Heb ik een cookiebanner nodig voor analytics in Duitsland?
Paragraaf 25 van het TDDDG kent maar twee uitzonderingen, het overbrengen van een communicatie en een dienst waar de gebruiker om vroeg; de Duitse privacytoezichthouders zeggen in hun handreiking dat ze geen algemene uitspraak doen dat bezoekersmeting is vrijgesteld, omdat de term te veel verschillende dingen dekt.
De regel
- Toezicht door
- De privacytoezichthouders van de Bond en de deelstaten, verenigd in de Datenschutzkonferenz (DSK)
- Vastgelegd in
- Duitse wet op de gegevensbescherming bij telecommunicatie en digitale diensten (TDDDG), Paragraaf 25
Er is geen uitzondering voor bezoekersmeting: de enige uitzonderingen zijn het overbrengen van een communicatie en een dienst waar de bezoeker om vroeg.
Wat de toezichthouder en de rechter hebben gezegd
- 21 november 2024: Handreiking voor aanbieders van digitale diensten, versie 1.2 (Orientierungshilfe Digitale Dienste) De toezichthouders lezen paragraaf 25 als dekkend voor het actief uitlezen van informatie van het toestel, en weigeren te zeggen dat bezoekersmeting als zodanig is vrijgesteld: wat zo heet, gaat van lezers tellen tot ze profileren, en alleen een nauw omschreven gebruik zou te beoordelen zijn.
- 28 mei 2020: Bundesgerichtshof, Cookie-Einwilligung II (I ZR 7/16) Cookies die niet noodzakelijk zijn, hebben de actieve toestemming van de gebruiker nodig; een vooraf aangevinkt vakje is er geen. De uitspraak volgt het Hof van Justitie van de EU in Planet49 en legde vast dat het Duitse recht toestemming vraagt.
Tool voor tool
Dezelfde vraag voor de tools die mensen het meest gebruiken. Tools die zonder cookies werken, krijgen hetzelfde oordeel als Nvivio.
| Tool | Banner nodig? | Waarom |
|---|---|---|
| Google Analytics 4, zoals het geleverd wordt | Ja | Plaatst de cookies _ga en _ga_<id> voor twee jaar om gebruikers uit elkaar te houden. Cookies die een browser twee jaar lang identificeren, zijn noch strikt noodzakelijk noch anonieme bezoekersmeting, dus Duitsland vraagt er toestemming voor. |
| Google Analytics 4 met consent mode | Ja | Consent mode past de tags van Google aan de keuze aan die een bezoeker in een banner maakte. Het is een manier om toestemming af te handelen, geen uitzondering erop. |
| Matomo zonder cookies | Nee, met een kanttekening | Met cookies uit en het IP-adres ingekort bewaart het niets op het toestel en meet het alleen voor jou. |
| Plausible of Fathom | Nee, met een kanttekening | Geen cookies en geen identificatiecode die langer dan een dag meegaat, meting alleen voor jou. |
| Nvivio, privacymodus | Nee, met een kanttekening | Geen cookie, niets op het toestel, het IP-adres nooit bewaard, een bezoekerscode die elke dag verandert, rapporten als totalen. |
| Nvivio, cookiemodus | Ja | Plaatst één first-party cookie om een bezoeker maandenlang te herkennen. Dat heeft toestemming nodig, en Nvivio zegt dat ook. |
| Heatmaps en sessieopnames | Ja | Ze leggen vast wat één bezoeker deed, meestal met een cookie, en zijn nooit alleen bezoekersmeting. |
Wat er verandert met de Digital Omnibus
De EU herschrijft de cookieregel. Zowel het voorstel van de Commissie als het mandaat van de Raad zonderen geaggregeerde bezoekersmeting door de aanbieder van een site, of door een derde namens hem, uit van toestemming. De tekst is nog geen wet.
Duitsland kent geen uitzondering in paragraaf 25. De Digital Omnibus zou er op EU-niveau een toevoegen voor geaggregeerde bezoekersmeting; Duitsland zou die dan toepassen, en de handreiking van de toezichthouders zou moeten volgen. Waar de Digital Omnibus staat
Zo stel je het in zonder banner
Drie stappen, in de volgorde die je in Duitsland aan de goede kant van de regel houdt.
- Zet het Nvivio-script op je site in privacymodus, de standaard: geen cookie, niets op het toestel.
- Vermeld Nvivio in je privacyverklaring, met het bezwaarvakje, zodat bezoekers met één klik kunnen weigeren.
- Houd je een andere tool die cookies plaatst, laad die dan pas na toestemming, of laat hem weg.
Veelgestelde vragen
Is first-party analytics in Duitsland vrijgesteld van toestemming?
Nee. Duitsland zondert alleen uit wat strikt noodzakelijk is voor een dienst waar de bezoeker om vroeg, en de toezichthouder rekent statistieken daar niet onder. First-party of third-party maakt voor de cookieregel geen verschil; wat telt, is of er iets op het toestel wordt bewaard of ervan wordt gelezen.
Haalt consent mode v2 van Google de banner weg?
Nee. Consent mode vertelt de tags van Google wat de bezoeker in je banner koos en stuurt cookieloze pings als toestemming geweigerd is. Het gaat uit van een banner; het vervangt er geen, en de pings zelf vallen in Duitsland onder geen enkele uitzondering.
Kan ik Google Analytics 4 naast Nvivio houden?
Ja, zolang Google Analytics pas na toestemming laadt. Nvivio meet in privacymodus iedereen, dus je houdt volledige cijfers; Google Analytics toont dan het deel dat toestemming gaf, met zijn eigen tools en zijn gegevens in de Verenigde Staten.
Mijn bezoekers komen uit meerdere landen. Welke regel geldt?
De regels van elk land waarvan je de inwoners meet, niet alleen het land waar je zit. Volg het strengste land dat voor jou telt, of laad de tool die toestemming nodig heeft daar pas na toestemming. Een tool die nergens toestemming nodig heeft, zoals Nvivio in privacymodus, omzeilt de vraag.
Is dit juridisch advies?
Nee. Het is algemene informatie, op de vermelde datum nagekeken tegen de bronnen hieronder. Regels en lezingen veranderen; een beslissing voor je site is aan jou, of aan je adviseur.
Buurlanden
Bronnen
- Bondsministerie van Justitie, de wet zoals ze geldt: § 25 TDDDG (gesetze-im-internet.de) · geraadpleegd op 4 november 2026
- Datenschutzkonferenz, handreiking voor aanbieders van digitale diensten: Orientierungshilfe Digitale Dienste (datenschutzkonferenz-online.de) · geraadpleegd op 4 november 2026
- Bundesgerichtshof, persbericht: Pressemitteilung Nr. 67/2020 (bundesgerichtshof.de) · geraadpleegd op 4 november 2026
Dit is algemene informatie, geen juridisch advies.