GoatCounter
GoatCounter ist ein datenschutzfreundliches Open Source Webanalyse Tool des niederländischen Entwicklers Martin Tournoij. Die gehostete Version ist für nicht kommerzielle Nutzung kostenlos, die EUPL lizenzierte selbst gehostete Version bietet volle Kontrolle. GoatCounter ist bewusst minimalistisch: keine Cookies, keine persistenten Identifier, kein IP Tracking, kein Fingerprinting. Der gehostete Dienst läuft auf EU Infrastruktur. In der Standardkonfiguration fällt er in der Regel unter die Analytics Ausnahme der CNIL.
Was macht GoatCounter?
Was GoatCounter ist
GoatCounter ist ein Open Source Webanalyse Tool des niederländischen Entwicklers Martin Tournoij mit Sitz in Irland. Es wird unter der EUPL 1.2 Lizenz vertrieben und ist entweder als gehosteter Dienst verfügbar (kostenlos für nicht kommerzielle Nutzung bis 100k Seitenaufrufe pro Monat, kostenpflichtig darüber oder für kommerzielle Nutzung) oder als selbst gehostetes Einzelbinary in Go. GoatCounter ist absichtlich minimalistisch: zählt Page Views und produziert aggregierte Statistiken, ohne mit Google Analytics in Funktionsbreite zu konkurrieren. Diese Beschränkung ist gewollt und Basis der datenschutzfreundlichen Architektur.
Welche Daten GoatCounter erhebt
Pro Page View erhält GoatCounter URL, Document Referer, User Agent (geparsed in Browser und OS), Bildschirmgröße und IP des Besuchers. Die IP wird sofort server seitig mit einem alle 8 Stunden rotierenden Salt gehasht; der Hash zählt eindeutige Besucher in dieser Zeitspanne und ist danach nicht mehr umkehrbar. Kein Cookie wird gesetzt. Kein persistenter Identifier auf dem Gerät oder server seitig. Kein Fingerprinting. Ausgabe ist ein aggregiertes Dashboard mit Page Views, Referrern, Browsern, Ländern (per IP Geolocation vor dem Hashing) und Geräten.
DSGVO und ePrivacy Implikationen
Da keine Cookies gesetzt werden und keine Informationen auf oder vom Endgerät gelesen werden, greift Art. 5 Abs. 3 ePrivacy auf GoatCounter nicht. Unter DSGVO ist die Rechtsgrundlage berechtigtes Interesse nach Art. 6 Abs. 1 lit. f für den Betrieb der Website und das Verständnis des aggregierten Traffics. Die CNIL Deliberation 2020-091 listet Analytics Tools mit diesen Kriterien (keine Cookies, kein Cross Site Identifier, aggregierte Ausgabe, EU Residenz) als von der Einwilligung ausgenommen; GoatCounter erfüllt diese Kriterien in der Standardkonfiguration.
Self Hosted vs Hosted
Der gehostete GoatCounter Dienst läuft auf EU Infrastruktur (Deutschland) unter Kontrolle des Autors. Die selbst gehostete Version ist ein Einzelbinary, das Betreiber auf eigener Infrastruktur (Linux Server, Container, VPS) ausführen. Self Hosting gibt volle Kontrolle über Residenz, Aufbewahrung und Incident Response. Für Betreiber mit strengen Residenz oder Souveraenitaetsanforderungen ist Self Hosting auf EU Infrastruktur eine robuste Option. Selbst gehostete Installationen sollten regelmäßig gesichert und für Sicherheitspatches aktualisiert werden.
Auswirkungen auf den Cookie Banner
GoatCounter muss nicht im Cookie Banner erscheinen, da es keine Cookies setzt. Manche Betreiber erwähnen es zur Transparenz in der Datenschutzerklärung, obwohl technisch nicht erforderlich. Wer GoatCounter allein nutzt (ohne Google Analytics, Meta Pixel oder andere consent pflichtige Tracker) kann in vielen Fällen den Cookie Banner komplett vermeiden, was UX und Conversion verbessert.
Praktische Umsetzung
GoatCounter in Standardkonfiguration (keine IP Erfassung, keine Cookies) nutzen, um in der CNIL Ausnahme zu bleiben. Im Verarbeitungsverzeichnis unter berechtigtem Interesse für Sicherheit und Statistik führen. In der Datenschutzerklärung GoatCounter mit Datenkategorien (URL, Referer, User Agent, Land, Bildschirmgröße) und Rechtsgrundlage erwähnen. Das Do Not Track Signal beachten, wie GoatCounter es standardmäßig tut. Page View Filter für Admin URLs konfigurieren. GoatCounter nicht mit Cross Site Identifiern oder anderen Tracking Tools kombinieren, ohne die daraus folgenden Einwilligungspflichten zu akzeptieren.
GoatCounter und die DSGVO
- Rechtsgrundlage
- Legitimate interest (GDPR Art. 6(1)(f)) for the aggregated visit statistics. Because no cookies are set and no persistent identifiers are stored, ePrivacy Directive Art. 5(3) does not apply. The CNIL accepts cookieless analytics tools with similar designs as exempt from prior consent under its 2020 deliberation.
