Die versteckten Kosten von Cookie-Bannern
Cookie-Banner sind nicht nur ein UX-Problem. Sie sind ein Datenproblem. In EU-Märkten mit aktiven Consent-Management-Plattformen lehnen 30 bis 50 % der Besucher den Banner ab oder ignorieren ihn. Dieser Traffic verschwindet vollständig aus Ihrer Analytics. Die Daten, auf deren Basis Sie Entscheidungen treffen, sind keine repräsentative Stichprobe Ihrer tatsächlichen Zielgruppe.
Hochwertige Seiten haben oft die schlechtesten Zustimmungsraten. Besucher auf Mobilgeräten, Erstbesucher und Besucher aus bestimmten Regionen lehnen häufiger ab. Das Segment Ihrer Zielgruppe, das Sie am wenigsten verstehen, ist oft das, das Sie am meisten erreichen müssen.
Einige Teams akzeptieren dies als Preis der Compliance. Das ist es nicht. Ob Sie einen Einwilligungsbanner benötigen, hängt ausschließlich davon ab, was Ihr Analytics-Tool technisch macht – nicht davon, dass Sie Analytics betreiben.
Was die Einwilligungspflicht tatsächlich auslöst
Die gesetzliche Pflicht zu Cookie-Bannern in Europa ergibt sich aus zwei separaten Texten, die oft verwechselt werden:
- Die ePrivacy-Richtlinie (2002/58/EG), Artikel 5(3): Verlangt Einwilligung, bevor Informationen auf dem Endgerät eines Nutzers gespeichert oder dort abgerufen werden. Dies umfasst Cookies, localStorage und jede Form der clientseitigen Persistenz.
- Die DSGVO: Verlangt eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, wobei die Einwilligung eine Option ist, aber nicht die einzige.
Der Cookie-Banner für Analytics ist primär eine ePrivacy-Pflicht, keine DSGVO-Pflicht. Wenn Ihr Analytics-Tool einen Cookie im Browser des Besuchers setzt, gilt Artikel 5(3) und eine Einwilligung ist vor dem Setzen dieses Cookies erforderlich.
Wenn Ihr Analytics-Tool nichts auf dem Gerät des Besuchers speichert, gilt Artikel 5(3) nicht. Die Einwilligungsbanner-Pflicht verschwindet an ihrer rechtlichen Wurzel.
Wie cookie-freies Analytics die Pflicht umgeht
Cookie-freie Analytics-Tools funktionieren auf technischer Ebene anders. Anstatt eine Kennung auf dem Gerät des Besuchers zu platzieren und sie bei jedem nachfolgenden Besuch zu lesen, verarbeiten sie serverseitig verfügbare Signale: die IP-Adresse, den User-Agent-String, den Referrer-Header und den Seitenpfad.
Aus diesen Signalen leitet das Tool Traffic-Quelle, Gerätetyp, Land und Sitzungsdaten ab, ohne etwas im Browser des Besuchers zu speichern. Kein Cookie wird gesetzt. Kein localStorage-Schlüssel wird geschrieben. Artikel 5(3) der ePrivacy-Richtlinie findet schlicht keine Anwendung.
Das ist kein regulatorisches Schlupfloch. Es ist die direkte Konsequenz, wie das Gesetz formuliert ist. Die Einwilligungspflicht ist an die Speicherung auf dem Endgerät geknüpft, nicht an Analytics als Kategorie.
Die DSGVO gilt trotzdem: Warum das kein Problem ist
Auch ohne Cookies sind IP-Adressen personenbezogene Daten nach DSGVO. Ein cookie-freies Analytics-Tool verarbeitet weiterhin personenbezogene Daten, wenn es eine Browser-Anfrage erhält. Die Frage ist, welche Rechtsgrundlage gilt.
Für Analytics-Tools, die:
- IP-Adressen sofort bei Eingang anonymisieren oder hashen
- keine individuellen Benutzerprofile erstellen
- keine Daten an Dritte weitergeben
- Daten ausschließlich innerhalb der EU speichern
- Daten nur für aggregierte Zielgruppenmessung verwenden
ist das berechtigte Interesse (Art. 6(1)(f) DSGVO) eine gültige Rechtsgrundlage. Die Verarbeitung ist verhältnismäßig, die Auswirkungen auf den Einzelnen sind minimal, und der Zweck ist legitim. Eine Einwilligung ist nicht erforderlich.
Dies ist die Rechtsgrundlage, die unter anderem von Plausible Analytics, Fathom, Simple Analytics und Sublim genutzt wird. Jeder hat Dokumentation veröffentlicht, die erklärt, wie ihre Verarbeitung unter berechtigtes Interesse fällt.
Die CNIL-Kriterien: Die detaillierteste EU-Richtlinie
Die CNIL (Frankreichs Datenschutzbehörde) hat spezifische Kriterien für Analytics-Tools veröffentlicht, die ohne Einwilligung betrieben werden können. Obwohl es sich um französische Aufsichtsbehörden-Richtlinien handelt, spiegeln sie den Ansatz mehrerer europäischer Datenschutzbehörden wider und sind die operationell präziseste verfügbare Richtlinie.
