Ein praktischer Leitfaden zu cookielose Analysen

Dieser Leitfaden erklärt cookielose Analysen praxisnah und mit Fokus auf datenschutzfreundliche Analytics-Entscheidungen. Cookielose Analysen messen, was auf einer Website passiert, ohne Tracking-Cookies oder dauerhafte Browser-Identifikatoren zu speichern. Anstatt ein Profil jedes einzelnen Besuchers zu erstellen, konzentriert es sich auf aggregierte Signale: Seitenaufrufe, Referrer, Kampagnen, Länder, Geräte, Ereignisse und Conversions.

Dieser Kompromiss ist der Punkt. Die meisten Teams müssen nicht wissen, dass „Browser 8912“ innerhalb von drei Wochen sechsmal aufgetreten ist. Sie müssen wissen, welche Seiten nützliche Besucher anziehen, welche Kampagnen konvertieren, woher der Traffic kommt und ob Formulare oder Trichter funktionieren.

Was Cookieless Analytics normalerweise verfolgt

Mit einem Analytics-Setup, bei dem der Datenschutz an erster Stelle steht, können immer noch zentrale Geschäftsfragen beantwortet werden:

• Welche Seiten erhalten Traffic?
• Welche Referrer und Kampagnen bringen Besucher?
• Welche Länder oder Regionen sind auf aggregierter Ebene vertreten?
• Welche Geräte und Browser benötigen Qualitätssicherungsmaßnahmen?
• Welche Ziele wurden erreicht?
• Welche Einstiegsseiten führen zu Conversions?
• Welcher Trichterschritt verliert die meisten Leute?

Dies geschieht, ohne dem Browser eine dauerhafte ID zuzuweisen. Abhängig vom Tool kann es eine kurzlebige Anforderungsverarbeitung, aggregierte Zähler, Ereignismetadaten und Bot-Filterung verwenden. Die wichtige Designfrage ist, ob das Tool eine stabile Kennung erstellt, die einen Besucher im Laufe der Zeit identifizieren kann. Wenn dies der Fall ist, ist es möglicherweise „Cookie-frei“, aber der Datenschutz steht nicht an erster Stelle.

Warum Cookie-Banner die Datenqualität beeinträchtigen

Cookie-Banner erzeugen Messlücken, da Nutzer Analysen ablehnen können. Das ist rechtlich angemessen, wenn eine Einwilligung erforderlich ist, bedeutet aber, dass Cookie-basierte Analysen oft nur die einwilligende Teilmenge messen. Die fehlende Teilmenge ist nicht zufällig. Datenschutzrelevante Benutzer, einige Regionen, einige Browser und einige Geräte sind möglicherweise unterrepräsentiert.

Ein Cookie-loses Setup kann diese Lücke schließen, wenn es so konfiguriert ist, dass in der jeweiligen Gerichtsbarkeit keine Einwilligung erforderlich ist. Auf die Details kommt es an. Die europäischen ePrivacy-Regeln konzentrieren sich auf die Speicherung oder den Zugriff auf Informationen auf dem Gerät des Benutzers und nicht nur auf Cookies. Der EDSA hat klargestellt, dass auch neuere Tracking-Techniken unter Artikel 5 Absatz 3 der ePrivacy-Richtlinie fallen können, nicht nur herkömmliche Cookies. Siehe den Hinweis des EDSA zu von ePrivacy abgedeckten Tracking-Techniken.

Die sichersten Analysetools ohne Cookies vermeiden Cookies, lokale Speicherung, standortübergreifende IDs, Fingerabdrücke und Ereignisnutzlasten mit vielen personenbezogenen Daten.

Cookieless bedeutet nicht automatisch konform

Ein Tool kann Cookies vermeiden und dennoch personenbezogene Daten sammeln. Beispiele:

• Speichern von Roh-IP-Adressen.
• Hashing von IP und Benutzeragent in eine wiederholbare Besucher-ID.
• Senden vollständiger URLs, die E-Mail-Adressen oder Token enthalten.
• Formularfeldwerte aufzeichnen.
• Kombination von Analysedaten mit CRM oder Werbeprofilen.
• Verwendung von Fingerabdrücken zur Erkennung wiederkehrender Browser.

Die Einhaltung von GDPR hängt vom vollständigen Verarbeitungsdesign ab: Zweck, Rechtsgrundlage, Datenminimierung, Aufbewahrung, Sicherheit, Anbieterrollen, internationale Übertragungen und Benutzerrechte. Die Einhaltung der Cookie-Gesetze hängt davon ab, ob das Tool Informationen auf dem Gerät speichert oder darauf zugreift und ob eine Ausnahme gilt.

Die Leitlinien der CNIL zur Zielgruppenmessung sind ein nützlicher Maßstab. Darin heißt es, dass die einwilligungsfreie Zielgruppenmessung strikt auf die eigenen Statistiken des Herausgebers beschränkt sein sollte, anonyme statistische Daten erzeugen und eine seitenübergreifende Nachverfolgung oder Wiederverwendung durch den Anbieter vermeiden sollte. Siehe CNILs Leitfaden zur Befreiung von der Zuschauermessung.

