Privatrak
Blog

Brauchen Sie für Webanalyse einen Cookie-Banner?

Wann Webanalyse nach DSGVO und TDDDG eine Einwilligung braucht, wann cookielose Analyse ohne Cookie-Banner auskommt und was Sie trotzdem tun müssen.

Veröffentlicht am Zuletzt geprüft am

Setzt Ihre Webanalyse Cookies oder speichert sie etwas im Browser Ihrer Besucher, brauchen Sie fast sicher eine Einwilligung, und in der Praxis heißt das: einen Cookie-Banner. Speichert sie nichts auf dem Gerät, erkennt niemanden wieder und erstellt nur Statistiken für Sie, brauchen Sie oft keinen.

Dazwischen liegt eine Grauzone, und wo Sie landen, hängt vom Land Ihrer Besucher ab. Dieser Artikel erklärt, warum es die Regeln gibt, was sie wirklich verlangen, wann Webanalyse ohne Banner auskommt und was ein Banner Sie kostet, wenn sie es nicht tut.

Vorweg: Wir entwickeln Privatrak, ein Analysewerkzeug ohne Cookies. Wir haben also ein Interesse an der Antwort. Wir versuchen trotzdem, ehrlich zu antworten, auch dort, wo es für Werkzeuge wie unseres unbequem wird.

Der Artikel behandelt die EU, Deutschland, Frankreich und das Vereinigte Königreich, Stand Oktober 2026. Er ist eine allgemeine Information, keine Rechtsberatung.

Warum es diese Gesetze gibt

Cookie-Banner nerven, und so wirkt das Gesetz dahinter leicht wie Bürokratie. Das ist es nicht. Es antwortet auf ein echtes Problem.

Lange hieß eine Webseite besuchen: verfolgt werden. Eine Nachrichtenseite konnte Dutzende Skripte fremder Firmen laden, jedes mit eigenem Cookie, das Sie auf allen anderen Seiten mit demselben Skript wiedererkannte. Aus diesen Besuchen entstanden Profile: Ihre Interessen, Ihre Gesundheitssorgen, Ihre politische Haltung, Ihr Aufenthaltsort. Gehandelt werden sie im Hintergrund jeder Seite, die Werbung zeigt. Der Irish Council for Civil Liberties schätzte 2022, dass Werbeauktionen die Daten eines Europäers 376-mal am Tag weitergeben, samt dem, was er liest, und dem Ort, an dem er ist.

Das europäische Recht antwortet darauf mit zwei Gedanken:

  • Privatsphäre und Datenschutz sind Grundrechte, nebeneinander in Artikel 7 und 8 der EU-Grundrechtecharta. Sie sind keine Einstellung, die ein Unternehmen für Sie abschalten kann.
  • Ihr Gerät gehört zu Ihrer Privatsphäre. So steht es in Erwägungsgrund 24 der ePrivacy-Richtlinie: Niemand soll ohne Ihr Wissen etwas darauf speichern oder daraus lesen. Deshalb schützt die Cookie-Regel das Gerät und nicht nur personenbezogene Daten.

Die Idee hinter der Einwilligung ist, dass Sie entscheiden, ob Sie verfolgt werden. In der Praxis haben Banner daraus eine lästige Pflicht auf jeder Seite gemacht, oft so gestaltet, dass sie Sie zu „Akzeptieren“ drängen. Das ist ein Versagen des Banners, nicht des Grundsatzes. Der Grundsatz zeigt in eine bessere Richtung: Messen Sie, was Sie brauchen, ohne anzufassen, was dem Besucher gehört.

Zwei verschiedene Gesetze, und nur eines handelt von Cookies

Die meiste Verwirrung um Cookie-Banner entsteht, weil zwei europäische Regeln vermischt werden. Sie stellen verschiedene Fragen, und eine Webanalyse muss beide bestehen.

