Matomo kan zelf gehost worden of als Matomo Cloud (servers in Duitsland) gebruikt worden. Of toestemming nodig is, hangt af van cookies, IP-behandeling en hosting — niet van de naam van de tool.
Cookieloos meten zonder toestemming? Matomo heeft een optie die trackingcookies uitschakelt (‘disableCookies’ in de tracking-API, een instelling van de Matomo-configuratievariabele in Matomo Tag Manager). Daarmee vervalt een deel van de toegang tot het apparaat — maar niet per se alles: ook het uitlezen van browserkenmerken voor een bezoekershash kan onder § 25 lid 1 TDDDG vallen. Sommige Duitse toezichthouders vinden deze modus met directe IP-inkorting zonder toestemming verdedigbaar, andere zijn terughoudender. Wie zonder banner wil werken, documenteert de configuratie en controleert het standpunt van de eigen toezichthouder.
Anonimisering betekent bij Matomo vooral IP-inkorting (Privacy → Gegevens anonimiseren: minstens 2 bytes, bijv. 192.168.xxx.xxx), plus optioneel ‘gebruikers-ID vervangen door een pseudoniem’ en het verwijderen van referrer-parameters. De inkorting moet vóór het opslaan gebeuren, niet pas in de rapporten. Het loont ook om ‘oude ruwe gegevens regelmatig verwijderen’ aan te zetten — Matomo kan ruwe logs na een vaste termijn automatisch wissen en alleen geaggregeerde rapporten bewaren.
Matomo On-Premise of Matomo Cloud: bij zelf hosten op je eigen server is er geen verwerker voor Matomo zelf — wel voor de hostingpartij waar de server staat. Bij Matomo Cloud is InnoCraft Ltd. (Nieuw-Zeeland, hosting in Duitsland) verwerker; de verwerkersovereenkomst (DPA) staat in het klantaccount. Voor Nieuw-Zeeland bestaat een adequaatheidsbesluit van de Europese Commissie.
Matomo heeft een eigen paragraaf in de privacyverklaring nodig: doel (bereikmeting), werkwijze (zelf gehost of cloud, serverlocatie), of er cookies worden geplaatst, de mate van IP-inkorting, de rechtsgrond (toestemming op grond van art. 6 lid 1 sub a AVG en § 25 lid 1 TDDDG — of, bij cookieloos gebruik, je eigen onderbouwde afweging), de bewaartermijn van ruwe gegevens en een verwijzing naar het recht van bezwaar. Een model levert alleen het raamwerk; de werkelijke instellingen moeten ermee overeenkomen.
Wie Matomo via Matomo Tag Manager of Google Tag Manager uitlevert, moet de toestemming daar afdwingen: de Matomo-tag mag pas na toestemming afgaan, of Matomo draait in de cookieloze configuratie en krijgt na toestemming via ‘rememberConsentGiven’ of ‘setCookieConsentGiven’ vrijgave voor cookies. Een consent mode zoals bij Google heeft Matomo niet — de sturing loopt via deze toestemmingsfuncties van de tracking-API.
Als Matomo cookies plaatst of andere identificatoren van het apparaat leest, geldt § 25 lid 1 TDDDG en is voorafgaande toestemming vereist. Sommige toezichthouders achten een cookieloze werking met onmiddellijke IP-inkorting en zonder koppeling tussen apparaten verdedigbaar zonder toestemming, andere zijn terughoudender — een landelijk uniforme vrijgave bestaat niet. Bij Matomo Cloud komt een verwerkersovereenkomst met InnoCraft erbij.
De gratis scan controleert de geleverde HTML en toont welke diensten zijn ingebed, of er een cookiebanner wordt gedetecteerd en of links naar privacy en colofon aanwezig zijn — met duiding per bevinding. Hij is geen vervanging voor juridisch advies.
Deze tekst is algemene informatie naar beste weten, geen juridisch advies. Raadpleeg voor een individueel geval een kantoor gespecialiseerd in IT-recht.