DSGVO-konformes Tracking mit Umami – ohne Cookie-Banner

Tracking auf der eigenen Website ist ein zweischneidiges Schwert. Einerseits willst du verstehen, wie Besucher deine Seite nutzen. Andererseits bedeuten Google Analytics & Co. meist einen Rattenschwanz an Cookie-Bannern, Einwilligungen und Datenschutz-Folgenabschätzungen.

Umami ist ein schlankes Analytics-Tool, das diesen Konflikt auflöst – ohne Kompromisse bei den Daten.

Was ist Umami?

Umami ist ein Open-Source-Analytics-Tool, das als Alternative zu Google Analytics entwickelt wurde. Es zeichnet Seitenaufrufe, Besucherzahlen und Events auf – verzichtet dabei aber konsequent auf Cookies und personenbezogene Daten.

Du kannst Umami entweder selbst hosten (eigener Server, eigene Daten) oder den Cloud-Dienst auf cloud.umami.is nutzen. In beiden Fällen liegt die Kontrolle über die Daten bei dir.

Warum Umami DSGVO-konform ist

Umami kommt ohne die typischen Tracking-Fallen aus:

• Keine Cookies: Umami setzt keine Cookies – weder Erstanbieter- noch Drittanbieter-Cookies. Damit entfällt die Notwendigkeit einer Einwilligung nach § 25 TTDSG.
• Keine personenbezogenen Daten: Es werden keine IP-Adressen dauerhaft gespeichert, keine User-IDs vergeben und kein Browser-Fingerprinting betrieben. Die Daten sind anonym.
• Kein Data-Sharing mit Dritten: Die Daten verbleiben auf deinem Server oder bei dir als Data Controller – sie werden nicht an Werbenetzwerke oder andere Dritte weitergegeben.
• Pseudonyme Nutzungsanalyse: Nach Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung anonymisierter Daten zu Analysezwecken auch ohne Einwilligung zulässig.

Kein Cookie-Banner nötig

Weil Umami keine Cookies setzt und keine personenbezogenen Daten verarbeitet, entfällt die Pflicht zur Einholung einer aktiven Einwilligung. Der Einsatz kann sich auf das berechtigte Interesse des Websitebetreibers stützen (§ 25 Abs. 2 Nr. 2 TTDSG, Art. 6 Abs. 1 lit. f DSGVO).

Voraussetzung ist, dass du in deiner Datenschutzerklärung transparent machst, dass du Umami einsetzt, welche Daten erfasst werden und dass diese anonym sind. Ein Cookie-Banner mit Opt-in ist dagegen nicht erforderlich.

Die Nachteile von Google Analytics

Google Analytics sammelt standardmäßig eine Vielzahl personenbezogener Daten (IP-Adressen, geräteübergreifende IDs, Browser-Fingerprinting). Die Rechtsprechung (EuGH, DSK) hat wiederholt klargestellt, dass dafür eine aktive Einwilligung nötig ist – der reine Hinweis im Cookie-Banner reicht nicht.

Hinzu kommen:

• Datenverarbeitung in den USA ohne angemessenes Datenschutzniveau (trotz DPF)
• Weitergabe an Werbenetzwerke und andere Google-Dienste
• Komplexität bei der DSGVO-konformen Konfiguration

Umami vermeidet all diese Punkte von Haus aus.

Welche Daten erfasst Umami?

Umami erfasst nur, was für eine sinnvolle Analyse nötig ist:

• Seitenaufrufe (URL, Titel)
• Referrer (Herkunft des Besuchers)
• Gerätetyp, Bildschirmgröße, Betriebssystem, Browser
• Land (auf Geo-Ebene, nicht City-Ebene – keine Rückschlüsse auf einzelne Personen)

Nicht erfasst werden:

• IP-Adressen (werden beim Proxy-Vorgang im Arbeitsspeicher verarbeitet, aber nicht gespeichert)
• Cookies
• User-IDs
• Browser-Fingerprints

Technische Umsetzung auf dieser Seite

Auf dieser Seite läuft Umami über das nuxt-umami-Modul im Proxy-Modus ("cloak"). Vereinfacht dargestellt:

Browser → /api/savory (gleiche Domain) → Nitro-Handler → cloud.umami.is

Der Browser sendet die anonymen Nutzungsdaten an einen Endpunkt auf derselben Domain (/api/savory). Ein Server-Handler leitet die Daten dann an den Umami-Cloud-Dienst weiter. Dabei wird die echte IP des Besuchers nur im Arbeitsspeicher des Servers verarbeitet und nicht gespeichert.

flowchart LR
  Browser["Browser<br/><small>pawlitzki.dev</small>"]
  Savory["/api/savory<br/><small>Nitro Server Handler</small>"]
  Umami["cloud.umami.is<br/><small>Umami Cloud</small>"]

  Browser -- "POST (anonyme Daten)" --> Savory
  Savory -- "POST + echte IP" --> Umami
  style Umami fill:#0f3460,color:#fff

Vorteile dieser Architektur:

• Browser blockt keine Requests (Same-Origin, kein externer Script-Load)
• Ad-Blocker (Brave, uBlock Origin) haben keine Angriffsfläche
• Die echte IP wird korrekt an Umami übermittelt (Geo-Location funktioniert)
• Kein externes Script wird nachgeladen – alles ist Teil des Nuxt-Bundles

Und die Kehrseite?

Umami ist kein Universalersatz für Google Analytics. Wer Kampagnen-Tracking auf Nutzer-Ebene, Trichter-Analysen mit User-Journey über mehrere Sessions oder eine Integration mit Google Ads benötigt, wird mit Umami nicht glücklich.

Für die 80 % der Websites, die einfach nur wissen wollen: "Wie viele Besucher habe ich, woher kommen sie und welche Inhalte sind beliebt?" – ist Umami die klar bessere Wahl.

Fazit

Umami ist eine erfrischende Alternative im Analytics-Dschungel. Cookielos, datenschutzkonform, schnell und übersichtlich. Wer auf Google Analytics verzichten kann, spart sich nicht nur den Cookie-Banner, sondern auch ein schlechtes Gewissen.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Ich bin kein Anwalt und die beschriebenen Sachverhalte sind meine eigene Einschätzung, basierend auf Recherche und praktischer Erfahrung. Für eine verbindliche rechtliche Bewertung wende dich bitte an einen Fachanwalt für Datenschutzrecht.