Cookieless Tracking und DSGVO: Was wirklich einwilligungsfrei ist

Cookieloses Tracking ist nicht automatisch einwilligungsfrei. Ein Banner entfällt nur, wenn weder Informationen im Endgerät gespeichert noch ausgelesen werden (§ 25 TDDDG). Davon unabhängig gilt für die Verarbeitung der IP-Adresse die DSGVO. Beide Prüfungen müssen bestanden sein, bevor man ohne Einwilligung messen darf.

Zwei Prüfungen, nicht eine

Der häufigste Denkfehler lautet: Kein Cookie, also kein Problem. Tatsächlich laufen zwei Prüfungen nebeneinander.

• Endgerätezugriff (§ 25 TDDDG): Wird etwas im Browser abgelegt oder ausgelesen? Das umfasst Cookies, localStorage, sessionStorage, IndexedDB und auch das Auslesen von Geräteeigenschaften zur Wiedererkennung. Der Europäische Datenschutzausschuss hat in seinen Leitlinien 2/2023 klargestellt, dass der Anwendungsbereich technologieneutral weit gefasst ist.
• Datenverarbeitung (DSGVO): Werden personenbezogene Daten verarbeitet, etwa die IP-Adresse? Dann braucht es eine Rechtsgrundlage, siehe Besucheridentifizierung nach DSGVO.

Der Gesetzestext von § 25 TDDDG nimmt Zugriffe aus, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Reichweitenmessung und Vertriebsanalyse gelten nach üblicher Auffassung nicht als unbedingt erforderlich.

Kernaussage: „Cookielos" beschreibt eine Technik, nicht eine Rechtslage. Maßgeblich ist, ob etwas im Endgerät gespeichert oder von dort ausgelesen wird.

Welche Verfahren in welche Kategorie fallen

Verfahren	Zugriff aufs Endgerät?	§ 25 TDDDG	DSGVO-Grundlage nötig
Klassisches Analytics-Cookie	Ja, Speicherung	Einwilligung	Ja
Eindeutige ID im localStorage	Ja, Speicherung	Einwilligung	Ja
Browser-Fingerprinting	Ja, Auslesen	Einwilligung	Ja
Reine Server-Log-Auswertung	Nein	Nicht einschlägig	Ja, meist berechtigtes Interesse
Seitenaufruf-Ping ohne Kennung, Tagesrotation serverseitig	Je nach Umsetzung nein	Umsetzung prüfen	Ja
IP-zu-Firma-Auflösung serverseitig	Nein	Nicht einschlägig	Ja

Interessant ist die vorletzte Zeile: Hier hängt viel von der konkreten Implementierung ab. Ein JavaScript-Skript, das einen Seitenaufruf sendet, liest üblicherweise bereits Informationen wie URL, Referrer und Bildschirmgröße aus. Ob das schon unter § 25 fällt, wird von Aufsichtsbehörden unterschiedlich bewertet. Lassen Sie die Konstruktion prüfen, statt auf Marketingaussagen zu vertrauen.

Was Anbieter selbst dazu sagen

BusinessMCP beschreibt sein Tracking als cookielos, schränkt aber in der Anleitung zu Visitor Identification und GDPR ein: Der Tracker speichere eine First-Party-Kennung, weshalb Seiten in EU und UK ihn hinter Einwilligung schalten sollten, und ein persistenter Identifier im localStorage sei faktisch ein Cookie. Diese Ehrlichkeit ist ein gutes Kriterium bei der Anbieterwahl: Seriöse Anbieter benennen, wo ihre Technik an § 25 stößt. Wer im Vergleich der Datenschutzaussagen genauer hinsehen will, findet auf der Seite Cookielose Analytics-Tools im Vergleich einen Überblick über die Alternativen, ebenfalls als Herstellerdarstellung.

So bauen Sie ein einwilligungsarmes Setup

Wenn Ihr Ziel ist, möglichst ohne Banner auszukommen, gehen Sie so vor:

1. Serverseitig auflösen: Die IP-Adresse wird im Backend zu einer Firma aufgelöst, ohne dass etwas im Browser gespeichert wird.
2. Keine persistente Kennung: Keine ID über Sitzungen hinweg, keine Wiedererkennung per Fingerprint.
3. Kurze Aufbewahrung: Rohadresse nach der Auflösung verwerfen.
4. Zweck begrenzen: Nur Firmenebene, keine Verknüpfung mit Personenprofilen.
5. Dokumentieren: Technische Beschreibung, Abwägung, Datenschutzerklärung.

Der Preis dafür ist Funktionsumfang: Ohne Kennung im Browser lassen sich wiederkehrende Besucher schlechter erkennen, und die Verknüpfung mit späteren Formularausfüllungen fällt schwächer aus. Ob das akzeptabel ist, hängt davon ab, wie wichtig Ihnen Wiederkehr-Signale sind, mehr dazu im Beitrag zum Lead Scoring mit Website-Besuchern.

Banner ja oder nein: eine Entscheidungshilfe

• Setzt Ihr Tool Cookies oder Speichereinträge? Dann Einwilligung einholen.
• Wird gefingerprintet? Dann Einwilligung einholen.
• Wird ausschließlich serverseitig verarbeitet? Dann entfällt § 25, die DSGVO-Prüfung bleibt.
• Sind Sie unsicher? Behandeln Sie das Tool wie einwilligungspflichtig, bis das Gegenteil geklärt ist.

