Webanalyse ohne Cookies und die DSGVO

Fragen zu DSGVO und ePrivacy drehen sich oft zuerst um Cookies. Cookiefreie Analytics wie PureMetrix beantwortet den Teil, der die Besucherstatistik betrifft – nicht die Fragen zu allen anderen Tools auf Ihrer Website.

Cookies sind nicht die ganze DSGVO

Die DSGVO regelt die Verarbeitung personenbezogener Daten. Die ePrivacy-Regeln betreffen den Zugriff auf das Gerät der Besucher und das Speichern von Informationen darauf. Cookiefreie Analytics löst das Speicherthema für die Statistik. Für alle personenbezogenen Daten, die Sie verarbeiten, brauchen Sie trotzdem eine Rechtsgrundlage.

So arbeitet PureMetrix

Kein Besucher-Cookie und keine localStorage-ID von PureMetrix. Besucher werden über einen Hash mit täglich wechselndem Salt gezählt. Hosting in der EU bei Hetzner. Ein AVV steht bereit.

Was Ihr Anwalt trotzdem prüfen sollte

Marketing-Pixel und Werbe-Tags
Chat- und CRM-Widgets
Heatmaps und Sitzungsaufzeichnungen
Eigene Formulare, die E-Mail-Adressen erfassen

Schritte in WordPress

PureMetrix installieren und Mitarbeiterrollen ausschließen.
Alle übrigen Tracker auf Ihrer Website auflisten.
Den Analytics-Abschnitt Ihrer Datenschutzerklärung aktualisieren.
Bei Bedarf den AVV abschließen: Leitfaden zum AVV.

Hinweis für Deutschland

Siehe Analytics nach TDDDG (früher TTDSG) und In der EU gehostete Analytics.

Hinweis

Dieser Artikel erklärt das Produkt und ist keine Rechtsberatung. Ob Sie ein Banner brauchen und welche Rechtsgrundlage für Ihre Website gilt, entscheidet Ihr Anwalt.

Verzeichnis der Verarbeitungstätigkeiten

Legen Sie in Ihrem Verzeichnis der Verarbeitungstätigkeiten einen kurzen Eintrag für die Webanalyse an: Zweck, Datenkategorien, Speicherdauer und Auftragsverarbeiter. Aktualisieren Sie ihn, wenn Sie den Proxy einschalten oder WooCommerce-Kaufereignisse hinzufügen – dann passen Prüfungen und Wirklichkeit zusammen.

Cookies sind nur ein Teil der DSGVO

Ohne Besucher-Cookies stellen sich bei der Webanalyse deutlich weniger ePrivacy-Fragen zum Gerätezugriff. Die DSGVO fragt aber weiterhin nach personenbezogenen Daten, Zwecken und Auftragsverarbeitern. Tägliche Hashes mit Salt und keine Besucher-Cookies sind bewusste Designentscheidungen. Ergänzen Sie sie um eine klare Datenschutzerklärung und einen AVV – denn Sie sind der Verantwortliche und PureMetrix Ihr Auftragsverarbeiter.

Werben Sie nicht mit „DSGVO-konform“ als Schlagwort. Beschreiben Sie lieber, was Sie konkret tun: cookiefreie Messung, Hosting in der EU bei Hetzner, ausgeschlossene Mitarbeiterrollen und welche anderen Anbieter noch Cookies setzen.

Strategie für das Cookie-Banner

Braucht die Webanalyse keine Einwilligung mehr, beschränken Sie das Banner auf die Anbieter, die noch eine brauchen. Wer Werbe-Cookies als „notwendig“ einstuft, holt sich genau das rechtliche Risiko zurück, das er mit dem Abschied von GA4 loswerden wollte.

Verantwortlicher und Auftragsverarbeiter

Sie als Website-Betreiber sind bei der Webanalyse in der Regel der Verantwortliche. PureMetrix ist Ihr Auftragsverarbeiter auf Grundlage eines AVV, wenn es personenbezogene Daten für Sie verarbeitet. Verwenden Sie diese Begriffe auch in Ihrer Datenschutzerklärung. „Wir nutzen einen cookiefreien Analysedienst, der in der EU bei Hetzner gehostet wird“ ist klarer als vage Aussagen wie „datenschutzkonform“.

Nennen Sie den Zweck: Besuchermessung und Auswertung von Conversions – nicht personalisierte Werbung, es sei denn, Sie setzen zusätzlich eigene Werbetools ein.

Wann eine DSFA nötig sein kann

Bei umfangreicher Überwachung oder sensiblen Daten (z. B. Gesundheit) kann eine Datenschutz-Folgenabschätzung (DSFA) nötig sein. Das reine Zählen von Seitenaufrufen ist meist weniger heikel – die Entscheidung trifft aber Ihr Anwalt. Halten Sie die Unterlagen des Anbieters bereit, statt bei Rückfragen zu improvisieren.

Websites für Kinder und sensible Themen

Websites für Kinder oder zu sensiblen Gesundheitsthemen brauchen eine rechtliche Beratung, die über eine normale Firmenwebsite hinausgeht. Cookiefreie Voreinstellungen helfen, beantworten die Frage aber nicht vollständig. Halten Sie sich mit Werbeaussagen zurück, bis die rechtliche Prüfung abgeschlossen ist.

Verarbeitungsverzeichnis aktualisieren

Wenn Sie auf PureMetrix umsteigen, aktualisieren Sie Ihr Verzeichnis der Verarbeitungstätigkeiten: Zweck, Datenkategorien, Auftragsverarbeiter, Übermittlungen, Speicherdauer. Entfernen Sie Einträge zu Google Analytics, die nicht mehr gelten. Cookiefreie Messung allein hilft wenig, wenn Ihre Unterlagen veraltet sind.

Prüfen Sie das Verzeichnis einmal im Jahr, etwa zusammen mit Ihren AVVs.

Berechtigtes Interesse

Manche Website-Betreiber stützen die Webanalyse auf ein berechtigtes Interesse, andere holen eine Einwilligung ein. Cookiefreies Design macht das berechtigte Interesse für manche Anwälte leichter begründbar – nicht für alle. PureMetrix liefert die Fakten, das Fazit zieht Ihr Anwalt. Bewahren Sie die schriftliche Abwägung zusammen mit dem AVV auf.

Legen Sie AVVs von US-Werbenetzwerken nicht versehentlich zu Ihren Analytics-Unterlagen; halten Sie die Dokumente von PureMetrix getrennt.

Auskunftsanfragen von Besuchern

Weil das Salt täglich wechselt, lässt sich der Verlauf einer einzelnen Person nicht über längere Zeit abrufen. Erklären Sie das in Ihrem Ablauf für Auskunftsanfragen. PureMetrix legt keine Personenprofile an. Klären Sie mit Ihrem Anwalt, wie Sie antworten, bevor eine Anfrage eintrifft.

Setzen Sie noch Tools zur Sitzungsaufzeichnung wie Hotjar ein, brauchen diese weiterhin eine Einwilligung – auch wenn PureMetrix allein kein Cookie-Banner für die Statistik erfordern würde.

Weiterlesen

Weitere Ratgeber HTML-Snippet WordPress Shopify Next.js

Letzte Aktualisierung: September 2026