Vorneweg: Das hier ist keine Rechtsberatung. Es ist der Stand, den ich mir als Betreuer von ein paar Dutzend Websites erarbeitet habe, mit Belegen. Was ihr konkret einrichtet, gehört mit einer Rechtsberatung abgestimmt.
Der Anlass ist eine Behauptung, die mir ständig begegnet. Sie steht in Herstellerblogs, in Agenturangeboten und in Foren, und sie lautet sinngemäß: Wer Matomo auf den eigenen Server stellt, braucht keinen Cookie-Banner mehr. Ich habe das ein Vierteljahr lang selbst für richtig gehalten, bevor ich die falsche Stelle im Gesetz gelesen habe.
Das Missverständnis sitzt eine Richtlinie tiefer
Das Argument klingt schlüssig. Google Analytics schickt Daten in die USA, der eigene Server nicht, also ist das Datenschutzproblem weg. Nur war das nie das ganze Problem, und seit 2023 ist es nicht einmal mehr die Hälfte davon.
Es greifen drei Rechtskreise, und die werden dauernd verwechselt. Die DSGVO regelt personenbezogene Daten und, in ihrem Kapitel V, die Übertragung in Drittländer. Das ist der Teil, den das Selbsthosten tatsächlich adressiert. Die Einwilligungspflicht für den Cookie-Banner kommt aber aus einer eigenen Richtlinie, der ePrivacy-Richtlinie, und die fragt nach etwas ganz anderem: Darfst du auf dem Endgerät eines Besuchers Informationen speichern oder auslesen? Diese Frage stellt sich auch dann, wenn ihr völlig anonyme Daten erhebt und sie nirgends hinschickt.
Österreich hat das in § 165 Abs. 3 TKG 2021 umgesetzt. Und die Datenschutzbehörde schreibt in ihren Cookies-FAQ, was aus technischer Sicht notwendig ist und was nicht: Sitzungsverwaltung, Formulareingaben über mehrere Unterseiten, die Speicherung des Einwilligungsstatus. Dann kommt der Satz, der die ganze Sache entscheidet. Nicht notwendig und daher einwilligungsbedürftig seien insbesondere jene Dienste, die das Nutzerverhalten von Personen auf der Website aufzeichnen und auswerten. Das ist Webanalyse. Mit Matomo, ohne Matomo, auf dem eigenen Server oder bei einem Händler.
Wer Kunden mit österreichischem Fokus berät und ihnen bannerfreies Messen verspricht, verkauft ein Versprechen, das nicht hält.
Warum Google Analytics trotzdem nicht die Illegalität ist
Die Entscheidung, mit der alle werben, ist von Ende 2021. Die DSB befand damals, der Transfer in die USA sei trotz Standardvertragsklauseln nicht wirksam begrenzt, und Googles zusätzliche Schutzmaßnahmen seien gegenüber US-Behörden wirkungslos. Frankreich zog später nach. Beides war richtig für die Zeit davor.
Dann hat die Kommission im Juli 2023 das EU-US Data Privacy Framework für angemessen erklärt. Google ist zertifiziert. Der Aufhänger der alten Entscheidungen, das fehlende Angemessenheitsurteil, existiert nicht mehr. GA4 mit sauberer Einwilligung ist heute nicht illegal, und wer das behauptet, kriegt von jedem Anwalt einen zurück.
Bleibt die Frage, warum man das Thema trotzdem auf den Tisch legen sollte. Der Grund ist ein anderer und er ist konkreter geworden. Am 29. Juni 2026 hat der Oberste Gerichtshof der USA in Trump v. Slaughter entschieden, dass der gesetzliche Entlassungsschutz der FTC gegen die Gewaltenteilung verstößt, sechs zu drei, und die Präzedenz aus dem Jahr 1935 aufgehoben, auf der das Konstrukt seit neunzig Jahren steht. Die FTC ist aber die Behörde, die im Data Privacy Framework die Selbstverpflichtung der Unternehmen durchsetzt. Unabhängige Aufsicht verlangt unser Recht für ein Angemessenheitsurteil.
