Das Versprechen „Kein Banner nötig“

Datenschutzorientierte Analyse-Tools werben oft damit, cookielos zu sein, und manche gehen weiter und legen nahe, Sie bräuchten gar kein Consent-Banner mehr. Für einen Publisher mit schlankem Stack ist das eine verlockende Idee. Die Wirklichkeit ist differenzierter. Ob eine Einwilligung nötig ist, hängt davon ab, was das Tool tatsächlich auf dem Gerät tut, welche Daten es verarbeitet, wo Ihre Nutzer sich befinden und was sonst noch auf Ihren Seiten läuft.

Dieser Artikel erklärt die Fragen, die Sie stellen sollten, bevor Sie Analytics aus Ihrem Einwilligungs-Setup herausnehmen. Er ist eine allgemeine Orientierung, keine Rechtsberatung.

Cookies sind nicht der einzige Auslöser

In der EU stammt die Einwilligungsregel für Geräte aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Sie betrifft das Speichern von Informationen auf dem Gerät eines Nutzers oder den Zugriff darauf — nicht nur Cookies. Lokaler Speicher, Session-Speicher, Pixel, die das Auslesen von Informationen bewirken, und Techniken, die Kennungen aus Geräteeigenschaften ableiten, können alle darunter fallen. Der Europäische Datenschutzausschuss hat diese weite Auslegung in seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 dargelegt.

„Wir setzen keine Cookies“ ist also der Beginn der Analyse, nicht ihr Ende. Sie müssen wissen, ob das Tool überhaupt etwas auf dem Gerät speichert oder liest.

Vier Fragen an jedes Analyse-Tool

1. Speichert oder liest es etwas auf dem Gerät?

Prüfen Sie nach dem Laden einer Seite die Speicherbereiche des Browsers: Cookies, lokaler Speicher, Session-Speicher, IndexedDB. Suchen Sie im Skript nach Code, der Geräteeigenschaften sammelt, um eine Kennung zu bilden. Wird für Analysezwecke irgendetwas gespeichert oder gelesen, greift die ePrivacy-Regel, sofern keine Ausnahme gilt.

2. Verarbeitet es personenbezogene Daten?

Auch ohne Gerätespeicherung verarbeitet Analytics in der Regel IP-Adressen, User-Agents und Seiten-URLs. Nach der DSGVO können dies personenbezogene Daten sein. Das erfordert eine Rechtsgrundlage — die statt der Einwilligung auch ein berechtigtes Interesse sein kann — sowie Transparenz in Ihrem Datenschutzhinweis, Datenminimierung und eine angemessene Speicherdauer. „Kein Banner“ bedeutet nie „keine Pflichten“.

3. Greift in den Ländern Ihrer Nutzer eine Ausnahme?

Manche Aufsichtsbehörden erkennen an, dass eine begrenzte Reichweitenmessung von der Einwilligung ausgenommen sein kann, wenn strenge Bedingungen erfüllt sind. Frankreichs CNIL hat Bedingungen für die Ausnahme von Tracking zur Reichweitenmessung veröffentlicht und führt ein Programm, das Tools identifiziert, die sich entsprechend konfigurieren lassen. Zu den Bedingungen gehören typischerweise ausschließliche First-Party-Nutzung, nur aggregierte Statistiken, kein websiteübergreifendes Tracking und eine begrenzte Speicherdauer. Der britische Data (Use and Access) Act 2025 hat neue Ausnahmen von der PECR-Einwilligungspflicht eingeführt, unter anderem für bestimmte statistische Zwecke, vorbehaltlich Bedingungen wie klarer Information und einer Widerspruchsmöglichkeit. Nicht jedes Land sieht das gleich, prüfen Sie also die Lage in jedem Markt, den Sie bedienen, und welche Bestimmungen in Kraft sind.

4. Werden die Daten an Dritte weitergegeben?

Sendet das Tool Daten an einen Anbieter, der sie für eigene Zwecke nutzt oder kundenübergreifend kombiniert, entfallen Ausnahmen in der Regel. Lesen Sie die Verarbeitungsbedingungen, nicht nur die Marketingseite.

Was in der Regel weiterhin eine Einwilligung braucht

• Werbe-Tags. Werbefinanzierte Publisher brauchen für personalisierte Werbung und für die Gerätespeicherung durch Werbeanbieter eine Einwilligung, unabhängig davon, was ihr Analyse-Tool tut.
• Tools mit sitzungsübergreifenden Kennungen. Persistente Besucher-IDs, selbst First-Party, führen ein Tool tendenziell aus den meisten Ausnahmen heraus.
• Session Replay und Heatmaps. Sie erfassen detailliertes Verhalten und werden selten als ausgenommene Messung behandelt.
• Eingebettete Inhalte und Social-Widgets. Sie setzen eigene Cookies und Kennungen.
• Conversion- und Remarketing-Pixel. Sie dienen dazu, Verhalten mit Werbung zu verknüpfen.

Für die meisten werbefinanzierten Websites ist das Banner ohnehin für den Ad-Stack erforderlich. Die eigentliche Frage ist, ob Analytics zu den abgesicherten Kategorien gehören soll oder unabhängig unter einer engen Ausnahme laufen kann.

Ein praktischer Weg zur Entscheidung

1. Listen Sie jedes Analyse-Skript auf und was es speichert, liest und sendet.
2. Ermitteln Sie die Länder, in denen die meisten Ihrer Nutzer sind.
3. Prüfen Sie für jedes Tool, ob seine Konfiguration eine in diesen Ländern anerkannte Ausnahme erfüllt.
4. Konfigurieren Sie das Tool auf die strengste Variante, die Sie brauchen: IP-Kürzung, keine persistenten IDs, kurze Speicherdauer, keine Datenweitergabe.
5. Dokumentieren Sie die Begründung und führen Sie das Analyse-Tool in jedem Fall in Ihrer Cookie-Richtlinie und Ihrem Datenschutzhinweis auf.
6. Prüfen Sie erneut, wenn der Anbieter sein Produkt ändert oder sich Ihre Märkte ändern.

Ausgenommene Analytics neben einer CMP betreiben

Entscheiden Sie, dass ein Tool die Voraussetzungen erfüllt, führen Sie es in Ihrer CMP als unbedingt erforderlich oder ausgenommen auf, damit es offengelegt, aber nicht blockiert wird, und stellen Sie sicher, dass seine Konfiguration innerhalb der Ausnahme bleibt. Viele Publisher betreiben zusätzlich ein einwilligungsabhängiges Analyse-Setup für umfassendere Messung und nutzen Google Consent Mode v2 oder ähnliche Signale, um es an die Auswahl des Nutzers anzupassen. FlexyConsent unterstützt Google Consent Mode v2 neben IAB TCF 2.4 und IAB GPP v1.1.

Wichtigste Erkenntnisse

• „Cookielos“ bedeutet nicht automatisch „keine Einwilligung nötig“; Artikel 5 Absatz 3 erfasst jede Gerätespeicherung und jeden Gerätezugriff.
• Analytics ohne Gerätespeicherung kann dennoch personenbezogene Daten verarbeiten und braucht eine Rechtsgrundlage und Transparenz.
• Ausnahmen für die Reichweitenmessung gibt es in einigen Ländern, doch sie sind an strenge Bedingungen geknüpft.
• Werbe-, Session-Replay- und Remarketing-Tags brauchen weiterhin eine Einwilligung.
• Dokumentieren Sie, warum ein Tool als ausgenommen gilt, und prüfen Sie es regelmäßig erneut.