Plausible Analytics und DSGVO:cookiefrei heißt nicht einwilligungsfrei

Was das Plausible-Skript beim Seitenaufruf tut

Wir haben das Skript an drei Stellen untersucht: im Quelltext (was es kann), im Prüfstand (was es auf einer Testseite tut) und im Scan (wie oft es auf echten Seiten vorkommt).

Die Request-Kette im Prüfstand

Der Prüfstand ist eine Testseite mit dem Cloud-Skript nach Herstellerangabe, ohne Banner, ohne Klick, in einem frischen Chromium-Kontext. Gewartet wurde acht Sekunden nach dem Laden, jede Konfiguration lief dreimal. Als Befund gilt nur, was in allen drei Läufen identisch war (Messung vom 29. Oktober 2026).

Das sind zwei Anfragen an einen einzigen Host. Cookies: keine. Einträge in localStorage und sessionStorage: keine. Die Schlüssel stehen für Domain, Ereignisname, Referrer, Adresse der Seite und Skriptversion. Die Werte erfassen wir im Prüfstand bewusst nicht.

Eine Besonderheit ist selbst ein Befund: Plausible sendet nichts, wenn der Browser sich als automatisiert meldet. Ein Standard-Playwright-Chromium löst keinen Aufruf an /api/event aus. Wir mussten Chromium mit --disable-blink-features=AutomationControlled und einem User-Agent ohne HeadlessChrome-Kennung starten. Wer Plausible mit einem Automatisierungswerkzeug testet und nichts sieht, hat also kein Tool ohne Datenfluss gefunden, sondern ein Skript, das den Test erkannt hat. Der Scan von Complianty sieht Plausible-Seiten trotzdem, weil sein Browser diese Kennung nicht trägt. Wie viele Seiten Messungen mit automatisierten Browsern verpassen, haben wir nicht gemessen.

Was das Skript ausliest: eine Quelltextanalyse

Wir haben die am 29. Oktober 2026 ausgelieferte Datei https://plausible.io/js/script.js (2.841 Bytes, Skriptversion 37 laut Code im Skript selbst) nach Zugriffen auf Browserinformationen durchsucht:

Im Skript kommen weder screen noch userAgent, language, document.cookie noch sessionStorage vor. Das Skript liest also weder Bildschirmgröße noch User-Agent noch Sprache aus. Land, Browser, Betriebssystem und Gerätetyp entstehen nach Herstellerangabe auf dem Server aus IP-Adresse und User-Agent-Kopfzeile, die jede Anfrage ohnehin mitbringt. Zusätzlich nimmt das Skript benutzerdefinierte Eigenschaften (props) entgegen. Was dort hineingeschrieben wird, entscheidet die Website, nicht Plausible.

Das öffentliche Repository des Herstellers enthält einen anderen, neu gegliederten Tracker-Stand als die ausgelieferte Datei. Wir haben nur die ausgelieferte Datei geprüft; für andere Skriptvarianten oder eine selbst gehostete Instanz gilt die Analyse nicht ungeprüft.

Wie oft Plausible vor der Einwilligung lädt

Basis: 2.188.885 Websites, davon 1.049.885 mit und 1.139.000 ohne erkanntes Banner; letzter erfolgreicher Scan ab 1. Oktober 2026 (Stand B), überwiegend deutsche Seiten. Die mittleren Spalten beziehen sich auf alle Seiten des jeweiligen Segments, die letzte Spalte auf die Seiten mit Banner, auf denen das Tool überhaupt erkannt wird. Gezählt ist die Startseite im Schnellscan. „Ohne erkanntes Banner“ heißt: Der Scanner erkennt keinen Consent-Manager; Eigenbau-Banner und seltene Anbieter können darunter fallen. Dort gibt es keinen Klick, und „Verbreitung“ bedeutet schlicht „lädt ohne jede Abfrage“.

Wo ein Banner steht und Plausible läuft, läuft es in 96,3 % der Fälle schon vor dem Klick, bei den anderen Tools der Tabelle zwischen 32,6 % und 60,1 %. Die Zahl zeigt, wie Betreiber handeln, nicht, wie die Rechtslage ist. Sie sagt auch weniger über „die Websites“ aus, als es aussieht, wie der nächste Abschnitt zeigt.

