Datensparsame Webanalyse: Welche Daten Unternehmen wirklich benötigen

Webanalyse-Systeme gelten häufig als umso aussagekräftiger, je mehr Daten sie erfassen. Diese Annahme hält sich hartnäckig, obwohl ein Großteil der erhobenen Informationen in der Praxis nie ausgewertet wird. Viele Tools sammeln Daten, weil sie technisch verfügbar sind, nicht weil ein konkreter Analysezweck sie erfordert.

Datensparsame Webanalyse setzt an einem anderen Punkt an. Vor der Auswahl einzelner Datenpunkte steht die Frage, welche Erkenntnis ein Unternehmen tatsächlich benötigt. Erst danach lässt sich bestimmen, welche Daten dafür erforderlich sind und ob eine aggregierte Betrachtung ausreicht.

Der folgende Beitrag ordnet den Grundsatz der Datenminimierung für die Praxis der Webanalyse ein, unterscheidet zwischen Analysezwecken und bloßen Datensammelwünschen und liefert ein Prüfraster für bestehende oder geplante Analytics-Konfigurationen.

Datenminimierung beginnt beim Analysezweck

Der Grundsatz der Datenminimierung ist in Art. 5 Abs. 1 lit. c DSGVO verankert. Personenbezogene Daten müssen dem Zweck der Verarbeitung angemessen und dafür erheblich sein sowie auf das notwendige Maß beschränkt bleiben. Der Grundsatz bewertet die Datenmenge damit im Verhältnis zu einem festgelegten Zweck, nicht als absolute Obergrenze.

Für die Webanalyse folgt daraus: Die Formulierung „Wir möchten unsere Website besser verstehen“ beschreibt noch kein prüfbares Analyseziel. Erst ein konkretes Ziel lässt sich in Datenanforderungen übersetzen, etwa:

• beliebte Inhalte erkennen
• Kampagnen vergleichen
• technische Probleme entdecken
• Formularabbrüche reduzieren
• Bestellungen oder Kontaktanfragen messen
• Einstiegsseiten bewerten

Für jeden dieser Zwecke fällt der Datenbedarf unterschiedlich aus. Ein System, das mehrere Zwecke gleichzeitig verfolgt, benötigt eine differenzierte Konfiguration statt einer einheitlichen Maximalerfassung. Daten, die lediglich für einen möglichen künftigen Nutzen vorgehalten werden, ohne einem festgelegten Zweck zugeordnet zu sein, lassen sich mit dem Grundsatz der Datenminimierung nur schwer begründen.

Welche Fragen soll Webanalyse beantworten?

Ein einfaches Modell lässt sich auf jeden Analysezweck anwenden. Fünf Aspekte strukturieren die Prüfung, wie viele Daten für ein Vorhaben tatsächlich benötigt werden.

Analyseziel: Welche geschäftliche oder technische Frage soll beantwortet werden?
Erforderliche Information: Welche Angabe wird zur Beantwortung dieser Frage benötigt?
Geringstmögliche Datentiefe: Reicht eine aggregierte Auswertung oder wird eine individuelle Zuordnung benötigt?
Speicherdauer: Wie lange wird die Information für den festgelegten Zweck gebraucht?
Zugriff und Weitergabe: Wer benötigt Zugriff, und welche weiteren Stellen erhalten die Daten?

Dieses Modell zieht sich durch die folgenden Abschnitte und lässt sich auf jede Analysefrage anwenden, unabhängig vom eingesetzten Tool.

Welche Daten für typische Website-Analysen ausreichen können

Beliebte Inhalte erkennen

Für die Frage, welche Inhalte auf einer Website besonders gefragt sind, kann eine aggregierte Auswertung nach aufgerufener Seite, Zeitraum und Anzahl der Aufrufe ausreichen. Ergänzend kann die Einstiegsseite relevant sein, wenn der Weg zur Seite von Interesse ist.

Eine dauerhafte Wiedererkennung einzelner Besucher, eine vollständige individuelle Besuchshistorie, ein exakter Standort oder die persönliche Identität sind für diesen Zweck in den meisten Fällen nicht erforderlich.

Kampagnen vergleichen

Für den Vergleich von Kampagnen können Kampagnenparameter, Referrer oder Quelle, die Landingpage und ein definiertes Conversion-Ereignis ausreichen.

Ein langfristiges Nutzerprofil, eine geräteübergreifende Wiedererkennung, die vollständige IP-Adresse oder eine Zusammenführung mit externen Werbeprofilen sind für einen reinen Kampagnenvergleich häufig nicht notwendig.

