Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Matomo (früher Piwik) ist eine quelloffene Webanalyse-Plattform, die Ihnen vollständige Datensouveränität bietet. Als selbst gehostete Lösung, Cloud-Dienst oder WordPress-Plugin verfügbar, verfolgt Matomo das Besucherverhalten mit Erstanbieter-Cookies und unterstützt cookiefreies Tracking. Von der CNIL für die Einwilligungsbefreiung zugelassen, wenn entsprechend konfiguriert.
Matomo Analytics ist das ursprüngliche Messprodukt der Open Source Plattform Matomo (früher Piwik). Es misst Seitenaufrufe, Sitzungen, Conversions, Ereignisse, E Commerce Transaktionen und Verhaltensdaten auf der Seite über ein JavaScript Tag (matomo.js) sowie einen Bild Tracker (matomo.php). Matomo Analytics kann auf der eigenen PHP und MySQL Infrastruktur des Publishers selbst gehostet oder als SaaS über Matomo Cloud, gehostet in Frankreich bei OVHcloud, bereitgestellt werden.
Die Standard Cookies, die Matomo Analytics schreibt, sind First Party Cookies auf der Publisher Domain: _pk_id (Besucher Kennung, 13 Monate gemäß CNIL), _pk_ses (Sitzungszähler, 30 Minuten), _pk_ref (Verweiser, 6 Monate), _pk_cvar (benutzerdefinierte Variablen, 30 Minuten) und _pk_testcookie (Browsertest, wenige Sekunden). Im cookielosen Modus wird kein persistenter Identifikator geschrieben; Matomo berechnet stattdessen einen täglichen serverseitigen Hash aus gekürzter IP und User Agent. Die Einwilligungspflicht aus §25 TTDSG bleibt bestehen, sofern nicht die strengen Voraussetzungen der CNIL Ausnahme erfüllt sind.
Um Matomo Analytics ohne Banner einzusetzen, folgen Sie der CNIL Ausnahme (Leitfaden März 2022): IP Kürzung um mindestens zwei Bytes, keine seitenübergreifende Nachverfolgung, keine kommerzielle Weiterverwendung, keine Weitergabe an Dritte, Speicherdauer auf 13 Monate für Besucher Cookies und 25 Monate für aggregierte Berichte, Widerspruchsmechanismus. Innerhalb dieses Rahmens ist das berechtigte Interesse (Art. 6(1)(f) DSGVO) die Rechtsgrundlage. Außerhalb davon ist eine ausdrückliche Einwilligung (Art. 6(1)(a) DSGVO und §25 TTDSG) erforderlich.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Bei Matomo Cloud befinden sich alle Server in Frankreich bei OVHcloud. Der Betreiber InnoCraft Ltd ist in Wellington (Neuseeland) ansässig, einem Land mit Angemessenheitsbeschluss der EU Kommission von 2012, sodass administrative Zugriffe aus Neuseeland ohne Standardvertragsklauseln zulässig sind. Selbst gehostete Matomo Analytics Installationen erzeugen keine Übermittlung, sofern der Publisher keine Infrastruktur außerhalb des EWR nutzt.
Aktivieren Sie setIPv4Anonymize mit mindestens zwei Bytes, deaktivieren Sie die User ID Funktion, sofern keine vertragliche Begründung besteht, begrenzen Sie die Speicherdauer auf 13 Monate, dokumentieren Sie die Konfiguration in Ihrem Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Verzichten Sie auf die Plugins Heatmap, Session Recording und Form Analytics, wenn Sie sich auf die Ausnahme stützen. Stellen Sie einen Ein Klick Opt Out Link auf Basis der trackerUrl bereit.
Vergleichbare privacy first Analysen sind Plausible (cookiefrei, Deutschland), Fathom Analytics, Piano Analytics (Frankreich, standardmäßig CNIL exempt), Umami und Open Web Analytics. Eine Migration zu oder von Matomo Analytics ist dank des dokumentierten SQL Schemas und der Export API unkompliziert.
