Die am schnellsten wachsende Produktanalyse-Plattform des Jahrzehnts läuft auf einer Datenbank-Engine, die bei Yandex entstanden ist, dem größten Suchmaschinenkonzern Russlands. ClickHouse wurde in Moskau geschrieben, 2016 als Open Source veröffentlicht und 2021 in ein unabhängiges Unternehmen ausgegliedert, das heute seinen Sitz in den Vereinigten Staaten hat. Inzwischen treibt die Engine PostHog an, die Analysefunktionen von Cloudflare und Hunderte weiterer Dienste. Dieses Detail zeigt, warum Produktanalyse einen demokratischen Prüfblick verdient. Jeder Klick, jedes Scrollen und jeder abgebrochene Bestellvorgang in Ihrer App wird zu einer Zeile in einer fremden Datenbank. Die Herkunft dieser Datenbank, das Unternehmen, das sie betreibt, und das Recht, dem sie unterliegt, bestimmen gemeinsam, wer sehen kann, wie sich Ihre Nutzerinnen und Nutzer verhalten. Amplitude und PostHog beantworten diese Fragen auf sehr unterschiedliche Weise, und für deutsche Produktteams, die unter der Aufsicht von Landesdatenschutzbehörden arbeiten, ist dieser Unterschied alles andere als akademisch.
Produktanalyse ist keine Webanalyse unter neuem Namen. Werkzeuge wie Amplitude und PostHog verfolgen identifizierte Nutzer über Sitzungen und Geräte hinweg, verknüpfen Ereignisse mit Konto-IDs, zeichnen Bildschirmsitzungen auf und speisen Experimente, die darüber entscheiden, welche Funktionen ausgeliefert werden. Ein mittelgroßes SaaS-Unternehmen sendet leicht mehrere Milliarden Ereignisse pro Jahr, viele davon verknüpft mit E-Mail-Adressen, Firmennamen und Abonnementstufen. Damit gehören Analyseanbieter zu den datenreichsten Auftragsverarbeitern eines modernen Software-Stacks und in Europa zu den am genauesten beobachteten. Seit 2022 haben Datenschutzbehörden in Österreich, Frankreich und Italien gegen konkrete Einsätze US-amerikanischer Analysewerkzeuge entschieden, und auch die deutsche Datenschutzkonferenz hat sich wiederholt kritisch zu Drittlandtransfers geäußert. Die Frage von Democratic Market ist enger gefasst und praktischer: Welche Plattform hält Verhaltensdaten innerhalb starker Demokratien und unter der Kontrolle des Kunden?
Warum die Herkunft von Produktanalysedaten nach EU-Recht 2026 zählt
Der Demokratieindex der Economist Intelligence Unit bewertet Länder auf einer Skala von 0 bis 10, und Democratic Market empfiehlt nur Produkte, deren entscheidendes Glied in einem Land mit mindestens 6,0 Punkten liegt. Bei Analysewerkzeugen ist dieses entscheidende Glied der Ort, an dem Ereignisse gespeichert werden, und das Unternehmen, das zur Herausgabe gezwungen werden kann. Die Vereinigten Staaten erreichen 7,85, das Vereinigte Königreich 8,28 und Deutschland 8,58, sodass alle großen Anbieter die Schwelle überschreiten. Das Überschreiten der Schwelle ist jedoch nur der Anfang. US-Anbieter unterliegen dem CLOUD Act und Section 702 des Foreign Intelligence Surveillance Act, die den Zugriff auf Daten US-amerikanischer Unternehmen auch dann erlauben, wenn diese im Ausland gespeichert sind. Europäische Aufsichtsbehörden haben wiederholt gefragt, ob pseudonyme Kennungen, Geräte-Fingerabdrücke und IP-Adressen, die an solche Anbieter übermittelt werden, ausreichend geschützt sind.
