Messen mit einer datenschutzfreundlichen Analyse

Modul 8: Messen, Stolperfallen und Pflege · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie Besuche auf Ihrer Website messen, ohne unnötige Daten zu sammeln, erklären, wann Sie für Analyse-Cookies eine Einwilligung brauchen, und den Unterschied zwischen Search Console und einem Analysetool benennen.

Kernbegriffe: Analyse (Webstatistik), Serverstatistik (AWStats, Zugriffslog), Messskript, Matomo, Plausible, Google Analytics, eingeschränkte Analyse-Cookies (niederländische Ausnahme), Einwilligung, § 25 TDDDG, berechtigtes Interesse, IP-Adresse kürzen, Search Console gegenüber Analyse, Ziel (Conversion), Messplan

Warum messen?

In den vorherigen Modulen haben Sie vieles verbessert: Titel, Geschwindigkeit, strukturierte Daten, Ihr Unternehmensprofil. Aber bringt es etwas? Das wissen Sie erst, wenn Sie messen. Messen beantwortet drei Fragen:

1. Kommen Menschen? Wie viele Besucher, auf welchen Seiten.
2. Woher kommen sie? Über Google, über Bing, über einen Link auf einer anderen Website, über Ihr Unternehmensprofil oder direkt.
3. Tun sie, was Sie sich erhoffen? Ein Angebot anfragen, anrufen, eine Bestellung aufgeben. Eine solche gewünschte Handlung heißt Ziel (in der Marketingsprache: eine Conversion).

Messen ist kein Selbstzweck. Wer hundert Diagramme ansieht und nichts ändert, hat vom Messen nichts. Wählen Sie deshalb vorab einige Fragen aus und messen Sie nur, was Sie zu deren Beantwortung brauchen. Genau das verlangt auch das Datenschutzrecht von Ihnen.

Zwei Quellen, die sich ergänzen

Search Console: was in Google passiert

Search Console (Lektion 2.3) zeigt, was in Google passiert, bevor jemand auf Ihre Website kommt: wie oft Ihre Seite in den Ergebnissen stand (Impressionen), wie oft darauf geklickt wurde (Klicks) und bei welchen Suchanfragen. Google zählt einen Klick, wenn jemand aus den Suchergebnissen zu Ihrer Seite geht. Search Console weiß nichts darüber, was der Besucher danach auf Ihrer Website tut, und nichts über Besucher, die über Bing, einen Link oder Ihren Newsletter kommen. Für Bing gibt es Bing Webmaster Tools.

Ein Analysetool: was auf Ihrer Website passiert

Ein Analysetool misst, was auf Ihrer Website passiert: welche Seiten besucht werden, wie lange, aus welcher Quelle und ob jemand ein Ziel erreicht. Es gibt drei Arten:

Daneben gibt es Tools, die keine gewöhnliche Analyse sind, aber Verhalten aufzeichnen, etwa Microsoft Clarity und Hotjar (Aufnahmen von Mausbewegungen und Klicks) und das Meta Pixel (für Werbung auf Facebook und Instagram). Diese gehen weit über das "Besucherzählen" hinaus.

Serverstatistiken zählen auch Bots und Crawler mit und erkennen schlecht, welcher Besucher welche Seiten nacheinander ansieht. Ein Messskript erkennt das besser, verpasst aber Besucher, die Skripte blockieren. Keine Quelle ist vollständig. Achten Sie deshalb auf Trends (geht es nach oben oder nach unten?) und nicht auf die exakte Zahl. Unterschiede zwischen Search Console und Ihrem Analysetool sind normal.

Cookies, Einwilligung und das Gesetz

Viele Messskripte setzen ein Cookie oder lesen etwas aus dem Browser des Besuchers aus. Darum geht es in Deutschland in § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), der nationalen Umsetzung der Cookieregel aus der ePrivacy-Richtlinie 2002/58/EG. Grundregel: Für das Speichern oder Auslesen von Informationen auf dem Gerät eines Besuchers brauchen Sie eine Einwilligung, und Sie müssen klar sagen, wofür.

