Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Das ClustrMaps Widget ist ein kostenloser Besucherzähler mit Weltkarte, der Besucher-IP-Adressen erfasst, geolokalisiert und aggregierte Besuchsdaten öffentlich auf Ihrer Website anzeigt.
Das ClustrMaps Widget ist ein 2005 eingeführter kostenloser Besucherzähler, der heute vom US-Unternehmen Pillar Health betrieben wird. Betreiber binden einen kleinen Codeschnipsel (Script und Bild-Tag) in ihr HTML ein. Bei jedem Seitenaufruf wird serverseitig eine Anfrage an clustrmaps.com gesendet, die die Besucher-IP-Adresse erfasst, eine GeoIP-Auflösung durchführt und einen öffentlichen Zähler hochzählt. Anschließend rendert das Widget eine Weltkarte oder einen numerischen Zähler der Besuchsherkunft. Anders als rein clientseitige Analytik erfasst ClustrMaps die Daten direkt auf HTTP-Anfrageebene, sodass die IP-Adresse auch ohne Cookie serverseitig ausgelesen wird.
Bei jedem Seitenaufruf sendet der Browser eine Anfrage an clustrmaps.com-Domains. Die HTTP-Anfrage übermittelt IP-Adresse, User-Agent, Referer und Zeitstempel an ClustrMaps-Server in den USA. ClustrMaps lokalisiert die IP auf Stadtebene, speichert einen aggregierten Zähler unter der Widget-ID Ihrer Seite und kann First-Party-Speicher nutzen, um wiederkehrende Besucher zu erkennen. Der aggregierte Zähler (Stadt, Land, Besuchsanzahl) wird öffentlich im Widget angezeigt. Rohe IP-Adressen verbleiben bei ClustrMaps, die aggregierten Stadtmarkierungen sind jedoch öffentlich sichtbar und durch Suchmaschinen indexierbar.
Der Gerichtshof der Europäischen Union hat in der Rechtssache Breyer gegen Bundesrepublik Deutschland (C-582/14, Urteil vom 19. Oktober 2016) entschieden, dass dynamische IP-Adressen für einen Anbieter von Online-Mediendiensten personenbezogene Daten darstellen, wenn er über die rechtlichen Mittel verfügt, den Besucher mithilfe von Zusatzinformationen Dritter (typischerweise des Zugangsanbieters) zu identifizieren. Der EuGH hat dies im Urteil IAB Europe (C-604/22, 7. März 2024) bestätigt und ausgeweitet. Da ClustrMaps IP-Adressen aktiv protokolliert, geolokalisiert und mit Zeitstempeln und User-Agents verknüpft, unterfällt die Verarbeitung eindeutig Art. 4 Abs. 1 DSGVO. Die berechtigten Interessen nach Erwägungsgrund 49 reichen nicht aus, da Daten zu Analysezwecken (nicht zu Sicherheitszwecken) an einen US-Dritten weitergegeben werden.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Pillar Health hat seinen Sitz in den USA, und die ClustrMaps-Infrastruktur wird dort gehostet. Nach dem Schrems-II-Urteil des EuGH (C-311/18, 16. Juli 2020), das den Privacy Shield für ungültig erklärte, müssen Verantwortliche Standardvertragsklauseln nutzen und ein Transfer-Impact-Assessment durchführen. Das im Juli 2023 verabschiedete EU-US Data Privacy Framework stellt die Angemessenheit teilweise wieder her, gilt aber nur für selbst-zertifizierte Unternehmen. Die DPF-Zertifizierung von Pillar Health muss vor Inanspruchnahme über die offizielle DPF-Liste auf dataprivacyframework.gov geprüft werden. Andernfalls sind SCCs abzuschließen und US-Überwachungsgesetze (FISA 702, EO 12333) zu bewerten.
Ein ClustrMaps-spezifisches Risiko ist die öffentliche Anzeige aggregierter Besuchsdaten. Auf reichweitenstarken Seiten sind die Stadtmarkierungen unkritisch; auf kleinen oder spezialisierten Seiten (Personalblog, Praxisseite, Fachverein) kann die Karte jedoch die Stadt eines einzelnen Besuchers preisgeben. Im Zusammenspiel mit dem Seitenthema (Krankheit, politische Meinung, vertrauliche Beratung) kann der öffentliche Zähler einer indirekten Offenlegung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO gleichkommen. Die EDSA-Leitlinien 04/2019 zur Rechenschaftspflicht betonen, dass Verantwortliche das Re-Identifikationsrisiko aus öffentlich zugänglichen Aggregaten bewerten müssen. Betreiber von Seiten mit geringem Verkehr oder sensiblen Inhalten sollten die öffentliche Kartenansicht deaktivieren oder ganz auf ClustrMaps verzichten.