Ich halte das nicht für Panikmache und auch nicht für ausgemacht. Die Kommission prüft, der EuGH befasst sich mit einer Klage, und es gibt gute Argumente dafür, dass der Beschwerdegerichtshof für Überwachungsopfer von diesem Urteil unberührt bleibt. Was ich daraus mitnehme, ist nüchterner: GA4 ist legal über ein Pfand, dessen Laufzeit gerade unübersichtlich geworden ist. Das ist ein ehrlicheres Verkaufsargument als jede Illegalitätsbehauptung, und es wird nicht in zwei Jahren falsch sein.
Womit ihr es messen wollt
Die drei Namen, die fallen, sind Matomo, Plausible und Umami. Verglichen wird fast immer die Oberfläche und der Platzbedarf. Wichtiger ist eine andere Frage, und die steht in keiner Feature-Tabelle, weil sie die Anbieter selbst beantworten müssen: Welche Funktionen bekommt ihr beim Selbsthosten überhaupt?
Bei Plausible ist die Antwort dokumentiert und sie tut weh. Der Community Edition fehlen Trichter, Benutzungspfade, die Anmeldung über zentrale Kundenkonten und, das ist der Punkt mit dem größten Schaden, der richtige Bot-Filter. Die Cloud verwirft rund 32.000 Datacenter-IP-Bereiche und erkennt Verhaltensmuster, die Selbstbauversion filtert Browserkennungen und Spam über gefalschte Herkunftsadressen. Ein Betreiber, der Plausible seit 2020 nutzt und 2026 umgestiegen ist, hatte danach statt 200 Besuchern am Tag zeitweise über 5.000. Ohne echten Bot-Filter sind die Zahlen keine Menschen mehr, dann könnt ihr gleich aufhören zu messen. Dazu kommt, dass Plausible einen zweiten spezialisierten Datenbankserver braucht und die Selbstbauversion nur zweimal im Jahr ein Update bekommt. Sicherheitslücken sind in der Cloud vorher zu.
| Matomo | Plausible CE | Umami | |
|---|---|---|---|
| Unterbau | PHP und MySQL | PostgreSQL und ClickHouse | PostgreSQL |
| Aufwand im Betrieb | mittel, wächst mit den Daten | am höchsten | am niedrigsten |
| Updates bei Selbstbau | laufend | nur zweimal im Jahr | laufend |
| Datenschutz in der Voreinstellung | nein, Konfiguration nötig | ja | ja |
| Was der Cloud-Version fehlt | Teile in kostenpflichtigen Paketen | Trichter, Benutzungspfade, Umsatzziele, richtiger Bot-Filter | nichts Sperrendes, aber kleinstes Paket |
Umami ist das Gegenstück. MIT-Lizenz, kommt mit einer normalen PostgreSQL aus, die viele Umgebungen sowieso laufen haben, und hat keine erkennbare Funktionssperre zur Cloud. Dafür ist der Funktionsumfang der kleinste der drei: keine Besucherprofile, keine Shop-Auswertung in Matomo-Tiefe. Und seit Version 3 von Ende 2025 wird MySQL nicht mehr unterstützt. Wer eine alte Installation hat, muss vor dem Upgrade migrieren, sonst liegt er beim ersten Start im Graben.
Matomo ist der einzige der drei, der vorhandene Auswertungen in der Tiefe nachbauen kann, Besuchprofile, Trichter, Shop-Auswertung bis auf Produktebene, Formularauswertung. Es skaliert auf PHP und MySQL, und bis etwa 100.000 Seitenaufrufe im Monat genügt ein Server mit zwei Kernen, zwei Gigabyte Arbeitsspeicher und 50 Gigabyte Platte, laut Hersteller läuft das sogar auf gemeinsam genutztem Webhosting. Für 1 Million braucht ihr vier Kerne und acht Gigabyte, ab einer Million Aktionen im Monat empfiehlt Matomo zwei getrennte Maschinen. Was ihr dimensioniert, sind übrigens Hits, also Seitenaufrufe plus Events, Downloads und Internetsuchen zusammen. Wer viel mit Events arbeitet, landet deutlich über der Zahl, die er im Kopf hatte.
