Webanalyse im Shop einrichten: Messung ohne Datenschutzrisiko

Wer eine Webanalyse einrichtet, muss zwei Fragen trennen: Speichert oder liest das Werkzeug etwas am Endgerät des Besuchers, und werden dabei personenbezogene Daten verarbeitet? Die erste entscheidet nach dem Telekommunikationsrecht des Landes über die Einwilligung, vorbehalten die Ausnahmen für die Nachrichtenübertragung und für unbedingt erforderliche Zugriffe; die zweite entscheidet über die Rechtsgrundlage nach der Datenschutz-Grundverordnung und in der Schweiz nach dem Datenschutzgesetz. Getrennt geprüft trägt eine Messung auch ohne Gerätezugriff.

Was Sie vorab brauchen

• eine Entscheidung, die die Messung stützen soll
• eine Liste der Werkzeuge im Shop mit Zweck, Speicherort und Empfänger
• Zugriff auf Shopsystem, Server-Protokolle und eine Testumgebung
• die Ereignisse, die Ihr Shopsystem selbst zählt
• Datenschutzerklärung und Einwilligungsbanner in der geltenden Fassung
• einen Ansprechpartner im Werkzeug für Auskunft, Löschung und Vertrag

Welche Messvarianten es gibt

Die Tabelle ordnet vier Varianten danach, ob sie am Endgerät des Besuchers etwas tun; diese Frage entscheidet über die Einwilligung, vorbehalten die Ausnahmen für die Nachrichtenübertragung und für unbedingt erforderliche Zugriffe. Die Spalten nennen die Norm des Landes, in dem gemessen wird.

Variante	Zugriff auf das Endgerät	Deutschland und Österreich	Schweiz	Was sie zeigt und wo die Grenze liegt
Serverseitige Auswertung der eigenen Bestell- und Shopdaten	keiner, die Daten bleiben im Shopsystem	Deutschland: keine Einwilligung nach § 25 TDDDG, weil am Endgerät nichts gespeichert oder ausgelesen wird; Österreich: § 165 Abs. 3 TKG 2021 betrifft nur die Ermittlung personenbezogener Daten	Die Pflichten des Datenschutzgesetzes bleiben; Art. 45c FMG ist nicht betroffen, weil nichts auf ein fremdes Gerät gelangt	Bestellungen, Warenkorbwert, Retouren und Wiederkäufe; nichts über Besucher ohne Bestellung
Zählung von Seitenaufrufen aus eigenen Server-Protokollen ohne Kennung	keiner, solange der Server nur den Abruf mitzählt	Deutschland: eine Zählung ohne Zugriff am Gerät kann ohne Einwilligung auskommen; die Aufsichtsbehörden stellen auf die einzelne Konfiguration und ihren Zweck ab (OH Digitale Dienste, Rn. 88 bis 90); Österreich: Einwilligung nur für ermittelte personenbezogene Daten	Statistik trägt über das überwiegende private Interesse nach Art. 31 Abs. 2 lit. e DSG nur unter dessen drei Voraussetzungen: anonymisieren, sobald der Zweck es erlaubt, sonst angemessene Massnahmen gegen die Bestimmbarkeit (Ziff. 1); besonders schützenswerte Personendaten an Dritte nur nicht bestimmbar, sonst Bearbeitung durch die Dritten nur zu nicht personenbezogenen Zwecken (Ziff. 2); Ergebnisse nur nicht bestimmbar veröffentlichen (Ziff. 3); für Cookies und ähnliche Techniken verlangt Art. 45c FMG daneben Information und Ablehnungshinweis	Aufrufe je Seite, keine Wege derselben Person; personenbezogene Protokolldaten brauchen eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO
Einwilligungsbasierte Messung (Skript oder Cookie erst nach Freigabe)	Speicherung oder Auslesen nach der Einwilligung	Deutschland: Einwilligung unabhängig vom Personenbezug, Ausnahmen nur nach § 25 Abs. 2 TDDDG; Österreich: aktive Einwilligung nach klarer und umfassender Information	Art. 45c FMG verlangt Information und Ablehnungsmöglichkeit; daneben gelten die Grundsätze nach Art. 6 und die Informationspflicht nach Art. 19 DSG (Ausnahmen nach Art. 20), eine Rechtfertigung verlangt das Datenschutzgesetz nur, soweit die Bearbeitung die Persönlichkeit verletzt (Art. 30 Abs. 1 und Art. 31 Abs. 1), und eine ausdrückliche Einwilligung nur in den Fällen des Art. 6 Abs. 7 DSG (für nicht notwendige Cookies mit hoher Eingriffsintensität: EDÖB-Leitfaden, Ziff. 3.10.1)	Wege über mehrere Besuche; abgelehnte Besuche fehlen und sind getrennt auszuweisen
Cookiefreie Messung mit anderer Kennung (Local Storage, Zählpixel, Link-ID, Fingerprint)	Zugriff ohne Cookie	Deutschland und Österreich: auch ohne Cookie ist die Einwilligung nötig, wenn das Verfahren am Gerät etwas ablegt oder von dort ausliest, außerhalb der Ausnahmen des § 25 Abs. 2 TDDDG und des § 165 Abs. 3 Satz 3 TKG 2021 (OH Digitale Dienste, Rn. 21, 23 und 24; EDSA-Leitlinien 2/2023, Rn. 50 und 51)	Der EDÖB ordnet Techniken ohne Speicherung am Gerät wie Fingerprinting, Pixel und ETags als ähnliche Technologien ein und verlangt Information und Ablehnung (EDÖB-Leitfaden, Ziff. 1.1 und 3.7.2); die Grundsätze nach Art. 6 und die Informationspflicht nach Art. 19 DSG gelten daneben für jede Bearbeitung, und eine Rechtfertigung ist nötig, soweit die Bearbeitung die Persönlichkeit verletzt	Wege und Wiederkehr auch ohne Cookie; vor dem Einbau einzeln prüfen, weil der Name des Verfahrens nichts über den Gerätezugriff sagt

