<script defer src="https://DOMAIN/a/DEINE-SITE-ID.js"></script>
{ "besucher": 412, "seitenaufrufe": 1073, "top_seiten": [{"pfad": "/preise", "aufrufe": 214}], "referrer": [{"quelle": "google", "besucher": 189}] }
Du hast am Wochenende einen Artikel geschrieben und willst am Montag wissen, ob ihn jemand gelesen hat. Stattdessen stehst du vor einem Werkzeug mit dreihundert Kennzahlen, das genau diese Frage nicht beantwortet — und vor einem Einwilligungsfenster, das jeder Besucher erst wegklicken muss. Wer dort ablehnt, taucht in keiner Zahl auf: Du misst eine Stichprobe unbekannter Größe und nennst sie Reichweite.
Die Einwilligungspflicht, die Cookie-Banner nötig macht, steht nicht in der DSGVO, sondern in § 25 TDDDG — dem Gesetz, das bis Mai 2024 TTDSG hieß. Es stellt nur eine Frage: Wird etwas auf dem Endgerät des Besuchers gespeichert oder von dort ausgelesen? Wenn ja, braucht es eine Einwilligung, und zwar unabhängig davon, ob die abgelegte Information überhaupt personenbezogen ist.
| Verfahren | Zugriff aufs Endgerät | Was § 25 TDDDG dazu fragt |
|---|---|---|
Cookie zur Wiedererkennung, etwa _ga | ja — wird gesetzt und wieder gelesen | Einwilligung nötig |
Kennung in localStorage | ja | Einwilligung nötig |
| Fingerprint aus Schriften, Canvas, Auflösung | ja — Geräteinformationen werden ausgelesen | Einwilligung nötig; so sehen es die Aufsichtsbehörden |
| Tages-Hash, serverseitig aus IP und Browserkennung gebildet | nein | greift nicht |
§ 25 Abs. 2 TDDDG lässt Ausnahmen zu, unter anderem wenn der Zugriff unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst überhaupt funktioniert — gemeint ist der Warenkorb, nicht die Reichweitenmessung. Die Aufsichtsbehörden legen diese Ausnahme eng aus.
Damit ist die Sache nicht erledigt. Die IP-Adresse erreicht beim Seitenaufruf trotzdem den Server: Sie geht zusammen mit der Browserkennung in den Tages-Hash ein und wird nicht abgelegt, aber sie wird verarbeitet. Dafür brauchst du eine Rechtsgrundlage nach der DSGVO — in der Praxis das berechtigte Interesse nach Art. 6 Abs. 1 lit. f — und einen ehrlichen Absatz in der Datenschutzerklärung (Art. 13 DSGVO). Ohne den geht es auch cookiefrei nicht.
Das Argument „die Daten fließen in die USA“ trägt seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 weniger weit als früher; die Einwilligungspflicht für Cookies hing ohnehin nie daran, sondern allein am Zugriff aufs Endgerät. Das hier ist keine Rechtsberatung — was für deine Seite gilt, prüft dein Datenschutzbeauftragter, nicht diese Tabelle.
Du bekommst je Website und Tag ein Aggregat, keine Einzelereignisse: Seitenaufrufe, Besuche, die zwanzig meistbesuchten Pfade, die zwanzig häufigsten verweisenden Hosts und den Tagesverlauf für bis zu 90 Tage rückwärts; voreingestellt sind 30.
| Frage | Antwort |
|---|---|
| Wie viele Leute waren gestern da? | ja — Besuche des Tages |
| Welche Seite lief am besten? | ja — die 20 stärksten Pfade |
| Woher kamen sie? | ja — die 20 häufigsten verweisenden Hosts |
| War dieselbe Person letzte Woche schon mal hier? | nein, und zwar mit Absicht |
| Wie lange bleiben Besucher? | nein — gemeldet wird nur der Aufruf |
| Land, Gerät, Absprungrate, Trichter? | nein |
Der teuerste Verzicht: Der Schlüssel, mit dem Besuche unterschieden werden, wird jeden Tag neu gewürfelt und der alte weggeworfen. Wer Montag und Dienstag kommt, zählt zweimal. Deshalb gibt es hier keine Wiedererkennung über Tage hinweg und folglich auch keine „eindeutigen Besucher pro Monat“. Wer diese Zahl zwingend braucht, braucht ein Verfahren, das wiedererkennt — und damit wieder eine Einwilligung.
