Analytics rechtssicher einsetzen.

Die Einwilligung: ohne Ja keine Messung

Analyse-Tools, die Cookies setzen oder Informationen vom Endgerät auslesen, dürfen erst nach ausdrücklicher Zustimmung starten. Ein Hinweis im Kleingedruckten genügt dafür nicht, ebenso wenig ein vorausgewähltes Häkchen.

Daraus folgt unmittelbar: Wer nicht zustimmt, taucht in deiner Statistik nicht auf. Das ist kein Messfehler, sondern gewollt. Wie groß dieser Anteil ist, hängt stark davon ab, wie dein Einwilligungsbanner gestaltet ist — und genau hier liegt einer der Gründe, warum deine Zahlen von unseren abweichen können.

Opt-in oder Opt-out — was gilt denn nun?

Diese beiden Begriffe werden ständig verwechselt, und das hat einen guten Grund: Früher galt tatsächlich das Gegenteil von heute.

Opt-out: der alte Weg

Die Messung läuft von Anfang an, und wer sie nicht möchte, muss aktiv widersprechen — typischerweise über einen Link in der Datenschutzerklärung. Alle Besucher werden also zunächst erfasst. Bis etwa 2018 war das die gängige Praxis, und unzählige Anleitungen im Netz beschreiben bis heute genau dieses Vorgehen.

Opt-in: was heute verlangt wird

Seit der Datenschutz-Grundverordnung und dem Telekommunikation-Telemedien-Datenschutzgesetz gilt die umgekehrte Reihenfolge: Erst die Zustimmung, dann die Messung. Analyse-Cookies zählen nicht zu den technisch notwendigen, deshalb braucht ihr Einsatz eine vorherige Einwilligung. Ohne Klick auf „Akzeptieren“ darf schlicht nichts erhoben werden.

Wozu dann noch der Opt-out-Link?

Er ist nicht überflüssig geworden, hat aber eine andere Aufgabe bekommen. Eine einmal erteilte Einwilligung muss sich jederzeit widerrufen lassen, und zwar genauso einfach, wie sie gegeben wurde. Der Link ist eine Möglichkeit, diesen Widerruf umzusetzen — als Ergänzung zum Einwilligungsbanner, nicht als Ersatz dafür.

Die vier Punkte, die zusammengehören

1. Datenschutzerklärung anpassen

Sie muss benennen, welches Tool im Einsatz ist, welche Daten erhoben werden, zu welchem Zweck, wie lange sie gespeichert bleiben und welche Rechte deine Besucher haben. Ein Standardtext ohne Bezug zu deiner tatsächlichen Einbindung reicht nicht.

2. Auftragsverarbeitung vereinbaren

Weil ein externer Dienst die Daten deiner Besucher in deinem Auftrag verarbeitet, verlangt die DSGVO in Artikel 28 einen Vertrag darüber. Die großen Anbieter stellen ihn digital im Konto bereit — abschließen musst du ihn allerdings selbst, automatisch passiert das nicht.

3. IP-Adressen kürzen

Die Anonymisierungsfunktion kürzt die IP-Adresse vor der Speicherung. Damit lässt sich der einzelne Anschluss nicht mehr eindeutig zuordnen. Diese Einstellung gehört zum Mindeststandard und wird beim Einbinden des Zählcodes gesetzt.

4. Widerspruch ermöglichen — auch mobil

Besucher müssen der Messung widersprechen können, und zwar genauso einfach, wie sie zugestimmt haben. Die klassische Lösung setzt dafür ein Cookie im Browser — und genau das ist die Stelle, an der viele scheitern: Auf Mobilgeräten greift dieser Weg oft nicht zuverlässig. Die Widerspruchsmöglichkeit muss dort über das Einwilligungsbanner selbst umgesetzt werden.

Zum Mitnehmen: der Zählcode mit Widerrufsfunktion

Dieser Baustein setzt den Widerruf um — er kommt zusätzlich zum Einwilligungsbanner, nicht an dessen Stelle. Damit der Link funktioniert, muss das Skript vor dem eigentlichen Analytics-Code stehen. Ersetze G-XXXXXXXXXX durch deine eigene Mess-ID und setze den Block in den Kopfbereich deiner Website.

<script>
  var gaProperty = 'G-XXXXXXXXXX';
  var disableStr = 'ga-disable-' + gaProperty;

  if (document.cookie.indexOf(disableStr + '=true') > -1) {
    window[disableStr] = true;
  }

  function gaOptout() {
    document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
    window[disableStr] = true;
    alert('Google Analytics wurde deaktiviert.');
  }
</script>

<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX"></script>
<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('js', new Date());
  gtag('config', 'G-XXXXXXXXXX');
</script>

Zum Mitnehmen: der Passus für deine Datenschutzerklärung

Ein Opt-Out-Link in der Datenschutzerklärung hat sich als Standard etabliert: ein Klick, und die Datenerhebung ist gesperrt. Diesen Absatz kannst du übernehmen — er greift auf die Funktion aus dem Code oben zu.

<a href="javascript:gaOptout()">diesen Link</a>

Was das für deine Kampagnenzahlen bedeutet

Je sauberer du den Datenschutz umsetzt, desto größer wird tendenziell die Lücke zwischen deiner Messung und unserer Statistik. Das ist kein Widerspruch, sondern die logische Folge: Wir zählen die Vermittlung, du zählst die eingewilligten Seitenaufrufe.

Wenn du wissen willst, wie viele Besucher wirklich ankommen, hilft ein Blick in die serverseitige Statistik deines Hosters. Sie arbeitet ohne JavaScript und ohne Einwilligung, weil sie keine Profile bildet — und liefert deshalb eine dritte, oft aufschlussreiche Zahl. Mehr dazu steht auf unserer Seite zur Abweichung zwischen den Statistiken.