Was diese Reihe ist und wie gemessen wird
Die meisten Texte zu Tracking-Tools geben die Rechtsmeinung des Herstellers oder einer Kanzlei wieder. Diese Reihe ergänzt zwei Dinge, die sich nachprüfen lassen. Erstens ein Versuch im Prüfstand: eine Testseite ohne Banner, die nichts bedient und damit den Zustand "vor jeder Entscheidung" nachbildet, in einem frischen Browser, mit mehreren Läufen je Konfiguration. Zweitens eine Messzahl aus dem Korpus des Complianty-Scanners: Wie oft lädt das Tool auf echten Websites schon vor der Einwilligung.
Die Zahlen auf allen Seiten dieser Reihe beziehen sich auf denselben Stand. Gemessen wurden 2.188.885 Websites mit einem erfolgreichen Scan zwischen 1. Oktober 2026 und 24. Oktober 2026, jeweils der letzte Scan je Website, nur die Startseite. 91 % davon sind .de-Seiten, der Rest verteilt sich auf Branchenseiten und wenige andere Domains. Auf 1.049.885 Seiten hat der Scanner ein Cookie-Banner erkannt, auf 1.139.000 nicht. Die Werte sind roh, ohne Bereinigung um Dubletten oder Parkseiten. Stand: 29. Oktober 2026.
Die Quoten gelten für diesen Korpus und nicht für das gesamte Web. Sie sagen, wie verbreitet ein Verhalten auf überwiegend deutschen Websites ist, nicht, ob eine bestimmte Seite rechtmäßig handelt.
Die acht Tools im Kurzvergleich
Die Tabelle zeigt, auf wie vielen der 2.188.885 Seiten das Tool schon vor der Einwilligung lädt. Die Prozentwerte beziehen sich auf alle Seiten der jeweiligen Gruppe, nicht auf die Seiten, die das Tool einsetzen. Jede Zeile nennt ihre Zählweise, denn die Werte sind nur innerhalb derselben Zählweise vergleichbar.
| Tool | Art | Vor Einwilligung, alle Seiten | Mit erkanntem Banner | Ohne erkanntes Banner | Zählweise und Hinweis |
|---|---|---|---|---|---|
| Google Analytics 4 | Reichweitenmessung | 6,85 % | 8,34 % | 5,48 % | Zählweise A. Dazu 7,78 % erst nach der Einwilligung und 0,71 % gesperrte Signale. |
| Matomo | Reichweitenmessung | 3,73 % (Obergrenze) 0,29 % (Untergrenze) |
4,05 % | 3,43 % | Zählweise A. Spanne aus Loader-Dateien und Tracking-Anfragen. |
| Plausible Analytics | Reichweitenmessung | 0,33 %1 | 0,35 % | 0,31 % | Zählweise A, Tool meist ohne Cookies. Fußnote 1. |
| Clarity: Was vor der Einwilligung geht | Sitzungsaufzeichnung | 0,51 %2 | 0,87 % | 0,18 % | Zählweise A. Replay-Inhalte nicht gemessen. Fußnote 2. |
| Hotjar: Contentsquare-Tag und Ladequote | Sitzungsaufzeichnung | 0,24 %2 | 0,39 % | 0,09 % | Zählweise A, klassischer Tag. Neue Konten: Contentsquare-Tag. Fußnote 2. |
| Google reCAPTCHA | Sicherheit | 3,13 % (Zählweise B) | 4,36 % | 2,00 % | Zählweise B. Ladebefund, kein Verstoßurteil. |
| Google Tag Manager | Tag-Verwaltung | 8,94 % (Zählweise B) | 12,24 % | 5,89 % | Zählweise B. Der Inhalt des Containers ist nicht Teil der Zahl. |
| Meta Pixel | Werbung | 2,35 %3 davon Pixel selbst 1,43 % |
2,91 % | 1,84 % | Zählweise A, alles von Meta, nicht nur der Pixel. Fußnote 3. |
1 Plausible: Die Mehrheit der Seiten mit Plausible vor der Einwilligung läuft auf einem einzigen Website-Baukasten, der das Tool selbst einbindet. Ohne ihn liegt die Quote bei rund 0,14 % aller geprüften Seiten (Stand A, Gegenrechnung, keine Ersatzzahl). Wie groß der Baukasten-Anteil in der Tabelle (Stand B) ist, haben wir nicht gemessen.
