Matomo datenschutzkonform betreiben – so geht’s ohne Cookie-Banner

Matomo ohne Cookies ist möglich. Matomo ohne Cookie-Banner ist eine zusätzliche Frage. Entscheidend sind die tatsächliche Datenerfassung, Zugriffe auf das Endgerät und die Rechtsgrundlage – nicht allein der Name des Analytics-Tools.

Hier erfährst du, wie du Matomo datensparsam einrichtest, welche Unterschiede zwischen cookieless Tracking und Consent bestehen und wie du die Umsetzung überprüfst. Die Anleitung richtet sich an Website-Verantwortliche, Entwickler und Datenschutzbeauftragte.

TL;DR: Matomo datenschutzkonform betreiben

• Cookies abschalten: disableCookies vor dem ersten Tracking-Aufruf einsetzen oder die passende Einstellung im Tag Manager beziehungsweise WordPress aktivieren.
• Browserdaten separat prüfen: Cookieless Tracking schaltet Browser-Feature-Erkennung nicht automatisch ab.
• Daten minimieren: IP-Maskierung, URLs, Referrer, Ereignisse und Aufbewahrung prüfen.
• Einwilligung klären: Für Deutschland Endgerätezugriffe nach § 25 TDDDG und die Verarbeitung personenbezogener Daten nach DSGVO getrennt bewerten.
• Ergebnis testen: Cookies, Tracking-Anfragen und Inhalte kontrollieren; die Konfiguration und ihre Bewertung dokumentieren.

Fachlich und technisch geprüft am 13. Oktober 2026. Die Screenshots zeigen eine lokale Matomo-5.14.0-Testinstanz. Menübezeichnungen können je nach Version und Hosting abweichen. Die Einstellungen ersetzen keine Bewertung deines konkreten Einsatzes.

Brauche ich für Matomo einen Cookie-Banner?

Für die Entscheidung sind zwei Prüfungen wichtig:

§ 25 TDDDG regelt Speicherung und Zugriff auf Informationen in Endeinrichtungen einschließlich der Ausnahmen. Das Gesetz hieß früher TTDSG. Die DSK-Orientierungshilfe für digitale Dienste unterstützt die Einordnung. Eine datensparsame Konfiguration allein ist keine allgemeine Freigabe für einwilligungsfreies Tracking.

Auch die Matomo-Dokumentation unterscheidet ausdrücklich zwischen dem Abschalten von Cookies und einer möglichen Ausnahme von der Einwilligungspflicht. Ein Opt-out ersetzt keine erforderliche vorherige Einwilligung.

Für Frankreich beschreibt die CNIL Bedingungen für bestimmte Reichweitenmessungen. Diese lassen sich nicht pauschal als deutsche Ausnahme übernehmen. Deshalb wird hier kein „garantiert bannerfreies“ Setup versprochen.

Matomo cookieless: Tracking ohne Cookies einrichten

JavaScript: Cookies vor dem Seitenaufruf deaktivieren

Ergänze deinen bestehenden Matomo-Tracking-Code vor trackPageView. Das folgende Beispiel zeigt nur die relevante Reihenfolge; Tracker-URL, Website-ID und das Laden von matomo.js bleiben Bestandteil deiner vorhandenen Einbindung.

var _paq = window._paq = window._paq || [];

// Vor dem ersten Tracking-Aufruf:
_paq.push(['disableCookies']);
_paq.push(['trackPageView']);

Prüfen: Teste mit einem frischen Browserprofil. Lade mehrere Seiten und kontrolliere die Cookies der Website sowie der Matomo-Domain. Tracking-Anfragen können trotz deaktivierter Cookies weiter stattfinden. Funktionale Cookies, etwa beim Opt-out, sind gesondert einzuordnen.

Matomo Tag Manager: Cookies in der Konfiguration abschalten

Öffne die vom Matomo-Tag verwendete Matomo-Konfigurationsvariable und aktiviere „Disable cookies“. Prüfe den Container in der Vorschau, bevor du die Änderung veröffentlichst. Ein anderer Tag oder eine zweite direkte Einbindung kann weiterhin Cookies oder zusätzliche Daten erfassen.

Für alle Websites einer Instanz gibt es außerdem unter Administration → Privatsphäre → Daten anonymisieren die Einstellung „Tracking ohne Cookies erzwingen“. Diese wirkt global; prüfe vorher, welche Websites betroffen sind.

Die zufällige config_ID ist eine eigene Entscheidung. Matomo beschreibt, dass dann jede Tracking-Anfrage als neuer Besuch erfasst wird. Nutzerpfade und besuchsbezogene Auswertungen verändern sich. Browserdaten werden dadurch nicht vollständig abgeschaltet.

