DSGVO-konforme Webanalyse ohne Google Analytics

Ein Kunde formuliert einen scheinbar harmlosen Wunsch: „Ich will einfach sehen, wie viele Leute meine Seite besuchen und woher sie kommen." Reflexartig greifst du zu Google Analytics – kostenlos, mächtig, kennt jeder. Doch mit diesem Griff holst du dir gleich drei Probleme ins Haus: ein weiteres Skript, das die Seite bremst, einen Cookie-Banner, den die Hälfte der Besucher wegklickt, und eine Datenschutzfrage, die seit Jahren durch die Aufsichtsbehörden geistert. Die gute Nachricht: Es geht auch anders – schlanker, schneller und mit ruhigerem Gewissen.

Dieser Beitrag zeigt, warum eine DSGVO-konforme Webanalyse für Agenturen zum Thema geworden ist, welche Denkfehler dabei kursieren, worauf es rechtlich wirklich ankommt und welche Alternativen zu Google Analytics sich für Kundenprojekte eignen. (Das ist eine sachliche Einordnung und keine Rechtsberatung; die verbindliche Bewertung eines konkreten Setups gehört in fachkundige Hände.)

DSGVO-konforme Webanalyse: Warum Google Analytics zum Problem wurde

Der Konflikt begann nicht gestern. Nachdem der Europäische Gerichtshof im Sommer 2020 mit dem „Schrems II"-Urteil den transatlantischen Datenschutzrahmen „Privacy Shield" gekippt hatte, reichte die Datenschutzorganisation noyb am 17. August 2020 in allen 30 EU- und EWR-Staaten 101 Beschwerden gegen europäische Unternehmen ein, die weiterhin Daten über Google Analytics und Facebook Connect in die USA übermittelten.

Aus diesen Beschwerden wurde eine Kette von Entscheidungen. Die österreichische Datenschutzbehörde erklärte den Einsatz von Google Analytics Anfang 2022 als Erste für rechtswidrig; die französische CNIL und die italienische Garante folgten im selben Jahr, wie noyb die Serie der Verfahren dokumentiert. Der Kern des Problems: Über Analytics wurden personenbezogene Daten – darunter die IP-Adresse – in die USA übertragen, wo nach Auffassung der Behörden kein gleichwertiges Schutzniveau bestand. Selbst gekürzte IP-Adressen wurden als personenbezogen eingestuft, weil sie sich mit weiteren Informationen anreichern lassen.

Für eine Agentur, die Analytics bei Kunden reflexhaft einbaut, ist das ein unbequemer Befund: Ein Werkzeug, das jahrelang als Standard galt, stand plötzlich unter dem Verdacht der Rechtswidrigkeit.

Praktisch relevant ist das auch deshalb, weil die Verantwortung am Ende beim Seitenbetreiber liegt – also bei deinem Kunden, und mittelbar bei dir, der es eingebaut hat. Es geht dabei nicht nur um mögliche Verfahren der Aufsichtsbehörden, sondern auch um das Risiko von Abmahnungen durch Mitbewerber oder Datenschutzvereine, das bei fehlender Einwilligung für Tracking-Tools seit Jahren im Raum steht. Wer als Agentur ein Setup ausliefert, das diese Frage ignoriert, verkauft dem Kunden ein latentes Problem mit.

Der Denkfehler: „Das Data Privacy Framework löst doch alles"

Seit die EU-Kommission am 10. Juli 2023 mit dem „EU-US Data Privacy Framework" einen neuen Angemessenheitsbeschluss gefasst hat, herrscht in vielen Agenturen Entwarnung: Die USA gelten wieder als sicheres Drittland, Google ist zertifiziert, also sei alles gut. Dieser Schluss greift aus zwei Gründen zu kurz.

Erstens ruht das Framework auf tönernen Füßen. Es ist – wie schon seine beiden Vorgänger – politisch und juristisch umstritten, und Entwicklungen in den USA lassen an seiner Dauerhaftigkeit zweifeln. Was Agenturen zum Risiko des transatlantischen Datentransfers wissen sollten, haben wir im Beitrag zu US-Cloud und DSGVO eingeordnet. Wer sein Analyse-Setup allein auf das Framework stützt, baut auf eine Grundlage, die schon zweimal weggebrochen ist.

Zweitens – und das ist der wichtigere Punkt – löst das Framework nur die Frage des Datentransfers, nicht die der Einwilligung. Unabhängig davon, wohin die Daten fließen, verlangt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) grundsätzlich eine Einwilligung, sobald Informationen auf dem Endgerät des Nutzers gespeichert oder ausgelesen werden – und genau das tut Google Analytics mit seinen Cookies. Das ist der Grund, warum der Cookie-Banner überhaupt existiert. Wie du die Einwilligung sauber einholst, ohne die Seite mit einem Banner-Ungetüm zu verschandeln, behandelt der Beitrag zur Cookie-Banner-Pflicht 2026.

