Alles zu Creo Analytics — von der Einbindung bis zum Datenschutz.

Creo Analytics misst, wie Ihre Website genutzt wird — Aufrufe, Besucher, Quellen, Länder, Geräte, Heatmaps und mehr — ohne Cookies und ohne Cookie-Banner. In drei Schritten stehen die ersten Zahlen:

1. Konto anlegen (Selbstregistrierung mit E-Mail-Code) oder als bestehender Hosting-Kunde per SSO anmelden.
2. Website hinzufügen und die Skriptzeile einbinden — bei uns gehostete Seiten bekommen sie automatisch.
3. Wenige Minuten nach dem ersten Aufruf erscheinen die Zahlen in der Übersicht.

Eine Onboarding-Checkliste unten links begleitet die Einrichtung (Website anlegen, Snippet einbauen, erstes Ziel, Bericht) und hakt erledigte Punkte ab — Sie landen sofort auf der Plattform, auch wenn noch Details fehlen.

Eine Zeile vor dem schließenden </head> genügt. Die Messkennung (data-creo) und die passenden Schnipsel stehen fertig in den Einstellungen der Website — je nach Betriebsart und Hosting bis zu vier Varianten zum Kopieren.

<!-- Cookieless (default) -->
<script defer data-creo="IHRE-KENNUNG"
        src="https://analytics.creodigital.de/m.js"></script>

Das Skript ist rund 2 KB groß und bremst die Seite nicht (defer). Es gibt drei ausgelieferte Skripte: m.js (cookieless), v.js (vollständig, mit Consent-Schnittstelle) und r.js (Recorder, wird von v.js erst nach Einwilligung nachgeladen).

Bei uns gehostet? Dann wird die Messung automatisch über Ihre eigene Domain eingebunden (First-Party) — kein Adblocker greift, und Sie richten nichts ein. Ein Cache-Marker (?m=c bzw. ?m=v) sorgt dafür, dass ein Betriebsart-Wechsel sofort das richtige Skript ausliefert.

Die Lizenz gilt je Website — verschiedene Websites eines Kontos dürfen verschieden eingestellt sein.

Was kann was?

Doppel-Tag ohne & mit Cookies

Eine Website darf beide Tags gleichzeitig tragen: den cookieless-Tag (m.js) auf den meisten Seiten, den Cookie-Tag (v.js) nur auf Seiten mit Consent-Banner — ein Tag je Seite, nicht beide auf derselben. Die Betriebsart hängt dann am einzelnen Beacon, die Cookie-Fähigkeit an der Website. So messen Sie den Großteil des Auftritts bannerfrei und schalten Replay/Wiedererkennung nur dort, wo eine Einwilligung eingeholt wird.

„Vollständig“ schalten Sie in den Einstellungen der Website über ein bewusstes Tor frei: drei Bestätigungen (Cookie-Banner vorhanden, Datenschutzerklärung ergänzt, Verantwortung verstanden) und die Domain zum Abtippen. Der Schritt wird protokolliert. Danach bietet das Dashboard den v.js-Schnipsel an.

Der Rückweg (Downgrade auf cookieless) ist jederzeit möglich und aufräumend: er verwirft die Einwilligungs-Pseudonyme und löscht alle Sitzungsaufnahmen dieser Website. Die reinen Tagesaggregate bleiben erhalten.

In der Betriebsart „vollständig“ steuert Ihr Cookie-Banner die Einwilligung über die globale creo.push-Schnittstelle. Creo setzt nie von selbst ein Cookie — erst Ihr Opt-in-Klick tut das.

window.creo = window.creo || [];
creo.push(['einwilligung']);  // → v.js sets _creo_id + starts the recorder
creo.push(['widerruf']);      // → cookie removed, recordings deleted, back to cookieless
creo.push(['einwilligung', 'abgelehnt']);  // = rejection: acts like a withdrawal, NEVER grants consent

Unter DNT/GPC misst das Skript nichts — creo.push(['widerruf']) funktioniert dort trotzdem, und ein vorhandenes Einwilligungs-Cookie gilt als widerrufen. Ein Widerruf gilt als Recht: er scheitert an keinem Filter (Ratelimit, Bot-Erkennung, gesperrtes Konto).

Ab wann darf das Cookie gesetzt werden? Erst nach der aktiven Einwilligung — nie vorher. Das First-Party-Cookie _creo_id (32 Zeichen, 180 Tage, SameSite=Lax) ist zugleich der Einwilligungsnachweis; sein Vorhandensein steuert, ob v.js die Kennung mitsendet.

