Eine Praxis. Eine Kanzlei. Eine neue Website. Und nach ein paar Wochen die natürliche Frage: Schaut sich das eigentlich jemand an? Der erste Gedanke: Google Analytics. Der zweite: ein Cookie-Banner. Der dritte: die Frage, ob sich Besucherzahlen ohne Google Analytics mit cookiefreier Statistik datensparsamer erfassen lassen. Häufig geht das, wenn Tool, Hosting und Einbindung passen.
Website-Statistik ohne Cookie-Banner muss nicht automatisch Google Analytics bedeuten. Für viele Kanzleien und Praxen reicht eine cookiefreie, datensparsame Website-Statistik, die Seitenaufrufe, Quellen und beliebte Inhalte sichtbar macht.
Ob ein Cookie-Banner nötig ist, hängt von Tool, Hosting, Einbindung und Konfiguration ab. Entscheidend ist, welche Daten wann an wen fließen.
Warum Google Analytics selten der einfachste Weg zur Website-Statistik ohne Cookie-Banner ist
Sobald die Seite mit eingebundenem Google Analytics geladen wird, geschieht
im Hintergrund das Übliche — und es geschieht sofort. Der Browser lädt
Google-Dienste, Google verarbeitet technische Nutzungsdaten und setzt
typischerweise Analytics-Cookies wie _ga, um wiederkehrende
Nutzer und Sitzungen zu unterscheiden.1
Keine Klickfläche, kein Hinweis, keine Gelegenheit zur Zustimmung. Und es macht keinen Unterschied, ob der Besucher in einem Google-Konto eingeloggt ist oder nicht. Je nach Konfiguration können zusätzliche Google-Funktionen, Produktverknüpfungen oder Werbefunktionen hinzukommen.2 Genau darin liegt das rechtliche Problem.
Warum Statistik ein juristisches Thema ist
Hinter dem Cookie-Banner steckt eine einfache Idee: Bevor eine Website beim Aufruf etwas auf dem Gerät ihres Besuchers hinterlässt oder persönliche Daten an Dritte weitergibt, braucht sie dafür eine Erlaubnis. Ein Cookie ist das klassische Beispiel für das eine, eine an einen externen Server übertragene IP-Adresse das klassische Beispiel für das andere. Genau deshalb gibt es diese Banner.
Bei Google Analytics greifen — wie bei den meisten klassischen Tracking-Diensten — zwei rechtliche Ebenen parallel.
Die Cookie-Ebene: §25 TDDDG
Das regelt seit Ende 2021 in Deutschland §25 TDDDG: Wer auf dem Gerät
eines Besuchers einen lokalen Datensatz ablegt oder ausliest — Cookies
gehören dazu — braucht dafür dessen aktive Zustimmung. Ausnahmen gelten
nur für technisch unbedingt erforderliche Vorgänge; eine Statistik gehört
nicht dazu.3
Der Europäische Gerichtshof hat das im Urteil Planet49 bereits
2019 bestätigt.4 Auf Google Analytics angewandt heißt das: Schon die Cookies
wie _ga, die beim Laden gesetzt werden, sind regelmäßig
einwilligungspflichtig.
Die Drittland-Ebene: Art. 44 DSGVO
Diese zweite Ebene wird durch ein anderes Gesetz geregelt: die DSGVO. Sie schützt persönliche Daten — und dazu zählt rechtlich auch die IP-Adresse, sofern sie nicht anonymisiert übertragen wird. Wird ein personenbezogenes Datum an einen Server außerhalb der EU übertragen, greift ein eigenes Kapitel der Verordnung: der sogenannte Drittlandtransfer. Er verlangt eine eigene, tragfähige Rechtsgrundlage.5 Auf Google Analytics angewandt heißt das: Die Einbindung bleibt eine Einbindung eines US-Anbieters und braucht für Datenübermittlungen eine tragfähige rechtliche Absicherung — unabhängig davon, ob ein Cookie gesetzt wird oder nicht.
Dieses Muster war 2022 der Hintergrund mehrerer Behördenentscheidungen zu damaligen Google-Analytics-Konstellationen. Die österreichische Datenschutzbehörde, die französische CNIL und die italienische Garante sahen die damaligen Einbindungen kritisch.6 Diese Entscheidungen sind als Warnmuster relevant, aber nicht eins zu eins die aktuelle GA4-Lage im Jahr 2026.
Anders gesagt: Selbst wenn man die Cookie-Frage sauber löst, bleibt die zweite Ebene bestehen. Zwei Probleme. Nicht eines.
Hinweis: Dieser Artikel informiert allgemein über die Rechtslage und ersetzt keine Rechtsberatung. Für die konkrete Einschätzung Ihrer Website empfehlen wir einen Fachanwalt für IT- und Datenschutzrecht.
Aktuelle Lage 2026: warum das Cookie-Problem bleibt
Auf der Drittland-Ebene gibt es seit 2023 einen formalen EU-Beschluss, der Datentransfers an DPF-zertifizierte US-Unternehmen wie Google rechtlich absichert — das EU-U.S. Data Privacy Framework (DPF). Diese Absicherung besteht aktuell fort und wurde 2025 gerichtlich bestätigt. Das Cookie-Problem löst sie aber nicht, denn das hängt am deutschen TDDDG und nicht am Drittlandtransfer.