Die Quote hängt an einem Website-Baukasten

Von den Websites, auf denen wir Plausible vor der Einwilligung gesehen haben, lief die Mehrheit auf einem einzigen Website-Baukasten, der das Tool selbst einbindet. Ohne diese Seiten liegt der Anteil bei etwa 0,14 Prozent.

• Messung: Im Stand A (4.920.998 Websites, Scans ab 8. August 2026) lädt Plausible auf 29.681 Seiten vor der Einwilligung (0,60 %). 76,2 % dieser Seiten (22.625) tragen den Baukasten, in einer Zufallsstichprobe von 60.837 Seiten dagegen nur 0,4 %. Zieht man die Baukasten-Seiten ab, bleiben 7.056 Seiten, das sind 0,14 % aller Seiten des Stands A.
• Auflösung der Abweichung 0,60 % (Stand A) gegen 0,33 % (Stand B): Je Herkunftsgruppe der Seiten ist die Quote in beiden Ständen gleich (0,33 gegen 0,33 % und 0,23 gegen 0,24 %). Der Unterschied entsteht, weil eine Gruppe mit 0,84 % in Stand A mehr als die Hälfte der Seiten stellt und in Stand B 0,4 %. Dort ist der Baukasten-Anteil an den Plausible-Treffern mit 81,9 % hoch, in dem Teil, den Stand B fast allein bildet, liegt er bei 59,6 %. Ohne Baukasten ergibt sich in beiden Gruppen etwa dieselbe Quote (0,13 und 0,15 %). Es ist also eine andere Mischung, kein Scannereffekt.
• Keine Farm: Die Treffer verteilen sich auf viele einzelne Kundenseiten. Nur 39 Ziel-Hosts haben mindestens zehn Plausible-Seiten, zusammen 2,8 % der Treffer.

Zitieren Sie deshalb die 0,33 % nicht als typischen Anteil von Websites, sondern als Stand B mit diesem Vorbehalt. Ob der Baukasten Plausible in jeder seiner Seiten einbindet, ist nicht geprüft. Sein Anteil am Gesamtkorpus stammt aus der Stichprobe und ist grob. Cloud-Betrieb und Selbstbetrieb sind in den Zahlen nicht getrennt; die Selfhost-Varianten machen im Stand A 0,9 % der Plausible-Seiten aus.

Cookies auf Seiten mit Plausible

Aus dem Stand A (nicht mit Stand B mischen): Auf den 29.681 Seiten, auf denen Plausible vor der Einwilligung lädt, trägt der Browser in 87,3 % der Fälle mindestens einen Cookie, noch bevor jemand klickt. Die häufigsten Namen sind JwStickySession (75,1 %) und JWSESSION (28,2 %). Diese Cookies gehören zum Baukasten, nicht zu Plausible. Sie decken sich mit dem Baukasten-Anteil von 76,2 %. Ein eigenes Plausible-Cookie gibt es nicht, und unsere Speicherprüfung findet bei Plausible in 0,00 % der Seiten etwas. Cookies im Browser einer Plausible-Seite stammen von etwas anderem; wer sie loswerden will, sucht die Quelle, statt Plausible zu entfernen.

Cookiefrei ist nicht einwilligungsfrei: zwei getrennte Prüfungen

Der Satz „Wir setzen keine Cookies, also brauchen wir keine Einwilligung“ verknüpft zwei Rechtsgrundlagen, die unabhängig nebeneinander stehen. Dies ist keine Rechtsberatung. Wir ordnen Quellen ein und benennen, wo sie auseinandergehen.

Prüfung 1: Zugriff auf das Endgerät (§ 25 TDDDG)

§ 25 Absatz 1 TDDDG verlangt eine Einwilligung für die Speicherung von Informationen im Endgerät und für den Zugriff auf dort bereits gespeicherte Informationen, unabhängig vom Personenbezug (OH Digitale Dienste, Version 1.2, November 2024, Rn. 26). Absatz 2 Nummer 2 nimmt aus, was unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann. „Keine Cookies“ erledigt die Prüfung aus zwei Gründen nicht:

