DSGVO-Tracking für KMU: Consent, Matomo und GA4

Kurzantwort: DSGVO-Tracking für KMU ist nicht pauschal verboten, aber viele typische Marketing-Setups sind ohne wirksame Einwilligung riskant. Sobald du nicht notwendige Tracking-Technologien, Drittanbieter, Conversion-Tracking für Werbeplattformen oder Remarketing einsetzt, brauchst du in der Praxis meist ein sauberes Consent-Setup. Wenn du dagegen nur eine enge, datensparsame Reichweitenmessung oder Server-Logs für dein eigenes Angebot auswertest, ist die Lage differenzierter zu prüfen.

Gerade beim DSGVO-Tracking in kleinen Unternehmen in Südtirol, Österreich, Deutschland und im restlichen DACH-Raum sehe ich seit Jahren dasselbe Muster: zu viele Tools, zu wenig Klarheit und am Ende trotzdem schlechte Zahlen. Das Problem ist selten fehlendes Tracking. Das Problem ist fast immer ein unklarer Zweck, eine falsche Rechtsgrundlage und ein Consent-Banner, das technisch mehr verspricht, als es tatsächlich sauber steuert.

• Einwilligungspflichtig sind meist Marketing-Tracking, Remarketing, Werbeplattformen, viele Drittanbieter-Einbettungen und kanalübergreifende Profile.
• Möglicherweise enger zu prüfen sind reine Server-Logs, sehr reduzierte First-Party-Messung und eng konfigurierte Audience-Measurement-Setups ohne Zusatzprofile.
• Wichtig: Ein Consent-Banner misst nicht. Ein Analyse-Tool verwaltet keine Einwilligung. Und ein Tag Manager ist keine Rechtsgrundlage.

Für KMU ist nicht die maximale Datenmenge entscheidend, sondern ein sauberes, datensparsames Setup mit wenigen wirklich nützlichen Kennzahlen.

DSGVO-Tracking für KMU: Was rechtlich wirklich getrennt werden muss

Beim DSGVO-Tracking laufen oft zwei Ebenen durcheinander. Die erste Ebene betrifft den Zugriff auf das Endgerät. Die zweite Ebene betrifft die spätere Verarbeitung personenbezogener Daten. Für Deutschland ist der Endgeräte-Zugriff in § 25 TTDSG beziehungsweise heute TDDDG geregelt: Das Speichern oder Auslesen von Informationen auf Endgeräten ist grundsätzlich nur mit vorheriger Einwilligung zulässig, außer es ist technisch unbedingt erforderlich.

Für dich als Betreiber bedeutet das: Ein Cookie oder ein ähnlicher Mechanismus kann schon vor der eigentlichen DSGVO-Frage relevant werden. Erst danach folgt die zweite Prüfung: Welche Rechtsgrundlage hat die weitere Verarbeitung? Ist eine Einwilligung nötig oder kommt in engen Fällen ein berechtigtes Interesse in Betracht? Genau an dieser Trennung scheitern viele Setups.

Was in KMU-Setups meist eine Einwilligung braucht

• Google Analytics 4 beziehungsweise GA4, wenn es klassisch für Webanalyse, Werbeverknüpfungen oder kanalübergreifende Auswertungen eingesetzt wird.
• Conversion-Tracking für Google Ads, Meta oder andere Werbeplattformen.
• Remarketing und jede Form von Wiederansprache über Plattformgrenzen hinweg.
• Viele Drittanbieter-Einbettungen wie Karten, Videos, externe Formulare, Chat-Tools oder Social Plugins.
• Tracking per Tag Manager, wenn Tags schon vor der Zustimmung ausgelöst werden.

Was enger und differenzierter zu prüfen ist

• Server-Logs, soweit sie für Betrieb, Sicherheit und Fehleranalyse notwendig sind.
• Sehr reduzierte Audience Measurement-Setups zur Reichweitenmessung, wenn Konfiguration und Zweck eng begrenzt sind.
• First-Party-Tracking ohne Zusatzprofile, ohne Weitergabe an Dritte und mit klarer Datensparsamkeit.
• Cookieloses Tracking, wenn technisch wirklich kein zustimmungspflichtiger Endgerätezugriff und keine profilbildende Verarbeitung vorliegt. Das ist enger, als viele Anbieter es im Marketing darstellen.

Die Datenschutzkonferenz hat bei der Reichweitenmessung keine pauschale Freigabe ausgesprochen. Im Auswertungsbericht zur OH Telemedien wird deutlich: Eine einwilligungsfreie Reichweitenmessung kommt allenfalls bei genau definierter Konfiguration und Zweckbestimmung in Betracht. Sobald weitere Nutzerdaten oder zusätzliche Auswertungsergebnisse hinzukommen, wird die Lage deutlich strenger.