Was sie schützt

ePrivacy („das Cookie-Gesetz“)
Das Gerät Ihres Besuchers
DSGVO
Personenbezogene Daten, wo immer sie sind

Was sie erfasst

ePrivacy („das Cookie-Gesetz“)
Informationen auf dem Gerät speichern oder von dort auslesen, egal ob sie personenbezogen sind
DSGVO
Jede Verarbeitung von Daten über eine identifizierbare Person, auch IP-Adressen

Was sie verlangt

ePrivacy („das Cookie-Gesetz“)
Eine Einwilligung, außer das Speichern oder Auslesen ist für einen Dienst, den der Besucher wünscht, unbedingt erforderlich
DSGVO
Eine Rechtsgrundlage. Die Einwilligung ist eine, das berechtigte Interesse eine andere

Wo sie steht

ePrivacy („das Cookie-Gesetz“)
Artikel 5 Absatz 3 der ePrivacy-Richtlinie, umgesetzt in nationales Recht: § 25 TDDDG in Deutschland, Artikel 82 des Loi Informatique et Libertés in Frankreich, Regulation 6 der PECR im Vereinigten Königreich
DSGVO
In der DSGVO selbst (im Vereinigten Königreich in der UK GDPR)

Den Cookie-Banner gibt es wegen der ersten Regel. Die Aufsichtsbehörden sagen seit Jahren: Webanalyse ist für Sie nützlich, für den Besucher aber nicht unbedingt erforderlich. Also brauchen Analyse-Cookies eine Einwilligung. Deshalb kommt Google Analytics, wie jedes Werkzeug, das eine Besucher-ID in ein Cookie schreibt, mit einem Banner.

Die DSGVO allein erzwingt für Webanalyse selten einen Banner, denn ein berechtigtes Interesse kann eine maßvolle, datensparsame Messung tragen. Sie regelt aber, was Sie mit den Daten tun dürfen. Dazu weiter unten mehr.

In Deutschland steht die ePrivacy-Regel in § 25 TDDDG. Bis Mai 2024 hieß das Gesetz TTDSG, und viele Artikel verwenden noch den alten Namen.

Was als Zugriff auf das Gerät zählt

Die ePrivacy-Regel betrifft nicht nur Cookies. Sie gilt für alles, was Informationen auf dem Gerät des Besuchers speichert oder von dort ausliest.

Eindeutig erfasst:

  • Cookies, eigene wie fremde.
  • Browser-Speicher: localStorage, sessionStorage, IndexedDB. Wer ein Cookie durch einen Eintrag im localStorage ersetzt, ändert rechtlich nichts.
  • Fingerprinting: Bildschirmgröße, installierte Schriften, Canvas-Ausgabe und ähnliche Merkmale auslesen, um eine ID zu bilden, die gelöschte Cookies überlebt. Die Aufsichtsbehörden werten das seit 2014 als Auslesen des Geräts.

Die Grauzone: Der Europäische Datenschutzausschuss (EDSA), in dem sich die Aufsichtsbehörden der EU abstimmen, legt die Regel weit aus. In seinen Leitlinien 2/2023 (endgültige Fassung vom 7. Oktober 2024) heißt es, JavaScript, das den Browser anweist, Informationen an einen Server zu senden, sei ein Zugriff auf das Gerät (Randnummer 33). Auch eine IP-Adresse kann unter die Regel fallen (Randnummer 55). So gelesen ist fast jedes Analyse-Skript erfasst, mit oder ohne Cookies.

Dieselben Leitlinien sagen aber auch, was oft unterschlagen wird: Dass die Regel greift, heißt nicht automatisch, dass eine Einwilligung nötig ist. Jeder Fall ist an den Ausnahmen zu prüfen (Randnummer 56). Gesetz sind die Leitlinien auch nicht. Es entscheiden die nationalen Behörden und Gerichte, und wie der nächste Abschnitt zeigt, entscheiden sie nicht alle gleich.

Wer auf Cookies verzichtet, beseitigt also den deutlichsten Grund für einen Banner, aber nicht jede Frage. Danach zählt, was das Skript sendet, ob sich damit eine Person herausgreifen lässt und wer die Daten bekommt.

