewertung im Einzelfall nötig. Die Aufsichtsbehörden verlangen Nachweise, die viele kleine Teams nicht führen können.

Praktisch kommt der Aufwand für Einwilligungen, Verträge und Dokumentation hinzu. Jede Erweiterung, jedes neue Skript, jede Änderung an der Datenverarbeitung muss nachgeführt werden. Das bindet Zeit, die in Inhalte und Technik fehlt.

Hinzu kommt die Erwartung der Nutzer. Wer eine deutsche Zielgruppe anspricht, wird häufiger nach dem Zweck von Tracking gefragt. Ein Anbieter mit Serverstandort in der EU beantwortet diese Frage leichter.

Der Ausweg ist nicht der Verzicht auf Messung. Der Ausweg sind Werkzeuge, deren Datenverarbeitung sich beschreiben und belegen lässt.

Rechtsrahmen: DSGVO, BDSG und TDDDG für Webanalyse

Die DSGVO bildet den Rahmen, das BDSG füllt ihn national aus. Das BDSG als rechtliche Grundlage datenschutzkonformer Webanalyse regelt unter anderem Videoüberwachung, Beschäftigtendatenschutz und die Aufgaben der Aufsichtsbehörden. Für Webanalyse relevant sind vor allem die Vorgaben zu Verarbeitung und Aufsicht.

Für Cookies und vergleichbare Techniken gilt das TDDDG. Das TDDDG als Grundlage der Einwilligung für Cookies und Tracking verlangt eine informierte Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Ausnahmen gelten nur für unbedingt erforderliche Vorgänge.

Daraus folgt für die Praxis: Reichweitenmessung mit Cookies oder Gerätekennungen braucht ein Einwilligungsmanagement. Wer ohne Einwilligung messen will, muss auf Verfahren setzen, die keine personenbezogenen Daten verarbeiten und keine Kennungen auf dem Gerät speichern.

Der BfDI als Aufsichts- und Orientierungsquelle zu Webtracking veröffentlicht Hinweise und Prüfberichte. Diese ersetzen keine Rechtsberatung, geben aber die Richtung vor, an der sich Aufsichtsbehörden in Nordrhein-Westfalen, Bayern oder Berlin orientieren.

Wichtig ist die Trennung zweier Fragen. Erstens: Ist die Verarbeitung erlaubt? Zweitens: Ist sie belegbar dokumentiert? Beide müssen beantwortet sein, bevor ein Tool live geht.

Einwilligung oder anonyme Messung

Zwei Wege sind üblich. Der erste arbeitet mit Einwilligung und erlaubt detaillierte Auswertungen. Der zweite verzichtet auf personenbezogene Daten und kommt ohne Banner aus, liefert dafür weniger Tiefe.

Beide Wege sind zulässig, wenn sie sauber umgesetzt sind. Ein Mischbetrieb ohne klare Trennung führt dagegen regelmäßig zu Fehlern in der Dokumentation.

Was der Serverstandort bedeutet

Serverstandort meint den Ort, an dem die Rohdaten verarbeitet und gespeichert werden. Ein Serverstandort in Deutschland oder der EU vereinfacht die Auftragsverarbeitung und die Prüfung von Drittlandtransfers.

Entscheidend ist nicht nur das Rechenzentrum. Entscheidend ist auch, wo der Anbieter seinen Sitz hat und welches Recht auf den Vertrag anwendbar ist.

Matomo im Vergleich: Serverstandort, Betrieb und Kosten

Matomo ist die bekannteste Open-Source-Alternative. Der Kern lässt sich selbst hosten, der Serverstandort liegt dann bei Ihnen. Das ist der stärkste Hebel für Datenschutz und der größte Aufwand für den Betrieb.

Selbst gehostet bedeutet: Sie kümmern sich um Updates, Backups, Sicherheit und Ausfallsicherheit. Bei einer Installation auf einem deutschen Hoster bleiben die Daten in Deutschland. Ein Auftragsverarbeitungsvertrag mit dem Hoster ist Pflicht.

Alternativ gibt es Matomo Cloud mit Serverstandort in der EU. Der Aufwand sinkt, die Kosten steigen, und die Verantwortung für die Infrastruktur liegt beim Anbieter.

Funktional deckt Matomo ab, was die meisten Websites brauchen: Seitenaufrufe, Verweildauer, Absprungpunkte, Kampagnen, Ziele und Segmente. Erweiterungen für Formulare, Videos oder E-Commerce lassen sich nachinstallieren.

Für die Einwilligung nach TDDDG bringt Matomo Mechanismen mit, mit denen sich Tracking erst nach Zustimmung starten lässt. Ohne Zustimmung kann eine cookiefreie Zählung laufen, sofern sie ohne personenbezogene Daten auskommt.

Ein Praxisbeispiel: Ein Handwerksbetrieb in Niedersachsen hostet Matomo bei einem Anbieter in Frankfurt. Der Serverstandort ist Deutschland, die Datenbank liegt in der EU, der Vertrag unterliegt deutschem Recht. Der Betrieb dokumentiert Zweck, Speicherdauer und Löschkonzept in einer kurzen Verfahrensbeschreibung.

