Technik & Recht

Wie VAREEN Besuche misst

VAREEN misst, welche Inhalte einer Website gefunden und gelesen werden - und ob KI-Systeme sie zitieren. Wie viel dabei über einzelne Besucher erfasst wird, entscheiden Sie je Projekt: von der klassischen, einwilligungspflichtigen Wiedererkennung bis zur reinen Aufrufzählung ohne jede Wiedererkennung.

Diese Seite beschreibt vollständig, was in welcher Betriebsart passiert, was gespeichert wird und was nicht - und wie das rechtlich einzuordnen ist, einschließlich der strittigen Punkte.

Warum Besuchsmessung im KI-Zeitalter zählt

Wenn KI-Assistenten Fragen direkt beantworten, verschiebt sich etwas Grundlegendes: Die Marke wird genannt, ohne dass jemand klickt. Reichweite entsteht dann außerhalb der eigenen Website - und die klassische Statistik zeigt einen Rückgang, der in Wahrheit eine Verlagerung ist.

Genau deshalb wird die Besuchsmessung wichtiger, nicht unwichtiger. Vier Gründe:

• Sichtbarkeit ist nicht Wirkung. Dass ein Modell Ihre Seite zitiert, sagt nichts darüber, ob daraus jemand kommt. Erst die Verbindung von Zitat und Besuch zeigt, welche Erwähnungen tragen - und welche nur gut aussehen.
• Zwei Publika, dieselbe Seite. Inhalte werden von Menschen gelesen und von KI-Crawlern abgerufen. Eine Seite, die kein KI-Crawler je abruft, kann nicht zitiert werden; eine Seite, die zitiert wird, aber niemanden erreicht, ist totes Inventar. Beide Befunde entstehen nur, wenn man beide Zugriffsarten misst.
• Die Herkunft wird unschärfer. Ein Teil des Verkehrs aus KI-Assistenten kommt ohne Referrer an und landet in »direkt«. Was dann bleibt, ist das Verhalten: Verweildauer und Scrolltiefe zeigen, ob eine Seite die Frage beantwortet hat, mit der jemand ankam.
• Content-Entscheidungen brauchen die Gegenprobe. Welche Seite ausgebaut, zusammengelegt oder gelöscht gehört, lässt sich weder aus Zitaten allein noch aus Besuchen allein ableiten - sondern nur aus beidem nebeneinander.

Daraus folgt der Anspruch an diese Messung: so viel Aussagekraft wie nötig, so wenig Personenbezug wie möglich. Nichts von dem oben Genannten verlangt, einzelne Personen über Wochen hinweg wiederzuerkennen. Deshalb gibt es die konsentfreien Betriebsarten - und deshalb reicht für viele Fragestellungen bereits die zurückhaltendste von ihnen.

Grundprinzip

Auf der zu messenden Website wird ein kleines JavaScript eingebunden. Es meldet je Seitenaufruf einige Angaben an den VAREEN-Server - mehr nicht. Es gibt keine Weitergabe an Werbenetzwerke, keine Datenanreicherung durch Dritte und keine websiteübergreifende Verfolgung. Die Daten liegen ausschließlich in Ihrem Projekt.

Zusätzlich gibt es einen <noscript>-Pixel, damit auch Besucher mit blockiertem JavaScript sowie Crawler sichtbar werden. Der Pixel folgt denselben Regeln wie das Skript: Ist die Betriebsart »Aus« gewählt oder liegt ein Widerspruch vor, wird nichts gespeichert.

Der Unterschied zwischen den Betriebsarten liegt in einer einzigen Frage: Woher weiß der Server, dass zwei Seitenaufrufe zusammengehören? Genau daran hängt auch die rechtliche Bewertung.

Die vier Betriebsarten im Vergleich

Die Betriebsart wird je Projekt eingestellt und wirkt ab dem nächsten Seitenaufruf. Ein Wechsel ändert nichts an bereits erfassten Daten.

