Warum ich auf den Websites meiner Kunden kein Cookie-Banner einsetze

Wer 2026 eine französische Website besucht, wird von einem Pop-up empfangen. Drei Spalten, vorab angekreuzte Kästchen, ein hervorgehobener Button „Alle akzeptieren“ und ein Link „Anpassen“, der unten in Hellgrau versteckt ist. Das ist so alltäglich geworden, dass man es mechanisch akzeptiert, und genau das ist der Zweck. Diese Reibung ist aber keine gesetzliche Pflicht, sondern die direkte Folge einer technischen Entscheidung: Tracker zu setzen.

Auf den Websites, die ich für meine Kunden konzipiere, setze ich kein Banner ein. Nicht aus regulatorischer Faulheit, nicht aus Sorglosigkeit, sondern im Gegenteil aus maximaler Konformität. Hier sind die juristische Logik, das Selbstaudit in 5 Fragen zur Prüfung Ihrer eigenen Website und der komplette Stack, mit dem Sie strikt DSGVO-konform bleiben, ohne den Besucher je mit einer Einwilligungsabfrage zu belästigen.

1. Das Banner ist die Strafe für eine technische Entscheidung #

Artikel 82 des französischen Datenschutzgesetzes (loi Informatique et Libertés), mit dem die ePrivacy-Richtlinie 2002/58/EG umgesetzt wird, sagt zwei einfache Dinge: (1) Jedes Speichern oder Auslesen von Informationen auf dem Endgerät des Nutzers (Cookie, localStorage, Fingerprint) erfordert eine vorherige, freiwillige und informierte Einwilligung; (2) außer bei ausdrücklichen Ausnahmen: Cookies, die für den Betrieb des Dienstes unbedingt erforderlich sind, und Reichweitenmessung, die von der CNIL, der französischen Datenschutzbehörde, freigestellt ist.

Die zwingende Schlussfolgerung: Wenn Sie kein einwilligungspflichtiges Cookie setzen, müssen Sie nichts abfragen. Kein Banner, keine Debatte über die Formulierung von „Alle ablehnen“, kein Cookiebot für 9 € im Monat. Konformität entsteht vorher, im Code, nicht als Zusatzschicht in einem Widget.

2. Selbstaudit in 5 Fragen #

Bevor Sie irgendetwas umschreiben, hier das Schnellraster, mit dem Sie genau herausfinden, was Ihr aktuelles Banner rechtfertigt und was sich entfernen lässt, ohne etwas kaputtzumachen.

1. Öffnen Sie die DevTools des Browsers auf Ihrer Startseite → Reiter Application → Cookies. Wie viele gibt es vor jedem Klick auf das Banner? Lautet die Antwort „mehr als 0“, greift Artikel 82.
2. Reiter Network: Wie viele Anfragen gehen an Domains von Drittanbietern (google-analytics.com, googletagmanager.com, fonts.googleapis.com, facebook.net, doubleclick.net, hotjar.com)? Jede davon ist ein Tracker-Lieferant, den es zu entfernen oder zu begründen gilt.
3. Auf Ihrer Kontaktseite: Nutzen Sie Google reCAPTCHA? Cloudflare Turnstile im verwalteten Modus ohne Cookie? hCaptcha? Cloudflare und hCaptcha ohne Cookie sind freigestellt. reCAPTCHA nicht.
4. Schriften: Werden sie von fonts.googleapis.com ausgeliefert (Google erhält die IP jedes Besuchers, Urteil des EuGH 2022) oder selbst gehostet auf Ihrer Domain?
5. Eingebundene Karten und Videos: Google Maps in der Standardeinbindung und klassische YouTube-Videos setzen Cookies schon beim Laden der Seite (noch vor einem Klick). Als nocookie-Embed mit Lazy-Load beim Klick sind sie freigestellt.

Bei 90 % der 2026 geprüften Websites kleiner und mittlerer Unternehmen (KMU) sind die 3 wahren Übeltäter Google Analytics, extern ausgelieferte Google Fonts und ein Chat-Widget eines Drittanbieters (Tawk.to, Crisp in der Standardkonfiguration). Entfernen oder ersetzen Sie sie, und es ist kein Banner erforderlich.