Fertiges Banner-Template zum Kopieren

Vor </body> einfügen. Es setzt selbst nichts — es ruft nur creo.push:

<div id="creo-consent" hidden role="dialog" aria-label="Einwilligung Analyse">
  <p>Wir messen anonym und ohne Cookies. Mit Ihrer Einwilligung erkennen wir wiederkehrende Besuche (First-Party-Cookie) und zeichnen Sitzungen maskiert auf. Jederzeit widerrufbar.</p>
  <div class="creo-consent__row">
    <button type="button" id="creo-decline">Nur anonym</button>
    <button type="button" id="creo-accept">Einwilligen</button>
  </div>
</div>
<style>
  #creo-consent{position:fixed;left:1rem;right:1rem;bottom:1rem;max-width:420px;
    margin-inline:auto;background:#fff;color:#1a1a1f;border:1px solid #e2e0da;
    border-radius:14px;padding:16px 18px;box-shadow:0 12px 40px rgba(0,0,0,.16);
    font:14px/1.5 system-ui,sans-serif;z-index:9999}
  #creo-consent p{margin:0 0 12px}
  .creo-consent__row{display:flex;gap:8px;justify-content:flex-end}
  .creo-consent__row button{border-radius:9px;padding:8px 14px;font-weight:600;
    cursor:pointer;border:1px solid #e2e0da;background:#f4f2ee;color:#1a1a1f}
  #creo-accept{background:#2855db;border-color:#2855db;color:#fff}
</style>
<script>
(function () {
  var KEY = 'creo_consent';
  window.creo = window.creo || [];            // queue: no matter whether v.js is loaded yet
  var box = document.getElementById('creo-consent');
  var wahl = null; try { wahl = localStorage.getItem(KEY); } catch (e) {}
  if (wahl === 'yes') { creo.push(['einwilligung']); }   // carry over an earlier consent
  else if (wahl !== 'no') { box.hidden = false; }        // no decision yet → ask
  function merken(w){ try { localStorage.setItem(KEY, w); } catch(e){} }
  document.getElementById('creo-accept').onclick = function () {
    creo.push(['einwilligung']); merken('yes'); box.hidden = true;
  };
  document.getElementById('creo-decline').onclick = function () {
    merken('no'); box.hidden = true;           // stays cookieless — measurement keeps running
  };
  window.creoWiderruf = function () { creo.push(['widerruf']); merken('no'); };
})();
</script>

Widerruf-Link im Footer: <a href="#" onclick="creoWiderruf();return false">Einwilligung widerrufen</a>. Der Widerruf löscht das Cookie und alle serverseitigen Aufnahmen dieser Person sofort.

Jede Website hat eigene Reiter. Das Wichtigste:

Übersicht ohne & mit Cookies

Seitenaufrufe, Besucher, Sitzungen, Absprungrate und Ø Verweildauer — jeweils mit Trend gegen die Vergleichsperiode, dazu die Verlaufskurve, die Echtzeit-Kachel (letzte 30 Minuten) sowie die meistbesuchten Seiten und Quellen. Der Zeitraum ist frei wählbar (1–730 Tage), der Vergleich wahlweise Vorperiode oder Vorjahr.

Seiten & Quellen ohne & mit Cookies

Seiten zeigt die meistbesuchten Pfade samt Ein- und Ausstiegen. Quellen zeigt, woher die Besucher kommen — Referrer und UTM-Kampagnen; „Direkt“ sind Aufrufe ohne Verweis (Lesezeichen, Adresszeile).

Publikum & Technik ohne & mit Cookies

Publikum gliedert nach Herkunftsland (aus der IP zum Zeitpunkt des Aufrufs — die Adresse selbst wird nicht gespeichert), Geräteklasse, Browser und Betriebssystem. Technik zeigt Core Web Vitals (Ladezeit, Interaktivität, Layout-Stabilität) für bei uns gehostete Seiten.

Neue vs. wiederkehrende Besucher nur vollständig

Wie viele Besucher zum ersten Mal da sind und wie viele wiederkommen — das braucht die tagesübergreifende Wiedererkennung und ist deshalb nur in „vollständig“ nach Einwilligung verfügbar. Im cookieless-Modus gibt es diese Unterscheidung bewusst nicht.

Die Klickkarte zeigt, worauf geklickt wird, die Scrolltiefe, wie weit gelesen wird — je Seite und Geräteklasse. Beides ist reines Aggregat (Zellen bzw. 10 %-Stufen), keine Rekonstruktion einzelner Personen. Ein Seitenwähler listet die aktivsten Seiten.