Consent-Banner, Consent Management Platform und Analyse-Tool: drei verschiedene Rollen

Ein häufiger Denkfehler beim DSGVO-Tracking in KMU lautet: „Wir haben doch ein Consent-Banner, also sind wir sauber.“ Das stimmt nur, wenn die technische Umsetzung passt. Eine Consent-Management-Lösung beziehungsweise eine Consent Management Platform verwaltet Entscheidungen. Das Analyse-Tool misst Verhalten. Der Tag Manager verteilt Skripte. Diese drei Rollen musst du getrennt denken und sauber miteinander verbinden.

• Consent-Banner: zeigt Optionen an und holt Entscheidungen ein.
• Consent Management Platform: speichert und steuert Einwilligungen nachvollziehbar.
• Analyse-Tool: misst Besuche, Ereignisse, Conversion-Ziele oder Kampagnenpfade.
• Tag Manager: lädt Skripte nur dann, wenn die dafür nötige Freigabe wirklich vorliegt.

In der Praxis sehe ich oft Banner, die formal ordentlich aussehen, während GA4, Heatmaps oder externe Videos schon beim ersten Seitenaufruf laden. Dann erfüllt das Banner seine Funktion nicht. Für kleine Betriebe ist das besonders ärgerlich, weil Aufwand, Risiko und Datenchaos gleichzeitig steigen.

Matomo: datenschutzfreundlich möglich, aber nicht automatisch einwilligungsfrei

Matomo ist für viele KMU eine sinnvolle Option, wenn du primär dein eigenes Angebot verstehen willst und keine Werbeplattform-Logik brauchst. Der Vorteil liegt oft in der Nähe zum tatsächlichen Bedarf: weniger Plattformabhängigkeit, mehr Kontrolle, häufig echtes First-Party-Tracking und mehr Datensparsamkeit.

Wichtig ist aber die Nüchternheit: Matomo ist nicht automatisch zulässig. Matomo beschreibt selbst in seiner offiziellen FAQ, dass eine Nutzung ohne Consent-Banner nur bei enger, datenschutzfokussierter Konfiguration in Betracht kommt, etwa ohne Cookies, anonymisiert und ohne Browser-Feature-Detection. Entscheidend ist also nicht der Markenname des Tools, sondern die konkrete Implementierung.

Wenn du Matomo sauber und schlank aufsetzen willst, prüfe vor allem diese Punkte:

• Werden Cookies gesetzt oder nicht?
• Ist die Messung rein First-Party-Tracking oder hängen weitere Dienste daran?
• Wird nur eine Website gemessen oder werden Nutzer über mehrere Angebote hinweg verbunden?
• Ist IP-Anonymisierung aktiv und werden zusätzliche Identifikatoren vermieden?
• Verwendest du Features wie Heatmaps, Session Recordings, User IDs oder E-Commerce-Daten?
• Liegt eine saubere Auftragsverarbeitung mit Hosting- und Technikpartnern vor, sofern erforderlich?

Ich rate kleinen Betrieben meist zu einer nüchternen Frage: Brauchst du wirklich kanalübergreifende Attribution und Marketing-Automatisierung, oder willst du vor allem wissen, welche Inhalte funktionieren, welche Seiten Anfragen erzeugen und wo Nutzer abspringen? Für viele KMU reicht die zweite Variante völlig. Dann ist Matomo oft näher am echten Bedarf als ein komplexer Tool-Stack.

GA4 und Datenschutz: sinnvoll für Marketing, aber nur mit sauberem Consent

Google Analytics 4 ist funktional stark, vor allem wenn du Google Ads, kanalübergreifende Kampagnen, Conversion-Tracking und Werbeauswertung eng verzahnen willst. Für manche Unternehmen ist das wirtschaftlich sinnvoll. Für viele kleine Betriebe ist es aber mehr Komplexität als Nutzen.

Datenschutzrechtlich war Google Analytics in Europa besonders umstritten. Der EDPB zu den 101 NOYB-Beschwerden hält fest, dass mehrere Aufsichtsbehörden Website-Betreiber wegen US-Übermittlungen zur Einhaltung der DSGVO-Vorgaben verpflichtet oder zur Beendigung von Transfers angehalten haben. Für KMU heißt das nicht automatisch, dass GA4 generell unzulässig ist. Für KMU heißt es aber sehr klar: Die aktuelle Einordnung musst du immer mit dem Rechts- und Transferstand nach 2023 prüfen und nicht mit veralteten Praxisbeiträgen.