Wann Sie auf den Banner verzichten können

Zwei Länder sehen eine ausdrückliche Ausnahme für Webanalyse vor, eines keine, und die EU berät über eine. Jede dieser Ausnahmen ist für dasselbe gedacht: Besuche auf Ihrer eigenen Website zählen, nicht Menschen durchs Netz verfolgen.

Deutschland: keine eigene Ausnahme

§ 25 TDDDG nimmt nur die Übertragung einer Nachricht aus und das, was für einen vom Besucher gewünschten Dienst unbedingt erforderlich ist. Der übliche Weg ist deshalb ein Werkzeug, das nichts auf dem Gerät speichert und keine Gerätemerkmale ausliest. Ob ein Skript, das nur Seitenaufrufe und Klicks meldet, als Zugriff zählt, ist nicht abschließend geklärt.

Frankreich: ja, unter den Bedingungen der CNIL

Die französische Aufsichtsbehörde erlaubt Reichweitenmessung ohne Einwilligung, wenn sie nur Ihre eigene Website oder App misst, nicht mit anderen Daten verknüpft wird und jeder Tracker nur einem Anbieter dient. Das letzte Byte der IP-Adresse muss entfernt werden, und Tracker leben höchstens 13 Monate. Besucher müssen informiert werden und widersprechen können, und Ihr Anbieter darf die Daten nicht für sich nutzen.

Vereinigtes Königreich: ja, seit dem 5. Februar 2026

Der Data (Use and Access) Act hat die PECR um eine Ausnahme für statistische Zwecke ergänzt, in Kraft seit dem 5. Februar 2026. Sie gilt, wenn das Speichern oder Auslesen allein dazu dient, Statistiken über die Nutzung Ihres Dienstes zu erstellen, um ihn zu verbessern. Besucher bekommen klare Informationen und eine einfache, kostenlose Möglichkeit zu widersprechen. Was zugleich der Werbung dient, braucht weiterhin eine Einwilligung.

Übrige EU: je nach Aufsichtsbehörde

Die meisten Länder folgen dem Wortlaut der Richtlinie, der keine Ausnahme für Webanalyse kennt.

EU, geplant: noch kein Gesetz

Der Digital Omnibus der EU-Kommission vom 19. November 2025 würde die Cookie-Regel als Artikel 88a in die DSGVO verschieben, mit einer Ausnahme für zusammengefasste Reichweitenmessung des eigenen Dienstes. Er durchläuft noch das Europäische Parlament und den Rat.

Ein Praxistest

Ihre Webanalyse steht auf der vertretbaren Seite der Linie, wenn all das zutrifft:

  1. Auf dem Gerät wird nichts gespeichert. Keine Cookies, kein localStorage, nichts.
  2. Kein Fingerprinting. Das Skript liest keine Gerätemerkmale aus, um eine Kennung zu bilden. Es nutzt nur, was der Browser ohnehin mit jeder Anfrage sendet.
  3. Niemand wird über die Zeit wiedererkannt. Wer morgen wiederkommt, ist ein neuer Besucher, und keine ID verbindet die beiden Besuche.
  4. Die Daten bleiben Ihre. Sie dienen Ihren eigenen Statistiken, werden nicht mit Daten anderer Websites verknüpft, und der Anbieter nutzt sie nicht weiter.
  5. Keine personenbezogenen Rohdaten bleiben liegen. IP-Adressen werden nicht gespeichert oder vorher gekürzt.
  6. Die Besucher werden informiert, in Ihrer Datenschutzerklärung, und können widersprechen, wo das Gesetz es verlangt (Frankreich, Vereinigtes Königreich).

Was Sie auch ohne Banner tun müssen

Kein Banner heißt nicht keine Pflichten. Die DSGVO gilt weiter für alle personenbezogenen Daten, die durchlaufen, auch wenn es nur für einen Augenblick ist.