Zwei Haken bei Matomo. Der eine ist die Voreinstellung: Matomo ist nicht per Default datensparsam, sondern legt standardmäßig Besucherprofile an, weil es der vollständigere Ersatz sein will. Datenschutz ist hier Konfigurationsarbeit, kein Zustand. Der andere ist neuer und teurer. Seit Mitte 2026 gibt es die Zusatz-Plugins nur noch in Bündeln, und zwar auch dann, wenn ihr auf dem eigenen Server hostet. 275 Euro im Monat für vier Nutzer und fünf Millionen Hits, 1.450 Euro für zwanzig Nutzer. Die Vorgängerpakete kosteten 549 bis 1.649 Euro im Jahr. Vor jeder Empfehlung also die Feature-Grenze abfragen, denn genau bei Hitmap-Auswertungen, Sitzungsaufzeichnungen, Attribution und Kohorten sitzt der Riegel, und das sind die Funktionen, die ein Agenturkunde haben will.
Der Weg raus aus GA4 hat eine Sackgasse
Der Import von Google Analytics nach Matomo legt für jede übertragene Property eine eigene Website in Matomo an. Das kann nicht in eine bestehende Website hineinfließen und lässt sich später nicht zusammenführen. Wer erst Matomo testet und dann die Historie importiert, hat zwei getrennte Datensätze für dieselbe Domain. Also Historie zuerst, dann der Messcode für genau die neu erzeugte Website.
Und rechnet es euch aus, bevor ihr umstellt. Ad-Blocker wirken anders, die Filterung ist eine andere, eine Sitzung ist nicht überall dasselbe. Zweistellige Abweichungen beim Übergang sind normal. Ich fahre beide Systeme vier bis acht Wochen parallel und halte die Differenz schriftlich fest, sonst sitzt ihr am Ende da und müsst erklären, warum ihr die Zahlen kaputt gemacht habt.
Was der Betrieb kostet, in Stunden nicht in Euro
Rechnen wir es durch, weil an der Stelle meistens geschummelt wird. Der Server ist der kleine Teil. Für eine Handvoll Kundenseiten bis zusammen ein paar Hunderttausend Seitenaufrufen im Monat liegt ihr bei einem vernünftigen VPS mit automatischen Backups und verwalteter Datenbank bei etwa dem, was ein einziger Kundentermin im Monat kostet.
Der große Teil seid ihr. Updates einspielen, besonders bei den Werkzeugen, die beim Selbsthosten seltener liefern als in der cloud. Backups, die ihr wenigstens einmal getestet zurückgespielt habt. Datenbankwartung, die mit wachsenden Datenmengen zur regelmäßigen Aufgabe wird, weil die Auswertung der Berichte bei Matomo im Hintergrund Rechenarbeit ist. Und die Sicherheitslücke, bei der ihr den Unterschied zur cloud selbst tragt: Dort ist sie zu, sobald der Hersteller liefert, bei euch erst, nachdem ihr das Update aufgespielt habt. Die Zeit dazwischen gehört euch.
Das ist machbar, keine Frage. Es gehört nur in ein Angebot hinein, das ihr dafür schreibt, und es braucht einen Namen daneben. Wer das nicht vertraglich abbildet, verschenkt Stunden und merkt es erst am Projektende.
Die Konfiguration ohne Banner, und was sie euch kostet
Matomo beschreibt einen Weg, ohne Einwilligung zu messen: Cookies aus, IP mindestens zwei Bytes weit kürzen, Herkunftsadressen anonymisieren, personenbezogene Daten aus Adressen und Seitentiteln werfen, keine Benutzerkennung, keine Verknüpfung mit Werbenetzwerken, nur eine Website, ein Opt-Out in der Datenschutzerklärung. Lässt sich alles einstellen.