Schritt für Schritt: die Messung einrichten

Schritt 1: Messfrage und Kennzahl festlegen

Formulieren Sie eine Frage, die eine Entscheidung trägt, etwa welche Kategorien in den Warenkorb führen, und leiten Sie daraus eine Kennzahl ab. Verarbeitet werden darf nur, was der Zweck verlangt (Art. 5 Abs. 1 Buchst. c DSGVO).

Schritt 2: Datenquellen trennen

Bestelldaten und Besuchermessung gehören in getrennte Systeme. Daten aus dem Vertragsverhältnis trägt Art. 6 Abs. 1 Buchst. b DSGVO nach Auffassung der Aufsichtsbehörden nur, soweit die Verarbeitung für den Vertrag erforderlich ist (OH Digitale Dienste, Rn. 104); für eine Auswertung zu Steuerungszwecken brauchen Sie eine eigene Rechtsgrundlage. Ein berechtigtes Interesse nach Buchst. f verlangt eine dokumentierte Abwägung, und im Tracking erfüllen nach Auffassung der Aufsichtsbehörden nur wenige Konstellationen diese Voraussetzung (Rn. 108 bis 110).

Schritt 3: Zählung festlegen

Ein Ereignis, eine Definition: Notieren Sie je Ereignis, wann es ausgelöst wird und was nicht mitzählt, etwa Testbestellungen und Aufrufe aus dem eigenen Netz. Dieselbe Definition gilt in allen Berichten; sonst lässt sich eine Abweichung zwischen Shopsystem und Analysewerkzeug nicht zuordnen.

Schritt 4: Variante wählen und Gerätezugriff prüfen

Prüfen Sie die gewählte Variante in der Testumgebung statt nach ihrem Namen: Speicher des Browsers leeren, Shop öffnen und vor der Banner-Entscheidung nachsehen, welche Einträge entstehen und welche Anfragen an welche Server gehen; danach den Blick nach Zustimmung und Ablehnung wiederholen. Erst damit steht fest, ob am Endgerät gespeichert oder ausgelesen wird.

Schritt 5: Einwilligung einbauen, falls der Zugriff bleibt

In Deutschland und Österreich laden die Messskripte erst nach der Entscheidung: Solange das Banner steht, darf kein Skript laden, das auf das Endgerät zugreift oder personenbezogene Daten verarbeitet, soweit dafür eine Einwilligung nötig ist (OH Digitale Dienste, Rn. 121 und 122). Ein voreingestelltes Kästchen trägt keine Einwilligung (Rn. 44); die Zwecke müssen getrennt wählbar sein (Rn. 51 bis 53), und die Ablehnung darf nicht schwerer fallen als das Zustimmen (Rn. 48 bis 50). Widerruf und Nachweis richten sich nach Art. 7 Abs. 1 und 3 DSGVO. Die Einzelheiten je Land: Cookie-Einwilligung in Deutschland, Cookie-Einwilligung in Österreich, Cookie-Einwilligung in der Schweiz.