  • Nennen Sie das Werkzeug in Ihrer Datenschutzerklärung. Welches Werkzeug Sie nutzen, was es erfasst, wozu und wie lange. Artikel 13 und 14 DSGVO verlangen das, ob Sie eine Einwilligung einholen oder nicht.
  • Benennen Sie die Rechtsgrundlage. Ohne Einwilligung ist es meist das berechtigte Interesse (Artikel 6 Absatz 1 Buchstabe f). Halten Sie die Abwägung kurz fest: was Sie messen, warum Sie es brauchen und warum es die Privatsphäre Ihrer Besucher nicht überwiegt. Mit wenigen Daten fällt sie leicht.
  • Schließen Sie einen Auftragsverarbeitungsvertrag mit Ihrem Analyse-Anbieter (Artikel 28). Ein seriöser Anbieter bietet ihn an, ohne dass Sie zweimal fragen müssen.
  • Wissen Sie, wohin die Daten gehen. Hosting in der EU erspart Fragen zur Übermittlung in andere Länder. Eine Ausnahme von der Einwilligung beantwortet diese Fragen nicht.
  • Bieten Sie einen Widerspruch an, wo die Ausnahme ihn verlangt. In Frankreich und im Vereinigten Königreich ist ein Link in der Datenschutzerklärung üblich, der die Messung für diesen Besucher abschaltet.
  • Prüfen Sie den Rest Ihrer Website. Die Banner-Frage betrifft alles auf der Seite, nicht nur die Webanalyse. Ein eingebettetes YouTube-Video, ein Chat-Widget, ein Werbe-Pixel oder eine Schrift von einem fremden Server kann jeweils eigene Fragen zu Einwilligung oder Datenschutz aufwerfen. Cookielose Webanalyse hilft nicht, wenn etwas anderes auf der Seite trotzdem Cookies setzt.

Warum es sich lohnt, keinen Banner zu brauchen

Webanalyse, die die Privatsphäre achtet, ist gegenüber Ihren Besuchern das Richtige. Sie ist auch für Sie besser.

Ein fairer Banner kostet Sie die meisten Besucher. Eine Studie von 2024 über Millionen Banner-Interaktionen zeigt: Lässt sich mit einem Klick ablehnen, lehnen mehr als 60 % ab. Braucht das Ablehnen mehr Klicks, stimmen etwa 90 % zu. Hohe Zustimmungsraten kamen jahrelang von dieser zweiten Gestaltung, und die Behörden bestrafen sie inzwischen. Im Dezember 2021 verhängte die CNIL 150 Millionen Euro gegen Google und 60 Millionen Euro gegen Facebook, weil das Ablehnen von Cookies schwerer war als das Annehmen. Mit einem ehrlichen Banner sieht Ihre Webanalyse nur eine Minderheit Ihrer Besucher.

Und diese Minderheit ist verzerrt. Wer auf „Akzeptieren“ klickt, ist keine Zufallsauswahl Ihrer Besucher, und wer den Banner ignoriert, wird gar nicht gezählt. Wie sich diese Gruppen unterscheiden, können Sie nicht wissen, also auch nicht herausrechnen. Eine Conversion-Rate, gemessen an 40 % der Besucher, gilt vielleicht nicht für die übrigen 60 %.

Das Erste, was Besucher sehen, ist Ihre Seite. Ein Banner ist eine Bitte, bevor Sie etwas gegeben haben. Ohne ihn begegnen die Menschen zuerst Ihrem Angebot, und Sie beginnen den Besuch, ohne um Vertrauen bitten zu müssen.

Weniger Daten heißt weniger zu schützen. Daten, die Sie nie speichern, können nicht abfließen, niemand kann sie herausverlangen, und Sie müssen sie nicht suchen, wenn jemand Auskunft über seine Daten verlangt. Datenminimierung ist ein Grundsatz der DSGVO, aber vor allem schlicht weniger Risiko.