Bei den Ausnahmen unterscheiden sich die Länder. In den Niederlanden braucht man nach Artikel 11.7a Abs. 3 der Telecommunicatiewet keine Einwilligung für Informationen über die Qualität oder Wirksamkeit der Website, sofern das keine oder nur geringe Folgen für die Privatsphäre des Besuchers hat. Die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens (AP) nennt das beperkt analytische cookies (eingeschränkte Analyse-Cookies). Deutschland kennt keine eigene Ausnahme für Analyse-Cookies: § 25 Abs. 2 TDDDG befreit nur unbedingt erforderliche Zugriffe. Für Reichweitenmessung mit Cookies verlangen die Datenschutzaufsichtsbehörden (Datenschutzkonferenz, DSK) in der Regel eine Einwilligung. Serverstatistiken ohne Zugriff auf das Endgerät fallen nicht unter § 25 TDDDG; die DSGVO gilt trotzdem. Außerdem gilt in jedem Fall:

• Werden personenbezogene Daten verarbeitet (eine IP-Adresse ist bereits ein personenbezogenes Datum), gilt die DSGVO. Sie brauchen dann eine Rechtsgrundlage; nach Auffassung der niederländischen AP kann das für funktionale und eingeschränkte Analyse-Cookies ein berechtigtes Interesse sein, nach einer Abwägung mit den Interessen des Besuchers. Das ersetzt in Deutschland nicht die Einwilligung nach § 25 TDDDG, wenn auf das Gerät zugegriffen wird.
• Sie erwähnen die Messung in Ihrer Datenschutzerklärung, und Besucher müssen einfach widersprechen können.
• Sobald Daten verwendet werden, um Besucher über Websites hinweg zu verfolgen, Profile zu erstellen oder für Werbung, handelt es sich um Tracking-Cookies, und Sie brauchen in jedem Fall eine Einwilligung.

Google Analytics

Bei Google Analytics verarbeiten Sie nach Auffassung der niederländischen Aufsichtsbehörde Autoriteit Persoonsgegevens (AP) personenbezogene Daten Ihrer Besucher. Die AP hat früher eine Anleitung veröffentlicht, um Google Analytics datenschutzfreundlich einzustellen, die sich aber auf die alte Version (Universal Analytics) bezog. Ob das aktuelle Google Analytics 4 ohne Einwilligung möglich ist, lässt sich nicht pauschal sagen und hängt von Ihren Einstellungen ab, etwa von der Datenfreigabe an Google und der Verknüpfung mit Werbung. Die sichere Wahl für eine kleine Website: Wenn Sie Google Analytics verwenden, holen Sie eine Einwilligung ein. Sind Sie bei Ihrer eigenen Situation unsicher, wenden Sie sich an die zuständige Datenschutzaufsichtsbehörde (für Unternehmen die Landesdatenschutzbehörde Ihres Bundeslandes), Übersicht: https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html. Diese Lektion ist keine Rechtsberatung.

Datenschutzfreundlich messen in der Praxis

Wenn Sie ohne Cookie-Banner und ohne Aufwand messen möchten, wählen Sie etwas, das so wenig wie möglich sammelt:

• Serverstatistiken, die Sie bereits haben. Bei WebOké finden Sie sie in DirectAdmin unter Site Summary / Statistics / Logs (AWStats). Bei anderen Hostern heißt es anders, aber fast jedes Hostingpaket bietet etwas Vergleichbares.
• Matomo selbst hosten. Sie installieren es auf Ihrem eigenen Hostingpaket (bei WebOké über Installatron oder den Websitemanager; anderswo oft über einen vergleichbaren Installer). Die Daten bleiben dann bei Ihnen. Matomo kann ohne Cookies messen (_paq.push(['disableCookies']); vor trackPageView) und hat eine Einstellung zum Kürzen von IP-Adressen (Administration, Datenschutz, Daten anonymisieren).
• Ein Dienst, der nach eigener Aussage ohne Cookies arbeitet, etwa Plausible. Plausible schreibt in seiner Datenschutzerklärung, dass es keine Cookies verwendet, keine IP-Adressen speichert und eindeutige Besucher mit einem Code zählt, der sich alle 24 Stunden ändert. Lesen Sie bei jedem Dienst selbst die Datenschutzerklärung und prüfen Sie, wo die Daten gespeichert werden.

Einige Faustregeln, egal welches Hilfsmittel Sie wählen:

1. Messen Sie nur, was Sie für Ihre Fragen brauchen.
2. Kürzen Sie IP-Adressen oder speichern Sie sie nicht.
3. Geben Sie keine Daten an den Anbieter für dessen eigene Zwecke weiter, und verknüpfen Sie Analyse nicht ohne Einwilligung mit Werbung.
4. Speichern Sie Daten nicht länger als nötig (zum Beispiel 13 oder 25 Monate; legen Sie es selbst fest und notieren Sie es).
5. Nehmen Sie es in Ihre Datenschutzerklärung auf.

Vorsicht bei mehreren Skripten

Eine häufige Situation: Ein Webdesigner hat einmal Google Analytics auf die Website gesetzt, später kam ein Meta Pixel dazu, und ein Plugin hat Hotjar hinzugefügt. Niemand schaut mehr hin, aber die Skripte senden jeden Tag Daten weg und machen Ihre Website langsamer. Wissen Sie deshalb genau, was auf Ihrer Website läuft. Aufgabe A8.1 hilft Ihnen dabei.

Achtung: Viele Websites laden ihre Messskripte über Google Tag Manager. Im HTML sehen Sie dann nur Tag Manager (googletagmanager.com/gtm.js), nicht welche Skripte Tag Manager danach lädt. Das sehen Sie nur in den Einstellungen von Tag Manager selbst oder im Netzwerk-Tab der Entwicklertools Ihres Browsers.

Ein Messplan in fünf Zeilen

Ein Messplan muss nicht groß sein. Bloemenatelier Lotte schreibt:

Frage 1: Kommen mehr Menschen über Google auf die Brautstraußseite?        Quelle: Search Console, Seitenfilter, pro Monat
Frage 2: Wie viele Angebotsanfragen kommen über die Website herein?        Quelle: Matomo, Ziel "formulier verzonden"
Frage 3: Wie viele Menschen klicken in Google auf "Route" oder "Bellen"?   Quelle: Leistung im Unternehmensprofil
Hilfsmittel: Matomo auf eigenem Hosting, ohne Cookies, IP um 2 Bytes gekürzt, Aufbewahrung 25 Monate
Rhythmus: am ersten Montag im Monat 20 Minuten hinsehen und eine Maßnahme notieren

Der Rhythmus ist das Wichtigste. Einmal im Monat hinsehen und eine Sache verbessern bringt mehr, als jeden Tag auf einen Zähler zu starren.

In der Praxis: Messen auf Ihrer eigenen Website

Bei einem Hostingpaket von WebOké finden Sie die Serverstatistiken in DirectAdmin; Matomo installieren Sie mit wenigen Klicks. Eine Website aus dem AI Builder oder WordPress kann auch ein externes Messskript bekommen; tun Sie das nur, wenn Sie wissen, was es sammelt. Bei anderen Anbietern funktioniert es ähnlich: Serverstatistiken im Hosting-Panel und ein Installer für Matomo oder ein Plugin für einen anderen Dienst.

Zusammenfassung

• Search Console misst, was in Google passiert, ein Analysetool, was auf Ihrer Website passiert. Unterschiede sind normal; achten Sie auf Trends.
• In Deutschland verlangt § 25 TDDDG für Cookies und andere Zugriffe auf das Endgerät eine Einwilligung, außer sie sind unbedingt erforderlich; eine Ausnahme für Analyse-Cookies wie in den Niederlanden (Artikel 11.7a Telecommunicatiewet) gibt es nicht. Für Tracking-Cookies brauchen Sie überall eine Einwilligung. Die DSGVO gilt immer.
• Google Analytics verarbeitet personenbezogene Daten; holen Sie im Zweifel eine Einwilligung ein. Serverstatistiken, selbst gehostetes Matomo oder ein cookiefreier Dienst sind datenschutzfreundliche Optionen.
• Wissen Sie, welche Skripte auf Ihrer Website laufen; über Tag Manager sehen Sie sie nicht im HTML.
• Erstellen Sie einen Messplan: einige Fragen, die Quelle pro Frage und einen festen Rhythmus.

Quiz

Aufgabe

Aufgabe A8.1: Welche Messung läuft auf Ihrer Website? Geben Sie die Adresse Ihrer Website ein und wählen Sie aus, welche Mess- und Tracking-Dienste Ihrer Meinung nach darauf laufen. Das Programm liest das HTML Ihrer Startseite und stellt die erkannten Dienste Ihrer Auswahl gegenüber. Keine eigene Website? Verwenden Sie eine Website aus der Aufgabe.

Aufgabe D8.1: Ihr Messplan. Schreiben Sie einen Messplan wie den von Bloemenatelier Lotte: zwei oder drei Fragen, pro Frage die Quelle, das Hilfsmittel mit den Datenschutzeinstellungen und einen festen Rhythmus.

Weiterführende Links

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 17.2: Website-Übersicht und Protokolle: das Fehler-Protokoll und das Zugriffsprotokoll
• DirectAdmin Anleitung 13.1: Installatron öffnen: Was können Sie installieren?
• Autoriteit Persoonsgegevens (niederländische Datenschutzbehörde, niederländische Quelle), Cookies: https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Niederländische Telecommunicatiewet, Artikel 11.7a (niederländische Quelle): https://wetten.overheid.nl/jci1.3:c:BWBR0009950&hoofdstuk=11&artikel=11.7a
• Google, Leistungsbericht in der Search Console: https://support.google.com/webmasters/answer/7042828
• Matomo, Cookies deaktivieren: https://matomo.org/faq/general/faq_157/