Mein praktischer Rat ist deshalb einfach:

• Wenn du GA4 brauchst, dann mit klarer Einwilligungslogik und technisch sauber geblockten Tags.
• Wenn du GA4 nur aus Gewohnheit eingebaut hast, ist der Aufwand oft größer als der Nutzen.
• Wenn du weder Google Ads noch komplexe Attribution aktiv nutzt, ist ein reduziertes DSGVO-Tracking oft die bessere Entscheidung.

Gerade in kleinen Teams erlebe ich oft, dass GA4 zwar eingebaut ist, aber niemand die Reports wirklich sicher lesen kann. Dann hast du mehr Risiko, mehr Komplexität und trotzdem keine bessere Entscheidung. Besser sind wenige belastbare Zahlen als ein Dashboard voller halb verstandener Metriken.

IP-Anonymisierung, cookieloses Tracking und berechtigtes Interesse: die drei häufigsten Missverständnisse

Erstes Missverständnis: IP-Anonymisierung löst alles. Das stimmt nicht. Die Datenschutzkonferenz hat in ihren Hinweisen zu Google Analytics klargestellt, dass die Kürzung der IP-Adresse nur eine zusätzliche Schutzmaßnahme ist. Die Datenverarbeitung wird dadurch nicht automatisch anonym und auch nicht automatisch einwilligungsfrei.

Zweites Missverständnis: Cookieloses Tracking ist immer zulässig. Auch das stimmt nicht. Ein fehlender Cookie allein beantwortet noch nicht die Frage, ob ein zustimmungspflichtiger Zugriff auf das Endgerät oder eine personenbezogene Verarbeitung stattfindet.

Drittes Missverständnis: Das berechtigte Interesse ist kein einfacher Ausweg. Für sehr enge, datensparsame Messungen kann ein berechtigtes Interesse Teil der Prüfung sein. Für viele Marketing-Setups, Profilbildungen, Werbefunktionen und Drittanbieter-Integrationen trägt diese Rechtsgrundlage aber nicht automatisch.

Ein pragmatisches Minimal-Setup für DSGVO-Tracking in kleinen Unternehmen

Wenn ich mit KMU arbeite, versuche ich DSGVO-Tracking zuerst kleiner zu machen, nicht größer. In der Realität bringt ein schlankes Setup oft die besseren Entscheidungen. Ein typisches Beispiel aus meiner Praxis: Ein Betrieb startet mit zehn eingebundenen Diensten, zwei Pixeln, einem Consent-Banner und trotzdem unklaren Zahlen. Nach der Reduktion auf drei echte Ziele wird das Bild oft deutlich besser: mehr Klarheit, weniger Banner-Chaos, weniger Risiko.

Ein belastbares Minimal-Setup sieht für viele kleine Unternehmen so aus:

• Definiere maximal drei Geschäftsziele. Etwa Angebotsanfrage, Telefonklick und qualifizierter Formularabschluss.
• Trenne Basis-Messung von Marketing-Messung. Reichweite ist etwas anderes als Conversion-Tracking oder Remarketing.
• Dokumentiere je Zweck die Rechtsgrundlage. Nicht pauschal pro Tool, sondern pro Verarbeitung.
• Nutze nur die Integrationen, die du wirklich auswertest. Kein Pixel darf nur „für später vielleicht“ laufen.
• Halte Ereignisse datensparsam. Keine unnötigen Parameter, keine sensiblen Inhalte, keine überladenen Custom Events.
• Blockiere alle nicht notwendigen Tags bis zur Freigabe. Das gilt auch für eingebettete Inhalte von Drittanbietern.
• Prüfe Verträge und Rollen. Auftragsverarbeitung, Hosting, CMP, Formulardienst, Newsletter und Analyse müssen sauber dokumentiert sein.
• Teste den Widerruf. Eine Einwilligung muss sich genauso leicht zurücknehmen lassen, wie sie erteilt wurde.

Wenn du tiefer in Messplan, Kennzahlen und Priorisierung einsteigen willst, hilft dir auch unser Beitrag zur Datenanalyse im Marketing für KMU. Denn gutes DSGVO-Tracking beginnt nicht mit einem Script, sondern mit einer guten Frage.