Websites using Matomo Analytics must obtain user consent under GDPR regulations.
DPIA considerations
Wenn Matomo Analytics gemäß den CNIL Empfehlungen konfiguriert ist (IP Anonymisierung, kein Cross Site Tracking, 13 Monate Cookies, keine Datenweitergabe an Dritte, Opt Out verfügbar), ist das Restrisiko gering und eine vollständige DSFA in der Regel nicht erforderlich. Eine DSFA wird empfehlenswert, wenn Sie Session Replay, Heatmaps für eingeloggte Nutzer, erweiterte Funnel Analyse mit persistenten User IDs, A/B Tests oder Plugins zur Profilanreicherung aktivieren. Die Risikobewertung sollte mit dem vorherigen Google Analytics Einsatz verglichen werden, um die Verbesserung zu dokumentieren, und die Konfiguration im Verzeichnis nach Artikel 30 festgehalten werden.
Sample consent text
Wir setzen Matomo Analytics ein, ein Open Source Webanalyse Tool, um die Besucher dieser Website zu zählen. Wenn Matomo Analytics unter der CNIL Ausnahme konfiguriert ist (anonymisierte IP, keine seitenübergreifende Verfolgung, keine kommerzielle Weiterverwendung, Speicherdauer auf 13 Monate begrenzt), ist keine Einwilligung erforderlich; Sie können dem jederzeit widersprechen. Andernfalls verwendet Matomo Analytics die Cookies _pk_id, _pk_ses und _pk_ref. Ihre Daten werden in der Europäischen Union auf Matomo Cloud (Frankreich) oder auf unserem eigenen Server verarbeitet. Sie können Ihre Einwilligung jederzeit über unser Präferenzfenster widerrufen.
Third-party domains contacted
matomo.cloudmatomo.orgmatomo.cloudmatomo.org*.matomo.cloudmatomo.orgplugins.matomo.orginnocraft.cloudinnocraft.cloudCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| _pk_id | first-party | 13 months | Stores a unique visitor ID to recognise new and returning visitors and build visitor profiles including visit count, timestamps, eCommerce orders, and goal conversions. |
| _pk_id | First party (Matomo) | 13 months | Visitor identifier used to recognise returning visitors. |
| _pk_id.{siteId}.{hash} | HTTP cookie (first party) | 13 months (configurable) | Stores the unique Matomo Analytics visitor identifier used to distinguish returning visitors from new visitors. |
| _pk_ses | First party (Matomo) | 30 minutes | Short lived session cookie used to track the current visit. |
| _pk_ses | first-party | 30 minutes | Used to link actions performed during a session (page views, downloads, events) to a unique visit, enabling accurate session attribution. |
| _pk_ses.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Marks the current Matomo Analytics session as active. Expires 30 minutes after the last tracked event. |
| _pk_ref | First party (Matomo) | 6 months | Stores referrer or campaign attribution for the visitor. |
| _pk_ref.{siteId}.{hash} | HTTP cookie (first party) | 6 months | Stores the campaign and referrer information that brought the visitor to the site, used by attribution reports. |
| _pk_ref | first-party | 6 months | Stores referrer attribution data including the source (search engine, social media, external website, or campaign URL) that brought the visitor to the site. |
| _pk_testcookie | HTTP cookie (first party) | Session | Short lived test cookie used to verify whether the browser accepts cookies before any tracking starts. |
| _pk_cvar | first-party | 30 minutes (session) | Stores custom variables in key-value pairs to define additional metadata about the visitor or their actions during a session. |
| _pk_cvar | First party (Matomo) | 30 minutes | Stores temporary custom variables for the current visit (legacy). |
| _pk_testcookie | First party (Matomo) | Session | Tests whether cookies are supported by the browser. |
| mtm_consent | first-party | Until withdrawn (default: 30 years) | Records that the visitor has given consent to be tracked. Set when using Matomo's built-in consent management or a CMP integration. |
| mtm_consent_removed | first-party | Until withdrawn (default: 30 years) | Records that the visitor has opted out of being tracked. Used when the visitor withdraws previously given consent. |
| _pk_hsr | first-party | Session | Used by Heatmap and Session Recording features to track which areas of a webpage visitors interact with and to capture session recording data. |
Matomo Analytics erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Matomo setzt vier Haupt-Erstanbieter-Cookies: _pk_id (eindeutige Besucher-ID, 13 Monate), _pk_ses (Sitzungsverfolgung, 30 Minuten), _pk_ref (Referrer-Attribution, 6 Monate) und _pk_cvar (benutzerdefinierte Sitzungsvariablen, 30 Minuten). Optionale Cookies umfassen mtm_consent und mtm_consent_removed für das Einwilligungsmanagement sowie _pk_hsr für Heatmaps und Session Recordings. Matomo kann auch vollständig ohne Cookies konfiguriert werden.