Drei Eigenheiten, die du vor dem Einbau kennen solltest. Der Zähltag läuft nach UTC, beginnt in Deutschland also um 01:00 Uhr im Winter und 02:00 Uhr im Sommer — „heute“ ist gegenüber deiner Uhr verschoben. Als intern aussortiert werden Verweise nur, wenn der Host exakt mit der eingetragenen Domain übereinstimmt: Trägst du firma.de ein und verlinkst von www.firma.de, steht deine eigene Seite in der Referrer-Liste. Und in Einzelseiten-Apps meldet nicht nur jeder pushState einen Aufruf, sondern auch jeder Klick auf die Zurück-Taste; wenn schon ein Filterklick die URL ändert, zählt er mit.
Das Zählskript ist gut 500 Byte groß. Aufrufe von localhost werden übersprungen — 127.0.0.1 im Adressfeld allerdings nicht. Ab 100.000 verschiedenen Besuchern an einem Tag und einer Website wird die Unterscheidung gedeckelt. Und was ein Inhaltsblocker beim Besucher wegfiltert, kann ohnehin kein Analysewerkzeug zählen, auch dieses nicht.
Nein. Es wird kein Cookie gesetzt und keine IP-Adresse gespeichert. Besucher werden über einen täglich wechselnden Hash gezählt, der sich nicht auf eine Person zurückführen lässt — damit entfällt die Einwilligungspflicht, die Cookie-Banner nötig macht.
Eine Skriptzeile vor dem schließenden body-Tag — fertig. Das Skript ist unter 2 KB groß und bremst deine Seite nicht. Die Auswertung holst du dir als JSON über die API oder siehst sie im Dashboard.
Google Analytics setzt Cookies, überträgt Daten in die USA und braucht Einwilligung. Hier bleiben alle Daten auf Servern in Deutschland, es gibt kein Profiling und keine Weitergabe — dafür bewusst nur die Kennzahlen, die man wirklich braucht: Besucher, Seiten, Referrer.
Ja — das Zählskript erkennt History-Navigation, also Seitenwechsel ohne echten Reload, wie sie React, Vue und ähnliche Frameworks machen. Jede virtuelle Seite zählt als Aufruf.
Bekannte Bots werden am User-Agent aussortiert. Die eigenen Besuche kannst du per Browser-Flag ausschließen — ein localStorage-Eintrag genügt, und dein Team zählt nicht mehr mit.
Aktuell ist alles in der Beta komplett kostenlos — keine Kreditkarte, keine Laufzeit. Nach dem Verkaufsstart beginnen die Tarife bei 4,50 € pro Monat (100.000 Aufrufe) — bewusst rund die Hälfte des üblichen Marktpreises. Wer in der Beta dabei ist, wird vor jeder Umstellung informiert.
E-Mail-Adresse in das Formular auf dieser Seite eintragen — der API-Schlüssel erscheint sofort, ohne Bestätigungs-Wartezeit. Damit hast du 1.000 Aufrufe pro Monat frei. Der Schlüssel wird als Hash gespeichert und nur einmal angezeigt, also direkt sicher ablegen.
E-Mail eintragen, Schlüssel erscheint sofort auf der Seite. Kein Konto, keine Kreditkarte, keine Freischaltung durch uns.
Ein einziger HTTP-Aufruf mit deinem Schlüssel im Kopf — aus jeder Programmiersprache, jedem Framework, jedem Automatisierungswerkzeug.
Du bekommst sauberes JSON oder die fertige Datei zurück. Fehler kommen als klare deutsche Meldung, nicht als Rätsel.
<script defer src="https://DOMAIN/a/DEINE-SITE-ID.js"></script>
Wir legen die Preise jetzt schon offen, damit du planen kannst. Beta-Nutzer werden rechtzeitig informiert, bevor sich etwas ändert — niemand wird automatisch in einen bezahlten Tarif überführt.
Alle Preise zuzüglich Umsatzsteuer. Monatlich kündbar, keine Mindestlaufzeit, keine Einrichtungsgebühr.