Die Besucherzahl im Auswertungswerkzeug ist kleiner als die Zahl der Aufrufe im Serverprotokoll. Oft deutlich kleiner. Wer das bemerkt, landet früher oder später bei der Frage, ob ein anderes Werkzeug bessere Zahlen liefert.
Meistens heißt das andere Werkzeug Matomo, und die Empfehlung kommt mit einem Zusatz: datenschutzfreundlich, ohne Cookie-Banner. Der Zusatz stimmt für Frankreich. Für Deutschland stimmt er nicht.
Die Wahl zwischen den beiden ist trotzdem eine echte Entscheidung. Sie fällt nur an einer anderen Stelle, als die Vergleichstabellen behaupten.
Die Einwilligung hängt am Endgerät, nicht am Anbieter
§ 25 Absatz 1 TDDDG erlaubt die Speicherung von Informationen in der Endeinrichtung des Endnutzers und den Zugriff auf dort bereits gespeicherte Informationen nur mit Einwilligung. Ohne Einwilligung geht es nach Absatz 2 Nummer 2 nur, wenn der Vorgang „unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann".
Entscheidend ist, woran die Vorschrift ansetzt. Sie fragt nicht, ob personenbezogene Daten verarbeitet werden. Die Aufsichtsbehörden schreiben dazu, § 25 Absatz 1 TDDDG begründe das Einwilligungserfordernis „unabhängig von einem Personenbezug der Informationen" — die Norm gehe damit über den Anwendungsbereich der DSGVO hinaus.
Damit ist „wir messen doch anonym" kein Argument. Was zählt, ist der Griff auf das Gerät. Die Grundlagen dazu stehen ausführlicher unter Der Cookie-Banner, den du wahrscheinlich falsch hast.
Die Aufsichtsbehörden verweigern die Pauschalantwort bewusst
Die Datenschutzkonferenz hat im November 2024 die Version 1.2 ihrer Orientierungshilfe für Anbieter von digitalen Diensten veröffentlicht. Darin steht ausdrücklich, dass sie keine Aussage dazu trifft, ob Reichweitenmessung allgemein ohne Einwilligung zulässig ist — und warum nicht.
Der Begriff sei zu unbestimmt. Aus der ursprünglichen Zählung von Seitenabrufen sei „eine Reichweitenanalyse mit nicht fest definiertem Umfang" geworden. Eine Festlegung, ob eine Reichweitenmessung ohne Einwilligung rechtmäßig ist, könne „allenfalls für eine genau definierte Konfiguration und Zweckbestimmung getroffen werden". Sie wäre nicht mehr gültig, sobald eine weitere Information über Nutzende oder ein weiteres Auswertungsergebnis hinzukommt.
Und weiter: „Selbst die einfache Messung von Besucherzahlen ist daher nicht per se als Bestandteil des Basisdienstes einzustufen, sondern abhängig vom jeweils konkret verfolgten Zweck."
Warum Matomo trotzdem mit „ohne Banner" wirbt
Die französische Aufsichtsbehörde CNIL nimmt Werkzeuge zur Reichweitenmessung von der Einwilligungspflicht aus, wenn sie eng begrenzt eingesetzt werden: ausschließlich zur Messung für den Betreiber selbst, nur zur Erzeugung anonymer Statistiken, ohne Weitergabe an Dritte, ohne Verknüpfung mit anderen Verarbeitungen und ohne seitenübergreifende Verfolgung. Rechtsgrundlage ist Artikel 82 des französischen Datenschutzgesetzes.
Diese Ausnahme gilt in Frankreich. Matomo selbst nennt als Länder mit einer vergleichbaren Ausnahme Frankreich, Spanien, Italien und die Niederlande. Deutschland steht nicht auf der Liste.
Was die beiden auf dem Gerät ablegen
Google Analytics 4 speichert die Client-ID in einem eigenen Cookie namens
_ga. Googles Cookie-Referenz nennt dafür eine Laufzeit von zwei Jahren, für
das zusätzliche _ga_<ID> ebenfalls. Ist im Einwilligungsmodus
analytics_storage abgelehnt, wird die ID nicht gespeichert.
Matomo setzt im Auslieferungszustand _pk_id mit der Besucher-ID für
13 Monate, _pk_ses als Sitzungscookie für 30 Minuten und _pk_ref mit der
Herkunftsinformation für 6 Monate.
Matomo ohne Cookies ist eine Konfiguration, kein anderes Produkt. Statt der
Cookie-ID bildet der Server eine config_id: einen Hashwert aus
Betriebssystem, Browser, Browser-Erweiterungen, IP-Adresse und Browsersprache.
Er bleibt bis zu 24 Stunden in der Datenbank, das Zeitfenster für die
Zuordnung eines Besuchs beträgt standardmäßig 30 Minuten.