Matomo für WordPress

Im Matomo-Analytics-Plugin findest du unter den Einstellungen die Option „Disable cookies“. Aktiviere sie, speichere die Änderung und teste die öffentlich ausgelieferte Seite. Bei Cache- oder Optimierungsplugins musst du anschließend sicherstellen, dass tatsächlich der aktualisierte Tracking-Code geladen wird.

Browser-Feature-Erkennung separat begrenzen

Für Matomo ab Version 4.7 dokumentiert der Hersteller disableBrowserFeatureDetection. Damit werden die betreffenden Browsermerkmale, etwa Bildschirmauflösung und unterstützte Plugins, nicht mehr abgefragt. Matomo-Anleitung.

// Ausschnitt für eine datensparsamere Einbindung:
_paq.push(['disableCookies']);
_paq.push(['disableBrowserFeatureDetection']);
_paq.push(['trackPageView']);

Das ist kein vollständiger Nachweis, dass keinerlei personenbezogene Daten verarbeitet werden. URLs, Ereignisinhalte, Kennungen, HTTP-Anfragen und weitere eingebundene Skripte bleiben Teil deiner Prüfung.

IP-Adressen, URLs und Ereignisse minimieren

IP-Maskierung und Geolokalisierung prüfen

Unter Administration → Privatsphäre → Daten anonymisieren kannst du die IP-Maskierung festlegen. In unserer Testinstanz sind zwei Bytes und die Nutzung der maskierten IP für die Aufbereitung ausgewählt. Je nach Bedarf lässt sich stärker maskieren; die Standortauswertung wird dadurch ungenauer.

Die Bezeichnung „Anonymisierung“ in der Oberfläche ist keine Garantie für vollständig anonyme Daten. Teilweise maskierte Adressen können zusammen mit anderen Informationen weiterhin einen Personenbezug haben. Die Matomo-Datenschutzdokumentation erklärt diesen Unterschied.

Referrer, URL-Parameter und Event-Daten kontrollieren

Unsere praktische Prüfliste:

• Enthalten Seiten-URLs, Titel oder Referrer E-Mail-Adressen, Kundennummern oder Tokens?
• Welche Parameter sind für eure Auswertung erforderlich? Welche können entfallen?
• Werden Formulareingaben, User IDs oder Bestellkennungen als Ereignisse oder benutzerdefinierte Dimensionen übertragen?
• Verknüpfen Integrationen Daten mit CRM, Werbung oder weiteren Websites?

Für einen möglichst personenarmen Einsatz sollte eine User ID nicht erfasst werden. Ein Hash oder Pseudonym macht eine Kennung nicht automatisch anonym. Das Ausblenden des Besucher-Logs entfernt bereits erhobene Daten ebenfalls nicht.

Datenaufbewahrung und Löschung einstellen

Definiere, wie lange ihr detaillierte Rohdaten benötigt. Unter Daten anonymisieren kannst du die regelmäßige Löschung alter Daten konfigurieren. Rohdaten und aggregierte Berichte haben getrennte Einstellungen. Matomo-Anleitung zur Aufbewahrung.

180 Tage sind hier ein Konfigurationsbeispiel, keine gesetzliche Standardfrist. Prüfe den Zweck, die benötigten Auswertungen und eure festgelegte Frist. Dokumentiere auch, wer Änderungen freigibt. Bestehende Daten und Backups benötigen eine eigene Betrachtung.

Matomo Consent: Cookie-Einwilligung und Tracking-Einwilligung unterscheiden

Wenn dein Einsatz Einwilligung benötigt, muss die technische Umsetzung das berücksichtigen. Matomo bietet zwei unterschiedliche Mechanismen:

Die Unterscheidung ist in der Matomo-Entwicklerdokumentation beschrieben. Für eine Sperre der Datenerfassung reicht die Cookie-Variante allein nicht.

// Wenn Tracking eine vorherige Einwilligung benötigt:
_paq.push(['requireConsent']);
_paq.push(['trackPageView']);

// Nur im bestätigten Zustimmungs-Callback deiner CMP:
// _paq.push(['setConsentGiven']);

Die auskommentierte Freigabe darf erst nach der tatsächlichen Zustimmung ausgeführt werden. Teste Ablehnung, Zustimmung und Widerruf sowie das Verhalten bei einem erneuten Seitenaufruf. Wenn eure CMP die Entscheidung speichert, muss die Anbindung sie korrekt an Matomo übergeben.

