Cookieless Tracking und DSGVO

Was „cookieless“ wirklich heißt

„Cookieless“ beschreibt nur, dass keine Cookies gesetzt werden. Ob ein Tracking datenschutzkonform ist, folgt daraus nicht. Das hängt davon ab, welche Daten verarbeitet werden und wie auf das Endgerät zugegriffen wird. Dieser Artikel ist ein Überblick und keine Rechtsberatung.

Ein verbreiteter Irrtum lautet, ohne Cookies brauche man keine Einwilligung und damit auch keinen Banner. Das stimmt so nicht. Die DSGVO schützt personenbezogene Daten unabhängig von der Technik, und der Zugriff auf das Endgerät unterliegt eigenen Regeln. Cookies sind nur eine von mehreren Techniken, mit denen sich ein Besucher wiedererkennen lässt, und das Wort „cookieless“ sagt nichts darüber, welche der anderen im Einsatz ist.

Rechtliche Einordnung

§ 25 TDDDG erfasst jeden Zugriff auf Informationen im Endgerät, nicht nur Cookies. Dazu zählen auch lokaler Speicher und das Auslesen von Geräteeigenschaften wie beim Fingerprinting. Für nicht erforderliche Zugriffe dieser Art ist grundsätzlich eine Einwilligung nötig. Die Vorschrift fragt also nicht nach dem Werkzeug, sondern danach, ob etwas im Endgerät gespeichert oder aus ihm ausgelesen wird und ob das technisch erforderlich ist.

Fingerprinting identifiziert Besucher anhand von Merkmalen wie Browser, Bildschirmgröße oder installierten Schriften. Es setzt keine Cookies, liest aber Informationen aus dem Gerät aus. „Cookieless“ ersetzt deshalb nicht automatisch die Einwilligung. Ein Tool kann nach außen mit „ohne Cookies“ werben und dennoch lokalen Speicher nutzen oder Merkmale auslesen. Was tatsächlich passiert, steht in der Dokumentation des Anbieters, und du erkennst es im Browser, wenn du den Speicher der Seite und die Netzwerkanfragen ansiehst.

Daneben bleibt die zweite Ebene: die Frage, ob personenbezogene Daten verarbeitet werden. Auch wenn nichts im Endgerät gespeichert wird, können Daten wie eine IP-Adresse in die Verarbeitung gehen. Ob und wie das rechtlich zu bewerten ist, hängt vom Einzelfall ab.

• Prüfen, ob das Tool lokalen Speicher nutzt.
• Prüfen, ob Fingerprinting oder ähnliche Techniken im Einsatz sind.
• Die Einwilligung vor dem Zugriff einholen, wenn er nicht technisch erforderlich ist.
• Das Ergebnis dokumentieren, damit du es später belegen kannst.

Passend dazu: Tracking ohne Einwilligung: was geht und was nicht

Was echtes cookieloses Messen kann

Echte cookielose Ansätze arbeiten mit gekürzten oder verworfenen Daten und zählen ohne Wiedererkennung. Das heißt: Ein Besuch wird als einzelner Besuch gezählt, ohne dass er sich mit einem früheren Besuch derselben Person verbinden lässt. Werkzeuge wie Matomo bieten dafür einen Modus ohne Cookies. Er eignet sich gut für reine Reichweitenstatistik, also für Fragen wie: Wie viele Besuche hatte die Seite, welche Seiten wurden aufgerufen, woher kamen die Besucher?

Ein Beispiel: Ein Handwerksbetrieb mit Kontaktformular will wissen, welche Leistungsseiten gelesen werden und wie viele Besucher über die Suche kommen. Eine cookielose Zählung reicht dafür. Die Frage nach der Einwilligung stellt sich trotzdem, und die Antwort hängt davon ab, was das Tool im Gerät tut.