In den meisten EU-Ländern ist gemäß den ePrivacy-Regeln eine Einwilligung vor jeglichem Analytics-Tracking einschließlich Matomo erforderlich. In Frankreich (CNIL), Spanien, Italien und den Niederlanden kann Matomo jedoch von einer Einwilligungsbefreiung profitieren, wenn es mit bestimmten Datenschutzeinstellungen konfiguriert ist: cookiefreier Modus, IP-Anonymisierung, kein Cross-Site-Tracking und begrenzte Datenspeicherung. In strengen Rechtsordnungen wie Deutschland, Österreich und Irland ist die Einwilligung stets erforderlich, unabhängig von der Konfiguration.
Für Matomo gelten zwei Rechtsgrundlagen: Einwilligung oder berechtigtes Interesse. Die Einwilligung ist die sicherste Option und in den meisten EU-Rechtsordnungen erforderlich. Berechtigtes Interesse kann herangezogen werden, wenn eine Interessenabwägungsprüfung (LIA) mit Dokumentation von Zweck, Notwendigkeit und Abwägungstest durchgeführt wird. Bei Nutzung der CNIL-Befreiung gilt für die ePrivacy-Konformität die Ausnahme für unbedingt notwendige Maßnahmen, wobei DSGVO-Anforderungen weiterhin gelten, sofern personenbezogene Daten verarbeitet werden.
Nein. Bei Matomo On-Premise verbleiben alle Daten auf Ihren eigenen Servern am von Ihnen gewählten Standort. Bei Matomo Cloud werden Daten ausschließlich in EU-Rechenzentren (Deutschland und Frankreich) gespeichert. Matomo gibt niemals Daten an Dritte weiter und verwendet diese nicht für eigene Zwecke. Dies ist ein wesentlicher Compliance-Vorteil gegenüber Tools wie Google Analytics, das von mehreren EU-Datenschutzbehörden aufgrund von US-Datenübertragungen für rechtswidrig erklärt wurde.
Eine DSFA ist für Standard-Matomo-Deployments mit Standard-Datenschutzeinstellungen im Allgemeinen nicht erforderlich, da das Tool datenschutzkonform konzipiert ist und keine Drittlandübertragungen durchführt. Eine DSFA wird jedoch empfohlen bei Aktivierung von Heatmaps und Session Recordings, Verarbeitung von Daten besonderer Personengruppen, Kombination von Matomo-Daten mit anderen personenbezogenen Datenquellen oder Nutzung des User-ID-Trackings zur Verknüpfung von Sitzungen mit identifizierten Personen.
