Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Matomo (früher Piwik) ist eine Open-Source-Webanalyse-Plattform und die führende DSGVO-konforme Alternative zu Google Analytics. Es kann auf der eigenen Infrastruktur selbst gehostet oder über Matomo Cloud (gehostet in Deutschland) genutzt werden. Selbst gehostetes Matomo im cookielosen Modus mit IP-Anonymisierung ist die einzige große Analyseplattform, die nach den CNIL-Befreiungskriterien ohne Einwilligungsbanner eingesetzt werden kann. Sie behalten 100 % Ihrer Daten ohne Transfers in Drittländer.
Matomo (früher Piwik) ist die führende Open Source Webanalyse Plattform und wird weltweit von über einer Million Websites eingesetzt. Die Anwendung wird von InnoCraft Ltd unter der GPLv3 Lizenz veröffentlicht und kann auf zwei Arten betrieben werden: selbst gehostet auf der eigenen Infrastruktur (PHP und MySQL) oder als Matomo Cloud, der SaaS Variante mit Hosting in Frankreich bei OVHcloud. Matomo misst Seitenaufrufe, Sitzungen, Conversions, E Commerce Ereignisse und Verhaltensdaten auf der Seite über ein JavaScript Tag (matomo.js) sowie über einen Bild Tracker (matomo.php).
Im Vergleich zu Google Analytics behält der Publisher die volle Kontrolle über Speicherort, Speicherdauer und Weiterverwendung der Daten, weshalb Matomo als Referenzlösung für Organisationen gilt, die die CNIL Ausnahme für Reichweitenmessung anstreben.
In der Standardkonfiguration setzt Matomo First Party Cookies auf der Publisher Domain: _pk_id (Besucher Kennung, 13 Monate gemäß CNIL Empfehlung), _pk_ses (Sitzungszähler, 30 Minuten), _pk_ref (Verweiser, 6 Monate), _pk_cvar (benutzerdefinierte Variablen, 30 Minuten), _pk_hsr (Heatmap und Session Recording, 30 Minuten bei aktivem HSR Plugin) und _pk_testcookie (Browsertest, wenige Sekunden). Matomo kann auch im cookielosen Modus arbeiten und einen serverseitigen Fingerprint aus gekürzter IP, User Agent und Besuchstag bilden, der alle 24 Stunden neu erzeugt wird. Da auch im cookielosen Modus Konfigurations Cookies gesetzt werden, greift §25 TTDSG (Umsetzung von ePrivacy Art. 5(3)) weiterhin, sofern nicht die Voraussetzungen der Reichweitenmessungs Ausnahme erfüllt sind.
Die CNIL Ausnahme (Leitfaden Reichweitenmessung, März 2022) erlaubt den Betrieb von Matomo ohne Einwilligung, sofern die Konfiguration strikt anonymisiert ist: IP Kürzung um mindestens zwei Bytes, keine seiten oder geräteübergreifende Nachverfolgung, keine kommerzielle Weiterverwendung, keine Weitergabe an Dritte, Speicherdauer auf 13 Monate für Besucher Cookies und 25 Monate für aggregierte Berichte begrenzt, jederzeit verfügbarer Widerspruchsmechanismus. Sind diese Bedingungen erfüllt, dient das berechtigte Interesse (Art. 6(1)(f) DSGVO) als Rechtsgrundlage und die Einwilligungspflicht aus §25 TTDSG entfällt. Außerhalb der Ausnahme (seitenübergreifendes Tracking, Aktivierung von Marketing Tags über Matomo Tag Manager, Weitergabe an Dritte, verhaltensbasierte Werbung) ist eine ausdrückliche Einwilligung erforderlich und Matomo darf erst nach Annahme geladen werden.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Auf Matomo Cloud befinden sich alle Verarbeitungsserver in Frankreich bei OVHcloud (Roubaix und Straßburg). InnoCraft, der Betreiber, ist in Wellington (Neuseeland) ansässig, einem Land mit Angemessenheitsbeschluss der EU Kommission vom 19. Dezember 2012, sodass die Datenübermittlung an den Betreiber ohne zusätzliche Garantien zulässig ist. Selbst gehostete Matomo Installationen führen keine Datenübermittlungen durch, es sei denn, der Publisher betreibt Matomo außerhalb des EWR. Die veröffentlichte Matomo Auftragsverarbeitungsvereinbarung entspricht Art. 28 DSGVO und enthält die EU Standardvertragsklauseln für etwaige Unterauftragsverarbeiter.