Die Betriebsarten im Detail

Was gespeichert wird - und was nie

In den messenden Betriebsarten wird je Seitenaufruf abgelegt:

• Zeitpunkt und aufgerufene Seite (vollständige URL, einschließlich Parametern wie utm_source - sie werden für die Kampagnen-Auswertung gebraucht)
• verweisende Seite ohne Parameter - dort landen sonst Suchbegriffe, Tokens oder Klarnamen
• generalisierte Angaben zu Browser, Betriebssystem und Gerätetyp, etwa Chrome/125 Windows
• Spracheinstellung des Browsers
• Verweildauer und maximale Scrolltiefe
• optional: Verweildauer je Art von Inhaltselement (Überschrift, Absatz, Bild) - erfasst werden Elementtyp und Dauer, kein Inhalt
• optional: definierte Ereignisse (etwa Klick auf einen Button) und Klicks auf Links zu anderen Websites (nur der Ziel-Host)

Nicht gespeichert wird in keiner Betriebsart:

• die IP-Adresse
• die vollständige Browserkennung von Besuchern (bei Bots bleibt sie erhalten - dort ist sie diagnostisch nötig und ohne Personenbezug)
• Namen, E-Mail-Adressen oder Formularinhalte
• Mauskoordinaten, Tastatureingaben oder Bildschirmaufzeichnungen
• Parameter der verweisenden Seite

Es findet keine Profilbildung im Sinne von Art. 22 DSGVO statt, und es werden keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet.

Rechtliche Einordnung

Rechtlich sind zwei Ebenen zu trennen, die oft vermischt werden.

Ebene 1: § 25 TDDDG - das Endgerät

§ 25 Abs. 1 TDDDG (Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie) verlangt eine Einwilligung für das Speichern von Informationen auf der Endeinrichtung und für den Zugriff auf dort bereits gespeicherte Informationen. Entscheidend ist nicht, ob es ein Cookie ist - localStorage, sessionStorage und vergleichbare Techniken sind gleichermaßen erfasst.

• Standard: speichert und liest auf dem Endgerät → einwilligungspflichtig.
• Konsentfrei und Nur Seitenaufrufe: speichern nichts und lesen nichts aus → § 25 TDDDG greift nicht. Es bleibt allein die DSGVO-Frage.

Der Widerspruchs-Merker (siehe unten) liegt zwar im localStorage, ist aber nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den ausdrücklichen Wunsch des Nutzers umzusetzen - und damit selbst einwilligungsfrei.

Ebene 2: DSGVO - die Verarbeitung

Auch ohne Endgeräte-Zugriff bleibt die Verarbeitung an sich zu rechtfertigen. In den konsentfreien Betriebsarten stützt sie sich auf Art. 6 Abs. 1 lit. f DSGVO - berechtigtes Interesse an der statistischen Auswertung der Websitenutzung. Für die Interessenabwägung sprechen: keine Cookies, keine gespeicherte IP, kein websitesübergreifendes Tracking, keine Zusammenführung mit anderen Datenquellen, keine Profilbildung, kurze Wiedererkennungsdauer und eine jederzeitige Widerspruchsmöglichkeit.

Die Verarbeitung ist in einer Datenschutzerklärung transparent zu machen (Art. 13 DSGVO); ein Widerspruchsrecht nach Art. 21 DSGVO besteht und wird technisch unterstützt.

Ist das Fingerprinting?

Eine berechtigte Frage, denn die Signatur wird aus IP und Browserkennung gebildet. Die ehrliche Antwort: Es ist verwandt, aber nicht dasselbe. Der Vergleich im Einzelnen:

Der entscheidende Unterschied liegt in Stabilität und Reichweite: Ein Fingerprint ist darauf angelegt, dieselbe Person möglichst lange und über viele Websites hinweg wiederzuerkennen. Die Signatur ist auf einen Tag und ein Projekt begrenzt und danach nicht mehr auflösbar. Wer das dennoch als Fingerprinting-nah einordnet, liegt nicht falsch - deshalb steht die Betriebsart »Nur Seitenaufrufe« zur Verfügung.