Wesentliche Schritte: On-Premise oder Matomo Cloud für vollständige Datenkontrolle wählen. IP-Anonymisierung aktivieren (2 oder 3 Bytes). Angemessene Datenspeicherungsrichtlinien festlegen. Matomo im Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentieren. Datenschutzerklärung aktualisieren. CMP integrieren oder Matomos integrierte Einwilligungs-API nutzen. Für die CNIL-Befreiung den offiziellen Konfigurationsleitfaden befolgen und einen Opt-out-Mechanismus über den Matomo-Opt-out-iFrame oder ein benutzerdefiniertes Formular anbieten.
Datenschutzorientierte Analysealternativen sind: Plausible Analytics (cookiefrei, schlank, EU-gehostet), Fathom Analytics (cookiefrei, einfach, datenschutzorientiert), GoatCounter (Open Source, minimales Tracking) und Umami (Open Source, selbst gehostet). Für Organisationen, die vollständige Funktionsparität mit Google Analytics benötigen, bleibt Matomo mit seinem selbst gehosteten Modell und der CNIL-Zulassung die umfassendste datenschutzfreundliche Option.
Die Cookie-Richtlinie sollte jedes Matomo-Cookie nach Name, Typ, Zweck und Gültigkeitsdauer auflisten: _pk_id (persistent, Besucheridentifikation, 13 Monate), _pk_ses (Sitzung, Sitzungsverfolgung, 30 Minuten), _pk_ref (persistent, Referrer-Attribution, 6 Monate), _pk_cvar (Sitzung, benutzerdefinierte Variablen, 30 Minuten). Bei Nutzung der Einwilligungsverwaltung auch mtm_consent und mtm_consent_removed auflisten. Angeben, dass Matomo ausschließlich Erstanbieter-Cookies verwendet, Daten auf eigenen Servern oder in der EU gespeichert werden und keine Daten an Dritte weitergegeben werden.
Matomo Analytics setzt drei Erstanbieter Cookies: _pk_id (eindeutige Besucherkennung, standardmäßig 13 Monate), _pk_ses (aktive Sitzung, 30 Minuten) und _pk_ref (Referrer, 6 Monate). Ein cookieloser Modus steht bereit, in dem die Identifizierung serverseitig anhand gekürzter IP und User Agent erfolgt. Matomo setzt niemals Drittanbieter Cookies.
Vier First Party Cookies: _pk_id (Besucher ID, 13 Monate), _pk_ses (Sitzung, 30 Minuten), _pk_ref (Referrer, 6 Monate) und kurze Konfigurationscookies. Der Cookieless Modus deaktiviert alle persistenten Cookies.
Nicht zwingend. Wenn Matomo Analytics gemäß CNIL Befreiung konfiguriert ist (IP Anonymisierung, 13 Monate Cookies, kein Cross Site Tracking, keine Weitergabe an Dritte, Opt Out, Do Not Track wird respektiert), gilt es als zwingend erforderliche Messung und benötigt keine vorherige Einwilligung. In jeder anderen Konfiguration ist eine vorherige Opt In Einwilligung nach Artikel 6(1)(a) DSGVO und Artikel 5(3) ePrivacy erforderlich.
In Frankreich oder Spanien nicht, wenn das CNIL/AEPD Privacy Profil aktiv ist (anonymisierte IP, max. 13 Monate, kein Fingerprinting, Opt Out). In Deutschland erfordert § 25 TDDDG eine Einwilligung, außer im Cookieless Modus.
In der einwilligungsfreien Konfiguration ist die Rechtsgrundlage das berechtigte Interesse (Artikel 6(1)(f) DSGVO), da die Verarbeitung für einen vom Betreiber erwarteten Messdienst zwingend erforderlich ist und das Risiko für die betroffene Person gering ist. Außerhalb dieser Konfiguration ist die Rechtsgrundlage die Einwilligung. Der DPA mit InnoCraft (Cloud) wird nach Artikel 28 unterzeichnet; im Self Hosting besteht kein Auftragsverarbeitungsverhältnis.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) unter der CNIL/AEPD Ausnahme. Sonst Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG / Art. 5 Abs. 3 ePrivacy).