Die Grenzen: Wege, Kampagnen, Werbung

Die Grenzen sind die Kehrseite. Ohne Wiedererkennung gibt es keine Nutzerwege über mehrere Besuche. Du siehst nicht, ob jemand erst anonym liest, eine Woche später wiederkommt und dann anfragt. Jeder Besuch steht für sich.

Auch Werbe-Zuordnung funktioniert kaum. Wer Kampagnen über mehrere Besuche hinweg bewerten will, etwa vom Klick auf eine Anzeige bis zur Bestellung Tage später, kommt mit diesem Modus nicht weit. Dasselbe gilt für Remarketing: Es braucht die Wiedererkennung, die cookielose Zählung bewusst weglässt. Ein kleiner Shop, der Google Ads schaltet und Bestellungen den Anzeigen zuordnen will, braucht deshalb ein anderes Setup als die reine Reichweitenmessung.

Die Entscheidung ist am Ende eine Abwägung: Je weniger du wiedererkennst, desto weniger kannst du auswerten, und desto schlanker ist die Verarbeitung. Lege zuerst fest, welche Fragen deine Zahlen beantworten sollen, und wähle erst dann das Verfahren.

Drei Missverständnisse

Erstens: „Ohne Cookies ist es anonym.“ Das folgt nicht. Ob Daten anonym sind, hängt davon ab, ob sich ein Personenbezug herstellen lässt, und nicht davon, ob ein Cookie gesetzt wurde. Eine gekürzte oder verworfene IP-Adresse kann die Lage verändern, das gilt aber nur für das jeweilige Werkzeug und seine Einstellung.

Zweitens: „Wir messen auf der eigenen Domain, also brauchen wir nichts.“ Der Speicherort einer Auswertung ändert nichts an der Frage, ob im Endgerät etwas gespeichert oder ausgelesen wird. Das gilt auch dann, wenn du das Werkzeug selbst hostest. Selbst gehostet bedeutet, dass du die Kontrolle über die Daten hast, aber nicht automatisch, dass keine Einwilligung nötig ist.

Drittens: „Cookieless ist die Lösung für alles.“ Es löst eine Teilfrage, nämlich die der Wiedererkennung über mehrere Besuche, und schafft dafür andere, nämlich fehlende Nutzerwege und fehlende Kampagnenzuordnung. Wer beides braucht, muss mit dem Banner arbeiten und das Tracking sauber an die Einwilligung koppeln.

Einwilligung und Consent Mode

Auch wer cookielos misst, sollte klären, ob die Einwilligung nötig ist. Bei Google-Diensten kann der Consent Mode v2 den Einwilligungsstatus an die Tags melden. Im erweiterten Modus (Advanced) senden Tags auch ohne Zustimmung cookielose Signale, aus denen Google modelliert. Wie das rechtlich zu bewerten ist, wird unterschiedlich gesehen. Der Consent Mode ersetzt den Banner nicht, er gibt nur dessen Ergebnis weiter.

Das ist wichtig, weil „cookielose Signale“ leicht wie ein Freibrief klingen. Technisch sind sie eine Betriebsart der Google-Tags, rechtlich bleibt die Einordnung deine Aufgabe. Dieser Artikel ist keine Rechtsberatung. Lass die Einordnung deines Setups bei Bedarf rechtlich prüfen.

So gehst du vor

Mach zuerst eine Bestandsaufnahme: Welche Dienste laufen auf der Seite, was speichern sie im Endgerät, was lesen sie aus? Entscheide dann, was du messen musst. Reicht Reichweite, kann ein cookielos arbeitendes Werkzeug genügen, vorausgesetzt, du hast geprüft, was es im Gerät tut. Brauchst du Kampagnenzuordnung, planst du die Einwilligung ein und testest das Setup mit und ohne Zustimmung.

Trackum richtet Tracking ein (Tag Manager, GA4, Google Ads, Meta Pixel, Consent Mode v2), mit festen Preisen vorab und getestet mit und ohne Einwilligung.