DSGVO-konformes Tracking: 3 Wege zur Webanalyse

DSGVO-konformes Tracking ist für Startups und Online-Unternehmen eine Grundvoraussetzung, um Marketing zu steuern, ohne Bußgelder oder Abmahnungen zu riskieren. Die gute Nachricht: Die DSGVO verbietet Webanalyse nicht. Sie verlangt aber eine saubere Rechtsgrundlage, die richtige Konfiguration und einen bewussten Blick darauf, wohin die Daten fließen.

Viele Gründer starten mit Google Analytics und einem Cookie-Banner von der Stange. Spätestens wenn bezahlte Kampagnen laufen oder ein Enterprise-Kunde die Datenverarbeitung prüft, stellt sich die Frage, ob das Setup trägt. Dieser Beitrag erklärt die Rechtslage Stand Oktober 2026, zeigt drei gangbare Wege und gibt dir eine Checkliste für den Go-live.

Das Wichtigste in Kürze

Die meisten Analytics-Setups brauchen eine Einwilligung. Die Ausnahmen sind schmal und hängen an der Konfiguration, nicht am Produktnamen.
Das Google-Analytics-Problem war vor allem eine Frage der Rechtshoheit über die Daten, nicht der Software.
EU-Hosting und EU-Rechtsraum sind zwei verschiedene Dinge.
Es gibt drei gangbare Wege. Sie unterscheiden sich vor allem in Aufwand und laufenden Kosten.

Was die DSGVO beim Tracking regelt

Die DSGVO reguliert die Verarbeitung personenbezogener Daten, und Webanalyse-Daten fallen häufiger darunter, als viele Website-Betreiber annehmen. Eine IP-Adresse zusammen mit einer Gerätekennung, einem Zeitstempel und einem Klickpfad lässt sich in der Regel einer Person zuordnen. Damit brauchst du eine Rechtsgrundlage, bevor du die Daten erhebst. Ohne sie ist DSGVO-konformes Tracking nicht möglich, egal wie gut das Tool ist.

Dazu kommt in Deutschland § 25 TDDDG (früher TTDSG): Wer Informationen auf dem Endgerät speichert oder ausliest, etwa Cookies oder Gerätekennungen, braucht grundsätzlich eine Einwilligung. Ausgenommen ist nur, was für einen vom Nutzer ausdrücklich gewünschten Dienst zwingend nötig ist. Analyse-Cookies gehören in aller Regel nicht dazu. DSGVO-konformes Tracking muss deshalb immer beide Regelwerke erfüllen: die DSGVO für die Datenverarbeitung und das TDDDG für den Zugriff auf das Endgerät.

Eine Einwilligung verlangt eine eindeutige bestätigende Handlung. Stillschweigen, vorangekreuzte Kästchen oder der Hinweis „Durch die Nutzung dieser Website akzeptieren Sie Cookies“ reichen nicht. Wie Einwilligungen technisch verwaltet werden, zeigt unser Vergleich von Consent-Management-Plattformen.

Nicht jede Messung fällt in diese Kategorie. Wer rein aggregiert auswertet, ohne Identifikatoren zu setzen und ohne sitzungsübergreifende Profile zu bilden, kann je nach Konfiguration ohne Einwilligung auskommen. Diese Ausnahme ist eng: Sobald du User-IDs, Cross-Domain-Tracking oder Session-Replay aktivierst, bist du wieder in der Einwilligungspflicht.

Was auf dem Spiel steht, regelt Artikel 83 DSGVO: Verstöße gegen die Grundsätze der Verarbeitung oder die Regeln zur Drittlandübermittlung können mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Warum Google Analytics zum Rechtsproblem wurde

Der Einwand richtete sich nie gegen die Software, sondern dagegen, wohin die Daten flossen und wer dort auf sie zugreifen konnte.

Die Kette beginnt 2020: Der Europäische Gerichtshof kippte im Schrems-II-Urteil das Privacy-Shield-Abkommen. Standardvertragsklauseln blieben möglich, aber nur, wenn zusätzliche Maßnahmen den Zugriff durch US-Behörden tatsächlich verhinderten. Am 13. Januar 2022 wandte die österreichische Datenschutzbehörde diese Logik auf Google Analytics an, vergleichbare Entscheidungen folgten in Frankreich und Italien.

Dann drehte sich die Lage. Am 10. Juli 2023 verabschiedete die EU-Kommission ihren Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Seitdem ist die Übermittlung an zertifizierte US-Unternehmen wieder auf dieser Grundlage möglich.

Datum	Ereignis
07/2020	EuGH kippt im Schrems-II-Urteil das Privacy Shield.
01/2022	Österreichische Datenschutzbehörde erklärt den damaligen Einsatz von Google Analytics für rechtswidrig.
02/2022	Die französische CNIL fordert Website-Betreiber auf, den Einsatz anzupassen.
06/2022	Die italienische Garante untersagt den Einsatz ohne zusätzliche Schutzmaßnahmen.
07/2023	EU-Kommission verabschiedet den Angemessenheitsbeschluss zum Data Privacy Framework.
09/2025	Das EU-Gericht (EuG) weist die Klage Latombe gegen den Beschluss ab.
10/2025	Rechtsmittel beim EuGH eingelegt, Verfahren anhängig.

