Website-Besucher messen, ohne Cookie-Banner-Ärger

Definieren Sie zuerst eine einzige geschäftliche Frage. Wollen Sie wissen, welche Leistungsseite am häufigsten aufgerufen wird? Möchten Sie erkennen, ob die Kontaktseite überhaupt gefunden wird? Oder brauchen Sie Kampagnenmessung mit individuellen Wegen über mehrere Seiten? Diese Fragen verlangen unterschiedlich tiefe Daten. Für ein kleines Unternehmen reicht häufig die Information, welche drei Seiten im Monat besonders oft aufgerufen werden und ob der Kontaktweg sichtbar ist. Dafür brauchen Sie kein vollständiges Nutzerprofil. In meiner Beratung erlebe ich oft, dass ein Unternehmen ein großes Analytics-System einbindet, obwohl eine einfache Seitenliste gereicht hätte. Mehr Daten machen die Entscheidung nicht automatisch besser. Schreiben Sie Ihr Ziel in einem Satz auf und streichen Sie jede Kennzahl, die keine konkrete Änderung auslöst. Wenn Sie nach vier Wochen nicht sagen können, welche Handlung aus einem Messwert folgt, war die Erhebung wahrscheinlich zu umfangreich.

Nicht jede Webstatistik arbeitet gleich. Ein Serverprotokoll zählt technische Anfragen. Eine datensparsame, cookielose Analyse fasst Seitenaufrufe und grobe Quellen zusammen. Ein klassisches Analyse- oder Marketing-System verfolgt dagegen häufig Sitzungen, Wiederkehrer, Kampagnen und individuelle Wege. Für die Einordnung zählen nicht die Werbeaussagen des Anbieters, sondern die tatsächlich ausgelösten Speicherungen, Zugriffe und Übermittlungen.

Messmodell	Typische Auswertung	Entscheidungskriterium
Serverprotokoll	Anfragen, Statuscodes, Dateigrößen, grobe Zugriffszeiten	Sinnvoll, wenn technische Reichweite und Fehler genügen
Cookielose Webstatistik	Seitenaufrufe, grobe Referrer, aggregierte Geräteklassen	Nur prüfen, wenn kein Endgerätespeicher, kein Fingerprinting und keine unnötige Identifikation erfolgt
Einwilligungsbasierte Analyse	Sitzungen, Wege, Kampagnen und Ereignisse	Vor dem Laden eine wirksame Einwilligung und passende Dokumentation sicherstellen

Das mittlere Modell wird oft als einfache Lösung beschrieben, ist aber kein Freifahrtschein. Ein Dienst kann ohne Cookie arbeiten und trotzdem IP-Adressen, eindeutige Kennungen oder Drittanbieterübermittlungen verarbeiten. Umgekehrt ist ein Serverprotokoll nicht automatisch frei von Datenschutzpflichten. Die Tabelle hilft Ihnen, die technische Tiefe mit dem tatsächlichen Informationsbedarf abzugleichen.

Für eine kleine Unternehmenswebsite genügen oft vier Kennzahlen. Erstens sehen Sie die Aufrufe pro Seite und erkennen, welche Inhalte tatsächlich genutzt werden. Zweitens ordnen Sie die Herkunft nur grob ein, etwa direkte Eingabe, Suchmaschine oder verweisende Website. Drittens prüfen Sie eine grobe Geräteklasse, wenn sie ohne individuelle Wiedererkennung erhoben wird. Viertens zählen Sie eine wichtige Aktion, zum Beispiel den Klick auf den Kontaktweg, ohne daraus ein persönliches Besucherprofil zu bauen. Vermeiden Sie bei diesem Einstieg genaue Bewegungsprofile, dauerhafte Wiedererkennung, geräteübergreifende Zuordnung und die Speicherung vollständiger IP-Adressen für Analysezwecke. Fragen Sie nicht nur, ob eine Kennzahl technisch verfügbar ist. Fragen Sie, ob Sie daraus eine konkrete Änderung an Text, Navigation oder Kontaktweg ableiten. Wenn nicht, lassen Sie sie weg. Weniger Messwerte sind leichter zu erklären, zu prüfen und in der Datenschutzerklärung sauber zu dokumentieren.

