Kurzfassung
Matomo kann ohne Cookie-Banner und ohne vorherige Einwilligung eingesetzt werden, allerdings nur, wenn das Tool nach den Kriterien der CNIL im „ausgenommenen“ Modus konfiguriert ist. Diese Ausnahme ist an strenge Bedingungen geknüpft: Zweck beschränkt auf Reichweitenmessung ausschließlich für den Websitebetreiber, keine Verknüpfung von Daten, keine Weitergabe an Dritte, IP-Anonymisierung, maximale Cookie-Lebensdauer von 13 Monaten und maximale Datenspeicherung von 25 Monaten. Ist auch nur eine Bedingung nicht erfüllt, wird die Einwilligung wieder Pflicht.
Ist Matomo laut CNIL von der Einwilligung ausgenommen?
Die CNIL hat bestätigt, dass Matomo zur Erhebung von Reichweitendaten ohne vorherige Einwilligung der Nutzer verwendet werden kann. Matomo ist das einzige Analysetool, das die CNIL in ihrer Dokumentation zur Einwilligungsausnahme ausdrücklich nennt.
Unser Matomo-Dienstprofil fasst die für das Tool dokumentierten Cookies und die Bedingungen für eine Nutzung ohne vorherige Einwilligung zusammen.
Diese Ausnahme gilt nicht automatisch. Sie greift nur, wenn Matomo auf eine ganz bestimmte Weise konfiguriert ist. Standardmäßig verwendet Matomo Erstanbieter-Cookies und gibt keine Daten an Dritte weiter, was eine gute Ausgangslage ist. Mehrere Funktionen müssen jedoch deaktiviert werden, damit Sie im Rahmen der Ausnahme bleiben.
Die Einwilligungsausnahme für die Reichweitenmessung ist in Artikel 82 des französischen Datenschutzgesetzes vorgesehen. Sie gilt für Tracker, deren Zweck strikt auf die Reichweitenmessung beschränkt ist, ausschließlich zugunsten des Websitebetreibers, ohne Verknüpfung von Daten und ohne Übermittlung an Dritte.
Welche Bedingungen gelten für die CNIL-Ausnahme?
Die CNIL legt genaue Kriterien fest, unter denen ein Tool zur Reichweitenmessung von der Einwilligung ausgenommen ist. Diese Bedingungen muss Matomo erfüllen.
Zweck strikt auf Reichweitenmessung beschränkt
Das Tool darf ausschließlich dazu dienen, anonyme, aggregierte Statistiken zu erstellen: Seitenaufrufe, Verweildauer, Traffic-Quellen, Absprungrate. Eine Nutzung für Werbe-Targeting, Profilbildung oder die Personalisierung von Inhalten ist nicht erlaubt.
Keine Verknüpfung mit anderen Verarbeitungen
Die von Matomo erhobenen Daten dürfen nicht mit anderen Datenbanken (CRM, E-Mail-Marketing, Werbung) verknüpft werden. Jede Website muss über eigene, unabhängige Daten verfügen.
Keine Weitergabe an Dritte
Die Daten dürfen nicht an Dritte übermittelt werden, auch nicht an andere Tochtergesellschaften desselben Konzerns. Das ist einer der Gründe, warum Google Analytics für diese Ausnahme nicht infrage kommt: Die Daten werden an Google übermittelt, das sie für eigene Zwecke nutzt.
Anonymisierung der IP-Adresse
Die IP-Adresse des Nutzers muss anonymisiert werden. In Matomo müssen Sie die Anonymisierung mindestens der letzten beiden Oktette der IPv4-Adresse aktivieren (z. B. 192.168.xxx.xxx).
Cookie-Lebensdauer auf 13 Monate begrenzt
Cookies zur Reichweitenmessung dürfen keine Lebensdauer von mehr als 13 Monaten haben. Diese Dauer darf bei erneuten Besuchen nicht automatisch verlängert werden.
Diese Grenze erklären wir ausführlicher in unserem Artikel zur 13-Monats-Regel für die Cookie-Speicherdauer.
Datenspeicherung auf 25 Monate begrenzt
Die über Tracker erhobenen Daten dürfen höchstens 25 Monate lang gespeichert werden.
Information der Nutzer
Auch im ausgenommenen Modus muss der Nutzer über das Vorhandensein der Tracker und ihren Zweck informiert werden, zum Beispiel in der Cookie-Richtlinie. Die Ausnahme betrifft die Einwilligung, nicht die Information.
