Matomo Analytics und Datenschutz: Warum auch das datenschutzfreundlichste Analyse-Tool Pflichten auslöst
Matomo gilt als die datenschutzfreundliche Antwort auf Google Analytics – zu Recht, denn anders als die meisten Tracking-Tools kann es komplett ohne Cookies und ohne Einwilligung deiner Besucher laufen. Das gilt aber nur, wenn du es auch so einstellst. In der Standardkonfiguration verhält sich Matomo wie jedes andere Statistik-Tool: Es setzt Cookies und braucht einen Cookie-Banner. Wir zeigen dir, worauf es ankommt – und was sich ändert, wenn du statt der Selbsthosting-Variante die Matomo-Cloud nutzt.
Überblick
Was ist Matomo?
Matomo ist eine Open-Source-Software für Webanalyse, die zeigt, wie Besucher deine Website nutzen – wie viele Seiten sie aufrufen, woher sie kommen und wie lange sie bleiben. Du kannst Matomo entweder auf deinem eigenen Server betreiben oder als fertige Cloud-Lösung beim Hersteller InnoCraft buchen.
| Matomo – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | Setzt standardmäßig zustimmungspflichtige Cookies, lässt sich aber komplett cookiefrei einstellen. |
| Externe Verbindungen | 🟡 | Bei Selbsthosting bleibt alles auf deiner eigenen Infrastruktur, bei der Cloud-Variante geht die Verbindung an einen externen Anbieter. |
| Datenschutzerklärung | 🔴 | Matomo muss in jedem Fall namentlich genannt werden. |
| Drittlandtransfer | 🟡 | Nur bei der Cloud-Variante, dafür formal nach Neuseeland. |
| Auftragsverarbeitung | 🟡 | Nur bei der Cloud-Variante nötig, Vertrag steht bereit. |
| Benutzereingaben | 🟢 | Matomo wertet nur Besucherverhalten aus, keine Formular- oder Chateingaben. |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion, die Besucherdaten verarbeitet. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher, wenn du Matomo einsetzt?
Sobald ein Besucher deine Seite aufruft, schickt Matomo im Hintergrund einen Datensatz mit Informationen wie IP-Adresse, aufgerufener Seite, Browser und Bildschirmauflösung los – entweder an deinen eigenen Server, wenn du selbst hostest, oder an die Matomo-Cloud des Anbieters InnoCraft.
Das allein sagt aber noch nicht, ob dafür ein Cookie-Banner nötig ist. Entscheidend ist, wie du Matomo eingestellt hast. Lässt du die Werkseinstellungen unangetastet, setzt Matomo ein Cookie, um wiederkehrende Besucher zu erkennen – dafür brauchst du eine Einwilligung. Schaltest du in den Datenschutz-Einstellungen von Matomo sowohl die Cookie-Erkennung als auch das Auslesen von Geräte-Merkmalen ab, erkennt Matomo Besucher stattdessen anhand einer anonymisierten Mischung aus IP-Adresse, Sprache und Browserkennung – dann ist keine Einwilligung mehr nötig.
Ein Vertrag mit InnoCraft Ltd. ist nur nötig, wenn die Daten in die Cloud übertragen werden, sonst nicht.
Cookies
Setzt Matomo zustimmungspflichtige Cookies?
Matomo setzt in der Standardeinstellung die Cookies _pk_id und _pk_ses, um wiederkehrende Besucher zu erkennen und eine Sitzung zusammenzuhalten. Beide sind technisch nicht notwendig für den Betrieb deiner Website und deshalb zustimmungspflichtig – dein Cookie-Banner muss sie blockieren, bis der Besucher zustimmt.
Matomo bietet aber eine eigene, dokumentierte Betriebsart ohne diese Cookies: In den Datenschutz-Einstellungen lässt sich sowohl das Setzen von Cookies als auch das Auslesen von Geräte-Merkmalen zur Wiedererkennung komplett abschalten. Sind beide Einstellungen aktiv, setzt Matomo überhaupt keine Cookies mehr, und du brauchst dafür keinen Cookie-Banner.
Wichtig dabei: Es reicht nicht, nur die Cookies abzuschalten – fehlt die zweite Einstellung, liest Matomo weiterhin Geräte-Merkmale deines Besuchers aus, und das ist laut dem Bundesbeauftragten für den Datenschutz (BfDI) genauso einwilligungspflichtig wie ein Cookie. Erst wenn du beide Schalter umlegst, gilt die Nutzung als zustimmungsfrei.
Externe Verbindungen
Baut Matomo eine externe Verbindung zu einem Drittanbieter auf?
Bei externen Verbindungen kommt es darauf an, wie du Matomo betreibst. Läuft Matomo auf deinem eigenen Server, bleibt die Verbindung komplett innerhalb deiner eigenen Infrastruktur – es fließen keine Daten an einen externen Anbieter, das zählt datenschutzrechtlich nicht als externe Verbindung.
