Cookieless Tracking misst Besucher ohne Cookies, ist aber nicht automatisch einwilligungsfrei: § 25 TDDDG gilt auch für Local Storage, Fingerprinting und Tracking-Pixel. Um 2026 zu sehen, was dein Marketing bringt, brauchst du eine faire Einwilligung, eine sparsame Grundmessung und klare Ziele auf deiner Website.
Warum ist Cookieless Tracking 2026 überhaupt ein Thema?
Lange hieß es, Chrome werde Drittanbieter-Cookies abschaffen. Das ist nicht eingetreten: Laut Google entscheiden Nutzer in Chrome weiter selbst darüber. Im Oktober 2025 kündigte Google zudem an, zehn Privacy-Sandbox-Technologien einzustellen, darunter die Attribution Reporting API und Topics.
Für deine Messung zählt das Recht, nicht der Browser. § 25 TDDDG erlaubt das Speichern und Auslesen von Informationen auf dem Endgerät grundsätzlich nur mit Einwilligung, außer der Vorgang ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Wer ablehnt, fehlt in einwilligungspflichtigen Analysen. Deshalb suchen viele nach Wegen ohne Cookies.
Wie trackst du ohne Cookies, und was bleibt erlaubt?
„Cookieless“ beschreibt die Technik, nicht die Rechtslage. Laut Datenschutzkonferenz (DSK) und Europäischem Datenschutzausschuss (EDPB) gilt:
- Local Storage und Session Storage fallen genauso unter § 25 TDDDG wie Cookies.
- Fingerprinting per JavaScript, das Geräteeigenschaften an einen Server sendet, ist ein Zugriff auf das Endgerät.
- Tracking-Pixel und Tracking-Links mit Kennungen fallen unter Art. 5 Abs. 3 der ePrivacy-Richtlinie, die § 25 TDDDG umsetzt.
- Selbst Tracking nur über die IP-Adresse kann darunter fallen, etwa bei IPv6 oder statischer IPv4-Adresse.
- Die Einwilligungspflicht gilt auch, wenn die Informationen keinen Personenbezug haben.
Dass eine Technik darunter fällt, heißt laut EDPB aber nicht automatisch, dass du eine Einwilligung brauchst. Als ursprüngliche Form der Reichweitenmessung beschreibt die DSK die reine Zählung von Seitenaufrufen, die Auswertung von Logfiles ohne personenbezogene Daten oder ein einfaches Zählpixel der eigenen Website, das keine weiteren Nutzerdaten erfasst. Einen Freibrief gibt es aber auch dafür nicht: Selbst die einfache Messung von Besucherzahlen ist laut DSK nicht automatisch von der Ausnahme für unbedingt erforderliche Vorgänge gedeckt, sondern hängt vom konkreten Zweck ab. Die Datenschutzaufsicht Baden-Württemberg (LfDI BW) nennt als Weg ohne Einwilligung die lokale Logfile-Analyse ohne externe Drittdienste und mit Datenminimierung.
Ein bestimmtes Tool ist trotzdem nicht pauschal „ohne Einwilligung erlaubt“. Laut DSK hängt das immer von Konfiguration und Zweck ab, jede zusätzliche Auswertung kann das Ergebnis kippen. Die Messung, ob sich deine Anzeigen lohnen, dient nach DSK-Einschätzung im Regelfall nur deinen Interessen. Sie ist damit typischerweise nicht unbedingt erforderlich.
Ist Server-Side-Tracking die Lösung?
Beim Server-Side-Tracking verlagerst du die Erfassung vom Browser auf deinen eigenen Server. Laut LfDI BW steuerst du dann selbst, welche Daten an Dritte gehen. Drittanbieter-Cookies und direkte Browserverbindungen zu fremden Servern sind nicht nötig, und du kannst Daten vor der Weitergabe pseudonymisieren oder anonymisieren.
Die Grenzen sind genauso klar:
- Server-Side-Tracking ersetzt die Einwilligung nicht. TDDDG und DSGVO gelten voll, sobald ein Skript Geräteinformationen ausliest, Cookies oder Fingerprinting im Spiel sind oder identifizierbare Daten an Dritte gehen.
- Das berechtigte Interesse nach Art. 6 DSGVO trägt beim Tracking laut DSK nur in wenigen Konstellationen. Nutzt ein Analyse- oder Werbedienstleister die Daten auch für eigene Zwecke, reicht es in der Regel nicht einmal für die Übermittlung der IP-Adresse.
- Kennungen nur durch User-IDs oder Hashes zu ersetzen, ist laut LfDI BW weder Pseudonymisierung noch Anonymisierung.