Ist es fair, Menschen zu zählen, die abgelehnt hätten? Eine berechtigte Frage. Was Menschen ablehnen, ist das Verfolgtwerden: ein Cookie, das sie wiedererkennt, ein Profil, das ihnen folgt, Daten, die bei Werbefirmen landen. Einen Besuch auf Ihrer eigenen Website zu zählen, ohne jemanden wiederzuerkennen, ist etwas anderes. Deshalb nehmen Frankreich und das Vereinigte Königreich es aus. Wenn jemand widerspricht, respektieren Sie es.

Fragen an einen Analyse-Anbieter

„Cookielos“ und „DSGVO-konform“ stehen auf fast jeder Startseite eines Analysewerkzeugs. Diese Fragen gehen hinter das Etikett:

  1. Speichert Ihr Skript irgendetwas im Browser, unter welchem Namen auch immer?
  2. Wie unterscheiden Sie Besucher, und wie lange können Sie denselben Besucher wiedererkennen?
  3. Lesen Sie Gerätemerkmale wie Bildschirmgröße, Schriften oder Canvas-Ausgabe aus?
  4. Speichern Sie IP-Adressen, auch gekürzt oder mit einem festen Schlüssel gehasht?
  5. Nutzen Sie die Daten unserer Besucher für irgendetwas anderes, etwa für Benchmarks, zum Training Ihres Produkts oder für andere Kunden?
  6. Wo liegen die Daten, und welche Unterauftragnehmer sehen sie?
  7. Können wir einen Auftragsverarbeitungsvertrag schließen?
  8. Welche Funktionen brauchen eine Einwilligung? Manche Werkzeuge sind nur in einem Grundmodus cookielos, und Session Replay, Umfragen oder geräteübergreifendes Tracking schalten die Cookies wieder ein.

Ausweichende Antworten auf die zweite und die vierte Frage sind das übliche Warnzeichen. „Wir hashen die IP“ bedeutet wenig, wenn immer derselbe Schlüssel verwendet wird, denn dann wirkt der Hash wie eine dauerhafte ID.

Wie Privatrak diese Fragen beantwortet

Wir haben Privatrak so gebaut, dass es nichts auf dem Gerät speichert, keine Gerätemerkmale ausliest, jeden Besucher nach einem Tag vergisst, Ihre Daten nur für Ihre eigenen Berichte nutzt und nie IP-Adressen speichert. Was es Ihnen nicht abnehmen kann, ist, Ihre Besucher zu informieren. Nennen Sie es deshalb in Ihrer Datenschutzerklärung.

  • Der Tracker speichert nichts im Browser und liest keine Gerätemerkmale aus.
  • Um Besucher zu unterscheiden, bildet der Server aus IP-Adresse, dem User-Agent des Browsers und Ihrer Website einen Einweg-Hash, mit einem zufälligen Schlüssel für diesen Tag. IP-Adresse und User-Agent werden nie gespeichert.
  • Jede Nacht werden der Schlüssel des Tages und die Besucher-IDs gelöscht. Ein Besucher wird also höchstens einen Tag lang wiedererkannt, und niemand, auch wir nicht, kann ihn mit dem Vortag verbinden.
  • Die Daten liegen in der EU, dienen nur Ihren Berichten und sind durch einen Auftragsverarbeitungsvertrag abgedeckt.
  • Brauchen Sie einen Widerspruchslink, kann der Tracker mit dem Start warten, bis Ihre Seite die Entscheidung des Besuchers geprüft hat (data-manual-init).

Trotzdem misst es, was Produktteams brauchen: welche Funktionen genutzt werden, wo Besucher aus einem Funnel aussteigen und welche Kampagnen sie bringen. Datenschutz in der Dokumentation erklärt jeden Schritt im Detail.

Quellen

Geprüft am 9. Oktober 2026. Was für Sie gilt, hängt davon ab, wo Sie und Ihre Besucher sind und was Ihre Website sonst noch lädt. Lassen Sie Ihren Fall deshalb von einer Anwältin oder einem Anwalt prüfen.

Brauchen Sie für Webanalyse einen Cookie-Banner?