Führen Sie vor jedem neuen Dienst einen kurzen Techniktest durch. Öffnen Sie die Website in einem privaten Browserfenster und löschen Sie vorhandene Website-Daten. Öffnen Sie dann die Entwicklerwerkzeuge und beobachten Sie im Netzwerkbereich den ersten Seitenaufruf. Suchen Sie nach Anfragen an Analyse-, Werbe- oder Tag-Management-Domains. Prüfen Sie danach im Bereich Anwendung, ob Cookies, Local Storage oder andere dauerhafte Speicherungen angelegt wurden. Der fünfte Schritt ist der Vergleich mit einer Einwilligungssperre. Wird ein Analyse-Request bereits vor einer Auswahl gesendet, ist die Konfiguration nicht so zurückhaltend, wie der sichtbare Banner vermuten lässt. Wird kein Banner angezeigt, aber eine eindeutige Kennung gesetzt oder ein Drittserver mit Nutzungsdaten angesprochen, bleibt eine rechtliche Prüfung nötig. Dokumentieren Sie URL, Zeitpunkt, Request-Ziel, Speicherart und die Frage, ob ein Nutzer die Funktion ausdrücklich angefordert hat. Ein Screenshot allein reicht nicht als technische Prüfung.

Bei Website Besucher messen DSGVO vermischen viele Betreiber vier Fragen. Erstens geht es um den Zugriff auf Informationen im Endgerät. Die DSK-Orientierungshilfe beschreibt für § 25, dass Speichern oder Auslesen grundsätzlich eine Einwilligung verlangt und nur eng begrenzte Ausnahmen kennt. Ein Dienst ohne Cookie kann diese Ebene anders auslösen, wenn er nichts im Endgerät speichert oder ausliest. Das muss technisch geprüft werden. Zweitens geht es um personenbezogene Daten. IP-Adressen, eindeutige Kennungen oder Kombinationen, die einen Besucher wiedererkennbar machen, können eine Verarbeitung auslösen. Drittens brauchen Sie dafür eine passende Rechtsgrundlage nach Datenschutzrecht. Ein berechtigtes Interesse ist keine pauschale Abkürzung, sondern verlangt Zweck, Erforderlichkeit und Abwägung. Viertens müssen Sie transparent informieren und Ihre Entscheidung dokumentieren. Die DSK weist darauf hin, dass beide Ebenen getrennt betrachtet werden müssen, wenn sie gleichzeitig greifen. Die Verbraucherzentrale fasst die praktische Faustregel verständlich zusammen: Analyse- und Tracking-Cookies sind in der Regel nicht technisch notwendig, während ausschließlich technisch notwendige Cookies kein Analysebanner benötigen. Für Ihren konkreten Dienst zählt trotzdem die Konfiguration. Nutzen Sie diese Informationen als Prüfrahmen, nicht als Freigabe für jede Analytics-Alternative.

Wenn eine datensparsame Messung zu Ihrem Ziel passt, prüfen Sie sechs technische Schutzmaßnahmen. Erstens darf keine dauerhafte Kennung ohne klare Notwendigkeit gesetzt werden. Zweitens darf kein Fingerprinting versucht werden. Drittens sollte eine IP-Adresse, soweit sie überhaupt verarbeitet wird, so früh wie möglich gekürzt oder anderweitig minimiert werden. Viertens müssen Standortdaten grob bleiben. Fünftens sollten Daten nur so lange gespeichert werden, wie Sie sie für die festgelegte Auswertung brauchen. Sechstens darf der Anbieter die Daten nicht für eigene Werbezwecke oder für andere Websites verwenden. Ergänzen Sie die Prüfung um Hostingort, Auftragsverarbeitung, Unterauftragnehmer und Zugriffskontrollen. Ein Dienst mit deutscher Oberfläche ist nicht automatisch ein Dienst ohne Drittlandübermittlung. Ein selbst gehostetes System ist nicht automatisch anonym, wenn es vollständige IP-Adressen und lange Besuchsverläufe speichert. Entscheidend ist die gesamte Verarbeitungskette vom Browser bis zum Bericht.

Der erste Fehler ist die Annahme, ein Cookie-Banner mache jedes Tracking rechtmäßig. Eine Einwilligung muss vor dem betreffenden Zugriff eingeholt, informiert und widerrufbar sein. Der zweite Fehler ist das Etikett cookielos. Keine Cookies schließen Local Storage, Fingerprinting, IP-Verarbeitung oder Drittserver nicht aus. Der dritte Fehler ist die ungeprüfte Übernahme einer Anbieterwerbung mit dem Wort DSGVO-konform. Verantwortlich bleibt der Betreiber der Website. Der vierte Fehler ist ein unvollständiger Datenschutzhinweis. Dort müssen Zweck, Datenarten, Rechtsgrundlage, Empfänger und Speicherdauer zusammenpassen. Der fünfte Fehler ist die Messung ohne Ziel. Sie sammeln dann Daten, die niemand auswertet, und erhöhen gleichzeitig die Erklärungs- und Prüfpflichten.

Halten Sie für jede Messlösung sieben Punkte schriftlich fest. Notieren Sie erstens den konkreten Zweck. Beschreiben Sie zweitens jede erhobene Datenart. Dokumentieren Sie drittens, ob der Browser auf Informationen zugreift oder dort etwas speichert. Benennen Sie viertens alle Empfänger und Unterauftragnehmer. Legen Sie fünftens die Speicherdauer fest. Begründen Sie sechstens die Rechtsgrundlage oder die Einwilligungsabfrage. Prüfen Sie siebtens nach jeder technischen Änderung erneut. Diese Liste gehört in Ihren internen Websitebestand und in die Vorbereitung Ihrer Datenschutzerklärung. Der sichtbare Hinweis unter Datenschutz muss zur tatsächlichen Technik passen. Wenn ein neues Formular, ein Kartenmodul oder ein Video einen weiteren Dienst lädt, gehört auch diese Verbindung in die Prüfung. Für das Impressum und die allgemeinen Betreiberangaben nutzen Sie den passenden Impressum-Bereich. Planen Sie die Kontrolle monatlich, wenn Sie häufig Scripts ändern, und mindestens nach jedem Relaunch. Bei kleinen Websites genügt oft ein kurzer Prüfbericht mit Datum, Testbrowser, URL und Ergebnis. Wichtig ist, dass Sie später erklären können, warum Sie eine Lösung gewählt und welche Annahmen Sie überprüft haben.

Wählen Sie nach den neun Prüfungen einen von drei Wegen. Wenn technische Reichweite genügt, lassen Sie Serverprotokolle oder eine sehr reduzierte Statistik prüfen. Wenn Sie Seiteninteressen verstehen möchten, wählen Sie nur eine Lösung, deren Speicher-, Übermittlungs- und Löschkonzept Sie nachvollziehen können. Wenn Sie Kampagnen, individuelle Wege oder Wiederkehrer brauchen, planen Sie eine echte Einwilligungsstrecke vor dem Laden. Für die rechtlichen Grundlagen verlinken Sie im Projekt auf Datenschutz und Impressum. Wenn eine technische Überarbeitung ansteht, helfen die Leistungen bei der Einordnung von Umsetzung und Wartung. Senden Sie über das Kontaktformular die betroffenen URLs, die aktuelle Statistiklösung und einen Screenshot der Netzwerkprüfung. Dann lässt sich zunächst klären, welche Daten Sie wirklich brauchen.