Was „DSGVO-konform" bei Analytics wirklich heißt

Aus beidem ergeben sich die Stellschrauben für ein sauberes Setup. Datensparsamkeit steht an erster Stelle: Erhebe nur, was du wirklich brauchst, und verzichte auf Datenpunkte, die du ohnehin nie auswertest. Die Verarbeitung sollte möglichst in der EU stattfinden, um die Transferfrage von vornherein zu entschärfen. Der Umgang mit der IP-Adresse muss geklärt sein – idealerweise wird sie gekürzt oder gar nicht gespeichert. Zweck und Rechtsgrundlage gehören dokumentiert, und die Einwilligung muss dort eingeholt werden, wo das Gesetz sie verlangt.

Der entscheidende Hebel liegt beim letzten Punkt. Denn jeder Besucher, der den Cookie-Banner wegklickt oder ablehnt, taucht in einem einwilligungspflichtigen Analytics gar nicht auf. In der Praxis bedeutet das oft, dass ein erheblicher Teil des Traffics unsichtbar bleibt – die Statistik, für die der Kunde bezahlt, zeigt nur einen Ausschnitt. Ein Setup, das ohne Einwilligung auskommt, weil es datensparsam genug arbeitet, liefert paradoxerweise oft die vollständigeren und damit nützlicheren Zahlen.

Das ist ein Argument, das im Kundengespräch zieht. Viele Betreiber wundern sich, warum ihre Analytics-Zahlen so viel niedriger liegen als die Realität – die Lücke sind genau die Menschen, die dem Tracking nie zugestimmt haben. Wer diesen Zusammenhang erklärt, verschiebt das Gespräch weg vom trockenen Datenschutz hin zu einer Frage des Nutzens: Weniger Datenhunger kann am Ende die besseren Entscheidungsgrundlagen bedeuten.

Die Alternativen im Überblick

An dieser Stelle kommen die europäischen Werkzeuge ins Spiel. Am bekanntesten ist Matomo, das sich entweder selbst hosten oder in einer EU-Cloud betreiben lässt – die Daten bleiben damit in deiner bzw. der Kontrolle des Kunden, und die Transferfrage entfällt. Matomo lässt sich zudem so konfigurieren, dass es auf Cookies verzichtet und Daten so weit reduziert, dass einzelne Aufsichtsbehörden einen einwilligungsfreien Betrieb für vertretbar halten. Wichtig ist die Einschränkung: Ob ein konkretes Setup wirklich ohne Einwilligung auskommt, hängt von der genauen Konfiguration und der Auslegung der zuständigen Behörde ab – hier lohnt der Blick in die aktuelle Orientierungshilfe und im Zweifel fachkundiger Rat.

Daneben gibt es weitere in der EU gehostete Analyse-Dienste, die auf Datensparsamkeit und den Verzicht auf geräteübergreifendes Tracking setzen. Ihr gemeinsamer Ansatz: Sie messen aggregiert, was auf der Seite passiert, ohne einen einzelnen Nutzer über Websites hinweg zu verfolgen. Für die typische Kundenfrage – „Wie viele Besucher, welche Seiten, welche Quellen?" – reichen diese Werkzeuge in aller Regel vollkommen aus. Die volle Wucht von Google Analytics mit seinen Marketing- und Werbefunktionen braucht der Möbelhändler um die Ecke schlicht nicht.

Der Abwägung hilft eine ehrliche Bedarfsanalyse mit dem Kunden. Braucht er wirklich detailliertes Nutzerverhalten, Conversion-Trichter und Werbeanbindung – oder will er im Kern nur wissen, ob seine Seite besucht wird und ob eine Kampagne etwas bringt? In der überwiegenden Zahl der Fälle bei kleinen Unternehmen ist es Letzteres. Wo tatsächlich fortgeschrittenes Marketing-Tracking gebraucht wird, lässt sich das transparent als bewusste Entscheidung mit sauberer Einwilligung umsetzen – der Unterschied ist, dass es dann eine begründete Wahl ist und nicht der ungeprüfte Standardgriff. Ein weiterer Nebeneffekt der schlanken Tools: Sie laden deutlich leichter als das umfangreiche Analytics-Paket und belasten damit auch die Ladezeit der Seite weniger.

Wie du das als Agentur zum Angebot machst

Für kleine Agenturen ist das mehr als eine Pflichtübung – es ist ein Verkaufsargument. Statt Kunden einen weiteren Cookie-Banner und ein diffuses Datenschutzrisiko aufzubürden, bietest du eine schlanke, EU-basierte Webanalyse an, die schnell lädt, weniger Reibung im Cookie-Banner erzeugt und dem Kunden ehrlichere Zahlen liefert. Das ist ein Angebot, das sich klar von der „bauen wir halt Google Analytics ein"-Routine abhebt.

Und wie bei Wartung und Performance lässt sich daraus ein wiederkehrender Baustein machen: Einrichtung des datensparsamen Trackings, saubere Einbindung in das Einwilligungsmanagement, ein regelmäßiger, verständlicher Report an den Kunden statt eines Dashboards, das er nie öffnet. So wird aus einer technischen Notwendigkeit ein betreutes, planbares Angebot. Der Leitgedanke bleibt derselbe, der auch für vertrauenswürdige KI-Produkte gilt: Sammle und behaupte nur, was du sauber begründen kannst. Wer Webanalyse so aufsetzt, erspart dem Kunden Risiko – und sich selbst die unangenehme Frage, was eigentlich passiert, wenn der nächste transatlantische Datenschutzrahmen fällt.