So konfigurieren Sie Matomo im ausgenommenen Modus
Die CNIL hat einen ausführlichen Konfigurationsleitfaden für Matomo veröffentlicht. Hier die wichtigsten Schritte.
Deaktivieren Sie die Berichte „Besuchs-Log“ und „Besucherprofil“ (unter Administration, System, Allgemeine Einstellungen, Bereich Live). Diese Funktionen ermöglichen die Identifizierung einzelner Besucher und fallen damit aus dem Rahmen der Ausnahme.
Aktivieren Sie die IP-Anonymisierung (unter Administration, Datenschutz, Daten anonymisieren). Anonymisieren Sie mindestens die letzten beiden Oktette der IPv4-Adresse.
Prüfen Sie, dass domainübergreifendes Tracking nicht aktiviert ist. Im ausgenommenen Modus muss jede Website unabhängig gemessen werden, ohne websiteübergreifendes Tracking.
Prüfen Sie, dass keine Drittanbieter-Cookies aktiviert sind. Standardmäßig verwendet Matomo Erstanbieter-Cookies, was korrekt ist.
Prüfen Sie, dass keine User ID verwendet wird. Im ausgenommenen Modus darf den Besuchen keine persönliche Kennung (Login, E-Mail usw.) zugeordnet werden.
Prüfen Sie, dass die E-Commerce-Funktionen nicht aktiviert sind. Das Tracking von Bestellungen und Warenkörben erfordert eine Einwilligung.
Legen Sie die Lebensdauer des Besuchs-Cookies auf höchstens 13 Monate und die Datenspeicherung auf höchstens 25 Monate fest.
Brauchen Sie mit Matomo noch ein Cookie-Banner?
Wenn Matomo Ihr einziges Tracking-Tool ist und es im ausgenommenen Modus nach CNIL konfiguriert ist, müssen Sie für Matomo selbst keine Einwilligung einholen. Das heißt aber nicht, dass Sie überhaupt kein Banner brauchen.
Wenn Ihre Website weitere einwilligungspflichtige Tracker verwendet (Google Ads, Facebook Pixel, eingebettete YouTube-Videos, Social-Sharing-Buttons usw.), benötigen Sie weiterhin ein konformes Cookie-Banner für diese Tracker. Matomo wird dann einfach von der Einwilligungsabfrage ausgenommen.
Eingebettete Videos sind ein häufiger Fall: Unser Leitfaden zum Einbetten von YouTube-Videos ohne Cookies mit youtube-nocookie zeigt, wie Sie richtig damit umgehen.
Wenn Ihre Website nur Matomo im ausgenommenen Modus und keinen anderen Tracker verwendet, ist kein Cookie-Banner erforderlich. Sie müssen den Nutzer aber dennoch in Ihrer Datenschutzerklärung oder Cookie-Richtlinie über den Tracker informieren. Außerdem müssen Sie eine Widerspruchsmöglichkeit anbieten, zum Beispiel über das Opt-out-Widget von Matomo oder indem Sie das Do-Not-Track-Signal des Browsers respektieren.
Ein Scan Ihrer Website kann bestätigen, dass Matomo der einzige vorhandene Tracker ist und keine nicht ausgenommenen Cookies gesetzt werden.
Matomo vs. Google Analytics: Warum die CNIL sie unterschiedlich behandelt
Google Analytics kommt für die CNIL-Ausnahme für Reichweitenmessung nicht infrage. Der Hauptgrund: Die von Google Analytics erhobenen Daten werden an Google übermittelt, das sie potenziell für eigene Zwecke nutzt (Werbung, Verbesserung der Dienste). Diese Weitergabe an einen Dritten schließt Google Analytics von der Ausnahme aus.
Unser Dienstprofil zu Google Analytics 4 behandelt die Einwilligungsanforderungen und die Konfiguration von Consent Mode.
Matomo behält die Daten in der selbst gehosteten Version (On-Premise) wie in der Cloud-Version (in Europa von InnoCraft gehostet) ausschließlich für den Websitebetreiber. InnoCraft verpflichtet sich vertraglich, die Daten weder für eigene Zwecke zu nutzen noch an Dritte weiterzugeben.