Nein. Matomo Cloud wird in Frankreich und Deutschland gehostet, Self Hosting läuft auf Ihrer eigenen EU Infrastruktur. Es findet kein US Transfer statt.
Nein. Matomo Cloud Daten werden ausschließlich in Deutschland gespeichert (Hetzner Online, Falkenstein und Nürnberg). Selbst gehostetes Matomo läuft auf der vom Betreiber gewählten Infrastruktur. InnoCraft als Herausgeber sitzt in Neuseeland, das seit 2012 einen EU Angemessenheitsbeschluss besitzt; der Support Zugriff stellt damit keinen Drittlandtransfer dar, der SCC erfordert.
In der Regel nicht, wenn Matomo im Privacy Profil auf EU Infrastruktur läuft. Empfohlen bei umfangreichem Tracking, sensiblen Kategorien oder CRM Verknüpfung.
Eine vollständige DSFA ist in der einwilligungsfreien, IP anonymisierten Konfiguration in der Regel nicht erforderlich, da das Restrisiko gering ist. Sie wird empfehlenswert, wenn Sie Session Replay, Heatmaps für identifizierte Nutzer, erweiterte Funnel Analyse mit persistenten User IDs, A/B Tests oder Plugins zur Profilanreicherung aktivieren. Dokumentieren Sie die Konfiguration immer im Verzeichnis nach Artikel 30.
Aktivieren Sie IP Anonymisierung, deaktivieren Sie Fingerprinting, begrenzen Sie Cookies auf 13 Monate, respektieren Sie Do Not Track, stellen Sie das Opt Out bereit. Dokumentieren Sie alles im Verzeichnis nach Art. 30 DSGVO und in der Datenschutzerklärung.
Richten Sie ein Matomo Cloud Konto ein oder installieren Sie es On Premises, replizieren Sie Ziele und E Commerce Tracking, lassen Sie den offiziellen Google Analytics Importer für die letzten 24 Monate laufen, betreiben Sie matomo.js parallel zu GA im Vergleichsmodus für 30 bis 60 Tage, entfernen Sie anschließend den GA Tag, aktualisieren Sie die Cookie Richtlinie und informieren Sie den DSB. Prüfen Sie in den Rohlogs, dass die IP Anonymisierung aktiv ist, bevor Sie endgültig umstellen.
Plausible Analytics, Fathom Analytics, Piwik PRO, Pirsch und das selbst gehostete Umami für Privacy First. Google Analytics 4 und Adobe Analytics für Enterprise Funktionsumfang (mit Einwilligung).
Für einwilligungsfreie Analyse: Plausible (Deutschland), Pirsch (Deutschland), Fathom Lite (selbst hostbar), Cabin (selbst hostbar), umami (Open Source). Für einwilligungsbasierte Analyse mit größerem Funktionsumfang: PostHog (US/EU), Mixpanel (US), Amplitude (US), Heap (US). Für serverseitige Log Analyse: Piano Analytics (Frankreich, ehemals AT Internet), eulerian (Frankreich), Wide Angle Analytics (Polen).
Listen Sie die vier Matomo Cookies mit Zweck, Speicherdauer und Rechtsgrundlage. Erwähnen Sie die Konfiguration (anonyme IP, kein Fingerprinting, EU Hosting). Aktualisieren Sie das Dokument bei jeder Änderung.
Tragen Sie den Eintrag entweder als einwilligungsfreie Analyse (wenn die CNIL Bedingungen erfüllt sind) oder als einwilligungspflichtige Analyse ein. Nennen Sie den Auftragsverarbeiter (InnoCraft Ltd. für Matomo Cloud oder selbst gehostet), den Zweck (Reichweitenmessung), die Rechtsgrundlage, die Cookies und ihre Lebensdauer (13 Monate, 30 Minuten, 6 Monate), die Aufbewahrung (max. 25 Monate), das Fehlen von Drittlandtransfers und einen Link zur Opt Out Seite.