- Als Nachteile nennt der LfDI BW weniger Transparenz, weil Besucher die serverseitigen Verbindungen nicht sehen, und das Risiko verdeckter Datenanreicherung.
Unsere Einordnung: Server-Side-Tracking ist ein Werkzeug für mehr Datenkontrolle, kein Weg, um Banner, Adblocker oder Browserschutz zu umgehen.
Wie misst du deinen Marketingerfolg, wenn nicht jeder zustimmt?
Du wirst nie jeden Klick sehen, und das musst du auch nicht. Entscheidend sind die Ergebnisse, die für dein Studio oder deine Praxis zählen. So gehst du vor:
- Wenige Ziele festlegen: Probetraining-Anfragen, gebuchte Termine, Online-Abschlüsse.
- Ergebnisse dort zählen, wo sie entstehen: Beim Online-Vertragsverkauf ist jeder digitale Abschluss ein zählbarer Vertrag, bei der Online-Terminbuchung jeder gebuchte Termin, bei der Online-Bedarfsanalyse jede vorqualifizierte Anfrage. Diese Zahlen sind unabhängig vom Banner.
- Herkunft erfragen, Zeiträume vergleichen: Ein optionales Formularfeld „Wie bist du auf uns aufmerksam geworden?“ liefert Hinweise ohne Skript. Dazu vergleichst du Abschlüsse im Kampagnenzeitraum mit den Wochen davor.
- Das Banner fair gestalten: Müssen Besucher für die Ablehnung auf eine zweite Ebene wechseln und öfter klicken als für die Zustimmung, beeinträchtigt das laut DSK die Freiwilligkeit. Ohne sachlichen Grund werten die Behörden das als treuwidrige Einflussnahme.
Wie stark Gestaltung wirkt, zeigt eine Studie von Nouwens et al. (CHI 2020): Fehlte der Ablehnen-Button auf der ersten Ebene, stieg die Einwilligungsrate im Feldexperiment mit 40 Teilnehmenden um 22 bis 23 Prozentpunkte.
Planst du eine neue Website, etwa eine unserer Fitnessstudio-Webseiten, denk die Messung von Anfang an mit: wenige Ziele, sparsame Technik, faires Banner. Dieser Überblick ersetzt keine Rechtsberatung, lass deine Konfiguration im Einzelfall prüfen.
Du willst wissen, wo deine Website heute bei Anfragen und Abschlüssen steht? In der kostenlosen Analyse schauen wir uns deine Website, deine Sichtbarkeit und deine digitalen Abschlussprozesse an.
Häufige Fragen
Ist der Google Consent Mode eine Messung ohne Einwilligung?
Nur mit Vorbehalt. Im Advanced Mode gehen auch bei Ablehnung der Einwilligungsstatus und cookielose Messungen an Google, das daraus Conversions modelliert. Im Basic Mode wird vor der Entscheidung nichts gesendet. Nach den EDPB-Leitlinien kann schon das Auslösen solcher Übermittlungen per JavaScript ein Zugriff sein. Das ist unsere Einordnung, keine Behördenbewertung.
Wird die Einwilligungspflicht für Reichweitenmessung bald gelockert?
Das ist offen. Im Digital Omnibus verhandelt die EU darüber, die Cookie-Regeln als Art. 88a und 88b in die DSGVO zu überführen, samt einer geplanten Ausnahme für aggregierte Reichweitenmessung. Stand Februar 2026 war das im Rat nicht beschlossen. Bis auf Weiteres gilt § 25 TDDDG.
Was gilt für Seiten zu Reha-Sport oder Gesundheitschecks?
Werden Seiten zu Reha-Sport, Präventionskursen oder Gesundheitschecks getrackt, können Rückschlüsse auf Gesundheitsdaten nach Art. 9 DSGVO möglich sein. Lass das vor dem Einsatz gezielt prüfen.
Quellen
- § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
- DSK: Orientierungshilfe Digitale Dienste, Version 1.2
- EDPB: Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive
- LfDI Baden-Württemberg: FAQ zu Cookies und Tracking
- Nouwens et al.: Dark Patterns after the GDPR (CHI 2020)
- Google: Update on Plans for Privacy Sandbox Technologies
- Google for Developers: Consent mode overview
- Rat der EU: Digital Omnibus, Presidency discussion note on GDPR
Transparenzhinweis: Dieser Artikel wurde mit KI-Unterstützung erstellt und redaktionell geprüft. Das Artikelbild ist KI-generiert.