Da ClustrMaps eine nicht zwingend zur Diensterbringung erforderliche Analyseverarbeitung durchführt, verlangt Art. 5 Abs. 3 der ePrivacy-Richtlinie sowie § 25 TTDSG eine vorherige, informierte, freiwillige und spezifische Einwilligung, bevor das Script geladen oder die IP erfasst wird. Die französische CNIL hat wiederholt entschieden (Sanktionen SAN-2022-009 und SAN-2023-024), dass ''kostenlose'' Analyse-Widgets keine den CNIL-konformen Messlösungen vergleichbare Ausnahme genießen. In ihrem Leitfaden 2024 zu Drittdiensten warnt die CNIL zudem, dass kostenlose Widgets häufig Daten monetarisieren und der Verantwortliche für die nachgelagerte Verarbeitung haftet. Praktisch: ClustrMaps erst nach granularer Einwilligung über eine CMP einsetzen, das Script bis zur Zustimmung blockieren und Ablehnung gleichrangig anbieten.
Websites using ClustrMaps Widget must obtain user consent under GDPR regulations.
DPIA considerations
Das ClustrMaps Widget erfasst Besucher-IP-Adressen serverseitig, die nach dem EuGH-Urteil Breyer (C-582/14) personenbezogene Daten darstellen, sobald sie mit weiteren beim Verantwortlichen vorhandenen Kennungen kombinierbar sind. Das Widget überträgt Daten an Pillar-Health-Server in den USA und löst damit Schrems-II-Pflichten aus: Prüfung der Standardvertragsklauseln und Transfer-Impact-Assessment hinsichtlich FISA 702 und EO 12333. Ein besonderes Risiko ist der 'öffentliche Zähler': aggregierte Besuchsdaten (Stadt, Land, Anzahl) werden öffentlich angezeigt, was auf wenig besuchten Seiten Einzelbesucher indirekt re-identifizieren kann (eine einzelne Stadtmarkierung in der Nähe eines bekannten Empfängers). Die CNIL warnt wiederholt davor, dass 'kostenlose' Tracking-Widgets ihre Kosten über die Monetarisierung von Verhaltensdaten auf die Nutzer abwälzen; der Verantwortliche muss das Geschäftsmodell prüfen. Eine DSFA ist zu empfehlen, wenn das Widget auf Seiten mit sensiblem Kontext (Gesundheit, Politik, Religion) eingebunden ist oder der Datenverkehr eine indirekte Identifikation zulässt.
Sample consent text
Wir verwenden das ClustrMaps Widget, um eine öffentliche Karte der Besucher dieser Website anzuzeigen. Dieser Dienst erfasst Ihre IP-Adresse und Ihren ungefähren geografischen Standort und überträgt diese an Pillar-Health-Server in den USA. Stimmen Sie dieser Verarbeitung zu?
Third-party domains contacted
clustrmaps.comwww.clustrmaps.comcdn.clustrmaps.comclustrmaps-cdn.complus.pillarhealth.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| clustrmaps_session | first_party | session | Server-side session identifier used by ClustrMaps to deduplicate repeat page views within a single browsing session and prevent counter inflation. Set in first-party context but linked to ClustrMaps processing in the US. |
| __cmuid | third_party | 1 year | Persistent visitor identifier set by clustrmaps.com to recognise returning visitors across sessions and to attribute repeat visits in the aggregated map. Considered non-essential analytics storage requiring prior consent under Article 5(3) of the ePrivacy Directive. |
| cm_geo | first_party | 30 days | Stores the cached geolocation result for the visitor's IP to reduce duplicate GeoIP lookups by ClustrMaps. The cached city or country value is processed alongside server-side IP collection and is subject to consent and to GDPR transfer rules when synchronised with the US backend. |
ClustrMaps Widget verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
Ja. ClustrMaps führt eine Analyse durch, die für die vom Nutzer angeforderte Leistung nicht unbedingt erforderlich ist. Art. 5 Abs. 3 der ePrivacy-Richtlinie sowie § 25 TTDSG verlangen eine vorherige, informierte, freiwillige und spezifische Einwilligung, bevor das Widget-Script geladen oder eine IP-Adresse erfasst wird. Das Widget muss von einer CMP blockiert werden, bis eine ausdrückliche Zustimmung vorliegt; die Ablehnung muss ebenso einfach sein wie die Annahme.
