> Unabhängige Analyse von Matomo (Piwik): Standard-Cookies, CNIL-Ausnahme für Reichweitenmessung, ePrivacy, berechtigtes Interesse, Transfers und Mustertext. > > Canonical: https://www.flowconsent.com/de/services/analytik/matomo Analyse # Matomo Analyse · [Offizielle Website](https://matomo.org) Matomo (früher Piwik) ist eine Open-Source-Webanalyse-Plattform und die führende DSGVO-konforme Alternative zu Google Analytics. Es kann auf der eigenen Infrastruktur selbst gehostet oder über Matomo Cloud (gehostet in Deutschland) genutzt werden. Selbst gehostetes Matomo im cookielosen Modus mit IP-Anonymisierung ist die einzige große Analyseplattform, die nach den CNIL-Befreiungskriterien ohne Einwilligungsbanner eingesetzt werden kann. Sie behalten 100 % Ihrer Daten ohne Transfers in Drittländer. [Matomo bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=analytics) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [Analyse](https://www.flowconsent.com/de/services/analytik) - Einwilligung Analyse - Vorherige Einwilligung Nicht erforderlich - Dokumentierte Cookies 13 - Drittanbieter-Domains 10 - Server Configurable: Matomo Cloud is hosted in the European Union (France, OVHcloud Strasbourg and Roubaix). Self hosted installations run wherever the publisher deploys the PHP application and MySQL database. Überblick ## Was macht Matomo? ## **Was Matomo tatsächlich macht** Matomo (früher Piwik) ist die führende Open Source Webanalyse Plattform und wird weltweit von über einer Million Websites eingesetzt. Die Anwendung wird von InnoCraft Ltd unter der GPLv3 Lizenz veröffentlicht und kann auf zwei Arten betrieben werden: selbst gehostet auf der eigenen Infrastruktur (PHP und MySQL) oder als Matomo Cloud, der SaaS Variante mit Hosting in Frankreich bei OVHcloud. Matomo misst Seitenaufrufe, Sitzungen, Conversions, E Commerce Ereignisse und Verhaltensdaten auf der Seite über ein JavaScript Tag (matomo.js) sowie über einen Bild Tracker (matomo.php). Im Vergleich zu Google Analytics behält der Publisher die volle Kontrolle über Speicherort, Speicherdauer und Weiterverwendung der Daten, weshalb Matomo als Referenzlösung für Organisationen gilt, die die CNIL Ausnahme für Reichweitenmessung anstreben. ## **Cookies und Speicherzugriffe auf dem Endgerät** In der Standardkonfiguration setzt Matomo First Party Cookies auf der Publisher Domain: \_pk\_id (Besucher Kennung, 13 Monate gemäß CNIL Empfehlung), \_pk\_ses (Sitzungszähler, 30 Minuten), \_pk\_ref (Verweiser, 6 Monate), \_pk\_cvar (benutzerdefinierte Variablen, 30 Minuten), \_pk\_hsr (Heatmap und Session Recording, 30 Minuten bei aktivem HSR Plugin) und \_pk\_testcookie (Browsertest, wenige Sekunden). Matomo kann auch im cookielosen Modus arbeiten und einen serverseitigen Fingerprint aus gekürzter IP, User Agent und Besuchstag bilden, der alle 24 Stunden neu erzeugt wird. Da auch im cookielosen Modus Konfigurations Cookies gesetzt werden, greift §25 TTDSG (Umsetzung von ePrivacy Art. 5(3)) weiterhin, sofern nicht die Voraussetzungen der Reichweitenmessungs Ausnahme erfüllt sind. ## **Rechtsgrundlage, CNIL Ausnahme und Einwilligung** Die CNIL Ausnahme (Leitfaden Reichweitenmessung, März 2022) erlaubt den Betrieb von Matomo ohne Einwilligung, sofern die Konfiguration strikt anonymisiert ist: IP Kürzung um mindestens zwei Bytes, keine seiten oder geräteübergreifende Nachverfolgung, keine kommerzielle Weiterverwendung, keine Weitergabe an Dritte, Speicherdauer auf 13 Monate für Besucher Cookies und 25 Monate für aggregierte Berichte begrenzt, jederzeit verfügbarer Widerspruchsmechanismus. Sind diese Bedingungen erfüllt, dient das berechtigte Interesse (Art. 6(1)(f) DSGVO) als Rechtsgrundlage und die Einwilligungspflicht aus §25 TTDSG entfällt. Außerhalb der Ausnahme (seitenübergreifendes Tracking, Aktivierung von Marketing Tags über Matomo Tag Manager, Weitergabe an