Was sich von außen überprüfen lässt

Vertrauen sollte nicht auf Zusagen beruhen. Ein Teil der Angaben lässt sich mit den Entwicklerwerkzeugen jedes Browsers selbst nachprüfen - ein anderer Teil nicht, weil er serverseitig stattfindet. Auch das gehört gesagt:

Ein vollständiges Datenpaket im konsentfreien Modus sieht so aus - vid und sid sind leer, weil der Server die Zuordnung selbst bildet und clientseitige Angaben bewusst verwirft:

{"t":"<Kennung der Website>","u":"https://beispiel.de/seite","r":"","vid":"","sid":"","pvid":"mrxdw7jaisyka1","lang":"de-DE"}

Widerspruch, DNT und GPC

Auf jeder gemessenen Website stehen drei Funktionen bereit, die sich an einen Link oder Button in der Datenschutzerklärung hängen lassen:

• vareenTracking.optOut() - Widerspruch einlegen, es wird nichts mehr gesendet
• vareenTracking.optIn() - Widerspruch zurücknehmen
• vareenTracking.status() - aktuellen Zustand abfragen

Der Widerspruch gilt für dieses Gerät und diesen Browser. Werden die Browserdaten gelöscht, muss er erneut erklärt werden - eine geräteübergreifende Speicherung wäre gerade das, was hier vermieden werden soll.

Unabhängig davon werden die Browsersignale Do Not Track (DNT) und Global Privacy Control (GPC) automatisch beachtet: Ist eines davon aktiv, findet in keiner Betriebsart eine Erfassung statt. Zusätzlich lassen sich je Projekt IP-Bereiche und Domains ausnehmen, etwa das eigene Büro oder Test-Systeme.

Bots und KI-Crawler

Ein wesentlicher Zweck von VAREEN ist die Frage, welche KI-Systeme welche Inhalte abrufen - GPTBot, ClaudeBot, PerplexityBot, Googlebot und andere. Diese Erfassung betrifft Maschinen, nicht Personen: Gespeichert werden Bot-Name, abgerufene URL und Zeitpunkt. Bei Bots bleibt die vollständige Kennung erhalten, weil sie zur Unterscheidung nötig ist und keinen Personenbezug aufweist.

Crawler führen meist kein JavaScript aus. Für die vollständige Erfassung gibt es daher serverseitige Kollektoren (WordPress, TYPO3, PHP, Cloudflare Worker), die den Aufruf melden. Die Bot-Erfassung ist von der Betriebsart unabhängig - außer bei »Aus«.

Aufbewahrung und Datensparsamkeit

Die Aufbewahrungsdauer wird je Projekt eingestellt; danach werden die Daten automatisch gelöscht. Für Besuchsdaten empfehlen wir 90 Tage - das reicht für Quartalsvergleiche und hält den Bestand klein. Längere Zeiträume sollten begründet sein.

Datensparsamkeit ist an mehreren Stellen fest eingebaut und nicht abschaltbar: Die Browserkennung wird vor dem Speichern generalisiert, Referrer werden von Parametern befreit, und im konsentfreien Modus verwirft der Server clientseitig gesendete Kennungen, statt ihnen zu vertrauen.

Umsetzung in der Datenschutzerklärung

Für die konsentfreien Betriebsarten liegt ein fertiger Textbaustein bereit, den Sie in Ihre Datenschutzerklärung übernehmen können - mit Platzhaltern für Anbieter und Aufbewahrungsdauer, einem Beispiel für den Widerspruchs-Button und der Tabelle dazu, was extern überprüfbar ist. In der Anwendung finden Sie ihn unter Projekt → Tracking direkt unter der Betriebsart; er lässt sich dort lesen, kopieren und herunterladen. Ein Hinweis sagt jeweils, welcher Abschnitt zur eingestellten Betriebsart gehört.

Im Standardmodus ist der Baustein nicht anwendbar - dort ist eine Einwilligung einzuholen und der Vorgang im Consent-Banner zu beschreiben.