Matomo hat beim Datenschutz einen Vorteil: Du kannst es selbst betreiben, die Daten bleiben auf deinem Server, und viele datensparsame Einstellungen sind eingebaut. Datenschutzgerecht wird der Betrieb damit noch nicht von allein. Es kommt auf eine Handvoll Entscheidungen an, die du einmal sauber triffst und dokumentierst.
Schritt 1: Rechtsgrundlage und Einwilligung
Zwei Regelwerke greifen ineinander. Die DSGVO verlangt für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage, für die Analyse kommen vor allem die Einwilligung oder berechtigte Interessen in Frage [1]. Daneben regelt § 25 TDDDG den Zugriff auf das Endgerät: Speichern oder Auslesen von Informationen ist nur mit Einwilligung erlaubt, wenn es für den gewünschten Dienst nicht unbedingt erforderlich ist [2].
Setzt Matomo Cookies, brauchst du dafür in aller Regel eine Einwilligung, und Matomo lädt erst danach. Betreibst du Matomo ohne Cookies, fällt das Speichern auf dem Gerät weg. Die Datenschutzkonferenz wertet aber auch das Auslesen von Geräteeigenschaften per JavaScript für einen Fingerprint als Zugriff und trifft zur Reichweitenmessung ohne Einwilligung keine pauschale Aussage [3]. Wie Matomo ohne Cookies arbeitet, steht unter Cookieloses Tracking. Für die Entscheidung, ob du ohne Einwilligung misst, brauchst du eine rechtliche Bewertung deiner Konfiguration.
Schritt 2: Datensparsame Einstellungen
In Matomo stellst du unter Datenschutz die IP-Kürzung ein. Standard sind 2 Bytes, für manche Rechtsordnungen nennt Matomo 3 Bytes, eine vollständige Maskierung ist ebenfalls möglich [4]. Für Rohdaten schlägt Matomo eine Aufbewahrung von 3 bis 6 Monaten mit automatischer Löschung vor; die zusammengefassten Berichte bleiben erhalten [4]. Erfasse außerdem keine Daten, die du nicht brauchst: keine E-Mail-Adressen oder Kundennummern in Seitenadressen oder benutzerdefinierten Variablen.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Schritt 3: Widerspruch ermöglichen
Misst du ohne Einwilligung, brauchen Besucher eine einfache Möglichkeit zu widersprechen. Matomo bringt dafür ein Formular für die Datenschutzseite mit; wer widerspricht, wird nicht mehr erfasst [4]. Matomo weist darauf hin, dieses Opt-out nur dort zu nutzen, wo keine Einwilligung nötig ist [4]. Arbeitest du mit Einwilligung, übernimmt das Consent-Banner diese Aufgabe; der Widerruf muss dann so einfach sein wie die Zustimmung [5].
Schritt 4: Vertrag mit dem Hoster
Läuft Matomo auf einem Server bei einem Hoster oder nutzt du Matomo Cloud, verarbeitet ein Dienstleister die Daten in deinem Auftrag. Dann brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO [6]. Prüfe, ob der Vertrag mit deinem Hoster auch den Server oder das Paket umfasst, auf dem Matomo läuft.
Schritt 5: Datenschutzerklärung
Die Datenschutzerklärung nennt Matomo mit Zweck, Rechtsgrundlage, Speicherdauer und gegebenenfalls Empfängern, so wie Art. 13 DSGVO es verlangt [7]. Dazu gehören Angaben dazu, ob Cookies gesetzt werden, wie die IP-Adresse gekürzt wird und wie Besucher widersprechen können. Wie die Erklärung insgesamt aufgebaut ist, steht unter Datenschutzerklärung im Onlineshop.
Die Einbindung in Shopware
Technisch ist die Einbindung der kleinere Teil. Mit unserem kostenlosen Matomo Plugin für Shopware 6 fügst du nur den Trackingcode in die Plugin-Konfiguration ein. Andere Wege beschreibt die Seite Matomo in Shopware einbinden. Wichtig ist, dass Einbindung und Datenschutzeinstellungen zusammenpassen: Wer mit Einwilligung arbeitet, muss sicherstellen, dass der Code erst nach der Zustimmung lädt, zum Beispiel über das Consent-Werkzeug. Das Plugin selbst gibt den Code immer aus. Im FAQ-Portal beantwortet ein Beitrag die häufige Frage, ob man für Matomo einen Cookie-Banner braucht: Brauche ich einen Cookie-Banner für Matomo?