Für Google Analytics heißt das: Die Einwilligungsfrage bleibt bestehen, auch wenn die Drittland-Seite derzeit formal abgesichert ist. Wer diese Abhängigkeit vermeiden möchte, kommt nicht über immer bessere Banner aus der Lage heraus — sondern über die Frage, ob Google Analytics in dieser Form überhaupt eingebunden werden muss.
Hintergrund Was hatte das DPF eigentlich für ein Ziel — und warum bleibt es trotzdem ein Thema?
Auf der Drittland-Ebene gab es nach 2020 ein konkretes Problem: Der EuGH hatte Datentransfers in die USA für riskant erklärt, weil dort kein gleichwertiges Datenschutzniveau bestand. Selbst mit Einwilligung des Besuchers waren Übertragungen an US-Anbieter rechtlich exponiert — es brauchte zusätzliche, aufwändige Prüfungen, um überhaupt eine tragfähige Grundlage zu schaffen.
Genau das sollte das EU-U.S. Data Privacy Framework (DPF) im Juli 2023 lösen: Seither sind Datentransfers an DPF-zertifizierte US-Unternehmen — Google gehört dazu — formal wieder abgesichert.7 Im September 2025 hat das Gericht der Europäischen Union eine Klage gegen den Angemessenheitsbeschluss abgewiesen. Gleichzeitig bleibt diese Konstruktion politisch und rechtlich beobachtungsbedürftig: Sie hängt daran, dass die zugesagten Schutzmechanismen in den USA tatsächlich funktionieren. Genau darüber wurde 2025 erneut diskutiert, nachdem die US-Aufsicht PCLOB unter Druck geraten war.8 Schon das Vorgängerabkommen Privacy Shield wurde 2020 vom EuGH gekippt.9
| Phase | Cookie-/Einwilligungsfrage | Drittland-Transfer |
|---|---|---|
| Nach Schrems II (2020–2023) | Separat nach §25 TDDDG zu prüfen | Oft rechtlich exponiert |
| Mit DPF (seit Juli 2023, 2025 bestätigt) | Weiterhin separat nach §25 TDDDG zu prüfen | Für DPF-zertifizierte Empfänger erleichtert |
| Wenn DPF später kippen sollte | Weiterhin separat nach §25 TDDDG zu prüfen | Neu zu bewerten |
Zwei typische Wege, Besucherzahlen auszuwerten
Wer wissen will, wer auf seine Website kommt, hat mehrere technische Möglichkeiten: reine Serverlog-Auswertung, selbst gehostete Lösungen, spezialisierte Anbieter oder klassische Analytics-Dienste. Hier konzentrieren wir uns auf zwei Richtungen, die in Projekten häufig zur Entscheidung stehen. Sie unterscheiden sich nicht nur juristisch, sondern auch in dem, was sie über die Beziehung zu den eigenen Besuchern signalisieren.
| Lösung | Cookie-Banner für die Statistik? | Google-/USA-Bezug beim Seitenaufruf? | Datentiefe |
|---|---|---|---|
| Google Analytics, mit Consent-Banner | Ja, mit aktivem Opt-in | Ja (USA) | Sehr hoch — Google-Standard |
| Cookie-freie EU-Statistik | Oft ohne Banner möglich, bei cookiefreier Konfiguration | Nein, bei passender Wahl von Anbieter, Hosting und Einbindung | Mittel — für Website-Fragen ausreichend |
Variante 1 — Google Analytics mit Cookie-Banner
Funktioniert. Liefert die ausführlichste Datentiefe, die der Markt kennt. Hat aber alle in den vorigen Abschnitten beschriebenen Probleme: Banner beim ersten Besuch, ein nennenswerter Teil der Besucher lehnt ab, und die Drittland-Frage bleibt von der rechtlichen Entwicklung rund um das DPF abhängig. Aktuelle verwaltungsgerichtliche Rechtsprechung zeigt außerdem, wie streng Cookie-Banner geprüft werden: Sie dürfen Besucher nicht gezielt zur Einwilligung hinlenken oder die Ablehnung unnötig erschweren.10
Variante 2 — Cookie-freie EU-Statistik
Europäische Anbieter hosten ihre Dienste in der EU und bieten cookiefreie Konfigurationen an, in denen IP-Adressen nicht dauerhaft gespeichert werden.11 Damit kann die Einwilligungspflicht für die Statistik entfallen. Auch die Drittlandthematik lässt sich deutlich reduzieren oder vermeiden, wenn Anbieter, Hosting, CDN, Logs, Verträge und Einbindung entsprechend gewählt sind.
Entscheidend ist die Einbindung. Wird das Analytics-Skript direkt vom Browser an den Anbieter geladen, fällt in der Praxis ein nennenswerter Teil der Besucher aus der Statistik, weil moderne Browser-Blocker solche Skripte als externe Tracker erkennen und blockieren. Eine kontrollierte, datensparsame Einbindung reduziert technische Fehlmessungen und vermeidet unnötige Drittanbieter-Skripte. Sie darf aber nicht dazu dienen, bewusste Datenschutzentscheidungen der Besucher zu umgehen.