Nutzt du stattdessen die Matomo-Cloud, schickt dein Tracking-Code bei jedem Seitenaufruf automatisch Daten an die Server des Anbieters InnoCraft – das ist eine echte externe Verbindung zu einem Dritten. Diese Verbindung entsteht automatisch beim Laden deiner Seite und ist nicht zwingend für die Funktionsfähigkeit deiner Website notwendig – dein Cookie-Banner muss diese Verbindung blockieren, bis der Besucher zustimmt.
Eine wichtige Einschränkung dazu, die du unbedingt kennen solltest: Diese Einschätzung geht von der Standardkonfiguration aus. Hast du in den Datenschutz-Einstellungen von Matomo sowohl das Setzen von Cookies als auch das Auslesen von Geräte-Merkmalen abgeschaltet und zusätzlich die IP-Adresse anonymisiert, gilt für dieselbe Verbindung keine Einwilligungspflicht mehr, weil dann kein Zugriff mehr auf Endgeräte-Informationen deiner Besucher stattfindet.
Ein automatischer Scan kann diese Einstellung von außen nicht erkennen, weil sie ausschließlich in deinem Matomo-Backend hinterlegt ist – die Verbindung selbst sieht für jeden Scan gleich aus, unabhängig davon, wie du sie konfiguriert hast. Hast du Matomo also bereits sauber datenschutzfreundlich eingestellt, kannst du diesen Punkt für dich als erledigt betrachten, auch wenn er zunächst als Aufgabe auftaucht.
Drittlandtransfer
Werden die Daten deiner Besucher außerhalb der EU verarbeitet?
Das hängt von der Betriebsart ab. Beim Selbsthosting bestimmst du selbst, wo dein Server steht – Matomo als Tool verursacht dabei keine Datenübertragung ins Ausland, wenn dein Server nicht im Ausland steht.
Nutzt du die Matomo-Cloud, sieht die Sache anders aus: Der Anbieter InnoCraft hat seinen Firmensitz in Neuseeland. Auch wenn die Server, auf denen deine Matomo-Daten tatsächlich liegen, laut Anbieterangaben in Europa stehen – konkret in Deutschland, mit einer Sicherungskopie in Irland –, zählt der Firmensitz in Neuseeland rechtlich als Übertragung in ein Land außerhalb der EU, weil InnoCraft dadurch Zugriff auf die Daten hat.
Neuseeland gilt bei der EU-Kommission offiziell als sicheres Land für den Datenschutz, vergleichbar mit einem EU-Land – die Übertragung ist deshalb ohne zusätzliche Verträge erlaubt.
Auftragsverarbeitung
Brauchst du einen Vertrag zur Auftragsverarbeitung mit Matomo?
Auch hier trennt sich Selbsthosting von der Cloud-Variante. Betreibst du Matomo auf deinem eigenen Server, ist kein separater Vertrag mit einem Matomo-Anbieter nötig – es gibt schlicht keinen Dritten, der deine Daten in deinem Auftrag verarbeitet, höchstens deinen eigenen Hosting-Anbieter, was aber nichts mit Matomo selbst zu tun hat.
Nutzt du die Matomo-Cloud, verarbeitet InnoCraft deine Besucherdaten in deinem Auftrag – dafür brauchst du einen Vertrag zur Auftragsverarbeitung mit InnoCraft. Der Anbieter stellt diesen Vertrag direkt zum Abschluss bereit.
Datenschutzerklärung
Muss Matomo in deine Datenschutzerklärung?
Matomo muss namentlich in deine Datenschutzerklärung, und zwar unabhängig davon, wie du es eingestellt hast. Auch in der komplett cookiefreien Betriebsart verarbeitet Matomo weiterhin die IP-Adresse deiner Besucher, um sie wiederzuerkennen – und das ist eine Verarbeitung personenbezogener Daten, über die du informieren musst. Nutzt du die Cloud-Variante, gehört zusätzlich der Hinweis auf die Datenübertragung nach Neuseeland in den Text.
Wir nutzen Matomo für Webanalyse.
Matomo setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von InnoCraft Ltd. auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Im Rahmen der Nutzung von Matomo werden Daten an InnoCraft Ltd. übermittelt. Soweit InnoCraft Ltd. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Matomo?
Hier siehst du, wo Matomo im DSGVO-Vergleich zu anderen Webanalyse steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Matomo in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Matomo in unseren DSGVO-Checks am häufigsten vor?
Matomo taucht bei 5 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Matomo gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für Matomo auf deiner Website?
Ob deine konkrete Matomo-Installation Cookies setzt oder cookiefrei läuft, ob du selbst hostest oder die Cloud nutzt – das siehst du nicht auf einen Blick, wenn du nicht gezielt danach suchst. Ein Scan mit datenrein.de zeigt dir direkt, welche Verbindungen und Cookies auf deiner Seite tatsächlich aktiv sind, statt dass du selbst durch die Matomo-Einstellungen und deinen Quellcode wühlen musst.
Nebenbei hilft uns jeder Scan auch dabei, unsere Datenbank zu verbessern: Echte Signale von echten Websites zeigen uns, wo wir bereits richtig liegen und wo wir noch genauer hinschauen müssen – davon profitieren am Ende alle, die mit datenrein.de ihre Seite prüfen.