3. Vier technische Entscheidungen, die das Banner überflüssig machen #

Bei einer Unternehmenswebsite oder einem kleinen Onlineshop für KMU kommt man mit vier grundlegenden Entscheidungen auf null einwilligungspflichtige Cookies:

1. Kein Google Analytics, kein GTM, kein Meta Pixel, kein TikTok Pixel, kein LinkedIn Insight, kein Hotjar. All diese Tools setzen einwilligungspflichtige Profiling-Cookies, Punkt.
2. Keine Google Fonts von fonts.googleapis.com (das die IP des Besuchers an Google weitergibt, was ein deutsches Gericht 2022 für rechtswidrig erklärt hat): Man lädt die Schriften beim Build herunter und liefert sie von der Domain der Website aus. Next.js macht das nativ mit next/font.
3. Kein Google Maps als iframe oder als auf der Startseite geladenes Skript: Man ersetzt es durch OpenRouteService oder MapLibre mit Kacheln von MapTiler oder IGN, wenn eine Karte wirklich nötig ist.
4. Keine Standard-YouTube-Embeds (die schon beim Aufruf der Seite Cookies setzen): Man nutzt youtube-nocookie.com mit Lazy-Load beim Klick oder wechselt zu einem selbst gehosteten Video über die Komponente next/video.

Google Fonts durch lokale Schriften ersetzen #

Die API next/font lädt die Google-Schriften beim Build herunter, optimiert sie, liefert sie von Ihrer eigenen Domain aus und erzeugt das CSS @font-face automatisch. Zur Laufzeit geht keine Anfrage an fonts.googleapis.com.

// app/layout.tsx - selbst gehostete Schriften über next/font
import { Inter } from "next/font/google";

// Next.js lädt die Schriften beim Build herunter und liefert sie von Ihrer Domain aus
const inter = Inter({
  subsets: ["latin"],
  display: "swap",
  variable: "--font-inter",
});

export default function RootLayout({ children }: { children: React.ReactNode }) {
  return (
    <html lang="fr" className={inter.variable}>
      <body>{children}</body>
    </html>
  );
}

HTTP-Header härten, um parasitäres Tracking zu blockieren #

Auch ohne bewusst eingebundenen Tracker können manche Browsererweiterungen oder Bibliotheken von Drittanbietern versuchen, moderne Werbe-APIs zu aktivieren (Topics API von Chrome, attribution-reporting). Eine explizite Permissions-Policy deaktiviert sie, und eine strikte Content-Security-Policy verbietet das Laden nicht aufgeführter externer Skripte.

// next.config.ts - HTTP-Header zur Härtung gegen Tracking
async headers() {
  return [
    {
      source: "/(.*)",
      headers: [
        // Blockiert Topics API, FLoC, attribution-reporting, FedCM für Werbung
        {
          key: "Permissions-Policy",
          value: "browsing-topics=(), interest-cohort=(), join-ad-interest-group=(), attribution-reporting=()",
        },
        // Strikte CSP: nur Skripte der eigenen Domain sind erlaubt
        {
          key: "Content-Security-Policy",
          value: "default-src 'self'; script-src 'self'; img-src 'self' data:; connect-src 'self' https://stats.client.fr; font-src 'self'",
        },
      ],
    },
  ];
}

An diesem Punkt bleibt eventuell ein unbedingt erforderliches technisches Cookie übrig: das von Cloudflare Turnstile für die Dauer einer Anti-Spam-Prüfung oder ein Session-Cookie, wenn Sie wirklich Warenkörbe für einen Onlineshop brauchen. Diese Cookies sind laut CNIL von der Einwilligung freigestellt (Beschluss 2020-091). Kein Banner erforderlich.

4. Das „1-Klick“-Banner ist nicht konform #

Eine sehr verbreitete Variante: das Pop-up mit einem einzigen Button „OK“ oder „Akzeptieren“, ohne sichtbaren Button „Ablehnen“ auf derselben Ebene. Das ist seit dem CNIL-Beschluss Nr. 2020-091 rechtlich nicht konform, bestätigt durch die aufsehenerregenden Strafen von 2022 bis 2025.

• Google LLC + Google Ireland: 150 Mio. € Strafe der CNIL (Dezember 2021), bestätigt 2022. Grund: Ablehnen war auf google.fr und youtube.com schwerer zugänglich als Akzeptieren.
• Meta Platforms Ireland: 60 Mio. € Strafe der CNIL (Januar 2022). Gleicher Grund auf facebook.com.
• Microsoft Ireland: 60 Mio. € Strafe der CNIL (Dezember 2022). Grund: kein Button „Ablehnen“ auf bing.com.
• Criteo SA: 40 Mio. € Strafe der CNIL (Juni 2023). Grund: ungültige Einwilligung für Retargeting.