2 Clarity und Hotjar: Bei Clarity haben wir Netz- und Cookieverhalten mit einer echten Test-Projektkennung gemessen, die aufgezeichneten Inhalte (Replay) nicht. Bei Hotjar erhalten neue Konten den Contentsquare-Tag. Gemessen haben wir diesen Tag mit einer echten Test-Kennung, ebenfalls ohne Replay-Inhalte. Die Korpusquote von 0,24 % bezieht sich dagegen auf den klassischen Hotjar-Tag, den wir nur als Skriptabruf mit einer Dummy-Kennung gesehen haben.
3 Meta: Die Quote zählt alles von Meta, was vor der Einwilligung lädt. Bei 31.313 Seiten (1,43 % aller Seiten) ist es der Pixel selbst, bei 20.183 Seiten (0,92 %) sind es andere Skripte von connect.facebook.net ohne Beacon, vermutlich meist das Facebook-SDK. Die Aufteilung ist eine Gegenrechnung und keine Ersatzzahl.
Zählweisen nicht vermischen. Bei Google Analytics, Matomo, Plausible, Clarity, Hotjar und Meta Pixel gilt die strenge Zählung: Das Tool steht in der Liste der Anfragen vor dem Klick des Scanners und gehört zu einer Kategorie wie Analyse oder Werbung. Der Google Tag Manager und reCAPTCHA haben in dieser Zählung konstruktionsbedingt keine Treffer, weil der Container als Infrastruktur und reCAPTCHA als Sicherheitsfunktion eingestuft sind. Für beide gilt deshalb die Zählweise B: Das Tool lädt vor der Einwilligung in irgendeiner Rolle. Das ist ein Ladebefund und kein Verstoßurteil. Die Werte beider Zählweisen stehen in einer Tabelle, damit der Überblick vollständig ist, sind aber nicht gleichwertig vergleichbar. Auch innerhalb der strengen Zählung unterscheiden sich die Zeilen: Bei Matomo ist die Hauptzahl eine Obergrenze mit einer Untergrenze daneben, bei Meta zählt die Hauptzahl auch Skripte, die kein Pixel sind.
Mit und ohne erkanntes Banner. Wo der Scanner kein Banner findet, gibt es keinen Klick und keine Phase danach. Für Seiten ohne erkanntes Banner heißt die Quote deshalb schlicht: Das Tool lädt ohne jede Einwilligungsabfrage. Die beiden Spalten sind darum nicht als gleich gemessene Verbreitung lesbar. "Ohne erkanntes Banner" ist außerdem nicht "ohne Banner": Eigenbau-Banner und seltene Consent-Manager können als "ohne" laufen.
Wie diese Seiten geprüft wurden
Jede der acht Seiten hat vor der Veröffentlichung vier Prüfungen durchlaufen. Wir nennen sie hier, damit sich beurteilen lässt, was die Seiten leisten und was nicht.
- Eigene Messung und eigener Versuch. Jede Seite braucht eine Messzahl aus dem Korpus und einen Versuch im Prüfstand oder ein belegtes Muster aus den Scans. Die Versuche sind Eigenversuche mit echten Test-Kennungen bei Clarity, Meta Pixel, reCAPTCHA v3 und dem Contentsquare-Tag sowie gegen einen echten lokalen Matomo-Server, dessen Serverseite wir ausgelesen haben. Hotjars klassischer Tag lief nur mit einer Dummy-Kennung, und für Hotjar gilt: Neue Konten erhalten den Contentsquare-Tag. Google Analytics 4 und der Tag Manager liefen mit Dummy-Kennungen. Clarity und Meta Pixel liefen mit bestehenden Projekten bzw. Pixeln eines eigenen Kontos (Messung von einer lokalen Testseite, beim Pixel keine empfangene Aktivität in den vier Wochen davor laut Events Manager), das Contentsquare-Projekt war neu und ohne Seitenverkehr. Die Kontoeinstellungen sind nicht in jedem Fall bekannt.