Aktivieren Sie die IP Anonymisierung um mindestens zwei Bytes (setIPv4Anonymize) und speichern Sie niemals die vollständige IP in den Rohlogs. Deaktivieren Sie die User ID Funktion, sofern keine vertraglich klare Zweckbestimmung besteht. Begrenzen Sie die Speicherdauer im Datenschutzbereich auf 13 Monate für Besucher Logs und 25 Monate für aggregierte Berichte. Dokumentieren Sie die Konfiguration in Ihrem Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Falls Sie zusätzlich Matomo Tag Manager zum Laden von Marketing Pixeln verwenden, behandeln Sie den gesamten Stack als einwilligungspflichtig. Stellen Sie sicher, dass beim Berufen auf die Ausnahme keine Profiling Plugins (Heatmaps und Session Recording, Form Analytics, Funnels) aktiv sind.
Vergleichbare privacy first Lösungen sind Plausible Analytics (cookiefrei, in Deutschland gehostet), Fathom Analytics, Piano Analytics (vormals AT Internet, standardmäßig CNIL exempt), Umami und Open Web Analytics. Eine Migration aus Matomo ist unkompliziert, da das SQL Schema dokumentiert ist und die API einen Massenexport ermöglicht. Bewahren Sie Ihre historischen Berichte für die gesetzlich vorgesehene Aufbewahrungsdauer auf, bevor Sie die Datenbank löschen, um Art. 5(1)(e) DSGVO zur Speicherbegrenzung einzuhalten.
Websites using Matomo must obtain user consent under GDPR regulations.
DPIA considerations
In der einwilligungsfreien Konfiguration ist eine vollständige DSFA in der Regel nicht erforderlich, da das Restrisiko gering ist: Daten verbleiben in der EU (Cloud) oder im eigenen Haus (selbst gehostet), IPs sind anonymisiert, keine Profilanreicherung, keine Weitergabe an Dritte. Eine DSFA wird empfehlenswert, wenn Matomo mit Plugins zur Profilanreicherung, Retargeting, A/B Testing, erweitertem Session Replay oder erweitertem Tracking eingeloggter Nutzer kombiniert wird. Dokumentieren Sie die Konfiguration in jedem Fall (Anonymisierungsgrad, Cookie Lebensdauer, aktivierte Plugins, Aufbewahrung), damit die Rechenschaftspflicht (Artikel 5(2) DSGVO) erfüllt werden kann.
Sample consent text
Wir setzen Matomo ein, eine Open Source Webanalyse Plattform, um die Reichweite unserer Seiten zu messen und zu verstehen, welche Inhalte für Sie nützlich sind. Je nach Konfiguration läuft Matomo entweder cookiefrei unter der CNIL Ausnahme für Reichweitenmessung (anonymisierte IP, keine seitenübergreifende Verfolgung, keine kommerzielle Weiterverwendung) oder mit den Cookies _pk_id, _pk_ses und _pk_ref mit einer Speicherdauer von bis zu 13 Monaten. Auf Matomo Cloud werden Ihre Daten in Frankreich durch InnoCraft Ltd aus Neuseeland verarbeitet, einem Land mit Angemessenheitsbeschluss der EU Kommission von 2012. Sie können Ihre Einwilligung jederzeit über unser Präferenzfenster widerrufen oder ablehnen, auch wenn Matomo unter der Ausnahme betrieben wird.