Die Grundsatzentscheidung fiel im Januar 2022, als die österreichische Datenschutzbehörde feststellte, dass der Einsatz von Google Analytics auf einer Website gegen die DSGVO verstieß, weil Daten ohne angemessene Garantien in die USA übertragen wurden. Die französische CNIL folgte wenige Wochen später, die italienische Garante einige Monate danach. Der im Juli 2023 verabschiedete EU-US-Datenschutzrahmen stellte eine Rechtsgrundlage für zertifizierte US-Unternehmen wieder her, und das Gericht der Europäischen Union bestätigte ihn im September 2025. Dennoch sind viele europäische Produktteams zu dem Schluss gekommen, dass die sicherste Analysearchitektur jene ist, bei der die Frage gar nicht erst entsteht: Ereignisse werden innerhalb der EU erhoben, gespeichert und verarbeitet, von einem Anbieter, der entweder europäisch ist oder eine echte regionale Trennung bietet, idealerweise mit der Option, den gesamten Stack selbst zu betreiben. Für deutsche Unternehmen, die mit Behörden, Krankenkassen oder Banken arbeiten, ist diese Option oft eine Vertragsvoraussetzung und keine bloße Präferenz.
Amplitude Test 2026: Enterprise-Produktanalyse aus San Francisco
Amplitude wurde 2012 von Spenser Skates, Curtis Liu und Jeffrey Wang gegründet, ging im September 2021 per Direktnotierung an die Nasdaq und hat seinen Sitz weiterhin in San Francisco. Die Plattform gilt als eine der Referenzen für Verhaltensanalyse: Funnels, Retentionskurven, Kohortenanalyse, User Journeys, Experimente, Session Replay und eine Customer Data Platform, die Ereignisse an andere Werkzeuge weiterleitet. Ihre Stärke ist die Tiefe. Produktmanager großer Consumer-Apps nutzen sie, um Fragen zu beantworten wie etwa, welcher Onboarding-Pfad eine bezahlte Conversion in der dritten Woche vorhersagt. Amplitude bietet einen kostenlosen Starter-Tarif, einen Plus-Tarif im Bereich von einigen Dutzend Dollar pro Monat sowie individuell verhandelte Growth- und Enterprise-Verträge, die häufig fünf- oder sechsstellige Beträge pro Jahr erreichen. In Deutschland setzen vor allem große E-Commerce-Plattformen, Mobilitätsanbieter und Medienhäuser auf Amplitude, meist in Kombination mit einem eigenen Data Warehouse.
Aus demokratischer Sicht ist Amplitude ein transparentes börsennotiertes Unternehmen in einem Land mit 7,85 Punkten, mit geprüften Jahresabschlüssen und offengelegten Anteilseignern. Es betreibt ein EU-Rechenzentrum in Frankfurt, sodass europäische Kunden ihre Ereignisdaten in Deutschland speichern können, und es ist unter dem Data Privacy Framework zertifiziert. Die Einschränkung besteht darin, dass Amplitude Inc. ein US-Unternehmen bleibt, der CLOUD Act also unabhängig vom Serverstandort gilt, und dass Supportmitarbeiter sowie einige Unterauftragsverarbeiter von außerhalb der EU auf Daten zugreifen können. Der Code ist proprietär und für Kunden nicht prüfbar, und die Plattform lässt sich nicht selbst hosten. Für die meisten Consumer-Apps ist das akzeptabel. Für Produkte im Gesundheitswesen, im Finanzsektor oder in der öffentlichen Verwaltung ist es eine Abhängigkeit, die in der Datenschutz-Folgenabschätzung dokumentiert und begründet werden muss.