Typische Fehler, die ich bei KMU immer wieder sehe

• GA4 lädt schon vor der Einwilligung. Der Consent-Banner ist sichtbar, aber technisch wirkungslos.
• Matomo wird pauschal als immer einwilligungsfrei dargestellt. Dabei hängt alles an Konfiguration, Zweck und Datenfluss.
• Das Banner berücksichtigt nur Analytics. YouTube, Maps, Schriftarten, externe Formulare oder Chat-Tools werden vergessen.
• Ein Tag Manager wird mit Compliance verwechselt. Er kann sauber steuern, aber auch sauber falsch auslösen.
• Es werden zu viele Daten gesammelt. Mehr Daten bedeuten nicht automatisch bessere Entscheidungen.
• Es fehlt die Verbindung zur Website-Strategie. Tracking ohne Ziel erzeugt vor allem Datenrauschen.

Genau deshalb gehört das Thema nicht isoliert in die Technik-Ecke. Tracking ist Teil der Website-Architektur, der Inhalte und der Geschäftslogik. Wenn wir Websites konzipieren, denken wir das von Anfang an mit, ob in der technischen Website-Umsetzung oder in einer vorgelagerten strategischen Beratung.

FAQ: die wichtigsten Fragen zum Tracking im KMU-Alltag

Brauche ich für jedes Tracking automatisch ein Consent-Banner?

Nein. Ein Consent-Banner ist vor allem dann nötig, wenn du zustimmungspflichtige Technologien oder Verarbeitungen einsetzt. Reine Server-Logs oder sehr enge, technisch notwendige Vorgänge sind anders zu prüfen, aber genau diese Abgrenzung musst du sauber dokumentieren.

Ist Matomo ohne Einwilligung realistisch?

Unter engen Voraussetzungen kann das realistisch sein, aber nur bei einer sehr datensparsamen Konfiguration. Sobald Cookies, zusätzliche Identifier, mehrere Websites, Heatmaps, User IDs oder andere erweiterte Funktionen dazukommen, kippt die Bewertung schnell.

Ist GA4 unter der DSGVO verboten?

So pauschal würde ich das nicht formulieren. Praktisch bedeutet GA4 für KMU aber: nur mit sauberer Einwilligung, klarer technischer Steuerung und aktueller Prüfung der datenschutzrechtlichen Rahmenbedingungen arbeiten.

Reicht IP-Anonymisierung als Schutzmaßnahme aus?

Nein. IP-Anonymisierung ist sinnvoll, aber keine Freikarte. Wenn daneben weitere Nutzungsdaten, Kennungen oder Verknüpfungen verarbeitet werden, bleibt die datenschutzrechtliche Prüfung voll bestehen.

Braucht ein Google Tag Manager selbst schon Consent?

Der Google Tag Manager ist vor allem ein technisches Steuerwerkzeug. Entscheidend ist, was über den Tag Manager geladen wird und ob diese Skripte vor einer Einwilligung aktiv werden. In vielen fehlerhaften Setups liegt genau dort das Problem.

Was ist mit YouTube, Maps, externen Formularen oder anderen Drittinhalten?

Diese Inhalte werden oft im Banner vergessen, obwohl sie rechtlich und technisch genauso relevant sein können wie Analytics. Prüfe jede Einbindung einzeln: Wer lädt was, wann, von welchem Drittanbieter und auf welcher Rechtsgrundlage?

Wann ist berechtigtes Interesse statt Einwilligung denkbar?

Bei sehr enger, datensparender Messung für dein eigenes Angebot kann ein berechtigtes Interesse Teil der Prüfung sein. Für Werbeplattformen, Remarketing, umfangreiches Conversion-Tracking oder Profilbildung ist diese Begründung meist deutlich schwächer.

Mein Fazit nach über 20 Jahren Praxis: Kleine Unternehmen brauchen selten mehr Tracking. Kleine Unternehmen brauchen bessere Entscheidungen. Wenn du deine Website als eigenes System aufbaust, ist saubere Messung ein Werkzeug für Klarheit und nicht für Überwachung. Dieser Beitrag ist eine Entscheidungshilfe und keine Rechtsberatung. Sobald sensible Daten, Health-, HR- oder besonders schützensame Bereiche im Spiel sind, solltest du zusätzlich juristisch prüfen lassen.

Quellen

1. Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien — gesetze-im-internet.de (2021)
2. Datenschutzkonferenz / AK Medien – Auswertungsbericht zur Konsultation der OH Telemedien — datenschutzkonferenz-online.de (2022)
3. European Data Protection Board — edpb.europa.eu (2023)
4. Matomo FAQ: Can I use Matomo Analytics without asking for consent or using a cookie banner? — matomo.org (o. J.)
5. Datenschutzkonferenz – Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich — datenschutzkonferenz-online.de (2020)