- Risikostufe
- low
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive (Art. 5(3) exemption), French CNIL deliberation 2020-091 on analytics exemption criteria, German TTDSG
Datenschutz-Folgenabschätzung (DSFA)
GoatCounter hat designbedingt minimale DSFA Implikationen: (1) keine Cookies; (2) kein persistenter Besucher Identifier; (3) IPs werden server seitig mit einem 8 Stunden rotierenden Salt gehasht zum täglichen Unique Counting, danach nicht mehr umkehrbar; (4) Daten in der EU gehostet; (5) nur aggregierte Statistiken (Page Views, Referrer, Land, Browser, Bildschirmgröße). Die CNIL akzeptiert dieses Design unter ihrer Analytics Ausnahme (Deliberation 2020-091), sofern GoatCounter nicht mit anderen Tracking Tools kombiniert wird. Eine DSFA ist in der Regel nicht erforderlich.
Beispieltext für Ihr Banner
Wir setzen GoatCounter (betrieben in der Europäischen Union) ein, um Besuche zu zählen und zu verstehen, welche Seiten populär sind. GoatCounter setzt keine Cookies auf Ihrem Gerät, speichert Ihre IP nicht (sie wird kurz für das Tages Unique Counting gehasht und dann verworfen) und verfolgt Sie weder sitzungs noch seitenübergreifend. Wir erheben nur aggregierte Statistiken auf Basis unseres berechtigten Interesses. Eine Einwilligung ist nicht erforderlich; Sie können über das Do Not Track Signal Ihres Browsers opt out signalisieren, das wir respektieren.
Was GoatCounter setzt und kontaktiert
- Tracking-Methode
- Privacy friendly web analytics. GoatCounter loads a small JavaScript snippet (count.js, around 4 KB) that fires one POST request per page view to the GoatCounter backend. By design, it does not set any cookie, does not track visitors across sessions with a persistent identifier, does not collect IP addresses (they are hashed server side with a daily rotating salt for 8 hour unique visitor counting), and does not use fingerprinting. Open source under the EUPL 1.2 licence.
- Serverstandort
- European Union. The hosted GoatCounter service runs on servers in Germany operated by GoatCounter's author. Self hosted GoatCounter installations run wherever the operator chooses (typically EU based VPS providers).
- Cookieloser Modus verfügbar
- Ja
Häufige Fragen zu GoatCounter
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Setzt GoatCounter Cookies?
Nein. GoatCounter setzt keine Cookies auf dem Endgerät des Besuchers. Das ist eine bewusste Designentscheidung und der Hauptgrund, warum es unter die CNIL Analytics Ausnahme fällt.
Ist eine Einwilligung für GoatCounter erforderlich?
Nein. Da GoatCounter keine Informationen auf oder vom Endgerät liest, greift Art. 5 Abs. 3 ePrivacy nicht. Die CNIL Deliberation 2020-091 akzeptiert Analytics Tools mit bestimmten Kriterien (keine Cookies, kein Cross Site Identifier, aggregierte Ausgabe, EU Residenz) als von der Einwilligung ausgenommen; GoatCounter erfüllt sie in Standardkonfiguration.
Welche Rechtsgrundlage gilt für GoatCounter?
Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO für Betrieb der Website und Verständnis des aggregierten Traffics. Die IP wird unter dieser Grundlage kurz für den täglichen Hash zum Unique Counting verarbeitet.
Überträgt GoatCounter Daten in die USA?
Nein. Der gehostete Dienst läuft auf EU Infrastruktur (Deutschland). Selbst gehostete Installationen unterliegen dem Betreiber. Der Autor hat öffentlich zugesagt, alle gehosteten Daten in der EU zu halten.
Brauche ich eine DSFA für GoatCounter?
Nein, eine DSFA ist in der Regel nicht erforderlich. Die Privacy by Design Architektur (keine Cookies, kein persistenter Identifier, EU Residenz, aggregierte Ausgabe) liegt deutlich unter der Hochrisiko Schwelle des Art. 35 DSGVO.
Wie setze ich GoatCounter korrekt um?
Standardkonfiguration mit deaktivierter IP Erfassung und Standard count.js Snippet verwenden. Im Verarbeitungsverzeichnis unter berechtigtem Interesse führen. In der Datenschutzerklärung mit Datenkategorien und Rechtsgrundlage erwähnen. Do Not Track beachten. Page View Filter für Admin URLs bei Bedarf konfigurieren. Nicht mit Cross Site Identifiern oder anderem Tracking kombinieren, das die Privacy Garantien aushebeln würde.
Welche Alternativen gibt es zu GoatCounter?
Weitere datenschutzfreundliche Analytics Tools: Plausible (Estland), Simple Analytics (Niederlande), Fathom (Kanada), Pirsch (Deutschland), Umami (Open Source, US), Open Web Analytics (Open Source, Self Hosted), Matomo (Frankreich, Self Hosted oder Cloud EU) und Cabin (Kanada). EU Optionen wie Plausible, Simple Analytics und Pirsch teilen die Privacy Haltung von GoatCounter.
Wie aktualisiere ich Cookie oder Datenschutzhinweise?
GoatCounter muss nicht im Cookie Banner erscheinen, da es keine Cookies setzt. In der Datenschutzerklärung als Auftragsverarbeiter (oder als selbst gehostete Infrastruktur) mit Datenkategorien (URL, Referer, User Agent, Land, Bildschirmgröße), Rechtsgrundlage (berechtigtes Interesse), Aufbewahrungsfrist und EU Standort erwähnen. Ein Widerrufsmechanismus ist nicht erforderlich, Do Not Track wird automatisch beachtet.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.