Besucher messen ohne Datenschutzrisiko: Analytics und Cookie-Banner in Österreich

Bevor wir über Cookie-Banner reden, stellen wir in Projekten eine andere Frage: Welche Entscheidung wollen Sie mit den Zahlen treffen? Wer wissen will, welche Seiten zu Anfragen führen, braucht andere Daten als jemand, der Werbekampagnen aussteuert. Und wer die Statistik ohnehin nie öffnet, braucht vielleicht gar keine. Von dieser Antwort hängt ab, ob Ihre Website einen Banner braucht und welches Werkzeug passt.

Dieser Beitrag beschreibt die Rechtslage in Österreich und wie wir sie umsetzen. Er ersetzt keine Rechtsberatung. Ein Werkzeug, das in jeder Konfiguration „DSGVO-konform“ ist, gibt es nicht. Entscheidend ist, wie es eingerichtet ist.

Wann eine Einwilligung nötig ist

Zwei Regelwerke greifen hier ineinander. Das erste ist § 165 Abs. 3 des Telekommunikationsgesetzes 2021 (TKG). Es setzt die europäische ePrivacy-Richtlinie um. Informationen am Gerät der Besucher zu speichern oder auszulesen ist danach nur mit Einwilligung erlaubt. Ausgenommen ist, was unbedingt nötig ist, damit ein ausdrücklich gewünschter Dienst funktioniert. Dazu zählen der Warenkorb im Shop, ein Login oder das Speichern der Cookie-Auswahl selbst. Statistik gehört nicht dazu.

Das zweite ist die DSGVO. Sie regelt alles, was nach dem Setzen oder Auslesen mit den Daten passiert. Die Datenschutzbehörde hat diese Trennung in einem Vortrag bei der Wirtschaftskammer 2022 anschaulich erklärt. Sie hat dort auch betont, dass eindeutige Kennungen in Cookies personenbezogene Daten sein können, selbst wenn kein Name dahintersteht.

Für die Einwilligung gelten die Regeln der DSGVO: freiwillig, informiert, durch eine aktive Handlung. Ein vorausgewähltes Häkchen reicht nicht, das hat der Europäische Gerichtshof 2019 im Fall Planet49 entschieden. In der Praxis heißt das: Zustimmen und Ablehnen stehen gleichwertig nebeneinander. Bis zur Zustimmung lädt kein Statistik-Skript.

Was die Datenschutzbehörde zu Google Analytics entschieden hat

Im Dezember 2021 hat die österreichische Datenschutzbehörde über eine Beschwerde der Datenschutzorganisation noyb entschieden. Anfang 2022 wurde der Bescheid bekannt. Ein österreichischer Website-Betreiber hatte mit Google Analytics personenbezogene Daten an Google in den USA übermittelt, darunter Nutzer-Kennungen, IP-Adresse und Browserdaten. Die abgeschlossenen Standardvertragsklauseln boten laut Behörde keinen ausreichenden Schutz, weil Google als US-Anbieter dem Zugriff der US-Geheimdienste unterliegt. Die Übermittlung verstieß damit gegen Art. 44 DSGVO.

Im Kern ging es um die Datenübermittlung in die USA, nicht um Cookies. Genau dort setzt die nächste Entwicklung an. Am 10. Juli 2023 hat die EU-Kommission einen Angemessenheitsbeschluss für den EU-US-Datenschutzrahmen erlassen, das Data Privacy Framework. Seither dürfen Daten an US-Unternehmen fließen, die sich nach diesem Rahmen zertifiziert haben. Eine Klage dagegen hat das Gericht der EU im September 2025 abgewiesen. Gegen das Urteil ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig.

Für Sie bedeutet das zweierlei. Die Übermittlung in die USA hat derzeit wieder eine Grundlage. Die beiden Vorgänger, Safe Harbor und Privacy Shield, hat der Europäische Gerichtshof aber gekippt. Wir planen deshalb so, dass eine Website auch dann weiterläuft, wenn der Rahmen fällt. Und die Einwilligungspflicht für Cookies hat der Datenschutzrahmen nie berührt.

Messen ohne Cookies: was geht und wo die Grenze liegt

Es gibt Werkzeuge, die ohne Cookies auskommen. Matomo lässt sich auf einem eigenen Server betreiben, mit abgeschalteten Cookies und gekürzten IP-Adressen. Dienste wie Plausible arbeiten nach eigenen Angaben von vornherein cookielos. Dabei verzichten Sie auf manches: Wiederkehrende Besucher lassen sich nicht über Tage hinweg erkennen. Für die Frage, welche Seiten gelesen werden und woher die Besucher kommen, reicht es.

Ganz ohne offene Frage ist auch das nicht. Matomo weist selbst darauf hin, dass in Ländern mit strengen ePrivacy-Regeln auch eine Messung per Skript ohne Cookies eine Einwilligung brauchen kann. Das Skript liest nämlich Informationen aus dem Browser. Frankreich hat für einfache Reichweitenmessung eine ausdrückliche Ausnahme geschaffen, Österreich nicht. Eine österreichische Entscheidung, die genau diese Konstellation klärt, kennen wir nicht. Wer gar kein Risiko eingehen will, wertet nur die Server-Protokolle aus oder holt auch dafür eine Einwilligung ein.

Was wir standardmäßig einrichten

Unsere Grundeinstellung ist bewusst sparsam. Ohne Wunsch des Kunden bauen wir keine Statistik ein. Schriften liegen auf dem eigenen Server. Videos und Karten laden erst nach einem Klick. So kommt eine typische Unternehmenswebsite ohne Banner aus, weil vor einer Aktion der Besucher nichts gesetzt oder geladen wird, das eine Einwilligung braucht.

Wer Zahlen möchte, bekommt Matomo auf einem Server in der EU, ohne Cookies, mit gekürzten IP-Adressen und begrenzter Aufbewahrungsdauer. Die Datenschutzerklärung nennt das Werkzeug und bietet eine Widerspruchsmöglichkeit. Google Analytics richten wir nur ein, wenn es einen konkreten Grund gibt. Das ist etwa der Fall, wenn ein Shop Google-Ads-Kampagnen auswertet. Dann gehört ein sauber konfigurierter Banner dazu.

Ein Nebeneffekt: Jedes externe Skript kostet Ladezeit. Warum das zählt, beschreiben wir im Beitrag über schnelle Websites.

Nur messen, was eine Entscheidung verändert

Mit Banner sehen Sie nur die Besucher, die zustimmen. Wie viele das sind, schwankt je nach Zielgruppe und Gestaltung. Die Zahlen zeigen dann einen Ausschnitt. Für eine Website, die Anfragen bringen soll, genügen meist wenige Kennzahlen: Besuche pro Seite, Herkunft der Besucher und abgeschickte Formulare. Diese drei lassen sich ohne Cookies messen. Alles darüber hinaus richten wir ein, wenn jemand die Daten wirklich nutzt.

Wie wir Websites nach dem Start betreuen und auswerten, steht unter Hosting & Betreuung.