Der Preis davon ist die Brauchbarkeit. Ihr zählt dann Besuche, aber keine Personen. Unbrauchbar werden damit die eindeutigen Besuche, die Tage seit dem letzten Besuch, die Verteilung nach Besuchshäufigkeit und alles, was eine Umwandlung über Tage hinweg misst. Also genau die Zahlen, wegen derer ein Shopbetreiber anruft.
Und in Österreich ist offen, ob euch das überhaupt etwas bringt. Matomo selbst warnt in seiner FAQ, dass auch der cookie-freie JavaScript-Messcode auf das Endgerät zugreift, und rät, ihn wie zustimmungspflichtig zu behandeln, bis eine Behörde das anders sieht. In Deutschland gelten nur die rein serverseitigen Verfahren als eindeutig außerhalb, weil da kein Zugriff auf das Gerät stattfindet. Ob das die DSB genauso sieht, steht nirgends. Der Datenschutzausschuss der europäischen Behörden hat die Frage, ob Analytik unter die Ausnahme fallen kann, in seinen Leitlinien von Oktober 2024 bewusst offen gelassen und den Anwendungsbereich gleichzeitig ausgeweitet, auf Fingerprinting, Pixel und URL-Verfolgung und in den meisten Fällen sogar auf die reine IP-Adresse. Wer gehofft hatte, ohne Cookies automatisch raus zu sein, liest dort das Gegenteil.
Was geht, ist Risikoreduktion mit dokumentierter Konfiguration und Opt-Out, plus dem ehrlichen Hinweis, dass ein Banner der sichere Weg ist. Was nicht geht, ist das im Angebot zu verschweigen.
Wann ich davon abrate
Bei kleinen Seiten fast immer. Unter 50.000 Besuchen im Monat sind Server, Backup und eure Arbeitszeit teurer als ein Tarif für neun oder neunundzwanzig Euro im Monat. Selbsthosten verlagert die Arbeit, es spart sie nicht, und beim eigenen Server gehört der Update-Weg von PHP und der Datenbank zu euren Aufgaben.
Ebenfalls abrate ich, wenn der Kunde die Google-Ads-Auswertungen in der Tiefe erwartet und das Budget für die Zusatzpakete nicht da ist. Und wenn niemand im Projekt ausdrücklich für Updates und Backups benannt ist, lasst die Finger davon.
Der Grund, es trotzdem zu machen, ist übrigens selten der Datenschutz und fast immer die Datenqualität. Hängt die Auswertung hinter dem Banner, fehlt ein erheblicher Teil des Traffics. Die Beobachtungen aus Agenturen liegen bei Rückgängen zwischen 20 und 60 Prozent, und nur rund ein Viertel der Besucher akzeptiert auf der ersten Ebene alles. Wenn ihr einem Kunden vorrechnet, dass seine Zahlen unvollständig sind, passiert mehr als bei jedem Datenschutzvortrag. Der Banner bleibt in Österreich dabei bestehen. Was sich ändern lässt, ist, dass ihr innerhalb der Einwilligung sauber, sparsam und auf eigenem Boden messt, statt Daten über einen Drittanbieter jenseits des Banners wandern zu lassen.
Das ist das eigentliche Argument. Nicht ihr wärt gesetzlich am Limit, sondern ihr hättet bessere Zahlen und könnt sie behalten.
Fazit
Der häufigste Fehler in diesem Thema ist nicht die Werkzeugwahl, sondern die Rechtsgrundlage, die dabei übersehen wird. Selbsthosten löst das Transferproblem und lässt die Einwilligungspflicht unberührt, und in Österreich führt an einem Banner kein Weg vorbei. Wer das weiß, kann trotzdem eine eigene Instanz bauen, nur mit offenen Augen und mit einem Angebot, das den Betrieb mit enthält. Was dabei herauskommt, ist keine Datenschutz-Show, sondern eine Messung, die euch gehört und die weniger Lücken hat als die hinter dem Banner.