Third-party domains contacted
matomo.cloudmatomo.cloudmatomo.orgmatomo.orgmatomo.orgcloud.matomo.orginnocraft.cloudinnocraft.cloudcdn.matomo.cloudplugins.matomo.orgCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _pk_id | persistent | 13 months | Matomo visitor identifier cookie — not set in cookieless mode; identifies unique visitors for analytics |
| _pk_id | First party (Matomo) | 13 months | Visitor identifier used to recognise returning visitors. Stores a random anonymous ID. |
| _pk_id.{siteId}.{hash} | HTTP cookie (first party) | 13 months (configurable) | Stores the unique Matomo visitor identifier used to distinguish returning users from new users and to link multiple sessions to the same visitor profile. |
| _pk_ses | session | Session | Matomo session cookie for grouping page views within a single visit — not set in cookieless mode |
| _pk_ses | First party (Matomo) | 30 minutes | Short lived session cookie used to track if the current visit is ongoing. |
| _pk_ses.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Marks the current visitor session as active. The cookie expires 30 minutes after the last tracked event, at which point any new event starts a new session. |
| _pk_ref.{siteId}.{hash} | HTTP cookie (first party) | 6 months | Stores the campaign, search engine or external referrer information that led the user to the site, so attribution reports can be built without re reading the Referer header on every page. |
| _pk_ref | First party (Matomo) | 6 months | Stores the original referrer or campaign attribution for the visitor. |
| _pk_cvar | First party (Matomo) | 30 minutes | Stores temporary custom variables for the current visit (legacy). |
| _pk_cvar.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Temporarily stores custom variables set via the setCustomVariable API at session scope. Only present if the website uses custom variables. |
| _pk_testcookie | HTTP cookie (first party) | Session | Short lived test cookie used by Matomo to verify whether the browser accepts cookies. Deleted immediately after the test. |
| _pk_testcookie | First party (Matomo) | Session | Used by Matomo to test whether cookies are supported by the browser. |
| mtm_consent | First party (Matomo Tag Manager) | 30 years (configurable) | Stores the consent decision of the visitor for Matomo Tag Manager. |
Matomo erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Ja. Matomo im cookielosen Modus mit IP-Anonymisierung erfüllt die CNIL-Befreiungskriterien für Analysen ohne Einwilligung. Konfigurieren: alle Cookies deaktivieren, IP anonymisieren (mindestens 2 Bytes), Cross-Site-Tracking deaktivieren, keine Datenweitergabe an Dritte. Diese Konfiguration benötigt kein Cookie-Banner.
Die CNIL hat Kriterien definiert, unter denen Analysetools ohne Einwilligung betrieben werden können: cookieloses Tracking, IP-Anonymisierung, Single-Site-Daten ohne Cross-Site-Tracking, ausschließliche Nutzung für interne Statistiken, keine Weitergabe an Dritte. Matomo ist eines der wenigen Tools, das alle diese Kriterien erfüllen kann.
Self-Hosted: keine Transfers, Daten verbleiben auf Ihrem Server. Matomo Cloud: in Deutschland gehostet, keine Transfers außerhalb der EU. Keine Option erfordert SCCs. Das ist der primäre Vorteil von Matomo gegenüber Google Analytics für EU-Organisationen.
Self-Hosted: Sie installieren Matomo auf Ihrem eigenen Server, 100 % Datenkontrolle, kostenlose Open-Source-Software, technisches Setup erforderlich. Matomo Cloud: von InnoCraft in Deutschland gehostet, Managed Service, kostenpflichtig, kein technisches Setup, AV-Vertrag mit InnoCraft erforderlich.
Matomo setzt standardmäßig Cookies (_pk_id für Besucher-ID, _pk_ses für Session, _pk_ref für Referral), die im cookielosen Modus deaktiviert werden können. Ohne Cookies verwendet Matomo ein tagesbasiertes Hashing von IP und User Agent zur temporären Session-Gruppierung, das nicht über Tage hinweg persistiert.
Im Matomo-Admin unter Datenschutz: IP-Anonymisierung aktivieren (mindestens 2 Bytes anonymisieren), cookieloses Tracking aktivieren (alle Erstanbieter-Cookies deaktivieren), Fingerprinting deaktivieren. In den Browser-Entwicklertools prüfen, dass beim Besuch der verfolgten Website keine Cookies gesetzt werden. Diese Konfiguration in den Compliance-Unterlagen dokumentieren.
Ja, Matomo bietet Session-Recording und Heatmap-Funktionen. Diese Funktionen verarbeiten individuelle Nutzersessions und erfordern eine Einwilligung, genau wie kostenpflichtige Tools. Die cookielose Befreiung gilt nicht für Session-Recording-Funktionen.