- Zwei-Minuten-Test gegen eine KI-Antwort. Für jedes Tool entstand vorab, ohne Kenntnis unserer Seiten, eine Antwort einer KI mit Websuche nach etwa zwei Minuten Recherche. Danach wurde jede Aussage der Seiten gezählt: Stammt sie aus unserer Messung oder einer Primärquelle, steckt sie schon in der KI-Antwort, oder ist sie Allgemeinwissen ohne Beleg? Die Seiten wurden so gegen eine blinde KI-Baseline geprüft. Bei allen acht Seiten kamen 60 bis 87 % der sachhaltigen Wörter aus eigener Messung oder Primärquelle (Schwelle 50 %), und die KI-Antwort deckte unter 21 % ab (Schwelle höchstens 40 %). Bei Hotjar war der Abstand nach Zähleinheiten knapp, vor der Kürzung lag er bei 50,5 %. Diese Zahlen wurden vor dem Redaktionsdurchgang und vor den Messungen mit echten Kennungen erhoben und gelten nicht unverändert für den heutigen Wortlaut.
- Rechtsaussagen mit Beleg oder Kennzeichnung. Jede Rechtsaussage stützt sich auf eine Primärquelle (Gesetz, Urteil, Papier der Aufsichtsbehörden) oder trägt den Hinweis "unsere Einordnung". Angaben der Hersteller sind als Herstellerangabe gekennzeichnet und nicht als Rechtslage übernommen. Wo wir etwas nicht belegen konnten, steht es als offen da.
- Kein Anwalt und kein Rechtsrat. Eine Kanzlei hat die Seiten nicht geprüft. An ihre Stelle trat das Prüfen der Rechtsaussagen in Eigenregie, wie oben beschrieben. Die Seiten ersetzen keine Rechtsberatung.
Drei Dinge, die für jedes Tool gelten
- Die Verbindung entsteht vor dem Banner. Ein Skript im Quelltext baut die Verbindung beim Laden der Seite auf. Ein Cookie-Banner, das nur anzeigt und nichts zurückhält, ändert daran nichts. Entscheidend ist, ob das Skript vor der Entscheidung gar nicht startet.
- Zwei Prüfungen, nicht eine. § 25 TDDDG fragt, ob auf das Endgerät zugegriffen wird. Art. 6 DSGVO fragt, ob personenbezogene Daten verarbeitet werden und wofür es eine Rechtsgrundlage gibt. Ein Ergebnis in der einen Prüfung ersetzt die andere nicht. Deshalb ist "ohne Cookies" keine Antwort auf die Frage nach der Einwilligung.
- Rolle des Anbieters und Drittland. Ob ein Auftragsverarbeitungsvertrag nötig ist und ob Daten in ein Drittland gehen, unterscheidet sich je Tool. Die Einzelseiten nennen beides mit Quellen.
Wann welche Seite die richtige ist
- Reichweitenmessung: Google Analytics 4, Matomo und Plausible. Die drei Seiten sind so geschrieben, dass sich ihre Befunde nebeneinander lesen lassen.
- Sitzungsaufzeichnung: Microsoft Clarity und Hotjar. Aufzeichnungen sind eingriffsintensiver als Zählung, deshalb stehen Maskierung und Einwilligung stärker im Vordergrund.
- Sicherheit und Formulare: Google reCAPTCHA. Eine Sicherheitsfunktion lässt sich nicht wie ein Analyse-Tool beurteilen.
- Container und Werbung: Google Tag Manager und Meta Pixel. Beim Container entscheidet der Inhalt, beim Pixel die Vorab-Verbindung.
Wenn es nicht um ein Tool geht, das Sie auswerten, sondern um einen Baustein, den Sie in die Seite einbetten, etwa ein Video, eine Karte, eine Schrift oder ein CDN, finden Sie die passenden Anleitungen unter Dienste DSGVO-konform einbinden. Dort geht es um das Einbinden ohne Vorab-Verbindung, hier um die Prüfung von Tools, die Besucher messen oder bewerben.