Betriebsaufwand realistisch schätzen

Eine kleine Installation läuft auf einem üblichen Webhosting-Paket. Bei hohen Zugriffszahlen braucht die Datenbank eigene Ressourcen, sonst bremsen Berichte die Seite.

Rechnen Sie mit laufender Pflege. Sicherheitsupdates müssen zeitnah eingespielt werden, sonst wird das Analysewerkzeug selbst zum Risiko.

Wann Matomo passt

Matomo passt, wenn Sie Kontrolle über Daten und Server wollen und technische Betreuung haben. Es passt weniger, wenn niemand Updates und Backups übernehmen kann.

etracker und Piwik PRO: Funktionen, Einwilligung und Preise

etracker ist ein deutscher Anbieter mit Serverstandort in Deutschland. Das Unternehmen sitzt in Hamburg, verarbeitet Daten hierzulande und richtet sich an mittlere Websites und Shops. Die Einwilligungssteuerung ist Teil des Produkts.

Piwik PRO ist ebenfalls europäisch aufgestellt und bietet wählbare Serverstandorte, darunter Deutschland und weitere EU-Standorte. Der Funktionsumfang reicht von Webanalyse über Tag-Management bis zu Produktanalysen. Für regulierte Branchen gibt es Varianten mit strengerer Datenhaltung.

Beide Anbieter arbeiten mit Auftragsverarbeitungsverträgen und stellen Dokumentation für das Verzeichnis von Verarbeitungstätigkeiten bereit. Das erleichtert die Prüfung durch Datenschutzbeauftragte in Hessen, Baden-Württemberg oder Sachsen.

Der Unterschied liegt im Zuschnitt. etracker ist schlanker und auf klassische Webanalyse zugeschnitten. Piwik PRO bietet mehr Bausteine, verlangt aber mehr Einarbeitung und ein höheres Budget.

Für die Einwilligung gilt bei beiden dasselbe Prinzip: Das Tracking startet erst nach Zustimmung, und die Ablehnung muss gleichwertig einfach sein. Die Konfiguration gehört in die Dokumentation.

Preise und Vertragsmodelle

Die Preislisten ändern sich. Prüfen Sie die aktuellen Konditionen direkt beim Anbieter, bevor Sie kalkulieren. Üblich sind Staffelungen nach Seitenaufrufen oder nach Funktionen.

Achten Sie auf Laufzeiten und Kündigungsfristen. Ein Jahresvertrag mit automatischer Verlängerung bindet länger als viele kleine Teams erwarten.

Was Verbraucherseite und Aufsicht erwarten

Die Verbraucherzentrale Online-Dienste als Beleg für datenschutzkonforme Alternativen zeigt, dass Nutzer zunehmend auf transparente Verarbeitung achten. Wer Reichweite messen will, sollte das in der Datenschutzerklärung erklären.

Search Console API als datengetriebene Ergänzung ohne US-Tools

Die Google Search Console liefert Daten zu Suchanfragen, Impressionen, Klicks und Indexierung. Diese Daten stammen aus der Google-Suche und nicht aus einem Tracking-Skript auf Ihrer Website.

Die Search Console API als Grundlage datengetriebener Sichtbarkeitsmessung erlaubt es, diese Werte automatisiert abzurufen. Sie können Berichte bauen, ohne ein US-Analysewerkzeug auf der Seite zu betreiben.

Das ist ein wichtiger Unterschied. Die Search Console misst nicht das Verhalten auf Ihrer Website, sondern die Sichtbarkeit in der Google-Suche. Sie ergänzt damit die Webanalyse, ersetzt sie aber nicht.

Für deutsche Websites ist das besonders nützlich. Sie erhalten Klicks und Suchbegriffe, ohne dass Besucher durch ein zusätzliches Skript erfasst werden. Die Datenhoheit liegt beim Suchanbieter, nicht bei Ihnen.

Grenzen der Search Console

Die Daten sind aggregiert und teils unvollständig. Sie sehen keine einzelnen Besucher, keine Verweildauer und keine Conversions. Auch die Aufbewahrung ist begrenzt.

Für Entscheidungen zu Inhalten und Sichtbarkeit reicht das oft. Für Produkt- oder Funnelanalysen brauchen Sie zusätzlich eine eigene Messung.

API-Zugriff einrichten

Der Zugriff läuft über ein Google-Cloud-Projekt mit Dienstkonto. Sie erteilen dem Dienstkonto in der Search Console die nötigen Rechte und rufen die Daten über die API ab.

Dokumentieren Sie den Zugriff. Auch wenn keine Endnutzerdaten fließen, gehört der Vorgang in Ihr Verzeichnis der Verarbeitungstätigkeiten.

Kostenvergleich und Entscheidungshilfe für kleine und mittlere Websites

Die folgende Übersicht ordnet die drei Anbieter nach den Kriterien, die für deutsche Websites zählen. Preise sind Größenordnungen und vor Vertragsabschluss zu prüfen.