Session-Replay zeichnet echte Sitzungen als maskierten DOM-Film auf — kein Video, keine Mediendatei, sondern eine kompakte Aufzeichnung von Struktur, Layout und Interaktion (Cursor, Scroll, Klicks, Eingaben). Im Abspieler (Reiter Aufzeichnungen) spulen, pausieren und variieren Sie das Tempo; die Wiedergabe läuft in einer abgeschotteten Sandbox.

• Maskierung ist Standard: aller Text, alle Eingaben und alle Attribute (URLs bereinigt, Freitext/data-/aria maskiert) werden ersetzt — nur die Struktur bleibt. Passwort- und erkennbar sensible Felder werden nie erfasst. Nur wer ein Element mit data-creo-unmask auszeichnet, zeigt echten Text.
• Mobile/Touch wird erfasst (Viewport, Touch-Bewegung).
• Feste Aufbewahrung 30 Tage, dann automatische Löschung (Datei überschrieben und entfernt).
• Widerruf und Kündigung/Downgrade löschen die Aufnahmen sofort.
• Keine IP, kein Video-Speicher — Sie müssen sich um keinen externen Videospeicher kümmern.

In jeder Liste (Länder, Geräte, Browser, Betriebssysteme, Quellen, Seiten) blendet ein Klick auf einen Eintrag ihn aus der Ansicht aus: die Zeile wird ausgegraut, die verbleibenden Balken bzw. der Ring rechnen sich neu. Ein weiterer Klick holt ihn zurück, „alle einblenden“ setzt zurück.

Das ist ein reiner Ansichtsfilter — praktisch, um z. B. das eigene Land auszublenden und den Rest deutlicher zu sehen. Es wird nichts gelöscht; die Auswahl merkt sich Ihr Browser je Website und Dimension. In der Übersicht rechnen beim Ausblenden einer Quelle sogar Kennzahlen, Verlauf und Seitenliste live neu (aus den Rohdaten, deshalb nur so weit zurück wie die Rohdaten reichen).

Zum dauerhaften Ausschluss (für alle, schon bei der Messung) gibt es die Ausschlussregeln.

Eigene Aktionen — ein Klick, ein Formularabschluss, ein Download — melden Sie über die globale creo.push-Schnittstelle. Das funktioniert cookieless: ohne & mit Cookies

// Trigger a goal (e.g. after a form has been submitted)
creo.push(['ziel', 'newsletter']);

// An event with properties
creo.push(['ereignis', 'download', { datei: 'preisliste.pdf' }]);

Zielen lässt sich ein Geldwert zuordnen (z. B. 49 € je Abschluss), sodass die Auswertung einen Umsatzbeitrag zeigt. Eigenschaften bleiben auf flache Werte begrenzt (max. 20 Schlüssel) — legen Sie dort nichts Personenbezogenes ab. Für Kampagnen hängen Sie UTM-Parameter an Ihre Links (?utm_source=…&utm_medium=…&utm_campaign=…); sie erscheinen unter Quellen.

Trichter misst, wie viele Besucher eine Schrittfolge durchlaufen (z. B. Startseite → Formular → Abschluss) und wo sie abspringen — 2 bis 8 Schritte je Trichter. Weil dabei die Reihenfolge zählt, rechnet der Trichter aus den Rohdaten und reicht nur so weit zurück wie deren Aufbewahrung.

Segmente schlüsseln jede Kennzahl nach einer Dimension auf (Land, Gerät, Quelle, Seite …) und vergleichen Zeiträume. Beides läuft cookieless. ohne & mit Cookies

Creo Analytics erzeugt PDF-Berichte mit Kennzahlen, Verlaufskurve, Top-Listen, einer Heatmap-Zusammenfassung (aktivste Seiten nach Klicks) und — in „vollständig“ — den Replay-Durchschnitten (Anzahl, Ø Dauer, Ø Interaktionen).

• Automatischer Versand in vier Takten: wöchentlich (montags), monatlich (am Ersten), quartalsweise (1. Jan/Apr/Jul/Okt) oder jährlich (1. Januar) — an beliebige Empfänger.
• Sofort-Download im Berichte-Tab: Wochen-, Monats-, Quartals- und Jahresbericht als PDF, unabhängig vom Versand.
• Mehrsprachig (de/en/es) nach der Sprache der Organisation; die E-Mail trägt eine kurze HTML-Zusammenfassung, das PDF den vollen Bericht.
• Enthält ausschließlich Aggregate, keine personenbezogenen Daten — bedenkenlos weiterzugeben. Die Methodik-Fußnote passt sich der Betriebsart an; die Pflicht-Namensnennung „IP Geolocation by DB-IP“ steht auf jeder letzten Seite.