Die Regel der CNIL ist glasklar geworden: Wenn Sie eine Einwilligung abfragen, muss der Button „Alle ablehnen“ genauso zugänglich, in derselben Typografie und mit demselben farblichen Gewicht dargestellt werden wie „Alle akzeptieren“. Jedes Dark Pattern, das die Ablehnung erschwert, setzt Sie einer Strafe aus. Ein Grund mehr, das Banner gar nicht mehr zu brauchen: Konformität ist günstiger als die nachträgliche Herstellung der Konformität.

5. „Aber woher weiß ich, wie viele Besucher ich habe?“ #

Das ist die eigentliche Frage. Für 70 % der Kleinunternehmen, die mir begegnen, lautet die ehrliche Antwort: „Das müssen Sie nicht auf den Besucher genau wissen.“ Sie wissen bereits, wie viele Leads über das Kontaktformular kommen (per Mail). Sie sehen die Positionen in der Search Console. Sie kennen Ihre Verkäufe. Die Vanity-Metrik „1.247 eindeutige Besucher diese Woche“ ändert nichts an Ihrem Geschäft, vor allem wenn die Hälfte davon Bots sind.

Für die übrigen 30 % (Onlineshops, Websites mit einem Conversion-Funnel, der optimiert werden soll, redaktionelle Websites, die ihre erfolgreichen Artikel verfolgen) kommt ein selbst gehostetes Matomo zum Einsatz. Und es wird so konfiguriert, dass es vom Banner freigestellt bleibt.

6. Selbst gehostetes Matomo, das einzige Setup, das ich empfehle #

Matomo ist die Open-Source-Alternative zu Google Analytics, unter der Lizenz GPLv3. Es gibt zwei Varianten: Matomo Cloud (SaaS, bei Matomo gehostet) und Matomo self-hosted (Sie installieren es auf Ihrem Server). Nur die zweite ermöglicht maximale Konformität und volle Souveränität über die Daten: Das ist die Variante, die ich für meine Kunden installiere.

Docker Compose mit Matomo und MariaDB #

Die typische Bereitstellung passt in eine Datei docker-compose.yml auf demselben VPS wie die Website, hinter einer Subdomain stats.client.fr mit einem TLS-Zertifikat von Let's Encrypt.

# docker-compose.yml - minimales selbst gehostetes Matomo
services:
  matomo-db:
    image: mariadb:11
    restart: unless-stopped
    environment:
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
      MARIADB_DATABASE: matomo
      MARIADB_USER: matomo
      MARIADB_PASSWORD: ${DB_PASSWORD}
    volumes:
      - ./data/db:/var/lib/mysql
    networks: [matomo]

  matomo:
    image: matomo:5-apache
    restart: unless-stopped
    environment:
      MATOMO_DATABASE_HOST: matomo-db
      MATOMO_DATABASE_USERNAME: matomo
      MATOMO_DATABASE_PASSWORD: ${DB_PASSWORD}
      MATOMO_DATABASE_DBNAME: matomo
    volumes:
      - ./data/matomo:/var/www/html
    ports:
      - "127.0.0.1:8080:80"
    depends_on: [matomo-db]
    networks: [matomo]

networks:
  matomo:

Automatische verschlüsselte Backups über PBS oder borgbackup an einen zweiten Standort, monatliche Updates über docker compose pull && docker compose up -d. Zusätzliche Hostingkosten: ein paar Euro im Monat auf einem VPS, der bereits anderes hostet.

7. Die DSGVO-Einstellung, die das Banner abschafft, Schritt für Schritt #

Um unter der Ausnahme der CNIL für „unbedingt erforderliche Reichweitenmessung“ (Beschluss 2020-091) zu bleiben, muss Matomo nach fünf strengen Regeln konfiguriert werden. Die meisten lassen sich in config/config.ini.php aktivieren.

