Matomo & DSGVO: Wann die Analytics-Alternative einwilligungsfrei läuft
Matomo (früher Piwik) ist eine Open-Source-Web-Analyse, die self-hosted oder als EU-Cloud betrieben werden kann, und gilt als datenschutzfreundliche Alternative zu Google Analytics. Entscheidend ist aber die Konfiguration: Mit den Standard-Cookies trackt auch Matomo einwilligungspflichtig, cookielos eingerichtet kann es dagegen meist ohne Banner laufen.
Das Risiko
- Matomo ist self-hostbar bzw. als EU-Cloud verfügbar — der Befund erscheint deshalb standardmäßig als Hinweis, nicht als Risiko-Einstufung.
- Mit den Standard-Cookies (_pk_id/_pk_ses) und ohne Anonymisierung ist aber auch Matomo in der Regel einwilligungspflichtig (§ 25 TDDDG).
- Cookielos konfiguriert kann Matomo dagegen meist ohne Einwilligungsbanner laufen — es kommt auf die konkrete Einrichtung an.
- Auch eine datensparsame Analyse gehört in die Datenschutzerklärung.
Wie konfora das erkennt
konfora erkennt Matomo an seinen Lade- und Tracking-Requests und ordnet es der Kategorie Tracker & Analyse zu. Erkannt werden:
- matomo.js / piwik.js
- matomo.php / piwik.php
- *.matomo.cloud
Was im Report steht
- Ein Befund „Matomo / Piwik“ mit standardmäßiger Severity Hinweis.
- Belege: die kontaktierten Hosts, Beispiel-Request-URLs und die Anzahl passender Requests.
- Ein Soll-Ist-Hinweis, falls Matomo technisch erkannt, aber in der Datenschutzerklärung nicht genannt ist.
Typische Maßnahmen
- Prüfe, ob deine Matomo-Instanz cookielos konfiguriert ist — dann kann sie in der Regel ohne Einwilligungsbanner laufen.
- Aktiviere die IP-Anonymisierung in den Matomo-Einstellungen.
- Setzt du die Standard-Cookies ein, kläre mit DSB oder Kanzlei, ob eine Einwilligung eingeholt werden muss.
- Nenne Matomo in deiner Datenschutzerklärung — auch bei Self-Hosting.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- Ob Matomo cookielos oder mit Cookies läuft, hängt von Einstellungen ab, die von außen nicht in jedem Fall vollständig sichtbar sind.
- Ob eine Einwilligung im Einzelfall nötig ist, bleibt eine rechtliche Bewertung.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.