Was du aufgibst

Cookielose Analysen sind keine Zauberei. Normalerweise werden Sie aufgeben:

• Langfristige Benutzerhistorien.
• Geräteübergreifende Attribution.
• Remarketing-Zielgruppen.
• Individuelle Besucherzeitpläne.
• Kohortenanalyse auf Benutzerebene.
• Präzise Zählung wiederkehrender Besucher.

Für viele Websites ist das ein gutes Geschäft. Wenn Sie eine Content-Site, eine Agentur-Site, eine Marketing-Site, ein Dokumentationsportal oder ein datenschutzbewusstes Produkt betreiben, reichen aggregierte Erkenntnisse aus, um Seiten und Kampagnen zu verbessern.

Wenn Ihr Unternehmen auf Produktanalysen auf Benutzerebene innerhalb einer authentifizierten App angewiesen ist, benötigen Sie möglicherweise dennoch Ereignisanalysen auf Kontoebene. Halten Sie dies von der Analyse öffentlicher Websites getrennt und wenden Sie eine strengere Rechtsgrundlage, Datenschutzhinweise, Aufbewahrungsrichtlinien und Zugriffskontrollen an.

Checkliste für die Umsetzung

Überprüfen Sie vor dem Wechsel die folgenden Punkte:

1. Entfernen Sie alte Tracking-Skripte und Tag-Manager-Tags, die noch Cookies setzen.
2. Überprüfen Sie die Browser-Entwicklungstools auf Cookies, lokalen Speicher und Netzwerkaufrufe.
3. Entfernen Sie personenbezogene Daten aus URLs und Ereignisnamen.
4. Definieren Sie Ziele für Formulare, Anmeldungen, Käufe, Downloads und Tastenklicks.
5. Standardisieren Sie die Benennung von UTM vor dem Start der Kampagnen.
6. Internen Datenverkehr und bekannte Bots ausschließen.
7. Aktualisieren Sie Ihre Datenschutzrichtlinie, um den neuen Messansatz zu beschreiben.
8. Entscheiden Sie, ob für andere Tools noch ein Cookie-Banner benötigt wird.

Lassen Sie Google Analytics oder Werbepixel nicht „nur für den Fall“ installiert. Eine datenschutzorientierte Analytics-Migration funktioniert nur, wenn die alte Tracking-Oberfläche tatsächlich entfernt wird.

Wenn Cookieless Analytics am besten funktioniert

Die Cookie-lose Analyse ist am wirkungsvollsten, wenn die von Ihnen benötigte Entscheidung aggregiert ist:

• Welche Blog-Themen ziehen qualifizierten Traffic an?
• Welche Landingpage konvertiert besser?
• Welcher Marketingpartner sendet echte Besuche?
• Hat die neue Preisseite den Drop-off reduziert?
• Welcher Browser hat einen defekten Checkout-Schritt?

Es ist schwächer, wenn die Frage Identität erfordert:

• Welche genaue Person hat sich diese Seite angesehen, bevor sie mit dem Vertrieb gesprochen hat?
• Welche Benutzer sollten in eine Retargeting-Zielgruppe aufgenommen werden?
• Wie sieht der geräteübergreifende 90-Tage-Pfad auf Benutzerebene aus?

Die Antwort, bei der der Datenschutz an erster Stelle steht, besteht nicht darin, Cookies ohne Cookies zu invasiven Aufgaben zu zwingen. Nutzen Sie für die Entscheidung möglichst wenig Daten. Bei der Messung öffentlicher Websites handelt es sich in der Regel um aggregierte Daten.

Fragen, die Sie einem cookielosen Anbieter stellen sollten

Bitten Sie die Anbieter, konkret zu sein. „Cookieless“ sollte nicht das Ende des Gesprächs sein.

• Speichern Sie rohe IP-Adressen?
• Hashen Sie die IP-Adresse und den Benutzeragenten in eine Besucher-ID?
• Nutzen Sie Browser-Fingerprinting?
• Können Kunden versehentlich persönliche Event-Eigenschaften versenden?
• Wo werden Daten gehostet?
• Verwenden Sie Daten für Ihre eigene Analyse, Werbung oder Schulung?
• Können Kunden Daten exportieren und löschen?

Ein guter Anbieter kann diese klar beantworten. Wenn es sich bei der Antwort hauptsächlich um Marketingsprache handelt, suchen Sie weiter.

Abschließende Cookieless Analytics-Prüfung

Bevor Sie ein Analytics-Setup ohne Cookies aufrufen, testen Sie, was der Browser und das Netzwerk tatsächlich anzeigen:

• Keine Analyse-Cookies, LocalStorage-Kennungen oder Fingerabdruck-Besucher-IDs.
• Keine Werbepixel oder Tag-Manager-Reste, die im Hintergrund abfeuern.
• Referrer, UTMs, Ziele und Trichter beantworten immer noch die Kernfragen des Geschäfts.
• Rohe Anfragedaten werden gekürzt oder verworfen, bevor sie in ein Besucherprofil umgewandelt werden.
• Die Datenschutzerklärung entspricht der tatsächlichen Umsetzung.

Die Analyse ohne Cookies ist am wirkungsvollsten, wenn die technische Einrichtung und das Berichtsversprechen dasselbe sind: nützliche aggregierte Messungen, ohne die Identität auf einem anderen Weg wiederherzustellen.