• IP-Anonymisierung: die letzten 2 Bytes (IPv4) bzw. die letzten 80 Bits (IPv6) vor jeder Verarbeitung abschneiden.
• Cookieless-Modus: das Anlegen von Tracking-Cookies deaktivieren. Matomo rekonstruiert die Sitzung über einen serverseitigen Fingerprint auf Basis von anonymisierter IP + User-Agent.
• Die Speicherung detaillierter Daten auf höchstens 13 Monate begrenzen, danach Aggregation.
• User ID, websiteübergreifendes Tracking und Anreicherung durch Dritte (Geo, soziale Medien) deaktivieren.
• Kein Export zu BigQuery, Google Ads, Meta Ads. Wenn Sie Werbe-Retargeting möchten, geht das nur mit Einwilligung und damit mit Banner: Dann fallen Sie nicht mehr unter die Ausnahme.

Konfiguration von Anonymisierung und Speicherdauer in config.ini.php #

; /var/www/html/config/config.ini.php

[General]
; Die letzten 2 Bytes der IP vor jeder Verarbeitung abschneiden
anonymize_ip_mask_length = 2
anonymize_ip_mask_length_ipv6 = 80

[Tracker]
; Cookieless-Modus: keine Tracking-Cookies
ignore_visits_cookie = 1
enable_fingerprinting_across_websites = 0

[Deletelogs]
; Speicherdauer 13 Monate (395 Tage), danach automatische Löschung
delete_logs_enable = 1
delete_logs_schedule_lowest_interval = 7
delete_logs_older_than = 395

Tracker auf der Website (mit noscript-Fallback) #

Das Snippet, das in den <head> oder das Hauptlayout eingefügt wird. Die Anweisung disableCookies ist entscheidend: Sie verhindert, dass beim Besucher das Cookie _pk_id gesetzt wird.

<!-- Matomo-Tracker, Cookieless-Modus mit noscript-Fallback -->
<script>
  var _paq = window._paq = window._paq || [];
  _paq.push(['disableCookies']);            // Kein Cookie wird gesetzt
  _paq.push(['setDoNotTrack', true]);       // Beachtung des DNT-Headers
  _paq.push(['trackPageView']);
  _paq.push(['enableLinkTracking']);
  (function() {
    var u = "https://stats.client.fr/";
    _paq.push(['setTrackerUrl', u + 'matomo.php']);
    _paq.push(['setSiteId', '1']);
    var d = document, g = d.createElement('script'), s = d.getElementsByTagName('script')[0];
    g.async = true; g.src = u + 'matomo.js';
    s.parentNode.insertBefore(g, s);
  })();
</script>
<noscript>
  <img referrerpolicy="no-referrer-when-downgrade"
       src="https://stats.client.fr/matomo.php?idsite=1&amp;rec=1"
       style="border:0" alt="">
</noscript>

So konfiguriert fällt Matomo vollständig unter die Ausnahme der CNIL. Sie messen Seitenaufrufe, Sitzungen, Traffic-Quellen, Nutzerpfade und Conversions, und das alles ohne Banner, ohne Tracking-Cookie und ohne Übermittlung an Dritte.

8. Vergleich Matomo / Plausible / Umami / GoatCounter #

Vier Tools beherrschen den Markt für „cookieless und konforme“ Webanalyse. Die Wahl hängt vom Kompromiss zwischen Funktionsumfang, Frontend-Performance und Hosting-Aufwand ab.

Matomo (das umfassendste) #

• Modell: self-hosted (kostenlos, GPLv3) oder kostenpflichtiges Cloud-SaaS.
• Stack: PHP + MariaDB / PostgreSQL. Offizieller Docker-Container.
• Gewicht des Trackers: ~28 KB gzip-komprimiert. Schwerer als die Alternativen.
• Funktionen: Heatmaps, A/B-Testing, Funnels, E-Commerce, Medien, Customer Journey, A/B-Tests, vollständig auf dem Niveau von Google Analytics.
• Ausnahme der CNIL: ja, nach Konfiguration (Anonymisierung + cookieless + Speicherdauer 13 Monate).
• Ideal für: Onlineshops, redaktionelle Websites, die Funnels und Kohorten brauchen.

Plausible (das einfachste) #

• Modell: kostenpflichtiges Cloud-SaaS (~9 €/Monat), gehostet in Deutschland (Hetzner Helsinki), oder kostenlos self-hosted (CE).
• Stack: Elixir + PostgreSQL + ClickHouse. Offizielles Docker-Image.
• Gewicht des Trackers: < 1 KB gzip-komprimiert. Unschlagbar bei Lighthouse.
• Funktionen: Seiten, Quellen, Geräte, Länder, Ziele, aber keine fortgeschrittenen Funnels und keine Heatmaps.
• Ausnahme der CNIL: ja, nativ (cookieless by design).
• Ideal für: Unternehmenswebsites, Blogs, SaaS, wenn man nur wissen will, was funktioniert.