Du willst Matomo in deinem Shop einrichten und die Datenschutzschritte sauber abhaken? Stell die Frage in der gratis SEO-Sprechstunde, dann gehen wir die fünf Schritte für deinen Shop durch.
- Gesetz Art. 6 DSGVO Rechtmäßigkeit der Verarbeitung. dejure.org. Stand laufend. abgerufen am 30.10.2026
- Gesetz § 25 TDDDG Schutz der Privatsphäre bei Endeinrichtungen. Bundesministerium der Justiz. Stand laufend. abgerufen am 30.10.2026
- Behörde Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten, Version 1.2. Datenschutzkonferenz (DSK). Stand 11.2024. abgerufen am 30.10.2026
- Organisation Configure Privacy Settings in Matomo. Matomo. Stand laufend. abgerufen am 30.10.2026
- Gesetz Art. 7 DSGVO Bedingungen für die Einwilligung. dejure.org. Stand laufend. abgerufen am 30.10.2026
- Gesetz Art. 28 DSGVO Auftragsverarbeiter. dejure.org. Stand laufend. abgerufen am 30.10.2026
- Gesetz Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person. dejure.org. Stand laufend. abgerufen am 30.10.2026
Häufige Fragen
Ist Matomo automatisch DSGVO-konform?
Nein. Matomo bietet datensparsame Einstellungen und läuft auf deinem Server. Ob der Betrieb datenschutzgerecht ist, hängt von Konfiguration, Rechtsgrundlage und Dokumentation ab.
Brauche ich für Matomo eine Einwilligung?
Mit Cookies in aller Regel ja. Ohne Cookies hängt es an deiner Konfiguration; die Datenschutzkonferenz trifft dazu keine pauschale Aussage.
Welche Rechtsgrundlage kommt für Matomo in Frage?
Die Einwilligung oder berechtigte Interessen nach Art. 6 Abs. 1 DSGVO. Welche passt, hängt davon ab, wie du Matomo betreibst.
Wie stark sollte ich IP-Adressen kürzen?
Matomo kürzt standardmäßig 2 Bytes und nennt für manche Rechtsordnungen 3 Bytes. Eine vollständige Maskierung ist möglich, verringert aber die Genauigkeit der Standortberichte.
Wie lange darf ich Matomo-Rohdaten speichern?
Matomo schlägt 3 bis 6 Monate mit automatischer Löschung vor. Lege eine Frist fest und nenne sie in der Datenschutzerklärung.
Brauche ich ein Opt-out?
Wenn du ohne Einwilligung misst, ja. Matomo liefert ein Formular für die Datenschutzseite. Mit Einwilligung übernimmt das Consent-Banner den Widerruf.
Brauche ich einen Vertrag zur Auftragsverarbeitung?
Wenn ein Hoster oder Matomo Cloud die Daten für dich verarbeitet, ja. Prüfe, ob dein bestehender Vertrag mit dem Hoster den Matomo-Server umfasst.
Was muss in die Datenschutzerklärung?
Matomo mit Zweck, Rechtsgrundlage, Speicherdauer, Cookies oder nicht, IP-Kürzung und Widerspruchsmöglichkeit.
Darf ich Kundendaten an Matomo übergeben?
Vermeide es. E-Mail-Adressen oder Kundennummern gehören weder in Seitenadressen noch in Variablen. Für E-Commerce-Tracking reichen Bestellnummer und Umsatz.
Ist Matomo Cloud genauso datensparsam wie selbst gehostet?
Die Einstellungen sind ähnlich, aber ein Dienstleister verarbeitet die Daten. Dann brauchst du einen Vertrag zur Auftragsverarbeitung und Angaben zum Anbieter in der Datenschutzerklärung.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