Formulare optimieren

Um Formularabbrüche zu reduzieren, kann es genügen, den Formularaufruf, den Formularstart, einen anonym oder aggregiert erfassten Abbruch, den erfolgreichen Abschluss sowie technische Fehlermeldungen auszuwerten.

Der Inhalt einzelner Formularfelder, die Identität der abbrechenden Person oder eine dauerhafte Profilbildung tragen zu dieser Optimierungsfrage in der Regel nichts bei.

Technische Probleme erkennen

Für die Erkennung technischer Probleme können Geräteklasse, Browsertyp, Betriebssystem, Bildschirmgröße, das konkrete Fehlerereignis und die betroffene Seite ausreichen.

Wie fein eine technische Segmentierung tatsächlich sein muss, verdient eine kritische Prüfung. Häufig genügt eine grobe Kategorisierung, um ein Problem zu lokalisieren, während eine sehr detaillierte Geräteerfassung selten zusätzliche Handlungsoptionen eröffnet.

Conversions messen

Für die Messung von Conversions können ein definiertes Ereignis, die Quelle oder Kampagne, die Landingpage, der Zeitpunkt und gegebenenfalls ein Bestell- oder Conversion-Wert ausreichen.

Zwischen einer aggregierten Erfolgsmessung, einer individuellen Customer Journey über mehrere Sitzungen, einer geräteübergreifenden Nutzerverfolgung und einer Verknüpfung mit CRM- oder Kundendaten besteht ein deutlicher Unterschied. Diese Varianten unterscheiden sich technisch wie datenschutzrechtlich und sollten nicht in einen Topf geworfen werden.

Analyseziel und Datentiefe im Überblick

Aggregierte Daten und Nutzerprofile sind nicht dasselbe

Aggregierte Daten fassen das Verhalten vieler Personen zu Kennzahlen zusammen, etwa Seitenaufrufe pro Tag oder die Abbruchrate eines Formulars. Sie zeigen Entwicklungen und Häufigkeiten, ohne einzelne Besucher zu unterscheiden.

Nutzerprofile bilden dagegen das Verhalten einzelner oder wiedererkennbarer Personen beziehungsweise Geräte über mehrere Seitenaufrufe oder Sitzungen hinweg ab. Für viele der zuvor beschriebenen Optimierungsfragen reicht eine aggregierte Betrachtung aus. Eine individuelle Wiedererkennung kann zusätzliche Erkenntnisse liefern, etwa bei mehrstufigen Customer Journeys, erhöht jedoch regelmäßig die datenschutzrechtliche Relevanz der Verarbeitung.

Auch pseudonymisierte Daten können personenbezogene Daten im Sinne der DSGVO bleiben, wenn eine Re-Identifizierung mit vertretbarem Aufwand möglich ist. Pseudonymisierung und Anonymisierung dürfen deshalb nicht gleichgesetzt werden. Wann genau ein Personenbezug ausgeschlossen ist, hängt von der konkreten technischen Umsetzung und den verfügbaren Zusatzinformationen ab und ist gesondert zu prüfen. Die Datenschutzkonferenz arbeitet nach eigenen Angaben an konkretisierenden Hilfestellungen zu Anonymisierung und Pseudonymisierung, die zum Zeitpunkt der Erstellung dieses Beitrags noch nicht abschließend veröffentlicht sind.

Warum Cookie-Freiheit allein keine abschließende Bewertung erlaubt

Der Verzicht auf Cookies ist ein relevantes technisches Merkmal einer Webanalyse-Lösung, weil er den Zugriff auf das Endgerät reduziert. Cookie-frei bedeutet jedoch nicht automatisch anonym, einwilligungsfrei oder datenschutzkonform.

Auch Local Storage, Fingerprinting-Verfahren, dauerhafte Identifikatoren, serverseitige Kennungen oder Kombinationen technischer Merkmale können datenschutzrechtlich relevant sein. Für die Bewertung können sowohl das TDDDG als auch die DSGVO eine Rolle spielen, wobei es sich um zwei getrennte Prüfschritte handelt.

§ 25 TDDDG regelt den Zugriff auf oder die Speicherung von Informationen in der Endeinrichtung eines Endnutzers und macht diesen grundsätzlich von einer Einwilligung abhängig, mit engen Ausnahmen etwa für technisch zwingend erforderliche Funktionen. Die anschließende Verarbeitung personenbezogener Daten richtet sich separat nach der DSGVO. Ob eine bestimmte Webanalyse-Konfiguration ohne Einwilligung eingesetzt werden kann, hängt von der konkreten Technik, dem Zweck, der Konfiguration und dem Einzelfall ab und lässt sich nicht pauschal beantworten.