Dritte, verhaltensbasierte Werbung) ist eine ausdrückliche Einwilligung erforderlich und Matomo darf erst nach Annahme geladen werden. ## **Internationale Datenübermittlungen und Auftragsverarbeitung** Auf Matomo Cloud befinden sich alle Verarbeitungsserver in Frankreich bei OVHcloud (Roubaix und Straßburg). InnoCraft, der Betreiber, ist in Wellington (Neuseeland) ansässig, einem Land mit Angemessenheitsbeschluss der EU Kommission vom 19. Dezember 2012, sodass die Datenübermittlung an den Betreiber ohne zusätzliche Garantien zulässig ist. Selbst gehostete Matomo Installationen führen keine Datenübermittlungen durch, es sei denn, der Publisher betreibt Matomo außerhalb des EWR. Die veröffentlichte Matomo Auftragsverarbeitungsvereinbarung entspricht Art. 28 DSGVO und enthält die EU Standardvertragsklauseln für etwaige Unterauftragsverarbeiter. ## **Praktische Compliance Checkliste** Aktivieren Sie die IP Anonymisierung um mindestens zwei Bytes (setIPv4Anonymize) und speichern Sie niemals die vollständige IP in den Rohlogs. Deaktivieren Sie die User ID Funktion, sofern keine vertraglich klare Zweckbestimmung besteht. Begrenzen Sie die Speicherdauer im Datenschutzbereich auf 13 Monate für Besucher Logs und 25 Monate für aggregierte Berichte. Dokumentieren Sie die Konfiguration in Ihrem Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Falls Sie zusätzlich Matomo Tag Manager zum Laden von Marketing Pixeln verwenden, behandeln Sie den gesamten Stack als einwilligungspflichtig. Stellen Sie sicher, dass beim Berufen auf die Ausnahme keine Profiling Plugins (Heatmaps und Session Recording, Form Analytics, Funnels) aktiv sind. ## **Alternativen und Migrationspfade** Vergleichbare privacy first Lösungen sind Plausible Analytics (cookiefrei, in Deutschland gehostet), Fathom Analytics, Piano Analytics (vormals AT Internet, standardmäßig CNIL exempt), Umami und Open Web Analytics. Eine Migration aus Matomo ist unkompliziert, da das SQL Schema dokumentiert ist und die API einen Massenexport ermöglicht. Bewahren Sie Ihre historischen Berichte für die gesetzlich vorgesehene Aufbewahrungsdauer auf, bevor Sie die Datenbank löschen, um Art. 5(1)(e) DSGVO zur Speicherbegrenzung einzuhalten. Datenschutz ## Matomo und die DSGVO - Rechtsgrundlage When configured under the CNIL exemption (anonymised IP, no cross site tracking, no marketing use, no data sharing, 13 month retention), Matomo can run on legitimate interest (GDPR art. 6(1)(f)) and benefit from the ePrivacy art. 5(3) exemption. Outside this strict configuration, consent (GDPR art. 6(1)(a) and ePrivacy art. 5(3)) is required. - Risikostufe low - Anwendbare Vorschriften GDPR, ePrivacy Directive 2002/58/EC, CNIL deliberation 2020 091 and CNIL analytics exemption guidance (2022), TTDSG (Germany), LOPDGDD (Spain), LIL (France) ### Datenschutz-Folgenabschätzung (DSFA) In der einwilligungsfreien Konfiguration ist eine vollständige DSFA in der Regel nicht erforderlich, da das Restrisiko gering ist: Daten verbleiben in der EU (Cloud) oder im eigenen Haus (selbst gehostet), IPs sind anonymisiert, keine Profilanreicherung, keine Weitergabe an Dritte. Eine DSFA wird empfehlenswert, wenn Matomo mit Plugins zur Profilanreicherung, Retargeting, A/B Testing, erweitertem Session Replay oder erweitertem Tracking eingeloggter Nutzer kombiniert wird. Dokumentieren Sie die Konfiguration in jedem Fall (Anonymisierungsgrad, Cookie Lebensdauer, aktivierte Plugins, Aufbewahrung), damit die Rechenschaftspflicht (Artikel 5(2) DSGVO) erfüllt werden kann. ### Beispieltext für Ihr Banner > Wir setzen Matomo ein, eine Open Source Webanalyse Plattform, um die Reichweite unserer Seiten zu messen und zu verstehen, welche Inhalte für Sie nützlich sind. Je nach Konfiguration läuft Matomo entweder cookiefrei unter der CNIL Ausnahme für Reichweitenmessung (anonymisierte IP, keine seitenübergreifende Verfolgung, keine