Google Analytics ist damit nicht verboten. Weil der Rahmen aber weiter vor dem EuGH angefochten wird, solltest du einplanen, dass sich diese Grundlage noch einmal verschieben kann.

Digital Omnibus: Was sich ändern könnte

Auch die Regeln selbst sind in Bewegung. Mit dem Digital Omnibus hat die EU-Kommission im November 2025 vorgeschlagen, die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO zu überführen, Einwilligungen über maschinenlesbare Browsersignale zu ermöglichen und einen Katalog einwilligungsfreier Fälle zu schaffen. Stand Ende September 2026 befindet sich das Paket noch in erster Lesung, mit einem Abschluss wird nicht vor 2027 gerechnet. Plane deshalb mit der heutigen Rechtslage.

Serverstandort und Rechtsraum sind nicht dasselbe

Daten in Frankfurt zu hosten, setzt sie nicht automatisch außerhalb der Reichweite nicht-europäischen Rechts. Zuständigkeit folgt dem Anbieter, nicht der Festplatte. Es gibt zwei Variablen: Wo liegen die Daten physisch? Und welcher Rechtsordnung untersteht das Unternehmen, das über sie verfügt?

Ein US-Konzern mit Rechenzentrum in Deutschland und ein europäischer Anbieter mit Rechenzentrum in Deutschland beantworten die erste Frage identisch und die zweite völlig unterschiedlich. Das Risikoprofil ist deshalb nicht dasselbe.

Ein Beispiel: Matomo gilt in vielen Vergleichen als europäische Alternative. Die Software ist quelloffen und lässt sich selbst hosten, dann hast du die Datenhoheit vollständig in der Hand. Das Unternehmen hinter Matomo sitzt allerdings in Neuseeland. Das ist kein Argument gegen Matomo, zeigt aber, dass „europäisches Tool“ und „europäisches Unternehmen“ zwei verschiedene Aussagen sind. Wer DSGVO-konformes Tracking aufbauen will, sollte deshalb nach dem Sitz des Unternehmens fragen, nicht nur nach dem Rechenzentrum. Beides steht in der Regel im Impressum und im Auftragsverarbeitungsvertrag.

Drei Wege: So gelingt DSGVO-konformes Tracking

Realistisch stehen drei Architekturen zur Verfügung. Rechtmäßig betreiben lassen sich grundsätzlich alle drei, sie unterscheiden sich vor allem in Aufwand und Kosten.

Weg 1: Google Analytics mit Einwilligung

Dieser Weg kostet am wenigsten, weil kein Umzug ansteht. Du setzt eine Consent-Lösung davor, aktivierst das Tracking erst nach ausdrücklicher Zustimmung und dokumentierst die Konfiguration. Der Preis steht in deinen Zahlen: Die Messung bildet nur noch den Teil der Besucher ab, der zugestimmt hat, und dieser Anteil verteilt sich nicht gleichmäßig über Kanäle und Kampagnen. Für grobes Reporting reicht das oft, für die Steuerung bezahlter Kampagnen wird es schnell dünn.

Weg 2: Wechsel auf ein europäisches Analytics-Tool

Der Wechsel zu einem europäischen Anbieter vereinfacht die rechtliche Bewertung, weil die Drittlandfrage entfällt. Auch hier gehen allerdings Daten durch Adblocker und Browser-Restriktionen verloren. Der Aufwand liegt in der Migration und im Bruch der Historie: Ein Jahresvergleich über den Wechselzeitpunkt hinweg ist danach eher Schätzung als Messung. Wer gerade erst anfängt, verliert dabei wenig und hat DSGVO-konformes Tracking von Beginn an einfacher im Griff.

Weg 3: Serverseitiges Tracking vorschalten

Du behältst deine bestehenden Tools und verlagerst die Datenerfassung auf einen Server, den du kontrollierst. Der Browser spricht nicht mehr direkt mit Google, Meta oder LinkedIn, sondern mit deinem eigenen Endpunkt. Von dort entscheidest du, welche Daten weitergehen. Wichtig: Serverseitiges Tracking ersetzt keine Einwilligung, wenn weiterhin Cookies gesetzt oder personenbezogene Daten an Dritte übermittelt werden. Es ist der aufwendigste Weg, hält aber deinen Stack intakt.

Weg	Einwilligung nötig?	Aufwand	Laufende Kosten	Datenverlust
Google Analytics mit Consent	Ja	gering	keine zusätzlichen	hoch, abhängig von der Zustimmungsrate
Europäisches Analytics-Tool	je nach Konfiguration	mittel (Migration)	niedrig bis mittel	Historie bricht ab
Serverseitiges Tracking	je nach Konfiguration	hoch (Einrichtung)	oft dreistellig pro Monat	gering

Europäische Anbieter im Überblick

Es gibt einen funktionierenden Markt europäischer Anbieter, darunter Piwik PRO, etracker, Commanders Act, Stape, das quelloffene Matomo und Jentis mit Standorten in Österreich und Deutschland. Dahinter stecken zwei Kategorien: Analytics-Tools ersetzen dein bisheriges Werkzeug. Tag-Management- und Server-Side-Lösungen schieben sich davor: Du behältst deine Tools und änderst nur den Weg, den die Daten nehmen.