Welche Daten Unternehmen häufig nicht benötigen

Manche Datenfelder finden sich in Webanalyse-Konfigurationen, ohne dass ein konkreter Auswertungszweck dahintersteht. Dazu zählen häufig:

• vollständige IP-Adressen über längere Zeiträume
• exakte Geolokalisierung
• dauerhafte geräteübergreifende Profile
• personenbezogene Besuchshistorien
• Zusammenführung mit Werbeprofilen
• umfangreiche Geräte-Fingerprints
• unbegrenzte Speicherdauer
• Rohdaten, die niemand regelmäßig auswertet

Keine dieser Kategorien ist per se unzulässig. Entscheidend ist, ob für die jeweilige Datentiefe ein festgelegter Zweck und eine tragfähige Rechtsgrundlage vorliegen. Je höher Datentiefe, Personenbezug und Wiedererkennung ausfallen, desto klarer muss der konkrete Zweck begründet sein, für den diese Informationen benötigt werden.

Weniger Daten können bessere Analysen ermöglichen

Eine reduzierte Datenbasis wird meist als datenschutzrechtliche Notwendigkeit betrachtet, seltener als analytischer Vorteil. Dabei bringt eine schlankere Erfassung auch operative Effekte mit sich.

Dashboards mit weniger, gezielt ausgewählten Kennzahlen lassen sich schneller lesen und seltener fehlinterpretieren. Wenn jede erfasste Kennzahl einem definierten Zweck zugeordnet ist, sinkt der Dokumentationsaufwand für Verzeichnisse von Verarbeitungstätigkeiten und interne Nachweise. Kürzere Auswertungszyklen werden möglich, weil Verantwortliche nicht erst aus einer großen Datenmenge die relevanten Kennzahlen herausfiltern müssen.

Eine schlanke Datenbasis führt außerdem zu einem stärkeren Bezug zwischen Kennzahlen und tatsächlichen Unternehmenszielen, weil jede erfasste Größe begründet werden muss. Gleichzeitig sinkt das Risiko unkontrollierter Datenbestände, die niemand mehr vollständig überblickt.

Die passende Datenmenge hängt weiterhin vom jeweiligen Zweck ab, weniger Daten sind nicht grundsätzlich immer die bessere Wahl. Viele Organisationen sammeln in der betrieblichen Realität jedoch deutlich mehr Informationen, als sie für ihre tatsächlichen Entscheidungen verwenden.

Prüfraster für eine datensparsame Webanalyse

1. Welcher konkrete Zweck wird mit der Analyse verfolgt?
2. Welche Entscheidung soll auf Basis der Daten getroffen werden?
3. Welche einzelnen Datenpunkte werden für diesen Zweck tatsächlich benötigt?
4. Lässt sich dieselbe Frage mit aggregierten Daten beantworten?
5. Werden Besucher dauerhaft oder sitzungsübergreifend wiedererkannt?
6. Werden Cookies, Local Storage oder andere Endgeräteinformationen genutzt?
7. Werden IP-Adressen oder andere Online-Kennungen verarbeitet, und wie lange?
8. Wie lange werden Rohdaten insgesamt gespeichert?
9. Werden Daten mit anderen Quellen wie CRM- oder Werbeprofilen zusammengeführt?
10. Welche Daten erhält der eingesetzte Anbieter, und wo werden sie verarbeitet?
11. Welche Funktionen des Tools lassen sich deaktivieren, ohne den Analysezweck zu gefährden?
12. Ist für die eingesetzte Konfiguration eine Einwilligung erforderlich, und ist sie korrekt umgesetzt?

Strategische Einordnung

Die Auswahl einer Webanalyse-Lösung ist keine reine Marketingentscheidung. Datenschutz, IT, Marketing und Geschäftsführung sollten gemeinsam festlegen, welche Erkenntnisse ein Unternehmen tatsächlich benötigt, bevor ein Tool ausgewählt oder konfiguriert wird.

Ein Datenschutzbeauftragter sollte nicht erst nach der technischen Implementierung einbezogen werden, sondern bereits während der Konzeption des Analysevorhabens. Dieser Ansatz entspricht dem in Art. 25 DSGVO verankerten Prinzip des Privacy by Design, wonach Datenschutzaspekte von Beginn an in die Gestaltung einer Verarbeitung einfließen sollen.

Tool-Auswahl und Konfiguration sind getrennte Entscheidungen. Auch ein grundsätzlich datensparsam ausgelegtes Tool kann durch unnötig aktivierte Funktionen, eine unpassende Einbindung oder eine zu lange Speicherdauer problematisch konfiguriert werden.