Dieser letzte Punkt klingt streng, spart aber Ärger. Die Kosten einer zu vorsichtigen Einstellung sind einige Prozent weniger Daten, die Kosten einer zu laxen Einstellung sind Bußgelder und Vertrauensverlust.

Typische Fehler

• Ein Anbieter wirbt mit „keine Cookies", aber das Skript legt Einträge im localStorage ab.
• Das Banner ist installiert, aber das Tool lädt schon vor der Einwilligung.
• Die Datenschutzerklärung nennt Cookies, aber nicht die serverseitige IP-Verarbeitung.
• Die Einwilligung wird für den Endgerätezugriff eingeholt, aber nicht beachtet, dass die DSGVO-Verarbeitung dennoch eine Grundlage braucht.

Beachten Sie die laufende Entwicklung: Die Datenschutzkonferenz aktualisiert ihre Orientierungshilfen für Telemedien regelmäßig. Prüfen Sie deshalb jährlich, ob Ihr Setup noch dem aktuellen Stand entspricht. Wenn Sie daneben die Unternehmensebene und ihre Aussagekraft einordnen wollen, hilft der Beitrag Unternehmen erkennen, die Ihre Website besuchen.

Server-Log, Pixel oder Skript: die Architektur entscheidet

Hinter dem Schlagwort „cookielos" verbergen sich drei technische Bauarten, die rechtlich unterschiedlich zu bewerten sind. Wer die Architektur versteht, kann Marketingaussagen von Anbietern nüchtern prüfen.

1. Auswertung der Server-Logs: Der Webserver protokolliert ohnehin jeden Abruf. Eine spätere Auflösung der IP-Adresse zu einem Unternehmen findet im Backend statt. Im Browser passiert nichts Zusätzliches, deshalb ist § 25 TDDDG hier in der Regel nicht berührt. Nachteil: Man sieht nur Abrufe, die den Server erreichen, keine Interaktionen wie Scrolltiefe, und Caches oder Content-Delivery-Netze erschweren die Auswertung.
2. Tracking-Pixel oder Beacon: Ein kleines Bild oder ein Aufruf meldet Seitenaufrufe. Ob dabei Geräteinformationen ausgelesen werden, hängt vom Aufbau ab.
3. JavaScript-Skript: Es kann mehr messen, liest aber meist Informationen aus dem Browser aus und legt gegebenenfalls Kennungen ab. Hier ist die Prüfung am aufwendigsten.

Fragen Sie Anbieter deshalb nicht „Seid ihr cookielos?", sondern: Was liest das Skript aus? Was wird im Browser gespeichert, und für wie lange? Wird eine Kennung über mehrere Besuche hinweg vergeben? Wer diese Fragen klar beantwortet, ist meist auch bei anderen Themen transparent.

Was bei Firmenerkennung konkret zu beachten ist

Für die Erkennung von Unternehmen reicht im Kern die IP-Adresse eines Abrufs. Das macht ein einwilligungsarmes Setup grundsätzlich möglich. Die Produktseite Website Visitor Identification beschreibt ein cookieloses Skript mit Firmenebene; wie genau der Aufbau zu Ihrer Rechtsauffassung passt, müssen Sie anhand der Anbieterdokumentation selbst bewerten. Die Folgen für die Datenqualität sind überschaubar: Die Zuordnung zu Unternehmen hängt an der Adresse, nicht an einer Browser-Kennung. Was Sie ohne Kennung verlieren, ist vor allem die Wiedererkennung desselben Besuchers über mehrere Tage, und damit ein Teil der Signale, die im Beitrag Lead Scoring mit Website-Besuchern beschrieben sind.

Einwilligungsmanagement ohne Tricks

Wenn Sie sich für eine Variante mit Einwilligung entscheiden, achten Sie auf saubere Umsetzung:

• Das Skript darf erst nach der Zustimmung laden, nicht vorher.
• Ablehnen muss so einfach sein wie Zustimmen.
• Die Auswahl muss gespeichert und respektiert werden, auch bei Folgebesuchen.
• Die Datenschutzerklärung nennt den Dienst, den Zweck und die Speicherdauer.
• Prüfen Sie regelmäßig mit den Entwicklerwerkzeugen des Browsers, ob vor der Einwilligung wirklich nichts gesendet oder gespeichert wird.

Letzteres ist die häufigste Schwachstelle: Das Banner ist da, aber ein Tag-Manager lädt Skripte trotzdem im Hintergrund. Ein monatlicher Stichprobentest dauert zehn Minuten und deckt solche Fehler auf.

Konsequenzen für Ihre Kennzahlen

Wer auf Einwilligung verzichtet oder sie braucht, bekommt unterschiedliche Datenlagen. Mit Einwilligungspflicht sehen Sie nur die Besucher, die zugestimmt haben; je nach Zielgruppe sind das deutlich weniger als alle. Ohne Endgerätezugriff sehen Sie alle Abrufe, aber mit weniger Tiefe. Beide Datensätze sind nicht direkt vergleichbar. Wenn Sie von einem Modell auf das andere wechseln, führen Sie den Bruch in Ihren Berichten kenntlich, sonst entsteht der Eindruck, Interesse sei gestiegen oder gesunken. Das passt auch zum Thema Trefferquote: Eine Quote ist immer an eine bestimmte Messmethode gebunden.