Umami (die ausgewogene Wahl) #

• Modell: kostenlos self-hosted (MIT) oder kostenpflichtige Cloud.
• Stack: Next.js + PostgreSQL / MySQL. Sehr gut in das Vercel-Umfeld integriert.
• Gewicht des Trackers: ~2 KB gzip-komprimiert.
• Funktionen: gleichwertig mit Plausible, mit moderner Oberfläche und nativer Unterstützung mehrerer Websites.
• Ausnahme der CNIL: ja, nativ (cookieless).
• Ideal für: JS-Entwickler, die ein leichtes, selbst gehostetes Setup wollen, ohne sich um PHP zu kümmern.

GoatCounter (die Option ohne Schnickschnack) #

• Modell: kostenloses SaaS für kleine Websites (< 100.000 Seitenaufrufe/Monat), vom Autor gehostet, oder kostenlos self-hosted.
• Stack: monolithisches Go mit SQLite- oder PostgreSQL-Datenbank.
• Gewicht des Trackers: ~3 KB gzip-komprimiert.
• Funktionen: nur Basisstatistiken. Kein Funnel, kein E-Commerce.
• Ausnahme der CNIL: ja, nativ (cookieless, kein Fingerprinting).
• Ideal für: private Blogs, Vereinswebsites, Open-Source-Projekte, die einen ehrlichen Zähler wollen.

Auswahlkriterium in zwei Fragen: Brauchen Sie Funnels, Heatmaps oder fortgeschrittenes E-Commerce? → Matomo. Sonst → Plausible oder Umami. Wann immer möglich self-hosted, sonst ein europäisches SaaS. Niemals Google Analytics.

9. Was die DSGVO trotzdem von Ihnen verlangt #

Das Banner abzuschaffen, befreit Sie nicht von den verbleibenden Pflichten der DSGVO. In jedem Fall müssen drei Elemente auf Ihrer Website sichtbar bleiben.

• Eine Datenschutzerklärung, die von jeder Seite aus erreichbar ist (Art. 13 DSGVO): Sie beschreibt die erhobenen Daten, auch wenn es nur wenige sind (Serverlogs, Kontaktformular, freigestellte Reichweitenmessung).
• Ein konformes Impressum (Art. 6 LCEN, das französische Gesetz über das Vertrauen in die Online-Wirtschaft): Identität des Betreibers, Hosting-Anbieter, verantwortlicher Herausgeber.
• Die Beachtung des Widerspruchsrechts (Art. 21 DSGVO): Auch wenn Sie die Reichweite ohne Einwilligung messen, kann ein Besucher verlangen, ausgeschlossen zu werden. Matomo und Plausible bieten ein Opt-out per Einzeiler.

Für das Kontaktformular schreibt die DSGVO einen Hinweis zum Verbleib der Daten vor (Speicherdauer, Zweck, Rechtsgrundlage: berechtigtes Interesse oder ausdrückliche Einwilligung). Ein Satz genügt, aber er muss dastehen.

10. Was es wirklich kostet, nicht zu tracken #

Bei einer Website ohne Banner und ohne Tracker sparen Sie: die Lizenz für Cookiebot oder Axeptio (200 bis 600 € pro Jahr), die Zeit für das Debuggen der Einwilligungsvarianten zwischen Chrome, Safari und Firefox, die verlorenen Conversions durch Besucher, die auf „Ablehnen“ klicken und nicht wiederkommen. Sie gewinnen: einen Lighthouse-Score von 95+ ohne Aufwand, eine Datenschutzerklärung, die auf eine Seite passt, und Besucher, die Sie nicht für einen Werbevermarkter halten.

Die Kosten für ein zusätzliches selbst gehostetes Matomo: ~30 Minuten Bereitstellung auf der bestehenden Infrastruktur (die oben gezeigte docker-compose.yml auf einem VPS ausgerollt), plus die monatliche Wartung (Sicherheitsupdates). Bei den Websites, die ich betreue, ist das in der Managed-Hosting-Leistung enthalten. Für einen Kunden, der woanders hostet, rechne ich es einzeln ab.