Matomo Datenschutzerklärung und Opt-out

Die Datenschutzerklärung sollte euren tatsächlichen Betrieb erklären. Statt eines pauschalen Musters hilft diese Inhaltsliste:

Matomo stellt unter Privatsphäre → Benutzer Opt-Out eine Einbindung bereit. Prüfe ihre Funktion auf eurer Website. Ein Widerspruch gegen Tracking und der Widerruf einer Einwilligung sind je nach Rechtsgrundlage unterschiedlich einzuordnen.

Spezialfälle: Logfile-Analyse, CCM19 und Inhaltserkennung

Matomo serverseitig: Logfile-Analyse

Matomo bietet Logfile-Analyse und kann Webserver-Logs auswerten, ohne dafür einen Analytics-Tracker im Browser auszuführen. Das reduziert die clientseitigen Tracking-Zugriffe, beantwortet aber nicht automatisch die DSGVO-Fragen zu IP-Adressen, URLs, Speicherfristen oder Empfängern. Server-side Tracking ist außerdem nicht dasselbe wie Logfile-Analyse: Ein serverseitiger Versand kann weiterhin auf zuvor im Browser erhobenen Daten beruhen.

Brauche ich CCM19 oder einen anderen Consent Manager?

Das hängt von den eingesetzten Diensten ab. Ist Einwilligung erforderlich, muss etwa CCM19 das Tracking bis zur Freigabe steuern. Andere Marketing-Pixel oder externe Dienste bleiben separat zu prüfen, selbst wenn Matomo keine Cookies nutzt.

Matomo Tag Manager und DSGVO

Ein eigener Container macht die enthaltenen Tags nicht automatisch datenschutzkonform. Prüfe jedes Tag, dessen Empfänger und den Auslösezeitpunkt. Relevant sind auch Vorschau und veröffentlichte Container-Version.

Matomo Inhaltserkennung, Heatmaps und Session Recording

Content Tracking, Heatmaps und Aufzeichnungen erfassen zusätzliche Interaktionen. Bewerte sie anhand der tatsächlichen Daten und Zugriffe; aggregierte Berichte beweisen nicht, dass die ursprüngliche Erfassung anonym war. Besonders Formulare und sensible Seiten benötigen Aufmerksamkeit.

Google Analytics ohne Consent?

Das ist eine eigene Prüfung der konkreten Einbindung. Ein Consent-Modus ist kein allgemeiner Freibrief. Dieser Artikel bietet keine Anleitung für einwilligungsfreien Google-Analytics-Betrieb; für Matomo solltest du ebenso keine Zulässigkeit allein aus dem Produktnamen ableiten.

Abschließender Test: Was muss als Nachweis vorliegen?

Unsere Arbeitsvorlage für die gemeinsame Prüfung durch Entwicklung und Datenschutz:

1. Konfiguration erfassen: Version, Websites, Container und relevante Einstellungen dokumentieren.
2. Frischen Browser nutzen: Ohne frühere Consent-Entscheidung Cookies, Storage und Netzwerkanfragen untersuchen.
3. Inhalte prüfen: Welche URL, Referrer, Kennung und Event-Daten gehen an den Tracker? Sensible Beispielwerte dürfen nicht im Payload erscheinen.
4. Mehrere Situationen testen: Navigation, Formulare und – falls eingesetzt – Ablehnung, Zustimmung, Widerruf und Opt-out.
5. Bewertung festhalten: Datenfluss, Rechtsgrundlage, Aufbewahrung und offene Fragen mit Verantwortlichem versehen.
6. Änderungen erneut prüfen: Neue Tags, Plugins oder Tracking-Funktionen können die bisherige Bewertung verändern.

Keine Analytics-Cookies gefunden ist ein hilfreiches Testergebnis, aber kein vollständiger Compliance-Nachweis.

Umsetzung in Kopexa nachvollziehbar halten

Lege Matomo als Asset an und dokumentiere den Einsatz im Verarbeitungsverzeichnis, soweit er dort zu erfassen ist. Verbinde offene Punkte mit Aufgaben und halte Konfiguration, Bewertung und Testprotokoll als Nachweise zusammen.

Damit können Entwicklung und Datenschutz auf denselben Stand zugreifen: Wer hat was geprüft? Was ist noch offen? Wann muss erneut geprüft werden? Kopexa unterstützt diese Steuerung; es konfiguriert Matomo nicht automatisch und entscheidet nicht über die Rechtsgrundlage. Für externe Datenschutzbeauftragte ist besonders die nachvollziehbare Abstimmung mit dem Website-Team hilfreich.