Dieser grundlegende Unterschied erklärt, warum Matomo in Frankreich (unter Bedingungen) ohne Einwilligung betrieben werden kann, während Google Analytics immer eine vorherige Einwilligung erfordert.
Weitere Möglichkeiten, Besucher mit weniger Einwilligungsauflagen zu messen, zeigt unser Leitfaden zu Cookieless Analytics.
Häufige Fehler (und wie Sie sie vermeiden)
Glauben, Matomo sei automatisch ausgenommen. Die Ausnahme gilt nur, wenn Matomo nach den Kriterien der CNIL konfiguriert ist. Eine Standardinstallation ist nicht zwangsläufig konform. Lösung: Befolgen Sie den Konfigurationsleitfaden der CNIL Punkt für Punkt und dokumentieren Sie Ihre Konfiguration in Ihrem Verarbeitungsverzeichnis.
Funktionen außerhalb des zulässigen Rahmens aktivieren. User ID, E-Commerce-Tracking, Heatmaps, Sitzungsaufzeichnungen und domainübergreifendes Tracking erfordern eine Einwilligung. Wenn Sie eine dieser Funktionen aktivieren, gilt die Ausnahme für Ihre gesamte Matomo-Installation nicht mehr. Lösung: Deaktivieren Sie alle Funktionen, die mit der Ausnahme unvereinbar sind.
Vergessen, die Nutzer zu informieren. Die Ausnahme betrifft die Einwilligung, nicht die Information. Sie müssen Besucher in Ihrer Datenschutzerklärung über Matomo informieren. Lösung: Fügen Sie einen klaren Hinweis in Ihre Cookie-Richtlinie ein.
Keine Widerspruchsmöglichkeit anbieten. Auch im ausgenommenen Modus empfiehlt die CNIL, Nutzern den Widerspruch gegen das Tracking zu ermöglichen. Lösung: Binden Sie das Opt-out-Widget von Matomo ein oder respektieren Sie das Do-Not-Track-Signal.
Matomo und Google Analytics parallel nutzen. Wenn Sie GA neben Matomo einsetzen, ist das Cookie-Banner für GA Pflicht. Und wenn Matomo-Daten mit GA oder einem anderen Tool verknüpft werden, gilt die Ausnahme für Matomo nicht mehr. Lösung: Wenn Sie auf Matomo im ausgenommenen Modus umsteigen, entfernen Sie GA oder machen Sie es unabhängig davon einwilligungspflichtig.
Checkliste: Matomo im ausgenommenen Modus nach CNIL
- Matomo ist selbst gehostet (On-Premise) in der EU oder läuft auf Matomo Cloud (EU-Server).
- Die IP-Anonymisierung ist aktiviert (mindestens die letzten beiden Oktette).
- Besuchs-Log und Besucherprofil sind deaktiviert.
- User ID wird nicht verwendet.
- Domainübergreifendes Tracking ist nicht aktiviert.
- Drittanbieter-Cookies sind nicht aktiviert.
- E-Commerce-Tracking ist nicht aktiviert.
- Die Lebensdauer des Besuchs-Cookies ist auf höchstens 13 Monate festgelegt.
- Die Datenspeicherung ist auf höchstens 25 Monate festgelegt.
- Der Nutzer wird über den Einsatz von Matomo informiert (Datenschutzerklärung).
- Eine Widerspruchsmöglichkeit (Opt-out-Widget oder Do Not Track) ist vorhanden.
- Ein Cookie-Audit bestätigt, dass kein anderer, nicht ausgenommener Tracker vorhanden ist.
Fazit
Matomo ist das einzige Analysetool, das die CNIL als geeignet für die Einwilligungsausnahme bei der Reichweitenmessung nennt. Diese Ausnahme ist aber kein Freifahrtschein: Sie erfordert eine strenge Konfiguration, einen begrenzten Zweck und Transparenz gegenüber den Nutzern.
Wenn Ihre Website weitere Tracker verwendet (Werbung, soziale Netzwerke, eingebettete Videos), benötigen Sie für diese Tracker weiterhin ein Cookie-Banner. Matomo befreit Sie nur bei der Reichweitenmessung von der Einwilligung, und das nur, wenn alle Bedingungen der CNIL erfüllt sind.
Um die Tracker auf Ihrer Website zu prüfen und festzustellen, welche eine Einwilligung erfordern, führen Sie einen kostenlosen Scan mit FlowConsent durch.