Fazit #

Das Cookie-Banner ist keine Pflicht, sondern die Folge einer Entscheidung für Tracking. Wenn Sie die Tracker entfernen, entfernen Sie das Banner. Und wenn Sie wirklich messen müssen, deckt ein gut konfiguriertes selbst gehostetes Matomo (IP-Anonymisierung, cookieless, Speicherdauer 13 Monate) 95 % der Fälle ab, strikt konform mit der Doktrin der CNIL und der DSGVO, ohne je einen Besucher zu stören oder eine Strafe zu riskieren.

Wenn Sie Ihre aktuelle Website prüfen lassen möchten, um herauszufinden, was Ihr Banner rechtfertigt, und zu sehen, was sich entfernen lässt, ohne die Suchmaschinenoptimierung oder die Conversions zu beschädigen: Das ist meist der erste Schritt einer Leistung zur Herstellung der Konformität. Rechnen Sie mit zwei bis vier Stunden für den vollständigen Durchgang, mit umsetzbaren Empfehlungen als Ergebnis.

Quellen und Referenzen #

Die juristischen und technischen Referenzen dieses Artikels stützen sich auf die Doktrin der CNIL, die amtlichen Texte von Légifrance und EUR-Lex sowie die Dokumentation der genannten Tools, Stand Mai 2026.

1. CNIL, Beschluss Nr. 2020-091 vom 17. September 2020 (Leitlinien zu Cookies und Trackern): https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-des-lignes-directrices-modificatives-et-sa-recommandation
2. CNIL, Beschluss Nr. 2020-092 vom 17. September 2020 (Empfehlungen zu Bannern): https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-des-lignes-directrices-modificatives-et-sa-recommandation
3. Légifrance, Artikel 82 des Gesetzes Nr. 78-17 Informatique et Libertés (französisches Datenschutzgesetz): https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978
4. EUR-Lex, Richtlinie 2002/58/EG (ePrivacy): https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32002L0058
5. EUR-Lex, Verordnung (EU) 2016/679, DSGVO (Artikel 13, Informationspflicht): https://eur-lex.europa.eu/eli/reg/2016/679/oj
6. CNIL, „Cookies et traceurs: que dit la loi?“ (Cookies und Tracker: Was sagt das Gesetz?): https://www.cnil.fr/fr/cookies-et-traceurs-que-dit-la-loi
7. CNIL, Von der Einwilligung freigestellte Reichweitenmessung: https://www.cnil.fr/fr/la-mesure-daudience-exemptee-de-consentement
8. CNIL, Strafe von 150 Mio. € gegen Google LLC + 90 Mio. € gegen Google Ireland: https://www.cnil.fr/fr/cookies-sanction-de-150-millions-deuros-lencontre-de-google-llc-et-90-millions-deuros-lencontre-de
9. CNIL, Strafe von 60 Mio. € gegen Meta Platforms Ireland (Facebook): https://www.cnil.fr/fr/cookies-sanction-de-60-millions-deuros-lencontre-de-facebook-ireland-limited
10. CNIL, Strafe von 60 Mio. € gegen Microsoft Ireland (Bing): https://www.cnil.fr/fr/cookies-sanction-de-60-millions-deuros-lencontre-de-microsoft-ireland-operations-limited
11. CNIL, Strafe von 40 Mio. € gegen Criteo: https://www.cnil.fr/fr/sanction-de-40-millions-deuros-lencontre-de-la-societe-criteo
12. EuGH, Entscheidung Google Fonts (LG München, Januar 2022): https://noyb.eu/en/google-fonts-german-court-confirms-100-fine
13. Matomo, offizielle Dokumentation (Anonymisierung, DSGVO): https://matomo.org/faq/general/faq_146/
14. Matomo, Privacy Compliance Tools: https://matomo.org/privacy/
15. Plausible Analytics, offizielle Dokumentation: https://plausible.io/docs
16. Umami, offizielle Dokumentation: https://umami.is/docs
17. GoatCounter, offizielle Website: https://www.goatcounter.com/
18. Next.js, next/font (Selbsthosting der Google-Schriften): https://nextjs.org/docs/app/api-reference/components/font
19. MDN, HTTP-Header Permissions-Policy: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Permissions-Policy
20. MDN, HTTP-Header Content-Security-Policy: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy