Website-Messung und Datenschutz: Was wirklich geht

Das Dilemma

Ohne Messung optimierst du im Dunkeln. Mit der falschen Messung handelst du dir ein rechtliches Problem ein. Und weil beide Seiten unangenehm sind, landen viele Unternehmen bei der schlechtesten Variante: ein Analyse-Werkzeug läuft, ein Banner blinkt, und niemand sieht sich die Daten an.

Hinweis vorweg: Das ist eine fachliche Einordnung, keine Rechtsberatung. Für die verbindliche Bewertung des eigenen Aufbaus gehört der Fall zu einer Anwältin oder einem Anwalt.

Zwei Regelwerke, die oft verwechselt werden

Der häufigste Denkfehler ist, alles unter „DSGVO“ zu fassen. Tatsächlich greifen zwei Ebenen nacheinander:

Wichtig ist die dritte Zeile. § 25 TDDDG fragt nicht, ob Daten personenbezogen sind, sondern ob etwas auf dem Gerät gespeichert oder von dort gelesen wird. Wer ein Cookie setzt, braucht die Einwilligung – auch wenn darin nur eine anonyme Nummer steht.

Und „technisch unbedingt erforderlich“ ist eng gemeint: der Warenkorb, die Anmeldung, die Sprachwahl. Reichweitenmessung fällt nach herrschender Auffassung nicht darunter.

Die drei Wege

Weg 1: Banner mit echter Wahl

Das übliche Vorgehen. Damit es trägt, muss das Banner einige Bedingungen erfüllen – und daran scheitern die meisten:

• Ablehnen genauso leicht wie Zustimmen. Ein „Alle akzeptieren“-Knopf neben einem grauen Textlink ist keine freie Wahl.
• Keine Voraktivierung. Schalter für nicht notwendige Zwecke stehen auf aus.
• Nichts lädt vor der Zustimmung. Das ist der Punkt, an dem es technisch am häufigsten hakt: Das Banner erscheint, und das Analyse-Skript ist längst gestartet.
• Widerruf jederzeit möglich, und zwar auffindbar.
• Zustimmung dokumentiert. Wer, wann, wofür.

Der Preis dieses Wegs: Ein erheblicher Teil der Besucher lehnt ab. Deine Daten bilden dann einen Ausschnitt ab, nicht die Realität.

Weg 2: Messung ohne Einwilligung

Es gibt Aufbauten, die ohne Zugriff auf das Endgerät auskommen – also ohne Cookie und ohne Auslesen. Eine Analyse-Software, die selbst gehostet wird, IP-Adressen sofort kürzt, keine Cookies setzt und keine geräteübergreifenden Profile bildet, kann je nach Ausgestaltung ohne Einwilligung betrieben werden.

Was du damit bekommst: Seitenaufrufe, Herkunft, ungefähre Region, Gerätetyp, Verweildauer.
Was du verlierst: verlässliche Wiedererkennung derselben Person über mehrere Besuche.

Für die meisten mittelständischen Websites ist das ein guter Tausch. Die Frage „Welche Seite führt zu Anfragen?“ lässt sich so beantworten. Die Frage „Wie viele Berührungspunkte hatte dieser Kunde über sechs Wochen?“ nicht.

Weg 3: Serverseitige Auswertung

Die Server-Logs enthalten bereits, welche Seiten abgerufen wurden. Keine Einwilligung nötig, weil nichts auf dem Gerät gespeichert wird – allerdings mit deutlich gröberer Aussagekraft und ohne Unterscheidung zwischen Menschen und Crawlern.

Als einzige Datenquelle zu dünn, als Gegenprobe zu den Zahlen aus dem Analyse-Werkzeug sehr nützlich.

Die Entscheidung

Die letzte Zeile wird gern übersehen: Die Search Console zeigt Klicks, Impressionen und Suchanfragen, ohne dass auf deiner Website irgendetwas gesetzt wird. Für die Frage „Werde ich gefunden?“ brauchst du kein Analyse-Werkzeug.

Was in jedem Fall stimmen muss

1. Auftragsverarbeitungsvertrag mit jedem Dienstleister, der Daten verarbeitet – Hoster, Analyse-Anbieter, Formular-Dienst.
2. Datenschutzerklärung, die beschreibt, was tatsächlich läuft. Eine Vorlage, die Google Analytics erwähnt, obwohl Matomo läuft, ist schlechter als keine.
3. Speicherdauer festlegen und einhalten.
4. Nichts vor der Zustimmung laden. Technisch prüfen, nicht annehmen.
5. Bei Drittlandübermittlung die Grundlage benennen.

Punkt zwei ist der, der in der Praxis am häufigsten auffällt – weil sich Werkzeuge ändern und die Datenschutzerklärung nicht mitwandert.

Der Selbsttest

Fünf Minuten, und du weißt, ob dein Aufbau hält:

1. Website im privaten Fenster öffnen, nichts anklicken.
2. Entwicklerwerkzeuge öffnen, Reiter „Netzwerk“.
3. Seite neu laden und sehen, welche Anfragen an fremde Domains hinausgehen.
4. Unter „Anwendung“ nachsehen, welche Cookies bereits gesetzt sind.

Wenn dort vor jedem Klick Analyse- oder Werbeskripte laufen, ist das Banner Dekoration. Das ist der mit Abstand häufigste Befund – und meist nicht böse Absicht, sondern ein Plugin, das nach einem Update anders lädt.

Fazit

Messung und Datenschutz schließen sich nicht aus. Sie verlangen nur eine Entscheidung, die vor der Werkzeugauswahl steht: Welche Frage soll die Messung beantworten?

Wer wissen will, welche Seiten zu Anfragen führen, kommt ohne Einwilligung aus. Wer Werbekampagnen aussteuern will, braucht sie. Und wer ein Banner einbaut, ohne zu prüfen, was davor schon lädt, hat den Aufwand ohne den Nutzen.