Besucherzähler und Datenschutz: was ohne Cookies und ohne Einwilligung geht

Zwei Gesetze, zwei Fragen

Bei jedem Besucherzähler stellen sich zwei getrennte Fragen:

1. Greift der Zähler auf das Gerät der Besucher zu? Speichert er also etwas im Browser oder liest er etwas aus, etwa ein Cookie, einen Eintrag im Local Storage oder Merkmale für einen Fingerabdruck? Dann gilt § 25 TDDDG (bis Mai 2024 hieß das Gesetz TTDSG).
2. Verarbeitet der Zähler personenbezogene Daten? Dazu gehört bereits die IP-Adresse. Dann gilt die DSGVO.

Die beiden Fragen sind unabhängig voneinander. Ein Zähler kann ohne Cookie auskommen und trotzdem IP-Adressen verarbeiten.

Wann eine Einwilligung nötig ist

Nach § 25 TDDDG ist das Speichern von Informationen auf dem Endgerät und der Zugriff darauf nur mit Einwilligung erlaubt. Ausgenommen ist, was unbedingt erforderlich ist, damit der vom Nutzer ausdrücklich gewünschte Dienst funktioniert. Die deutschen Aufsichtsbehörden sehen die Reichweitenmessung in ihrer Orientierungshilfe in der Regel nicht als unbedingt erforderlich an.

Für die Praxis heißt das:

• Ein Zähler, der Besucher per Cookie wiedererkennt, um eindeutige Besucher zu zählen, braucht in aller Regel eine Einwilligung, also einen Hinweis mit Wahlmöglichkeit, bevor das Cookie gesetzt wird.
• Ein Zähler, der nur auf dem Server eine Zahl erhöht, greift nicht auf das Endgerät zu. § 25 TDDDG ist dann nicht berührt.

IP-Adressen: immer im Spiel

Damit ein Browser eine Seite oder eine Zählergrafik laden kann, muss der Server seine IP-Adresse kennen. Der Europäische Gerichtshof hat 2016 entschieden, dass auch dynamische IP-Adressen für einen Website-Betreiber personenbezogene Daten sein können (Rechtssache C-582/14). Deshalb braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Bei datensparsamen Zählern kommt meist das berechtigte Interesse (Art. 6 Abs. 1 lit. f) in Betracht, das gegen die Interessen der Besucher abgewogen werden muss.

Entscheidend ist, was mit der IP-Adresse geschieht:

Fremde Zählerdienste

Binden Sie die Grafik oder das Skript eines fremden Anbieters ein, fordert der Browser Ihrer Besucher diese Datei direkt beim Anbieter an. Der Anbieter erhält dabei die IP-Adresse, die Browserkennung und meist die Adresse der aufgerufenen Seite. Damit kommen weitere Pflichten hinzu:

• Auftragsverarbeitung (Art. 28 DSGVO): Verarbeitet der Anbieter die Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Viele kostenlose Dienste bieten keinen an.
• Drittländer (Art. 44 ff. DSGVO): Sitzt der Anbieter oder sein Server außerhalb der EU, muss die Übermittlung abgesichert sein, etwa durch einen Angemessenheitsbeschluss.
• Eigene Zwecke des Anbieters: Nutzt der Anbieter die Daten auch selbst, etwa für Werbung, ist eine bloße Auftragsverarbeitung meist nicht mehr gegeben.

Diese Fragen sollten Sie vor dem Einbau klären. Die vollständige Liste steht in unserer Checkliste für kostenlose Besucherzähler.

Was „cookieloses Zählen“ bedeutet

Cookieless Tracking heißt nur, dass keine Cookies gesetzt werden. Es sagt noch nichts darüber, ob Besucher auf anderem Weg wiedererkannt werden. Drei Ansätze sind verbreitet:

• Reine Seitenaufrufe zählen. Der Server erhöht eine Zahl und merkt sich nichts über die Besucher. Das ist die datensparsamste Variante; der Code dafür steht im Ratgeber Besucherzähler mit HTML und PHP.
• Tageweise Kennungen bilden. Manche Werkzeuge bilden aus IP-Adresse, Browserkennung und einem täglich wechselnden Zufallswert eine Kennung, um Besucher innerhalb eines Tages zusammenzufassen. Das ist datensparsamer als ein Cookie, bleibt aber eine Verarbeitung personenbezogener Daten.
• Fingerprinting. Merkmale des Browsers wie Bildschirmgröße oder installierte Schriften werden zu einem Fingerabdruck verrechnet. Dabei wird auf Informationen des Endgeräts zugegriffen; § 25 TDDDG ist dann berührt, und eine Einwilligung ist in der Regel erforderlich.

Was in die Datenschutzerklärung gehört

Nach Art. 13 DSGVO müssen Sie Ihre Besucher informieren. Für einen Besucherzähler betrifft das vor allem:

• welche Daten verarbeitet werden (z. B. IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung),
• zu welchem Zweck (Reichweitenmessung, Statistik),
• auf welcher Rechtsgrundlage, bei berechtigtem Interesse auch welches Interesse,
• wer die Daten erhält (etwa der Zähleranbieter) und ob sie in ein Drittland gehen,
• wie lange sie gespeichert werden.

Die datensparsamste Lösung

Wer nur wissen will, wie oft seine Seiten aufgerufen werden, ist mit einem eigenen Zähler am besten bedient, der keine Cookies setzt, keine IP-Adressen speichert und keine Daten an Dritte schickt. Er beantwortet die Frage „Wie viel wird gelesen?“ und erzeugt dabei so wenig Daten wie möglich. Wie Sie ihn bauen, zeigen die Ratgeber für HTML und PHP und für WordPress.