Schritt 6: Verkauf und Besucher getrennt messen

Verkaufszahlen kommen aus dem Shopsystem, Besucherzahlen aus der Messung. Muss der Analysedienst die Bestellung sehen, richtet sich seine Rolle nach der Aufgabe, die er übernimmt: Verarbeitet er die Daten im Auftrag des Shops, ist er Auftragsverarbeiter und braucht einen Vertrag nach Art. 28 Abs. 3 DSGVO samt schriftlicher Genehmigung weiterer Auftragsverarbeiter (Abs. 2); der bloße Datenzugang entscheidet die Rolle nicht. Verarbeitet er die Daten auch zu eigenen Zwecken, ist der Rahmen der Auftragsverarbeitung überschritten, und ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO trägt die Übermittlung dann in der Regel nicht (OH Digitale Dienste, Rn. 111). Auftragsverarbeitung und Speicherort gehören in die Systemauswahl: Datenschutz bei der Shopsystem-Auswahl. Ein Schweizer Shop fällt unter die DSGVO, wenn die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union erfolgt (Art. 3 Abs. 1 DSGVO) oder wenn er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet (Art. 3 Abs. 2 DSGVO); fehlt beides, richten sich Messung und Bearbeitung nur nach dem Datenschutzgesetz und Art. 45c FMG.

Schritt 7: Löschfristen festlegen

Legen Sie je Datenart eine Löschfrist fest (Art. 5 Abs. 1 Buchst. e DSGVO) und tragen Sie sie in die Datenschutzerklärung für den Onlineshop ein.

So prüfen Sie das Ergebnis

• Jede Verarbeitung hat einen Zweck und eine Rechtsgrundlage (Art. 5 Abs. 1 Buchst. c, Art. 6 Abs. 1 DSGVO).
• In Deutschland lädt kein Messskript vor der Einwilligung, soweit es eine braucht; ohne sie greift am Endgerät nur § 25 Abs. 2 TDDDG.
• In Österreich liegt für die Ermittlung personenbezogener Daten eine aktiv erteilte Einwilligung vor, und die Information nennt Datenarten, Rechtsgrundlage, Zwecke und Speicherdauer (§ 165 Abs. 3 TKG 2021 mit § 3 Z 1 ECG).
• In der Schweiz stehen Information und Ablehnungshinweis nach Art. 45c FMG bereit, die Grundsätze nach Art. 6 DSG und die Informationspflicht nach Art. 19 DSG (Ausnahmen nach Art. 20) sind auch ohne Persönlichkeitsverletzung belegt, und soweit die Bearbeitung die Persönlichkeit verletzt, ist zusätzlich eine Rechtfertigung nach dem Datenschutzgesetz belegt (Art. 30 Abs. 1 und Art. 31 Abs. 1 DSG); eine Statistik stützt sich auf alle drei Voraussetzungen des Art. 31 Abs. 2 lit. e DSG, eine ausdrückliche Einwilligung nur, wo Art. 6 Abs. 7 DSG sie verlangt.
• Jede Kennzahl lässt sich aus zwei Zahlen nachrechnen; Zahlen nach Einwilligung sind getrennt ausgewiesen.
• Für jede Datenart steht eine Löschfrist (Art. 5 Abs. 1 Buchst. e DSGVO).

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Die Besucherzahl bricht nach dem Umbau des Banners ein	Messskripte laden erst nach der Freigabe, und ein Teil der Besucher entscheidet sich dagegen	Zählung ohne Gerätezugriff und Messung nach Einwilligung getrennt ausweisen; die Ablehnung darf nicht schwerer sein als das Zustimmen (Rn. 48 bis 50)
Zwei Berichte zeigen verschiedene Bestellzahlen	Ereignisdefinition und Zählweise unterscheiden sich, oder Testbestellungen sind enthalten	Definition festhalten, Testbestellungen und interne Adressen ausschließen
Sitzungsdauer und Absprungwert wirken unplausibel	Ohne Kennung lassen sich Aufrufe nicht zu Sitzungen zusammenführen	Übergangsquoten je Schritt rechnen und die Grenze der Variante nennen
Nach dem Widerruf laufen die Messdaten weiter	Das Banner wird nicht vor den Messskripten geladen, oder der Widerruf wird gespeichert, aber nicht angewendet	Banner-Skript zuerst laden und den Widerruf so einfach halten wie die Erteilung (Art. 7 Abs. 3 DSGVO)
Das Werkzeug speichert trotz der Bezeichnung cookiefrei etwas am Gerät	Es nutzt Local Storage, einen Zählpixel, eine Link-Kennung oder einen Fingerprint	Zugriff prüfen und einwilligen lassen, soweit § 25 Abs. 1 TDDDG oder § 165 Abs. 3 TKG 2021 greift und keine Ausnahme nach § 25 Abs. 2 TDDDG oder § 165 Abs. 3 Satz 3 TKG 2021 eingreift

Wann Sie Hilfe holen sollten

Holen Sie Beratung, wenn ein Werkzeug die Daten auch zu eigenen Zwecken verarbeitet, wenn Bestelldaten mit Werbe-Kennungen zusammengeführt werden sollen oder wenn Ihr Shop ohne Niederlassung in der Union dorthin verkauft. Weiterlesen: Shop-Kennzahlen, Webanalyse und Tracking rechtlich einordnen und Conversion-Optimierung.