Wie wir das bei Core Expert lösen
Unser Standard ist die zweite Variante — in einer feineren Ausführung: cookiefreier EU-Anbieter, eingebunden über eine kontrollierte Vermittlungsschicht statt direkt vom Browser geladen zu werden. Das reduziert die zwei Hebel vom Anfang — Cookie-Pflicht und Drittlandabhängigkeit — und gleich ein paar Folgeprobleme dazu.
- Kein Cookie-Banner für die Statistik — wenn keine einwilligungspflichtigen Cookies oder vergleichbare Speicherungen genutzt werden.
- Kein Google-Analytics-Embed — weil die Statistik nicht direkt über Google Analytics läuft.
- Weniger Drittlandabhängigkeit — wenn Anbieter und Infrastruktur passend gewählt sind.
- Kein klassisches Drittpartei-Skript auf der Website — weil die Erfassung über eine kontrollierte Vermittlungsschicht läuft.
- Weniger technische Fehlmessungen — weil die Einbindung kontrolliert und schlank gehalten wird.
- Saubere Verantwortung — weil Einbindung, Dokumentation, Verträge und rechtliche Prüfung im Projekt klar geregelt werden.
Eine Kanzlei oder Praxis, die auf dieser Lösung aufsetzt, reduziert die typischen Diskussionen um Cookie-Banner, DPF, Schrems II und behördliche GA-Untersuchungen für die eigene Statistik deutlich. Sie sieht trotzdem, was auf der Website passiert — und sieht es realistisch.
Wir respektieren natürlich, wenn ein Kunde aus eigenen Gründen Google Analytics direkt eingebunden haben möchte — dann mit Cookie-Banner und den Trade-offs aus der Übersicht oben. Welcher Umfang für Ihre Website sinnvoll ist, klären wir im Projektgespräch.
Daraus wird eine Statistik, die zu einer Website mit Anspruch passt: datensparsam, ohne Banner, und ehrlich über das, was sie kann. Seitenaufrufe, Herkunft, Geräte, wichtige Klicks und die Entwicklung über die Zeit — so aufbereitet, dass man daraus Entscheidungen ableiten kann.
Sie bekommen eine belastbare Orientierung, ohne Besucher zu einer unnötigen Zustimmung zu drängen und ohne bewusste Datenschutzentscheidungen zu umgehen.
Besucherstatistik ist nicht die einzige Messebene
Wichtig ist die Unterscheidung: Website-Statistik misst, was nach dem Besuch auf der Website passiert. Sie zeigt Seitenaufrufe, Herkunft, Geräte, wichtige Klicks und Entwicklungen über die Zeit. SEO-Monitoring misst etwas anderes: für welche Suchbegriffe die Website sichtbar wird, wie sich Positionen entwickeln, welche Seiten Klicks aus der Suche bekommen und wo Inhalte noch fehlen.
Diese zweite Ebene braucht nicht automatisch ein Tracking-Skript auf der Website. Sie entsteht häufig aus Suchdaten, technischen Seitenprüfungen und Sichtbarkeitsdaten. Sie ersetzt keine Besucherstatistik, ergänzt sie aber: Die eine Ebene zeigt, ob Besucher die Website nutzen. Die andere zeigt, ob Suchmaschinen die Inhalte passend einordnen.
Für Kanzleien, Praxen und Berater ist genau diese Kombination wertvoll: nicht mehr Daten sammeln, sondern die richtigen Fragen beantworten. Welche Themen werden gesucht? Welche Seiten tragen zur Auffindbarkeit bei? Welche Inhalte sollten klarer werden? Auch hier gilt: Anbieter, Zugänge, Datenquellen und Verträge sollten sauber eingeordnet werden.
Was das für Ihre Kanzlei oder Praxis bedeutet
Für Kanzleien, Praxen und Berater ist die Wirkung des Cookie-Banners besonders heikel. Wer eine sensible Dienstleistung sucht, befindet sich in einer anderen Situation als ein Online-Shopper. Das erste, was die Website zeigt, sollte nicht eine Aufforderung sein, der Datenweitergabe zuzustimmen — schon gar nicht, weil Sie wissen wollen, wie viele Besucher gestern auf der Seite waren.
Eine Statistik, die ohne Banner auskommt, ist mehr als eine technische Entscheidung. Sie ist Teil dessen, was die Website über Ihren Umgang mit Daten aussagt — bevor Mandanten oder Patienten überhaupt eine Zeile gelesen haben.
Website-Statistik ohne unnötigen Cookie-Banner prüfen
Wir prüfen, welche Auswertung für Ihre Website sinnvoll ist und wie sie datenschutzfreundlich eingebunden werden kann. Bei passender Konfiguration ohne Google Analytics und ohne Analytics-Cookies, mit einem klaren Blick auf die Zahlen, die wirklich helfen.
Statistik für Ihre Website besprechen