• Cookies sind nicht die einzige Technik. Die Orientierungshilfe nennt ausdrücklich auch Web-Storage (Rn. 21) und wertet das Auslesen von Geräteeigenschaften per JavaScript für einen Fingerprint als Zugriff (Rn. 24). Das Plausible-Skript ist kein Fingerprinting-Skript; die Stelle zeigt nur den Zugriffsbegriff. Der Europäische Datenschutzausschuss beschreibt in den Leitlinien 2/2023 (Version 2.0, 7. Oktober 2024) allgemeiner, dass es ein Zugriff im Sinne von Art. 5 Abs. 3 der ePrivacy-Richtlinie sei, wenn der Anbieter per JavaScript den Browser anweist, Anfragen mit den angestrebten Informationen zu senden (Rn. 33, 53). Zugleich hält er fest, dass daraus nicht immer eine Einwilligungspflicht folgt, weil Ausnahmen zu prüfen sind (Rn. 56).
• Das Plausible-Skript liest aus dem Browser. Adresse der Seite, Referrer, Scrollposition und Verweildauer werden erfasst und gesendet, außerdem wird ein localStorage-Eintrag gelesen, wenn auch nur ein Ausschlussschalter. Ob das ein Zugriff auf „gespeicherte Informationen“ im Sinne von § 25 ist, ist die eigentliche Auslegungsfrage. Der Hersteller und das von ihm verlinkte Gutachten gehen davon aus, dass Plausible nichts im Endgerät speichert und deshalb kein Zugriff vorliegt. Eine Aussage der Aufsichtsbehörden speziell zu Plausible oder zu vergleichbaren Zählskripten haben wir nicht gefunden.

Die Ausnahme für Reichweitenmessung. Hier ist die Orientierungshilfe zurückhaltend und trifft bewusst keine Aussage, ob Reichweitenmessung grundsätzlich ohne Einwilligung zulässig ist (Rn. 87). Eine Festlegung sei allenfalls für eine genau definierte Konfiguration und Zweckbestimmung möglich und gelte nicht mehr, wenn weitere Informationen über Nutzende hinzukommen (Rn. 89). Selbst die einfache Messung von Besucherzahlen sei nicht von vornherein Teil des gewünschten Dienstes, sondern hänge vom Zweck ab (Rn. 90). Als reine Zählung nennt sie das Hochzählen pro Seitenaufruf, Logfiles ohne personenbezogene Daten und ein einfaches Zählpixel ohne weitere Nutzerdaten (Rn. 88), und sagt zugleich, dass Drittdienstleister zur Reichweitenmessung regelmäßig teils sehr weitgehende Informationen verarbeiten. Ob Plausible unter die einfachere oder die weitergehende Beschreibung fällt, entscheidet sie nicht, nennt Plausible nicht und widerspricht dem Hersteller nicht ausdrücklich.

Prüfung 2: Verarbeitung personenbezogener Daten (Art. 6 DSGVO)

Unabhängig von § 25 gilt die DSGVO, sobald personenbezogene Daten verarbeitet werden. Plausible gibt auf seiner Datenseite an, aus Tages-Salt, Domain, IP-Adresse und User-Agent täglich einen Hashwert zu bilden, den Salt alle 24 Stunden zu verwerfen und weder rohe IP-Adressen noch User-Agent-Strings zu speichern. Das sind Herstellerangaben, die wir von außen nicht prüfen können: Der Prüfstand sieht nur, was der Browser sendet. Sicher ist, dass die IP-Adresse des Besuchers den Server von Plausible erreicht, schon beim Abruf des Skripts und bei jedem POST. Ob das Ergebnis der Verarbeitung ein personenbezogenes Datum ist, hängt vom Verfahren ab, nicht nur von der Selbstauskunft.

Eine Spannung in den Herstellerangaben. Die Datenseite beschreibt eine Erhebung ohne personenbezogene Daten, die Einzelpersonen identifizieren könnten. Zugleich bietet der Hersteller ein Data Processing Agreement an, nach dem der Kunde Verantwortlicher und Plausible Auftragsverarbeiter für die Besucherdaten ist. Dasselbe DPA sagt (Herstellerangabe), der Hersteller speichere, rufe ab oder extrahiere nichts vom Gerät der Besucher. Unsere Quelltextanalyse findet dagegen Lesezugriffe auf Adresse, Referrer und einen Ausschlussschalter im localStorage. Wie sich diese Angaben zueinander verhalten, haben wir auf den Herstellerseiten nicht erklärt gefunden. Ob das mit der DPA-Aussage vereinbar und für § 25 relevant ist, ist die Auslegungsfrage von oben.