kommerzielle Weiterverwendung) oder mit den Cookies \_pk\_id, \_pk\_ses und \_pk\_ref mit einer Speicherdauer von bis zu 13 Monaten. Auf Matomo Cloud werden Ihre Daten in Frankreich durch InnoCraft Ltd aus Neuseeland verarbeitet, einem Land mit Angemessenheitsbeschluss der EU Kommission von 2012. Sie können Ihre Einwilligung jederzeit über unser Präferenzfenster widerrufen oder ablehnen, auch wenn Matomo unter der Ausnahme betrieben wird. Cookies und Tracker ## Was Matomo setzt und kontaktiert - Tracking-Methode javascript\_tag\_and\_image\_tracker - Serverstandort Configurable: Matomo Cloud is hosted in the European Union (France, OVHcloud Strasbourg and Roubaix). Self hosted installations run wherever the publisher deploys the PHP application and MySQL database. - Cookieloser Modus verfügbar Ja ### Gesetzte Cookies (13) | Name | Typ | Laufzeit | Zweck | | -------------------------- | -------------------------------- | ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | \_pk\_id | First party (Matomo) | 13 months | Visitor identifier used to recognise returning visitors. Stores a random anonymous ID. | | \_pk\_id.{siteId}.{hash} | HTTP cookie (first party) | 13 months (configurable) | Stores the unique Matomo visitor identifier used to distinguish returning users from new users and to link multiple sessions to the same visitor profile. | | \_pk\_id | persistent | 13 months | Matomo visitor identifier cookie, not set in cookieless mode; identifies unique visitors for analytics | | \_pk\_ses | session | Session | Matomo session cookie for grouping page views within a single visit, not set in cookieless mode | | \_pk\_ses | First party (Matomo) | 30 minutes | Short lived session cookie used to track if the current visit is ongoing. | | \_pk\_ses.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Marks the current visitor session as active. The cookie expires 30 minutes after the last tracked event, at which point any new event starts a new session. | | \_pk\_ref | First party (Matomo) | 6 months | Stores the original referrer or campaign attribution for the visitor. | | \_pk\_ref.{siteId}.{hash} | HTTP cookie (first party) | 6 months | Stores the campaign, search engine or external referrer information that led the user to the site, so attribution reports can be built without re reading the Referer header on every page. | | \_pk\_cvar | First party (Matomo) | 30 minutes | Stores temporary custom variables for the current visit (legacy). | | \_pk\_cvar.{siteId}.{hash} | HTTP cookie (first party) | 30 minutes | Temporarily stores custom variables set via the setCustomVariable API at session scope. Only present if the website uses custom variables. | | \_pk\_testcookie | HTTP cookie (first party) | Session | Short lived test cookie used by Matomo to verify whether the browser accepts cookies. Deleted immediately after the test. | | \_pk\_testcookie | First party (Matomo) | Session | Used by Matomo to test whether cookies are supported by the browser. | | mtm\_consent | First party (Matomo Tag Manager) | 30 years (configurable) | Stores the consent decision of the visitor for Matomo Tag Manager. | ### Kontaktierte Drittanbieter-Domains (10) - `matomo.cloud` - `matomo.cloud` - `matomo.org` - `matomo.org` - `matomo.org` - `cloud.matomo.org` - `innocraft.cloud` - `innocraft.cloud` - `cdn.matomo.cloud` - `plugins.matomo.org` Fragen ## Häufige Fragen zu Matomo Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Kann ich Matomo ohne Cookie-Einwilligungsbanner verwenden? Ja. Matomo im cookielosen Modus mit IP-Anonymisierung erfüllt die CNIL-Befreiungskriterien für Analysen ohne Einwilligung. Konfigurieren: alle Cookies deaktivieren, IP anonymisieren (mindestens 2 Bytes), Cross-Site-Tracking deaktivieren, keine Datenweitergabe an Dritte. Diese Konfiguration benötigt kein Cookie-Banner. ### Was ist die CNIL-Befreiung für