Matomo ohne Cookies: Was technisch dazugehört

Matomo kann ohne Cookies messen. Im Tracking-Code reichen dafür zwei zusätzliche Aufrufe:

_paq.push(['requireCookieConsent']);
_paq.push(['disableBrowserFeatureDetection']);

Mit requireCookieConsent setzt Matomo keine Cookies, solange keine Zustimmung vorliegt. Das ist flexibler als das bekanntere disableCookies: Stimmt ein Besucher später zu, etwa über ein Consent-Tool, kann Matomo ab dann Cookies nutzen, ohne dass Sie den Tracking-Code umbauen. Wer nie Cookies setzen will, kann bei disableCookies bleiben. Der zweite Aufruf wird oft vergessen, ist aber mindestens genauso wichtig, wenn Sie ohne Einwilligung messen möchten. Warum, steht weiter unten. Außerdem sollten Sie wissen, was sich in den Berichten ändert, und die übrigen Datenschutz-Einstellungen von Matomo gleich mit prüfen.

Was sich in den Berichten ändert

Ohne Cookie kann Matomo wiederkehrende Besucher nicht mehr über eine gespeicherte Kennung erkennen. Besuche werden stattdessen über technische Merkmale zusammengefasst. Das hat Folgen:

• Kennzahlen wie „wiederkehrende Besucher“ werden ungenauer.
• Besuche über mehrere Tage lassen sich schlechter einer Person zuordnen.
• Kampagnen-Attribution über längere Zeiträume wird schwächer.

Für die meisten Websites sind Seitenaufrufe, Einstiege, Kampagnen und Ziele innerhalb eines Besuchs weiterhin gut auswertbar.

Cookielos heißt nicht automatisch einwilligungsfrei

Ob Sie eine Einwilligung brauchen, entscheidet sich in Deutschland zuerst an § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher TTDSG). Die Vorschrift gilt nicht nur für Cookies. Einwilligungspflichtig ist grundsätzlich jedes Speichern von Informationen auf dem Endgerät und jeder Zugriff auf Informationen, die dort bereits vorhanden sind, es sei denn, er ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich. Webanalyse gilt dabei in aller Regel nicht als unbedingt erforderlich.

Das betrifft auch das Auslesen von Geräteeigenschaften. Matomo ermittelt standardmäßig über die sogenannte Browser-Feature-Erkennung zum Beispiel die Bildschirmauflösung und unterstützte Browser-Funktionen und fragt in neueren Versionen zusätzliche Geräteinformationen über Client Hints ab. Das ist ein Zugriff auf Informationen im Endgerät. Wer auf eine Einwilligung verzichten möchte, sollte die Erkennung deshalb abschalten:

_paq.push(['disableBrowserFeatureDetection']);

In den Berichten fehlen dann Angaben wie Bildschirmauflösung und Browser-Plugins. Browser, Betriebssystem und Gerätetyp leitet Matomo weiterhin aus der Kennung (User-Agent) ab, die der Browser bei jedem Seitenaufruf ohnehin mitschickt. Prüfen Sie außerdem, ob Plugins, eigene Skripte oder der Tag Manager zusätzlich etwas im Browser speichern oder auslesen, etwa im lokalen Speicher.

Ist § 25 TDDDG erfüllt, ist die Frage noch nicht ganz beantwortet: Für die anschließende Verarbeitung personenbezogener Daten braucht es eine Rechtsgrundlage nach der DSGVO, in der Regel das berechtigte Interesse. Dazu passen eine gekürzte IP-Adresse, kurze Aufbewahrungsfristen und ein einfacher Weg zum Widerspruch.

Und mit Einwilligung?

Wer ohnehin ein Consent-Tool einsetzt, kann Matomo nach Einwilligung auch mit Cookies betreiben. Genau dafür ist requireCookieConsent da: Ohne Einwilligung misst Matomo cookielos und ohne Feature-Erkennung, nach Einwilligung ruft das Consent-Tool rememberCookieConsentGiven auf, und Matomo setzt ab dann Cookies. So bleiben die Grundzahlen vollständig, und wer zustimmt, wird über mehrere Besuche wiedererkannt.

Die Einstellungen, die dazugehören

1. Cookies erst nach Zustimmung, Feature-Erkennung aus. requireCookieConsent und disableBrowserFeatureDetection, wie oben beschrieben.
2. IP-Adressen kürzen. In den Datenschutz-Einstellungen von Matomo lässt sich festlegen, wie viele Bytes der IP entfernt werden.
3. Alte Rohdaten löschen. Matomo kann Rohdaten nach einer festen Frist automatisch entfernen. Die aggregierten Berichte bleiben erhalten.
4. URL-Parameter bereinigen. Parameter mit personenbezogenen Daten, etwa E-Mail-Adressen in Newsletter-Links, gehören ausgeschlossen.
5. Widerspruch anbieten. Matomo bringt einen Opt-out mit, der sich in die Datenschutzerklärung einbinden lässt.
6. Dokumentieren. Halten Sie fest, was eingestellt ist. Das hilft Ihrer Datenschutzberatung und der IT.

Technik ist nicht Recht

Dieser Artikel beschreibt die technische Seite. Ob Ihr Setup ohne Einwilligung zulässig ist, beantwortet Ihre Datenschutz- oder Rechtsberatung. Ich kümmere mich um eine saubere Umsetzung und eine Dokumentation, mit der diese Bewertung möglich ist.

Wie diese Website selbst misst, sehen Sie auf der Seite Transparenz. Wenn Sie das für Ihre eigene Website angehen wollen, finden Sie mehr unter Cookieless & Datenschutz-Einstellungen.