Ja. Im Urteil Breyer (C-582/14) hat der EuGH entschieden, dass dynamische IP-Adressen personenbezogene Daten darstellen, wenn der Verantwortliche über rechtliche Mittel verfügt, Identifikationsinformationen von einem Dritten wie dem Internetzugangsanbieter zu erlangen. Das Urteil IAB Europe (C-604/22, 2024) bestätigt eine weite Auslegung der Identifizierbarkeit. ClustrMaps protokolliert die IP, lokalisiert sie und verknüpft sie mit Zeitstempeln und User-Agents - all dies fällt unter Art. 4 Abs. 1 DSGVO.
ClustrMaps wird von Pillar Health in den USA betrieben. Nach Schrems II (C-311/18, 2020) müssen Verantwortliche Standardvertragsklauseln samt Transfer-Impact-Assessment heranziehen oder sich auf eine gültige Zertifizierung im Rahmen des im Juli 2023 verabschiedeten EU-US Data Privacy Framework stützen. Der aktive DPF-Status von Pillar Health ist auf dataprivacyframework.gov zu überprüfen; ohne diesen bleiben Risiken aus FISA 702 und EO 12333 bestehen und ergänzende Maßnahmen sind erforderlich.
ClustrMaps zeigt aggregierte Besucherdaten öffentlich an (Stadtmarkierungen, Landeszahlen, Besuchszählung). Auf wenig frequentierten oder spezialisierten Seiten kann diese Aggregation die Stadt eines einzelnen Besuchers offenlegen, was zusammen mit dem Seitenthema (Gesundheit, Religion, Politik) einer indirekten Offenlegung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO gleichkommen kann. EDSA-Leitlinien 04/2019 verlangen vom Verantwortlichen eine Bewertung des Re-Identifikationsrisikos aus öffentlich zugänglichen Aggregaten.
ClustrMaps stützt sich primär auf serverseitige IP-Erfassung, kann jedoch First-Party-Speicher nutzen, um wiederkehrende Besucher kurzfristig zu deduplizieren. Jede solche Speicherung unterliegt Art. 5 Abs. 3 ePrivacy-Richtlinie bzw. § 25 TTDSG und erfordert unabhängig von Dauer oder Technik eine vorherige Einwilligung.
Eine Datenschutz-Folgenabschätzung ist empfohlen und kann nach Art. 35 DSGVO verpflichtend sein, wenn ClustrMaps auf Seiten mit sensiblem Kontext eingebunden wird, auf Seiten mit geringem Verkehr, bei denen eine Re-Identifikation plausibel ist, oder in Kombination mit anderen Tracking-Tools. Die DSFA muss US-Transfers, das Risiko öffentlicher Aggregation und das Geschäftsmodell des Anbieters adressieren.
In ihrem Leitfaden 2024 zu Drittdiensten sowie in den Sanktionen SAN-2022-009 und SAN-2023-024 warnt die französische CNIL: „kostenlose" Analyse- und Zähl-Widgets monetarisieren in der Regel Besucherdaten, und der Verantwortliche haftet weiterhin für die nachgelagerte Verarbeitung. Kostenfreiheit entbindet weder von der Einwilligungspflicht noch von einer gründlichen Anbieterbewertung.
EU-gehostete datenschutzfreundliche Analyselösungen wie Matomo (selbst gehostet oder EU-Cloud), Plausible (EU), Fathom (EU-Option) oder Piwik PRO bieten Besucherstatistiken ohne US-Transfers und können bei korrekter Konfiguration in Frankreich von der CNIL-Einwilligungsausnahme profitieren. Eine öffentliche Weltkarte als Widget bietet keines dieser Tools standardmäßig - da der öffentliche Zähler das größte ClustrMaps-spezifische Risiko ist, ist die Entfernung der öffentlichen Kartenansicht die einfachste Abhilfemaßnahme.