Um sich zu qualifizieren, muss ein Analytics-Tool:
Ein Tool, das alle fünf Kriterien erfüllt, kann in Frankreich unter berechtigtem Interesse ohne Cookie-Banner betrieben werden. Die entscheidende Frage an jeden Analytics-Anbieter lautet: Erfüllen Sie diese Kriterien und können Sie das dokumentieren?
Woran Google Analytics scheitert
GA4 erfüllt diese Kriterien aus mehreren Gründen nicht:
- Cookies: GA4 setzt First-Party-Cookies, die über Sitzungen hinaus bestehen:
_ga(eine eindeutige Browser-Kennung, 2 Jahre gespeichert),_gid(eine Sitzungskennung, 24 Stunden) und eine Mess-ID-Variante pro GA4-Property (ebenfalls 2 Jahre). Dies löst sofort die Einwilligungspflicht nach Artikel 5(3) aus. - Googles eigene Nutzung der Daten: Googles Nutzungsbedingungen erlauben Google, Analytics-Daten für die eigene Produktverbesserung zu nutzen. Die Daten werden mit einem Dritten geteilt, der eigene Verarbeitungszwecke hat – was das Tool unabhängig vom Hosting-Ort von den CNIL-Ausnahmekriterien disqualifiziert.
Das CNIL-Urteil besagt nicht „Analytics erfordert Einwilligung". Es besagt „Google Analytics erfordert Einwilligung, wegen der Art, wie Google Analytics funktioniert." Die Pflicht ist tool-spezifisch, nicht kategorieweit.
GA4 führt auch separate Datengenauigkeitsprobleme ein, die das Einwilligungsproblem verstärken: Explorations-Berichte werden ab 10 Millionen Ereignissen gesampelt, kleine Segmente werden durch Schwellenwerte stillschweigend entfernt, und ML-Modellierung füllt Lücken ohne sichtbaren Hinweis.
| Google Analytics 4 Vergleich ansehen → |
Sublim Analytics Kostenlos testen → |
|
|---|---|---|
| Einwilligungsbanner erforderlich | Ja | Nein |
| Datenvollständigkeit | ~60 % | 100 % |
| Daten in der EU gehostet | Nein | Ja |
| Datenweitergabe an Dritte | Keine |
Praktische Auswirkungen auf Ihr Analytics-Setup
Der Wechsel zu einem cookie-freien, in der EU gehosteten Analytics-Tool hat zwei direkte Konsequenzen:
Sie sehen 100 % Ihres Traffics. Es gibt keinen Einwilligungs-Funnel, durch den Besucher verloren gehen. Der Besucher, der ankommt, eine Seite liest und geht, wird gezählt. Der mobile Besucher, der einen Einwilligungs-Dialog abbricht, wird gezählt. Ihre Daten entsprechen Ihrer tatsächlichen Zielgruppe.
Ihre Website hat keinen Cookie-Banner für Analytics. Sie benötigen möglicherweise noch einen Banner für andere Zwecke (Werbe-Cookies, Marketing-Pixel, Drittanbieter-Einbettungen). Aber wenn Analytics der Hauptgrund für Ihren Banner ist, verschwindet dieser Grund.
Für Teams, die A/B-Tests oder Conversion-Optimierung durchführen, ist das erheblich relevant. Sie vergleichen Varianten anhand vollständiger Daten, nicht einer selbst-selektierten Teilmenge von Besuchern, die eingewilligt haben.
Für einen Vergleich qualifizierter Tools, siehe unseren Web-Analytics-Tools-Vergleich.
Wie Sie prüfen, ob Ihr aktuelles Tool qualifiziert
Stellen Sie bei jedem Analytics-Tool, das Sie evaluieren, diese fünf Fragen:
Wenn eine Antwort „Ja" lautet, benötigen Sie einen Einwilligungsbanner. Wenn alle Antworten „Nein" sind, benötigen Sie wahrscheinlich keinen. Prüfen Sie Ihre spezifische Jurisdiktion und die Richtlinien Ihrer nationalen Datenschutzbehörde, da die nationalen Umsetzungen der ePrivacy-Richtlinie variieren.
Tools wie Sublim, Plausible, Fathom und Simple Analytics sind darauf ausgelegt, alle fünf mit „Nein" zu beantworten. Ihre technische Architektur macht Cookie-Banner standardmäßig überflüssig.
Das Wichtigste in Ihrer Datenschutzerklärung
Ohne Cookie-Banner zu betreiben bedeutet nicht, ohne Transparenz zu betreiben. Auch unter berechtigtem Interesse verlangt die DSGVO, Nutzer über die Datenverarbeitung zu informieren. Ihre Datenschutzerklärung sollte beschreiben:
- Welche Daten erhoben werden (Seitenpfad, Referrer, Land, Gerätetyp)
- Die Rechtsgrundlage (berechtigtes Interesse für Zielgruppenmessung)
- Die Aufbewahrungsdauer
- Wie Nutzer widersprechen können
Die meisten cookie-freien Analytics-Anbieter veröffentlichen eine Datenverarbeitungsdokumentation, auf die Sie direkt verweisen können. Die Compliance-Oberfläche ist real, aber es ist eine Aktualisierung der Datenschutzerklärung, keine Consent-Management-Plattform.