Kriterium	Matomo (selbst gehostet)	Matomo Cloud	etracker	Piwik PRO
Serverstandort	frei wählbar, z. B. Deutschland	EU	Deutschland	wählbar, u. a. Deutschland
Anbietersitz	Open Source, Hoster frei	EU	Deutschland	EU
Kosten	Hosting ab wenigen Euro monatlich	ab etwa 20 Euro monatlich	ab etwa 20 Euro monatlich	ab etwa 15 Euro monatlich, stark nutzungsabhängig
Betriebsaufwand	hoch	niedrig	niedrig	mittel
Einwilligung nach TDDDG	selbst konfigurieren	integriert	integriert	integriert
Tag-Management	über Erweiterungen	über Erweiterungen	begrenzt	enthalten
Geeignet für	technisch betreute Sites	kleine Teams	klassische Webanalyse	größere Setups

Der Kostenvergleich zeigt: Selbst gehostetes Matomo ist bei den Lizenzkosten am günstigsten, bei der Arbeitszeit am teuersten. Cloud-Lösungen verschieben Aufwand in laufende Gebühren.

Für eine Website mit wenigen tausend Seitenaufrufen im Monat ist eine Cloud-Variante oft wirtschaftlicher. Für Verbände, Verlage oder Shops mit eigenen IT-Ressourcen lohnt der Eigenbetrieb.

Prüfen Sie vor der Entscheidung drei Punkte. Erstens: Wer betreut das System im Urlaub und bei Ausfall? Zweitens: Wie lange müssen Daten aufbewahrt und wie werden sie gelöscht? Drittens: Welche Auswertungen werden tatsächlich genutzt?

Entscheidung in drei Schritten

1. Bedarf festlegen: Welche Fragen soll die Messung beantworten?
2. Betriebsmodell wählen: eigener Server, Cloud in der EU oder deutscher Anbieter.
3. Recht prüfen: Auftragsverarbeitung, Einwilligung, Speicherdauer und Löschkonzept dokumentieren.

Typische Fehlannahmen

Viele glauben, ein EU-Server allein genüge. Das stimmt nicht, wenn der Anbieter seinen Sitz außerhalb der EU hat oder Supportzugriffe von dort erfolgen.

Andere glauben, ein Banner löse alle Pflichten. Ein Banner ohne saubere Konfiguration und Dokumentation erfüllt die Anforderungen nicht.

Checkliste für die Tool-Auswahl nach DSGVO-Konformität

Die folgende Liste lässt sich vor dem Vertragsabschluss abarbeiten. Jeder Punkt sollte mit einem Dokument belegbar sein.

• Serverstandort und Anbietersitz schriftlich bestätigt
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor
• Einwilligung nach TDDDG technisch umgesetzt und getestet
• Ablehnung ist so einfach wie Zustimmung
• Speicherdauer je Datenkategorie definiert
• Löschkonzept und Exportmöglichkeit geklärt
• Verfahren in das Verzeichnis der Verarbeitungstätigkeiten aufgenommen
• Datenschutzerklärung nennt Zweck, Anbieter und Rechtsgrundlage
• Zugriffsrechte im Team minimal gehalten
• Notfallplan bei Ausfall oder Anbieterwechsel vorhanden

Wer diese Punkte abarbeitet, hat eine belastbare Grundlage. Die Aufsicht prüft am Ende nicht die Technik, sondern die Nachvollziehbarkeit.

Häufige Fragen

Brauche ich für Matomo eine Einwilligung? Das hängt von der Konfiguration ab. Werden keine personenbezogenen Daten verarbeitet und keine Informationen auf dem Endgerät gespeichert, kann die Einwilligung entfallen. Bei Cookies oder Wiedererkennung ist sie nach TDDDG erforderlich.

Reicht die Search Console als einzige Messung? Fr Sichtbarkeit in der Google-Suche ja, für das Verhalten auf der Website nein. Die Search Console zeigt keine Seitenaufrufe, Verweildauer oder Conversions. Für diese Werte brauchen Sie eine eigene Webanalyse.

Welcher Serverstandort ist Pflicht? Eine Pflicht zu einem bestimmten Land gibt es nicht. Ein Serverstandort in Deutschland oder der EU vereinfacht aber die Prüfung von Drittlandtransfers und die Auftragsverarbeitung erheblich.

Was kostet eine datenschutzkonforme Analyse? Selbst gehostetes Matomo kostet nur das Hosting, dafür Arbeitszeit. Cloud- und Anbieterlösungen starten je nach Umfang im niedrigen zweistelligen Eurobereich pro Monat. Prüfen Sie die aktuellen Preise beim Anbieter.

Wer kontrolliert die Einhaltung? Zuständig sind die Landesdatenschutzbeauftragten, je nach Sitz der Website-Betreiberin oder des Betreibers. Der BfDI ist für Bundesbehörden und bestimmte Bereiche zuständig und veröffentlicht Orientierungshilfen.

Kann ich mehrere Tools parallel betreiben? Technisch ja, datenschutzrechtlich nur mit klarer Dokumentation. Jedes zusätzliche Skript braucht eine Rechtsgrundlage und einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten.