Ohne Einwilligung messen dürfen Sie in Deutschland im Kern nur, was nichts auf dem Gerät Ihrer Besucher speichert oder von dort ausliest und keine Personen erkennbar macht, etwa eine anonymisierte Auswertung der Server-Logfiles. Cookielose Analyse-Skripte und Server-Side-Tracking verringern Datenflüsse und machen die Messung sauberer, ersetzen den Banner aber nicht automatisch. Die EU verhandelt über Erleichterungen für reine Reichweitenmessung; beschlossen ist davon noch nichts.
Der Cookie-Banner ist das unbeliebteste Möbelstück des Internets. Besucher klicken ihn weg, das Marketing ärgert sich über Lücken in den Zahlen, und die Geschäftsführung fragt, ob das nicht eleganter geht. Die ehrliche Antwort lautet: teilweise. Wer genau weiß, was er messen will, kommt oft mit weniger Banner aus. Wer alles messen will, kommt um die Einwilligung nicht herum.
der Internetnutzer in Deutschland sind von Cookie-Bannern genervt, 58 % löschen regelmäßig Cookies.
lehnen alle Cookies ab, wenn das mit einem einzigen Klick geht.
beträgt der Bußgeldrahmen für Verstöße gegen die Einwilligungspflicht nach § 25 TDDDG.
Quellen: Bitkom (2024) · BfDI-Datenbarometer, Befragung durch forsa (Befragung 2025) · § 28 TDDDG.
Was rechtlich gilt: zwei Gesetze, zwei Fragen
§ 25 TDDDG (bis Mai 2024 hieß das Gesetz TTDSG) regelt den Zugriff auf das Endgerät. Wer Informationen auf dem Gerät eines Besuchers speichert oder von dort ausliest, braucht eine Einwilligung. Ausgenommen ist nur, was unbedingt erforderlich ist, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will. Wichtig: Das gilt unabhängig davon, ob dabei personenbezogene Daten entstehen.
Die DSGVO kommt hinzu, sobald personenbezogene Daten verarbeitet werden, etwa vollständige IP-Adressen oder Kennungen. Dann braucht es eine Rechtsgrundlage: die Einwilligung oder ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f, das gegen die Interessen der Besucher abgewogen wird.
Für jedes Mess-Werkzeug folgen daraus zwei Prüffragen:
- Wird auf dem Gerät gespeichert oder von dort ausgelesen? Das betrifft nicht nur Cookies. Die europäischen Datenschutzbehörden zählen auch Tracking-Pixel, präparierte Links und JavaScript dazu, das den Browser Informationen senden lässt.
- Entstehen personenbezogene Daten, oder gehen Daten an Dritte?
Nur wenn beide Antworten Nein lauten, ist eine Messung ohne Banner realistisch. Die Datenschutzkonferenz von Bund und Ländern (DSK) stellt ausdrücklich klar, dass Reichweitenmessung nicht grundsätzlich einwilligungsfrei ist. Als Beispiele für reines Zählen nennt sie Logfiles ohne Personenbezug oder ein einfaches Zählpixel des eigenen Dienstes, und auch das nur für eine genau beschriebene Einrichtung.
Für Unternehmen in Heidelberg und ganz Baden-Württemberg ist der Landesbeauftragte für Datenschutz in Stuttgart zuständig. Er hat sich zum serverseitigen Tracking deutlich geäußert, dazu gleich mehr. Wichtig vorab: Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung. Verbindlich klärt das im Einzelfall ein Anwalt oder Ihr Datenschutzbeauftragter.
Quellen: § 25 TDDDG · EDPB, Leitlinien 2/2023 (2024) · DSK, Orientierungshilfe Digitale Dienste (2024).
Was „cookieless“ wirklich bedeutet
Hinter dem Wort stecken drei sehr verschiedene Verfahren.
Logfile-Analyse. Ihr Server protokolliert ohnehin jeden Seitenabruf. Wer diese Protokolle auswertet, ohne ein Skript im Browser laufen zu lassen, und IP-Adressen früh kürzt oder verwirft, greift nicht auf das Gerät zu. Das ist die Variante mit den besten Chancen auf Einwilligungsfreiheit. Sie zeigt Seitenaufrufe, Herkunft und Fehlerseiten, aber keine Klicks auf Buttons und keine Scrolltiefe. Und sie muss Bots herausfiltern, die in Logfiles kräftig mitzählen.
Cookielose Skripte. Viele datenschutzfreundliche Analyse-Werkzeuge verzichten auf Cookies. Das Skript liest im Browser trotzdem Informationen aus und schickt sie an einen Server. Nach Auffassung der DSK ist schon das ein Zugriff auf das Endgerät. Matomo, einer der bekanntesten Anbieter, rät selbst: In Deutschland liegen nur die Logfile-Auswertung und die serverseitige Schnittstelle klar außerhalb des TDDDG, JavaScript-Tracking sollte man auch ohne Cookies als einwilligungspflichtig behandeln.
Fingerprinting. Aus Bildschirmgröße, Schriftarten und Browserversion einen digitalen Fingerabdruck errechnen: cookielos, aber nach Auffassung der Aufsicht klar vom Gesetz erfasst. Kein Ausweg, sondern ein Risiko.
Ein Blick über die Grenze erklärt manche Verwirrung. Die französische Datenschutzbehörde CNIL nimmt Reichweitenmessung unter strengen Bedingungen von der Einwilligung aus: nur für den Betreiber selbst, nur anonyme Statistik, keine Verknüpfung, keine Weitergabe. Eine solche allgemeine Ausnahme gibt es in Deutschland nicht. Ratschläge aus Frankreich lassen sich deshalb nicht eins zu eins übertragen.
Quellen: Matomo FAQ (2026) · CNIL (2025).
Server-Side-Tracking: was es bringt
Beim Server-Side-Tracking schickt der Browser seine Messdaten nicht direkt an Google, Meta und Co., sondern zuerst an einen Server unter Ihrer Kontrolle. Dort wird gefiltert, gekürzt und erst dann weitergeleitet. Das hat echte Vorteile:
- Kontrolle. Sie entscheiden, welche Angaben Ihr Haus verlassen. IP-Adressen lassen sich kürzen, Kennungen entfernen, unnötige Parameter streichen.
- Weniger fremde Skripte im Browser. Jedes Tracking-Skript kostet Rechenzeit. Wer Dienste serverseitig bündelt, entlastet die Seite, was sich auf Ladezeit und Reaktionsgeschwindigkeit auswirken kann. Warum das auch für Rankings zählt, steht in unserer Fehlerliste zum Website-Relaunch.
- Saubere Daten. Bots, Doppelungen und interne Zugriffe lassen sich an einer Stelle aussortieren.
Was es ausdrücklich nicht sein sollte: ein Weg, Ablehnungen oder Werbeblocker zu umgehen. Wer abgelehnt hat, hat abgelehnt.
Rechtlich ist die Lage eindeutig. Der Landesdatenschutzbeauftragte Baden-Württemberg schreibt: „Selbstverständlich müssen auch beim serverseitigen Tracking die Anforderungen des TTDSG eingehalten werden.“ Ohne Einwilligung geht es nach seiner Auffassung nur, wenn keinerlei Cookies im Spiel sind und die Daten vor der Weitergabe vollständig anonymisiert werden. Nutzerkennungen oder Hashwerte gelten dabei nicht als anonym. Das Verwaltungsgericht Hannover hat 2025 zudem entschieden, dass schon der Google Tag Manager eine Einwilligung braucht.
Quellen: LfDI Baden-Württemberg, FAQ Cookies und Tracking (2022) · VG Hannover, 10 A 5385/22 (2025).
Was Server-Side-Tracking nicht löst
- Die Einwilligung für Werbe-Messung. Wer wissen will, welche Google- oder Meta-Anzeige zu einer Anfrage geführt hat, braucht dafür in aller Regel weiter eine Einwilligung, auch wenn die Daten über den eigenen Server laufen.
- Die Lücke durch Ablehnungen. Wer ablehnt, wird nicht gemessen. Das ist kein Fehler, sondern der Zweck des Gesetzes. Manche Werkzeuge schätzen die Lücke per Modell; das bleibt eine Schätzung.
- Die Gestaltung des Banners. Ablehnen muss so einfach sein wie Zustimmen. Verdeckt der Banner Inhalte, gehört die Ablehnen-Möglichkeit nach Auffassung der DSK auf die erste Ebene. Das Oberlandesgericht Köln hat 2024 eine Einwilligung für unwirksam erklärt, weil der Banner auf der ersten Ebene keine Ablehnoption bot und schon das Schließen als Zustimmung zählte.
- Die Frage, wohin Daten gehen. Ein eigener Server lenkt Daten, er macht eine Weitergabe an einen Anbieter aber nicht automatisch zulässig.
- Den Betrieb. Ein Mess-Server muss eingerichtet, aktualisiert und dokumentiert werden. Das ist kein einmaliges Projekt.
Quelle: OLG Köln, 6 U 80/23 (2024).
Entscheidungshilfe: drei typische Fälle
Sie wollen wissen, welche Seiten gelesen werden und woher die Besucher kommen. Dafür reicht oft eine Logfile-Analyse oder eine eng eingerichtete Messung ohne Zugriff auf das Gerät. Ob sie in Ihrem Fall ohne Banner auskommt, ist eine Prüfung wert, die Chancen stehen hier am besten.
Sie schalten Anzeigen und wollen wissen, was sie bringen. Dann bleibt die Einwilligung. Server-Side-Tracking ist hier die saubere Leitung: Es schickt den Werbeplattformen nur, was sie wirklich brauchen. Wie Messung und Kampagnen zusammenspielen, steht auf unserer Seite zum Performance-Marketing.
Sie betreiben einen Onlineshop. Dann lohnt sich beides: eine Grundzählung ohne Gerätezugriff für alle Besucher und eine einwilligungsbasierte Messung für Kampagnen. Und eine oft übersehene Wahrheit: Bestellungen und Umsätze kennt Ihr Shopsystem ohnehin. Dafür braucht es kein Tracking. Mehr zum Aufbau eines Shops auf unserer Seite Onlineshop erstellen lassen.
Was sich ändern könnte: der Digital Omnibus
Die EU-Kommission hat im November 2025 ein Paket vorgeschlagen, das die Cookie-Regeln vereinfachen soll. Ein Kernpunkt: Reichweitenmessung, die ein Betreiber allein für eigene Zwecke und in zusammengefasster Form durchführt, soll keine Einwilligung mehr brauchen. Dazu kommen Regeln, wie oft nach einer Ablehnung erneut gefragt werden darf.
Der Rat der EU hat am 21. Oktober 2026 seine Verhandlungsposition beschlossen. Nach Fachberichten bleiben die Cookie-Regeln danach in der ePrivacy-Richtlinie, mit einer festen Liste von Ausnahmen, zu der die eigene Reichweitenmessung ohne Weitergabe an Dritte gehört. Das Europäische Parlament hat im Fachausschuss noch nicht abgestimmt, Verhandlungen zwischen den Institutionen laufen noch nicht. Bis etwas beschlossen ist und gilt, bleibt es bei § 25 TDDDG, so wie oben beschrieben.
Quellen: EDPB und EDPS, Stellungnahme 2/2026 (2026) · nicfab zur Ratsposition (2026) · Legislative Observatory des EU-Parlaments (2026). Stand: 26.10.2026.
Kurz gesagt
„Cookieless“ heißt nicht „einwilligungsfrei“. Ohne Banner kommen Sie am ehesten mit einer anonymen Auswertung der Server-Logfiles aus. Cookielose Skripte und Server-Side-Tracking bringen Kontrolle, Datensparsamkeit und oft eine schnellere Seite, die Einwilligung für Werbe-Messung ersetzen sie nicht. Wer mit drei klaren Fragen startet, misst am Ende weniger, aber verlässlicher. Verbindlich klärt die Einzelheiten ein Anwalt oder Ihr Datenschutzbeauftragter.
REWLO Medienwerk baut Websites für Unternehmen in Heidelberg und der Metropolregion Rhein-Neckar, die messen, was nötig ist, und nicht mehr. Mehr unter /leistungen.
