Tracking ohne Cookie-Banner

Die DSGVO und das Tracking

Kaum eine Regel der EU begegnet uns so oft wie die DSGVO, und zwar fast immer in Form eines Cookie-Banners. Seit 2018 klicken wir uns durch Dialoge, die irgendwie mit Datenschutz zu tun haben. Das Problem: Dieser Banner gehört gar nicht zur DSGVO. Wer Tracking datenschutzkonform betreiben will, muss zuerst verstehen, dass dafür zwei getrennte Regelwerke gelten, die nacheinander geprüft werden.

Zwei Regelwerke, zwei Fragen

Das erste ist § 25 TDDDG, in Deutschland die Umsetzung der ePrivacy-Richtlinie. Er regelt, ob eine Website auf das Endgerät des Nutzers zugreifen darf, also etwas dort speichern oder auslesen. Das betrifft nicht nur Cookies, sondern auch Local Storage, IndexedDB, Tracking-Pixel und Fingerprinting per JavaScript. Grundsätzlich braucht es dafür eine Einwilligung, es sei denn, der Zugriff ist unbedingt erforderlich, um einen vom Nutzer gewünschten Dienst bereitzustellen. Dabei spielt keine Rolle, ob personenbezogene Daten im Spiel sind.

Erst die zweite Frage betrifft die DSGVO: Was passiert mit personenbezogenen Daten, nachdem sie angefallen sind? Dafür braucht es eine Rechtsgrundlage, Transparenz in der Datenschutzerklärung, Betroffenenrechte, Datensparsamkeit und eine Löschfrist. Der Banner ist damit eine Folge von § 25, nicht der DSGVO. Eine Datenschutzerklärung ersetzt keine nötige Einwilligung, und ein Banner ersetzt keine Datenschutzerklärung.

Was keine Einwilligung braucht

Technisch notwendige Speicherung, etwa ein Login-Cookie, kommt ohne Banner aus. Sie muss aber in der Datenschutzerklärung stehen, und zwar vollständig. Wer nachmisst, was ein Identity-Server wie Keycloak tatsächlich ablegt, stellt schnell fest, dass schon der stille Check „bin ich schon eingeloggt?” Cookies setzt, auch bei Besuchern ohne Konto. „Beim Login werden Cookies gesetzt” ist dann schlicht falsch. Auch Session Storage und die Laufzeit der Option „Angemeldet bleiben” gehören in den Text.

Das Missverständnis mit „cookiefrei”

Weit verbreitet ist die Annahme, ein Analysetool ohne Cookies brauche keinen Banner. Pauschal gilt das nicht: Der JavaScript-Tracker von Matomo liest Bildschirmauflösung, Zeitzone, Sprache und weitere Merkmale aus dem Browser aus und veranlasst ihn, diese in einer zusätzlichen Anfrage zu senden, die nur dem Tracking dient. Der Europäische Datenschutzausschuss wertet genau das als Zugriff auf das Endgerät, und die deutschen Aufsichtsbehörden sehen Reichweitenmessung nicht als unbedingt erforderlich an.

Der Ausweg über das Backend

Es gibt aber eine Alternative. Das Backend sieht in vielen Fällen ohnehin die relevanten Aktionen, weil die Website sie für Anzeige oder Änderung von Inhalten senden muss. Meldet der Server diese Requests im Hintergrund an Matomo, greift niemand zusätzlich auf das Gerät zu, und § 25 ist nicht einschlägig. Dabei ist kein Banner nötig; die DSGVO gilt trotzdem und räumt den Nutzern ein Widerspruchsrecht gegen die Datenerhebung ein (Art. 21 DSGVO). Dieses muss nicht in einem aufdringlichen Cookie-Banner beim Start abgefragt werden, ein Hinweis auf einer Unterseite der Datenschutzerklärung reicht in der Regel. Als Rechtsgrundlage für die Datenerhebung kommt das berechtigte Interesse infrage, etwa zu verstehen, welche Funktionen genutzt werden. Das setzt eine Interessenabwägung voraus, und die fällt nur zugunsten des Betreibers aus, wenn die Verarbeitung maßvoll ist. Konkret heißt das: IP-Adresse kürzen, bevor sie gesendet wird, keine Wiedererkennung anonymer Besucher per Fingerprinting, eine feste Löschfrist für Rohdaten und eine dokumentierte Abwägung. Je eingriffsintensiver die Verarbeitung wird, etwa mit voller IP, Klartext-IDs oder Profilbildung, desto eher kippt die Abwägung, und dann bleibt nur noch die Einwilligung.

Wie viele stimmen zu?

Der Preis für den Banner ist Datenverlust. Eine Feldstudie der Ruhr-Universität Bochum mit über 82.000 Besuchern einer deutschen Website zeigt: Viele klicken gar nicht, schmale Leisten wurden nur von wenigen Prozent bedient, und ein hervorgehobener „Akzeptieren”-Button erhöht die Zustimmung deutlich. Wer „Ablehnen” nicht auf der ersten Ebene anbietet, erreicht laut einer Studie von MIT und UCL über 20 Prozentpunkte mehr Zustimmung, was rechtlich aber nicht haltbar ist. Mit einem fairen Banner willigen realistisch 30 bis 50 Prozent der Besucher ein, auf dem Desktop eher weniger, und ignorierte Banner zählen als „Nein”. Backend-Tracking erfasst dagegen alle Aktionen, die über das Backend laufen, nur eben keine Klicks auf der Oberfläche, kein Scrollen und keine Verweildauer.

Beides kombinieren?

Das geht, dann sind es rechtlich zwei getrennte Verarbeitungen mit eigener Rechtsgrundlage. Heikel ist die Frage, was „Nein” im Banner bedeutet. Wer ablehnt, rechnet nicht mehr mit Tracking, und läuft das Backend-Tracking trotzdem weiter, wirkt das wie die Umgehung einer verweigerten Einwilligung. Das schwächt auch die Interessenabwägung, denn dort zählt, womit Nutzer vernünftigerweise rechnen. Sauber ist es, wenn das „Nein” zugleich das Backend-Tracking abschaltet oder wenn deutlich gemacht wird, dass auch trotz „Nein” aufgrund von berechtigtem Interesse Backend-Tracking erfolgt. Außerdem sollten die Daten getrennt bleiben, in Matomo z. B. am besten in zwei Sites, damit das Matomo-Cookie nicht Backend-Daten von Nutzern, die nicht eingewilligt haben, zu einem Profil anreichert.

Was das konkret bedeutet

Für Betreiber heißt das: Nicht jedes Tracking braucht einen Banner, aber jedes Tracking braucht eine Rechtsgrundlage, Transparenz und Grenzen. Wer mit Backend-Tracking beginnt, bekommt belastbare Zahlen, ohne Besucher mit Dialogen zu nerven, und kann einen Banner später einführen, wenn es eine konkrete Frage gibt, die das Backend nicht beantworten kann. Bei Verstößen drohen Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes, je nachdem, was höher ist.

Ob sich das ändert, ist offen. Der „Digital Omnibus” der EU-Kommission vom November 2025 würde die Cookie-Regeln in die DSGVO verschieben und eine Ausnahme für aggregierte Reichweitenmessung schaffen. Das ist bisher aber nur ein Entwurf, der frühestens 2027 in Kraft treten könnte, und darauf sollte heute niemand bauen.

Die DSGVO verbietet Tracking nicht. Sie verlangt, dass man weiß, was man misst, warum man es darf und dass man den Nutzern gegenüber ehrlich ist, wenn sie widersprechen.