Laut dem Verzeichnis European Alternatives hostet Jentis europäische Kunden auf Servern von IONOS; nach Anbieterangaben lassen sich zahlreiche Marketing- und Analysetools anbinden. Für Teams, die ihren bestehenden Stack behalten wollen, ist eine solche Lösung eine Option neben den anderen genannten Anbietern. Vergleiche Funktionsumfang, Preise, Support und Vertragsbedingungen.

Kosten und der richtige Zeitpunkt

Für die meisten frühen Projekte gilt: Am günstigsten gelingt DSGVO-konformes Tracking mit einem sauber konfigurierten Consent-Banner. Serverseitige Plattformen starten je nach Anbieter oft im niedrigen dreistelligen Euro-Bereich pro Monat, dazu kommt die Einrichtung mit einigen Tagen Entwicklungszeit oder einem Dienstleisterbudget.

Zu früh ist dieser Schritt, wenn du noch keinen Umsatz hast, wenig Traffic misst und kein bezahltes Marketing betreibst. Interessant wird er an drei Stellen: wenn der Einwilligungsverlust deine Attribution bei bezahlten Kampagnen so verzerrt, dass du Budget falsch verteilst; wenn du in einem regulierten Umfeld arbeitest; oder wenn ein Enterprise-Kunde oder Investor deine Datenverarbeitung in einer Due Diligence prüft. Wie du Kampagnen über mehrere Kanäle vergleichst, zeigt unser Beitrag zu Amazon Ads, Google und Meta. Und warum gute Daten die Basis für Wachstum sind, erklärt der Artikel zur datengesteuerten Entscheidungsfindung.

Checkliste für DSGVO-konformes Tracking

Rechtsgrundlage schriftlich festhalten: Einwilligung oder berechtigtes Interesse, und warum.
Prüfen, ob das Tool Cookies setzt, auf das Endgerät zugreift oder Profile bildet.
Sitzland des Anbieters prüfen, nicht nur den Standort des Rechenzentrums.
Auftragsverarbeitungsvertrag einholen und ablegen.
Datenschutzerklärung anpassen und Widerruf jederzeit erreichbar machen.
Konfiguration mit Datum dokumentieren.
Nach jeder Funktionsänderung erneut prüfen, vor allem bei User-IDs, Cross-Domain-Tracking oder Session-Replay.

Welche Kennzahlen du danach tatsächlich auswerten solltest, zeigt unser Überblick zu Online-Marketing-KPIs. Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung. Eine verbindliche Bewertung deines Setups gehört in die Hände einer qualifizierten Beratung.

Häufige Fragen

Ist Google Analytics DSGVO-konform?

Seit dem Angemessenheitsbeschluss vom Juli 2023 lässt sich Google Analytics auf einer gültigen Grundlage betreiben, sofern du es korrekt konfigurierst und eine wirksame Einwilligung einholst. Da der Rahmen vor dem EuGH angefochten wird, bleibt ein Restrisiko.

Wie gelingt DSGVO-konformes Tracking ohne Cookie-Banner?

Nur unter engen Bedingungen: Die Lösung darf keine Informationen auf dem Endgerät speichern oder auslesen, keine sitzungsübergreifenden Profile bilden und muss aggregiert auswerten. Die Bedingungen hängen an der Konfiguration, nicht am Produktnamen.

Ist Server-Side-Tracking automatisch DSGVO-konform?

Nein. Es gibt dir mehr Kontrolle über die Daten, ersetzt aber keine Rechtsgrundlage. Werden Cookies gesetzt oder Daten an Dritte weitergegeben, brauchst du weiterhin eine Einwilligung.

Reicht ein Serverstandort in der EU?

Allein nicht. Der Standort beantwortet, wo die Daten liegen, nicht, welcher Rechtsordnung das verfügende Unternehmen untersteht. Prüfe beides.

Fazit

DSGVO-konformes Tracking ist machbar, wenn du Rechtsgrundlage, Konfiguration und Datenflüsse bewusst wählst. Für frühe Startups reicht meist ein sauber konfiguriertes Tool mit Einwilligung. Mit wachsendem Marketingbudget, Enterprise-Kunden oder Due-Diligence-Prüfungen lohnt sich ein genauerer Blick auf europäische Anbieter oder serverseitige Architekturen.

Wichtig ist, DSGVO-konformes Tracking nicht als einmaliges Projekt zu sehen. Behalte die Entwicklungen rund um Data Privacy Framework und Digital Omnibus im Blick und prüfe dein Setup nach jeder größeren Änderung erneut.

DSGVO-konformes Tracking: 3 Wege zur rechtssicheren Webanalyse