Analysetools? Die CNIL hat Kriterien definiert, unter denen Analysetools ohne Einwilligung betrieben werden können: cookieloses Tracking, IP-Anonymisierung, Single-Site-Daten ohne Cross-Site-Tracking, ausschließliche Nutzung für interne Statistiken, keine Weitergabe an Dritte. Matomo ist eines der wenigen Tools, das alle diese Kriterien erfüllen kann. ### Überträgt Matomo Daten außerhalb der EU? Self-Hosted: keine Transfers, Daten verbleiben auf Ihrem Server. Matomo Cloud: in Deutschland gehostet, keine Transfers außerhalb der EU. Keine Option erfordert SCCs. Das ist der primäre Vorteil von Matomo gegenüber Google Analytics für EU-Organisationen. ### Was ist der Unterschied zwischen Self-Hosted Matomo und Matomo Cloud? Self-Hosted: Sie installieren Matomo auf Ihrem eigenen Server, 100 % Datenkontrolle, kostenlose Open-Source-Software, technisches Setup erforderlich. Matomo Cloud: von InnoCraft in Deutschland gehostet, Managed Service, kostenpflichtig, kein technisches Setup, AV-Vertrag mit InnoCraft erforderlich. ### Setzt Matomo Cookies? Matomo setzt standardmäßig Cookies (\_pk\_id für Besucher-ID, \_pk\_ses für Session, \_pk\_ref für Referral), die im cookielosen Modus deaktiviert werden können. Ohne Cookies verwendet Matomo ein tagesbasiertes Hashing von IP und User Agent zur temporären Session-Gruppierung, das nicht über Tage hinweg persistiert. ### Wie konfiguriere ich Matomo für die CNIL-Befreiung? Im Matomo-Admin unter Datenschutz: IP-Anonymisierung aktivieren (mindestens 2 Bytes anonymisieren), cookieloses Tracking aktivieren (alle Erstanbieter-Cookies deaktivieren), Fingerprinting deaktivieren. In den Browser-Entwicklertools prüfen, dass beim Besuch der verfolgten Website keine Cookies gesetzt werden. Diese Konfiguration in den Compliance-Unterlagen dokumentieren. ### Kann Matomo für Session-Recording und Heatmaps verwendet werden? Ja, Matomo bietet Session-Recording und Heatmap-Funktionen. Diese Funktionen verarbeiten individuelle Nutzersessions und erfordern eine Einwilligung, genau wie kostenpflichtige Tools. Die cookielose Befreiung gilt nicht für Session-Recording-Funktionen. ### Wie schneidet Matomo im Vergleich zu Google Analytics in Bezug auf DSGVO-Konformität ab? Matomo ist für die DSGVO-Compliance erheblich einfacher: in der EU gehostet (keine US-Transfers), im cookielosen Modus ohne Einwilligung nutzbar, vollständige Dateneigentümerschaft, Open-Source und auditierbar. Google Analytics erfordert Einwilligung, US-SCCs, AV-Vertrag und wurde von mehreren EU-DPAs in der Standardkonfiguration als nicht konform eingestuft. ### Welche Cookies setzt Matomo? Standardmäßig setzt Matomo vier First Party Cookies: \_pk\_id (Besucher ID, 13 Monate), \_pk\_ses (Sitzungscookie, 30 Minuten), \_pk\_ref (Referrer Attribution, 6 Monate) sowie kurzlebige Konfigurationscookies. Cookies können vollständig deaktiviert werden: Matomo greift dann auf eine cookielose Identifizierung zurück, die nur für die Dauer des Besuchs gilt. ### Brauche ich für Matomo eine Einwilligung? Das hängt von der Konfiguration ab. In Frankreich erlaubt die CNIL Matomo ohne Einwilligung, wenn das Privacy Profil aktiv ist (anonymisierte IP, kein Fingerprinting, Cookie max. 13 Monate, Opt Out, kein seitenübergreifendes Tracking). In Deutschland verlangt § 25 TDDDG grundsätzlich eine Einwilligung für nicht zwingend erforderliche Cookies, außer im echten Cookieless Modus. In Spanien folgt die AEPD weitgehend der CNIL. ### Was ist die Rechtsgrundlage für Matomo? Unter der CNIL bzw. AEPD Ausnahme ist die Rechtsgrundlage das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) auf Basis einer dokumentierten Interessenabwägung. Außerhalb der Ausnahme oder bei seitenübergreifendem Tracking ist die Rechtsgrundlage die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG). ### Überträgt Matomo Daten in die USA? Nein. Matomo Cloud wird vollständig