Kommt es zu einer Verarbeitung personenbezogener Daten, braucht es eine Rechtsgrundlage. e-recht24 und das vom Hersteller verlinkte Gutachten nennen das berechtigte Interesse (Art. 6 Abs. 1 lit. f), das eine Interessenabwägung voraussetzt; die Orientierungshilfe äußert sich dazu für Plausible nicht. Hinzu kommen die Information in der Datenschutzerklärung (Art. 13) und, wenn Plausible als Dienstleister eingesetzt wird, ein Vertrag nach Art. 28.

Wer sagt was

Der Hersteller schließt aus „keine Cookies“ auf „keine Einwilligung nötig“; die Orientierungshilfe nennt § 25 technikneutral. Wir haben keine einschlägige Gerichtsentscheidung zu Plausible gefunden. Wer ohne Einwilligung arbeitet, trifft damit nach unserer Einordnung eine begründete Entscheidung auf unsicherer Grundlage und sollte sie dokumentieren.

Drei Wege und was sie kosten

• Ohne Einwilligung, dokumentiert. Konfiguration eng halten (keine props mit Personenbezug), Datenschutzerklärung, Vertrag nach Art. 28, schriftliche Begründung. Die Restunsicherheit bei § 25 bleibt beim Mandanten, und jede spätere Erweiterung des Trackings kann die Grundlage kippen (unsere Einordnung).
• Hinter das Banner. Skript erst nach Zustimmung laden. Wer ablehnt, fehlt in der Statistik.
• Serverseitig zählen. Logfile-Auswertung oder ein einfacher Zähler auf dem eigenen Server ohne personenbezogene Daten. Es entfallen Scrolltiefe und Engagement. Die Orientierungshilfe nennt diese Zählung als Beispiel (Rn. 88), ohne sie ausdrücklich freizustellen.

Typische Konfigurationsfragen

• Eigenschaften mit Personenbezug. Tragen Seitenbetreiber in props eine E-Mail-Adresse, eine Kundennummer oder Formularinhalte ein, ist das Verfahren nicht mehr das, was der Hersteller beschreibt; die Orientierungshilfe nimmt die Einordnung für diesen Fall zurück (Rn. 89). Eine Häufigkeit dafür haben wir nicht gemessen.
• Selbst gehostete Instanz. Der Scanner erkennt sie nicht am Host, sondern am Skriptpfad oder an DOM-Signalen (siehe proxied und selbst gehostetes Tracking). Der Betrieb auf eigenem Server vermeidet eine Weitergabe an den Hersteller; die Pflichten zu § 25 und zur Datenschutzerklärung bleiben.
• Drittland. Nach der geteilten Einstufung in Complianty (Land des Anbieters: EU, Estland) ist für Plausible Cloud keine Drittlandgrundlage nötig. Die Einstufung sagt nur, ob ein Transfer mit Grundlage vorliegt, nicht, ob eine Grundlage trägt. Für selbst gehostete Varianten ist sie nicht gemessen.

Selbst prüfen

Seite im privaten Fenster mit ausgeschaltetem Inhaltsblocker neu laden, das Banner nicht bedienen und im Reiter Netzwerk nach api/event filtern. Ein POST dorthin vor dem Klick bedeutet: Das Tool arbeitet ohne Einwilligung. Cookies, die Sie im Reiter Anwendung finden, gehören nach unserer Messung meist nicht zu Plausible. Mehrere Mandanten lassen sich per Scan in einem Durchgang prüfen.

Wo Plausible in Complianty auftaucht

Der Scanner erkennt Plausible am Host plausible.io und mehreren Selbstbetrieb-Varianten. Im Katalog steht die Einwilligungspflicht auf „unklar“, nicht auf „ja“. Ein Treffer ist deshalb ein Ladebefund, den Sie bewerten, und kein Urteil. Für den Mandanten gehört Plausible in den AVV-Tracker, das Verarbeitungsverzeichnis und die Datenschutzerklärung. Passt der Befund „lädt vor der Einwilligung“ zu Ihrer dokumentierten Entscheidung, können Sie ihn begründet ausblenden.