Damit Ihre Zahlen sauber bleiben, schließen Sie in den Einstellungen bestimmten Verkehr dauerhaft aus — nach vier Kriterien: IP-Adresse (eigene Büro-IP; exakt, IPv4-Bereich oder Präfix), Verweis-Domain (Referral-Spam), Pfad (interne Testseiten) und User-Agent (zusätzliche Bots).

Diese Regeln greifen schon bei der Messung (das Ereignis wird gar nicht erst gezählt) und gelten für alle — anders als der Ansichtsfilter. Eine eingebaute Bot-Erkennung hält bekannte Crawler ohnehin schon fern; eine Wirkungskontrolle zeigt, wie viele Treffer die Regeln zuletzt hatten.

Mehrere Personen teilen sich ein Konto (eine Organisation). Es gibt drei Rollen-Vorlagen — Admin, Account Manager und Nur lesen — plus granulare Einzelrechte (Lesen, Schreiben, Abrechnung, Mitglieder, Websites anlegen/löschen, Einstellungen).

Mitglieder laden Sie unter Organisation per E-Mail ein; sie bekommen ein Startpasswort und ersetzen es beim ersten Anmelden. Bestehende Hosting-Kunden melden sich per SSO an. Die Sprache der Organisation (de/en/es) steuert Oberfläche und Berichtssprache.

Registrierung: mit E-Mail und einem per Mail zugesandten Bestätigungscode (PIN) als erstem Schritt, danach die AGB-Zustimmung (mit Nachweis). Bestehende Hosting-Kunden nutzen SSO.

• 7-Tage-Testphase je Website, ohne Zahlungsdaten — misst und zeigt sofort Zahlen.
• Aktivierung über Stripe; ein Kundenportal verwaltet Abo und Zahlweg. Nach Ablauf/Nichtzahlung greift eine Bezahlschranke (Zahlen bleiben unangetastet, nur verdeckt).
• Lizenz je Website: Basis 10 €/Monat (cookieless), Pro 25 €/Monat (vollständig).
• In einer Gratis-Beta sind Buchungen sofort aktiv; das Website-Limit liegt bei 5 je Konto.

In der Gefahrenzone der Kontoeinstellungen löschen Konto-Admins selbst:

• Das ganze Konto — Organisation samt allen Websites, Messdaten, Aufnahmen, Buchungen und Mitgliedschaften — mit Abtippen des Kontonamens als Bestätigung.
• Einzelne Websites — mit Abtippen der Domain. Messdatei wird überschrieben und entfernt, Snippet/Proxy zurückgebaut.

Das deckt die AGB-Zusage und das DSGVO-Löschrecht — kein Support-Ticket nötig.

• Keine IP-Speicherung. Die IP dient nur flüchtig im Arbeitsspeicher dem Zählen und der Länderzuordnung — nie auf Platte.
• Rechtsgrundlage: cookieless ohne Einwilligung (kein Speichern/Lesen auf dem Gerät → §25 TDDDG greift nicht; Verarbeitung auf berechtigtem Interesse, Art. 6 (1) f). Cookie/Replay nur mit Einwilligung (§25 TDDDG + Art. 6 (1) a).
• Zwei nicht verknüpfbare Hashräume: der cookieless-Tages-Hash und das einwilligungsbasierte k-Pseudonym sind bewusst unverknüpfbar; kein websiteübergreifendes Profil.
• Aufbewahrung: Rohereignisse 14 Tage (bis 30 einstellbar), Tagesaggregate 26 Monate, Sitzungsaufnahmen fest 30 Tage, Einwilligungs-Cookie 180 Tage.
• DNT & GPC werden serverseitig beachtet.
• Serverstandort Deutschland (IT Systeme Flores UG), kein Drittlandtransfer, keine Weitergabe an Werbenetzwerke.
• Unterlagen mitgeliefert (Entwürfe): AVV, DSFA-Vorlage und Datenschutz-Textbaustein „vollständig“ — im Bereich Unterlagen als PDF.

Öffentlich und ohne Anmeldung erreichbar ist die Widerspruchs-Seite (de/en/es), die Besuchern erklärt, was passiert — und was nicht.