Ein Beispiel für einen reduzierten Webanalyse-Ansatz ist Trackboxx. Die Lösung konzentriert sich nach Anbieterangaben auf Seitenaufrufe, Kampagnen, Ereignisse und Conversions und arbeitet ohne Analyse-Cookies. Für die rechtliche Bewertung im Einzelfall bleiben dennoch die konkrete Einbindung, aktivierte Funktionen, verarbeitete Kennungen, Speicherdauer und vertragliche Ausgestaltung entscheidend.

Abschließende Bewertung

Eine datensparsame Webanalyse beginnt nicht mit einer Liste verzichtbarer Datenfelder, sondern mit einem klar formulierten Analysezweck. Erst wenn dieser Zweck feststeht, lässt sich prüfen, welche Datentiefe tatsächlich erforderlich ist und ob eine aggregierte Auswertung ausreicht.

Für Unternehmen, die ihre Webanalyse überprüfen oder neu aufsetzen möchten, bieten sich drei erste Schritte an:

Erstens: die bestehenden oder geplanten Analysezwecke schriftlich festhalten, statt sie stillschweigend vorauszusetzen.
Zweitens: die aktuelle Konfiguration anhand des Prüfrasters durchgehen und jeden erfassten Datenpunkt einem Zweck zuordnen.
Drittens: Datenschutz, IT und Marketing gemeinsam in die weitere Ausgestaltung einbeziehen, statt die Entscheidung allein technisch oder allein rechtlich zu treffen.

Datenschutz und aussagekräftige Webanalyse lassen sich über denselben Ausgangspunkt verbinden: die klare Definition dessen, was ein Unternehmen aus seinen Daten tatsächlich wissen muss.

Häufige Fragen

Ist Webanalyse ohne personenbezogene Daten möglich?
Eine vollständig anonyme Webanalyse ist technisch anspruchsvoll, weil bereits Kombinationen aus IP-Adresse, Zeitstempel und Geräteinformationen unter Umständen einen Personenbezug herstellen können. Realistischer ist häufig eine datensparsame Verarbeitung mit kurzer Speicherdauer, aggregierter Auswertung und reduzierter Kennungstiefe, deren datenschutzrechtliche Einordnung im Einzelfall zu prüfen bleibt.

Sind gekürzte IP-Adressen automatisch anonym?
Nein. Nach der Einschätzung der deutschen Datenschutzaufsichtsbehörden stellt die Kürzung einer IP-Adresse eine zusätzliche Schutzmaßnahme im Sinne von Art. 25 DSGVO dar, führt für sich genommen jedoch nicht automatisch zu einer vollständigen Anonymisierung der Verarbeitung.

Braucht Webanalyse ohne Cookies eine Einwilligung?
Das hängt von der eingesetzten Technik ab. § 25 TDDDG erfasst nicht nur klassische Cookies, sondern grundsätzlich jeden Zugriff auf Informationen in der Endeinrichtung eines Nutzers, etwa über Local Storage oder vergleichbare Mechanismen. Ob im konkreten Fall eine Einwilligung erforderlich ist, hängt von der technischen Umsetzung und den greifenden Ausnahmetatbeständen ab und ist gesondert zu prüfen.

Muss ein Auftragsverarbeitungsvertrag geschlossen werden?
Wenn ein externer Anbieter personenbezogene Daten im Auftrag des Websitebetreibers verarbeitet, ist regelmäßig ein Vertrag nach Art. 28 DSGVO erforderlich. Ob stattdessen eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt, hängt davon ab, ob der Anbieter die Daten auch für eigene Zwecke nutzt, und ist im jeweiligen Einzelfall zu klären.

Quellenverzeichnis

1. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (DSGVO), insb. Art. 5, Art. 25, Art. 26, Art. 28. Konsolidierte Fassung. EUR-Lex. eur-lex.europa.eu
2. Bundesrepublik Deutschland: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25. Fassung mit Stand der letzten Änderung durch Gesetz vom 10. März 2026 (BGBl. 2026 I Nr. 64). gesetze-im-internet.de
3. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Hinweise der Datenschutzaufsichtsbehörden zum Einsatz von Google Analytics, Beschluss vom 26. Mai 2020. datenschutzkonferenz-online.de
4. Datenschutzkonferenz (DSK): Pressemitteilung „Datenschutzkonferenz plant Hilfestellungen für die effektive Anonymisierung und Pseudonymisierung von personenbezogenen Daten“, 30. Januar 2025 (Vorhaben laut Fortschrittsbericht vom Januar 2026 noch nicht final veröffentlicht). datenschutz.de
5. Der Landesbeauftragte für den Datenschutz Niedersachsen: Orientierungshilfe für Anbieter von Telemedien / Analyse der Nutzung von Internetseiten (Hintergrundeinordnung Webtracking). lfd.niedersachsen.de