Matomo ist für die DSGVO-Compliance erheblich einfacher: in der EU gehostet (keine US-Transfers), im cookielosen Modus ohne Einwilligung nutzbar, vollständige Dateneigentümerschaft, Open-Source und auditierbar. Google Analytics erfordert Einwilligung, US-SCCs, AV-Vertrag und wurde von mehreren EU-DPAs in der Standardkonfiguration als nicht konform eingestuft.
Standardmäßig setzt Matomo vier First Party Cookies: _pk_id (Besucher ID, 13 Monate), _pk_ses (Sitzungscookie, 30 Minuten), _pk_ref (Referrer Attribution, 6 Monate) sowie kurzlebige Konfigurationscookies. Cookies können vollständig deaktiviert werden: Matomo greift dann auf eine cookielose Identifizierung zurück, die nur für die Dauer des Besuchs gilt.
Das hängt von der Konfiguration ab. In Frankreich erlaubt die CNIL Matomo ohne Einwilligung, wenn das Privacy Profil aktiv ist (anonymisierte IP, kein Fingerprinting, Cookie max. 13 Monate, Opt Out, kein seitenübergreifendes Tracking). In Deutschland verlangt § 25 TDDDG grundsätzlich eine Einwilligung für nicht zwingend erforderliche Cookies, außer im echten Cookieless Modus. In Spanien folgt die AEPD weitgehend der CNIL.
Unter der CNIL bzw. AEPD Ausnahme ist die Rechtsgrundlage das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) auf Basis einer dokumentierten Interessenabwägung. Außerhalb der Ausnahme oder bei seitenübergreifendem Tracking ist die Rechtsgrundlage die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG).
Nein. Matomo Cloud wird vollständig in der Europäischen Union (Frankreich und Deutschland) gehostet und beim Self Hosting läuft Matomo auf Ihrer eigenen Infrastruktur. Es findet keine Übermittlung personenbezogener Daten in die USA statt. Matomo ist damit vom Schrems II Urteil nicht betroffen und eine starke Wahl für Organisationen mit hohen Anforderungen an internationale Datentransfers.
Eine Datenschutz Folgenabschätzung ist in der Regel nicht erforderlich, wenn Matomo im Privacy Modus auf EU Infrastruktur betrieben wird, IPs anonymisiert sind und kein seitenübergreifendes Tracking erfolgt. Eine DSFA ist empfehlenswert, wenn Sie sensible Kategorien (Kinder, Gesundheit) tracken, Matomo Daten mit CRM Identifiern verknüpfen oder sehr große Datenmengen verarbeiten, die unter die EDSA Kriterien für hohes Risiko fallen.
Installieren Sie Matomo auf EU Infrastruktur oder buchen Sie Matomo Cloud (EU). Aktivieren Sie im Backend IP Anonymisierung (2 Bytes), deaktivieren Sie Fingerprinting, begrenzen Sie Cookies auf maximal 13 Monate, deaktivieren Sie seitenübergreifendes Tracking, respektieren Sie Do Not Track und veröffentlichen Sie das Opt Out. Aktualisieren Sie Datenschutzerklärung und Verzeichnis nach Art. 30 DSGVO. Falls Einwilligung erforderlich ist, binden Sie Matomo per _paq.push API in Ihre Consent Management Plattform ein.
Privacy First Alternativen sind Plausible Analytics (EU, cookielos), Fathom Analytics (EU/US), Piwik PRO (EU, Enterprise), Pirsch (EU, cookielos) und das selbst gehostete Umami. Für vergleichbaren Funktionsumfang können Sie Google Analytics 4, Adobe Analytics oder Mixpanel evaluieren, die jedoch eine ausdrückliche Einwilligung und eine umfassende Datentransferprüfung erfordern.
Fügen Sie einen eigenen Eintrag mit den vier Matomo Cookies (_pk_id, _pk_ses, _pk_ref, plus Konfigurationscookies), Zweck (Analytics), Speicherdauer, Rechtsgrundlage (berechtigtes Interesse mit Härtung oder Einwilligung), Hosting Standort (EU) und einem klickbaren Opt Out Link hinzu. Pflegen Sie diese Einträge in Ihrer Consent Management Plattform, damit Besucher die Einwilligung jederzeit widerrufen können.