Das ist genau der Fingerabdruck, den die Orientierungshilfe beschreibt — und sie wertet es ausdrücklich als Zugriff auf die Endeinrichtung, wenn Eigenschaften eines Geräts „beispielsweise mittels JavaScript-Code" ausgelesen und für die Erstellung eines Fingerprints an einen Server übermittelt werden. Die installierten Browser-Erweiterungen kann ein Server den Kopfzeilen einer Anfrage nicht entnehmen; sie müssen im Browser ausgelesen werden. Cookielos heißt also nicht einwilligungsfrei.
Hier trennen sich die Wege wirklich
Google beschreibt für Google Analytics 4, dass bei Zugriffen aus der EU, der Schweiz und dem Vereinigten Königreich keine IP-Adressen protokolliert oder gespeichert werden; sie dienten nur der Ableitung des Standorts und würden danach sofort gelöscht. Die Erhebung laufe „über Domains und Server in der EU", bevor der Verkehr „zur Verarbeitung an Analytics-Server weitergeleitet" wird. Die Weiterleitung in die USA ist zulässig, weil die Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss für zertifizierte US-Organisationen unter dem EU-US Data Privacy Framework erlassen hat.
Bei Matomo hängt es an der Betriebsart. On-Premise läuft auf dem eigenen Server oder dem des Dienstleisters; dann verlässt kein Messwert die eigene Infrastruktur. Matomo Cloud speichert nach Herstellerangaben Daten und Sicherungskopien vollständig in Europa, betrieben wird der Dienst von einem Unternehmen mit Sitz in Neuseeland — für Neuseeland besteht ebenfalls ein Angemessenheitsbeschluss der Kommission.
Ein Auftragsverarbeitungsvertrag ist in beiden Fällen fällig, sobald das Werkzeug nicht auf eigener Hardware läuft. Was darin stehen muss, steht unter Auftragsverarbeitung: wer einen AVV braucht.
Die Zahlen werden in beiden Fällen nicht vollständig
Bei Google Analytics 4 lassen sich Nutzerdaten für 2 oder 14 Monate aufbewahren. Die Einstellung wirkt sich nur auf explorative Datenanalysen und Trichterberichte aus; die standardmäßig aggregierten Berichte bleiben davon unberührt. Wer im Auslieferungszustand einen Jahresvergleich in einer Exploration bauen will, findet die alten Daten nicht mehr.
Matomo ohne Cookies liefert nach Herstellerangaben eine „reduzierte Genauigkeit" bei eindeutigen Besuchern, beim Abstand zum letzten Besuch und bei allen Auswertungen, die auf Wiedererkennung beruhen.
Darüber liegt in beiden Fällen die Einwilligungsquote. Sie bestimmt die Größenordnung, nicht die Werkzeugwahl. Wie man mit Zahlen umgeht, die strukturell unvollständig sind, steht unter Conversion-Tracking mit Consent Mode v2.
Wann keins von beiden nötig ist
Die Orientierungshilfe nennt beiläufig den Weg, der für viele kleine Betriebe ausreicht: die Zahl der Seitenabrufe „auf der Basis von Logfiles ohne personenbezogene Daten" ermitteln oder ein einfaches Zählpixel des direkt aufgerufenen Dienstes einsetzen, durch das keine weiteren Nutzerdaten erfasst werden.
Das beantwortet nicht, woher ein Besucher kam. Es beantwortet, welche Seiten gelesen werden und ob es mehr werden.
Was als Nächstes zu tun ist
- Die Frage aufschreiben, die beantwortet werden soll. Reichen Seitenabrufe und Anfragen, fällt die ganze Entscheidung weg.
- Wenn ein Werkzeug bleibt: den Umfang festlegen. Welche Auswertung wird wirklich gelesen? Jede zusätzliche Kennzahl macht die Prüfung nach § 25 Absatz 2 Nummer 2 schwerer, nicht leichter.
- Den Banner nachziehen. Vor der Entscheidung darf nichts geladen werden — auch kein Matomo.
- Den Vertrag und das Verzeichnis nachführen, wenn das Werkzeug bei einem Dienstleister läuft.
Wer ohnehin Anzeigen schaltet, hat die Messung nicht frei — dann hängt sie an der Werbeplattform. Das ist ein eigener Aufbau, siehe Ad- und Conversion-Tracking.
Die verbindliche Einordnung deines Falls gehört nicht hierher. Ob deine konkrete Konfiguration unter die Ausnahme des § 25 Absatz 2 TDDDG fällt und welche Rechtsgrundlage die anschließende Auswertung trägt, beantwortet eine Anwältin oder ein Anwalt für IT- und Datenschutzrecht.