Matomo ohne Cookie-Banner — worauf es wirklich ankommt

„Matomo braucht keinen Cookie-Banner" ist eine der Aussagen, die halb stimmen und deshalb besonders oft falsch angewendet werden.

Richtig ist: Matomo lässt sich so betreiben, dass die Einwilligung entfällt. Falsch ist die Begründung, die meistens mitgeliefert wird.

Vorweg: Das hier ist keine Rechtsberatung. Es ist eine Beschreibung dessen, woran die Frage technisch hängt — die Bewertung für deinen Fall gehört in fachkundige Hände.

Der Denkfehler#

Die verbreitete Argumentation lautet: keine Cookies, also kein Zustimmungsbanner.

Maßgeblich ist aber § 25 TDDDG (bis Mai 2024 § 25 TTDSG), und der spricht nicht von Cookies. Er verlangt eine Einwilligung für das Speichern von Informationen auf dem Endgerät — und für den Zugriff auf dort bereits gespeicherte Informationen.

Der zweite Halbsatz ist der, um den es geht. Ein Analyse-Skript, das Bildschirmauflösung, Farbtiefe, installierte Schriften oder Zeitzone ausliest, greift auf Informationen im Gerät zu. Ob dabei ein Cookie gesetzt wird, ist für diese Vorschrift unerheblich.

Cookielos ist eine notwendige, keine hinreichende Bedingung.

Was tatsächlich zusammenkommen muss#

Nach der Linie der deutschen Aufsichtsbehörden ist eine einwilligungsfreie Reichweitenmessung denkbar, wenn sie rein intern und tatsächlich anonym bleibt. Praktisch heißt das:

• Cookies aus. In Matomo disableCookies(). Ohne Cookie kein Speichervorgang im Sinne des ersten Halbsatzes.
• IP-Adressen kürzen. Mindestens zwei Byte, besser drei. Das ist eine Einstellung, keine Auslegungsfrage.
• Kein Wiedererkennen über Tage hinweg. Matomo bildet ohne Cookies einen Besucherwert aus anonymisierter IP, User-Agent und Sprache — mit einem täglich wechselnden Zufallswert. Genau dieser Wechsel ist es, der aus dem Merkmal keine dauerhafte Kennung macht.
• Keine Weitergabe an Dritte. Auch nicht an einen Dienstleister, der die Daten für eigene Zwecke nutzen darf.
• Keine seitenübergreifende Verfolgung. Ein Matomo, das mehrere Domains zusammenführt, ist nicht mehr „rein intern".
• Widerspruchsmöglichkeit. Und ein Hinweis in der Datenschutzerklärung, der beschreibt, was tatsächlich passiert.

Fällt eine dieser Bedingungen weg, ist man wieder bei der Einwilligung.

Selbst betrieben oder in der Cloud#

Ein Unterschied, der in Anleitungen regelmäßig untergeht.

Bei selbst betriebenem Matomo liegen die Daten auf deinem Server, es gibt keinen Dritten, und du kontrollierst jede Einstellung.

Bei der gehosteten Variante kommt ein Dienstleister hinzu. Das ist lösbar — Auftragsverarbeitung, EU-Standort —, aber es ist ein zusätzlicher Prüfschritt, und die Einschätzung „einwilligungsfrei" trägt hier nicht automatisch.

Der Test, den kaum jemand macht#

Statt zu glauben, was die Einstellungsseite anzeigt: nachsehen, was der Browser tut.

1. Entwicklerwerkzeuge öffnen, Reiter Anwendung, Cookies und lokalen Speicher leeren.
2. Seite laden.
3. Nachsehen: Wurde ein Cookie gesetzt? Steht etwas im Local Storage?
4. Im Netzwerk-Reiter die Anfrage an Matomo öffnen und die Parameter ansehen. Dort steht, was tatsächlich übertragen wird — Auflösung, Plugins, Zeitzone.

Punkt 4 ist der eigentliche Erkenntnisgewinn. Was in der Anfrage steht, hat das Skript vom Gerät geholt.

Für einen Überblick, welche Dienste eine Seite von außen sichtbar lädt, gibt es den Datenschutz-Check; die weiteren Punkte vor einem Umbau stehen in Datenschutz-Check vor dem Relaunch.

Was du davon hast#

Der Nutzen ist größer, als „ein Banner weniger" klingt.

Vollständigere Zahlen. Bei einem Banner mit echter Ablehnmöglichkeit stimmt ein erheblicher Teil nicht zu — und fehlt in jeder Auswertung. Eine einwilligungsfreie Messung erfasst alle. Genau daher stammt übrigens ein Teil der Abweichung zwischen Analyse und Search Console, siehe Google Analytics mit der Search Console verbinden.

Schnellere Seiten. Einwilligungsbanner laden spät, verschieben Inhalt und schlagen auf CLS durch — einer der häufigsten Gründe, warum Labormessung und Felddaten auseinanderlaufen, siehe Core Web Vitals testen.

Weniger, worüber man streiten kann. Was gar nicht erhoben wird, muss auch nicht verteidigt werden.

Der ehrliche Schluss#

Die Rechtslage ist an dieser Stelle nicht abschließend geklärt, und die Bewertungen der Aufsichtsbehörden sind strenger, als die meisten Anleitungen es darstellen. Wer die sechs Punkte oben erfüllt, steht auf vertretbarem Grund — sicher ist etwas anderes.

Wenn an der Frage bei dir mehr hängt als Bequemlichkeit, lass sie prüfen, statt sie hier zu entscheiden.