in der Europäischen Union (Frankreich und Deutschland) gehostet und beim Self Hosting läuft Matomo auf Ihrer eigenen Infrastruktur. Es findet keine Übermittlung personenbezogener Daten in die USA statt. Matomo ist damit vom Schrems II Urteil nicht betroffen und eine starke Wahl für Organisationen mit hohen Anforderungen an internationale Datentransfers. ### Brauche ich eine DSFA für Matomo? Eine Datenschutz Folgenabschätzung ist in der Regel nicht erforderlich, wenn Matomo im Privacy Modus auf EU Infrastruktur betrieben wird, IPs anonymisiert sind und kein seitenübergreifendes Tracking erfolgt. Eine DSFA ist empfehlenswert, wenn Sie sensible Kategorien (Kinder, Gesundheit) tracken, Matomo Daten mit CRM Identifiern verknüpfen oder sehr große Datenmengen verarbeiten, die unter die EDSA Kriterien für hohes Risiko fallen. ### Wie setze ich Matomo rechtskonform ein? Installieren Sie Matomo auf EU Infrastruktur oder buchen Sie Matomo Cloud (EU). Aktivieren Sie im Backend IP Anonymisierung (2 Bytes), deaktivieren Sie Fingerprinting, begrenzen Sie Cookies auf maximal 13 Monate, deaktivieren Sie seitenübergreifendes Tracking, respektieren Sie Do Not Track und veröffentlichen Sie das Opt Out. Aktualisieren Sie Datenschutzerklärung und Verzeichnis nach Art. 30 DSGVO. Falls Einwilligung erforderlich ist, binden Sie Matomo per \_paq.push API in Ihre Consent Management Plattform ein. ### Welche Alternativen gibt es zu Matomo? Privacy First Alternativen sind Plausible Analytics (EU, cookielos), Fathom Analytics (EU/US), Piwik PRO (EU, Enterprise), Pirsch (EU, cookielos) und das selbst gehostete Umami. Für vergleichbaren Funktionsumfang können Sie Google Analytics 4, Adobe Analytics oder Mixpanel evaluieren, die jedoch eine ausdrückliche Einwilligung und eine umfassende Datentransferprüfung erfordern. ### Wie aktualisiere ich die Cookie Richtlinie für Matomo? Fügen Sie einen eigenen Eintrag mit den vier Matomo Cookies (\_pk\_id, \_pk\_ses, \_pk\_ref, plus Konfigurationscookies), Zweck (Analytics), Speicherdauer, Rechtsgrundlage (berechtigtes Interesse mit Härtung oder Einwilligung), Hosting Standort (EU) und einem klickbaren Opt Out Link hinzu. Pflegen Sie diese Einträge in Ihrer Consent Management Plattform, damit Besucher die Einwilligung jederzeit widerrufen können. Passender Leitfaden ## Unsere Leitfäden zu Matomo [23. März 2026](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner) ### [Matomo und Cookies: Brauchen Sie noch ein Consent-Banner?](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner) [Matomo kann in Frankreich dank der CNIL-Ausnahme ohne Einwilligung betrieben werden. Voraussetzungen, Konfiguration und Fälle, in denen dennoch ein Banner nötig ist.](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner) [Leitfaden lesen](https://www.flowconsent.com/de/blog/matomo-cookies-dsgvo-cookie-banner) Gleiche Kategorie ## Weitere Dienste: Analyse [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/analytik) ### [UI Avenue](https://www.flowconsent.com/de/services/analytik/ui-avenue) [Analyse](https://www.flowconsent.com/de/services/analytik/ui-avenue) · ### [Pubperf](https://www.flowconsent.com/de/services/analytik/pubperf) [Analyse](https://www.flowconsent.com/de/services/analytik/pubperf) · ### [Biano](https://www.flowconsent.com/de/services/analytik/biano) [Analyse](https://www.flowconsent.com/de/services/analytik/biano) · ### [Measured](https://www.flowconsent.com/de/services/analytik/measured) [Analyse](https://www.flowconsent.com/de/services/analytik/measured) · ### [Triggerbee](https://www.flowconsent.com/de/services/analytik/triggerbee) [Analyse](https://www.flowconsent.com/de/services/analytik/triggerbee) · ### [OneStat](https://www.flowconsent.com/de/services/analytik/onestat) [Analyse](https://www.flowconsent.com/de/services/analytik/onestat) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)