PostHog Test 2026: Open-Source-Analyse, EU-Cloud und Self-Hosting
PostHog wurde 2020 von James Hawkins und Tim Glaser gegründet und durchlief im Winter desselben Jahres das Y-Combinator-Programm. Das Unternehmen ist in den Vereinigten Staaten eingetragen, doch seine Gründer und ein großer Teil des vollständig remote arbeitenden Teams leben im Vereinigten Königreich und in anderen europäischen Ländern. PostHog bündelt Produktanalyse, Session Replay, Feature Flags, A/B-Tests, Umfragen, Fehlerüberwachung und ein Data Warehouse in einer einzigen Plattform, mit transparenter nutzungsbasierter Preisgestaltung und einem großzügigen kostenlosen Kontingent von rund einer Million Analyseereignissen und fünftausend Sitzungsaufzeichnungen pro Monat. Der Kerncode ist auf GitHub unter der MIT-Lizenz veröffentlicht, Enterprise-Funktionen stehen unter einer separaten Lizenz. Jede Entwicklerin kann also genau nachlesen, was das Tracking-Skript erfasst und wie Ereignisse verarbeitet werden, was bei proprietären Werkzeugen schlicht unmöglich ist.
PostHog bietet zwei Cloud-Regionen an, USA und EU, wobei die EU-Instanz in Frankfurt gehostet wird. Kunden können die Open-Source-Version auch auf eigener Infrastruktur betreiben, auch wenn PostHog Self-Hosting seit 2023 eher als Hobby-Deployment für kleinere Volumina positioniert denn als unterstütztes Enterprise-Produkt. Das bleibt dennoch bedeutsam: Ein europäisches Start-up kann mit PostHog EU Cloud beginnen und, falls Regulierung oder ein großer Kunde aus dem öffentlichen Sektor es verlangt, auf eine selbst gehostete Instanz bei Hetzner in Gunzenhausen oder Falkenstein oder bei OVHcloud in Frankreich umziehen, Anbieter aus Ländern mit 8,58 beziehungsweise 7,99 Punkten. Der Vollständigkeit halber verdient die ClickHouse-Herkunft eine Erwähnung. Der Code der Engine ist offen, unabhängig geprüft und wird heute von einem US-Unternehmen verwaltet, weshalb Democratic Market die russischen Ursprünge nicht als aktuelles Risiko einstuft.
Beste europäische Analytics-Alternativen: Matomo, Plausible und Piwik PRO
Für Teams, die einen Anbieter vollständig außerhalb der US-Jurisdiktion wollen, stechen drei europäische oder europanahe Werkzeuge hervor. Matomo, früher Piwik, wird von InnoCraft in Neuseeland entwickelt, das mit 9,61 Punkten zu den höchstbewerteten Ländern der Welt zählt, und lässt sich selbst hosten oder über eine in Deutschland gehostete Cloud nutzen. Es deckt Web- und App-Analyse, Funnels, Heatmaps und Sitzungsaufzeichnungen ab und wird von der Europäischen Kommission sowie zahlreichen nationalen Verwaltungen eingesetzt, in Deutschland unter anderem von mehreren Landesbehörden und Hochschulen. Plausible, von einem kleinen Team in Estland entwickelt und auf deutscher Infrastruktur gehostet, bietet datenschutzfreundliche Webanalyse ohne Cookies, ideal für Content-Websites, aber zu leicht für tiefgehende Produktanalyse. Piwik PRO, in Polen entwickelt, richtet sich mit integriertem Consent-Management an regulierte Branchen wie Banken und Gesundheitswesen und hat in der DACH-Region eine starke Kundenbasis aufgebaut.
Keines dieser Werkzeuge erreicht die Verhaltenstiefe von Amplitude oder die All-in-one-Breite von PostHog, und das ist der ehrliche Kompromiss. Matomo kommt Produktteams am nächsten, besonders in Kombination mit seinen Plugins für Funnels und Kohorten, und die selbst gehostete Edition ist kostenlos. In Skandinavien, wo Dänemark 9,28, Schweden 9,39 und Norwegen 9,81 Punkte erreichen, haben mehrere öffentliche Stellen nach den österreichischen und französischen Entscheidungen auf Matomo standardisiert. Für ein europäisches SaaS-Unternehmen, das 2026 eine Wahl trifft, sieht eine realistische Shortlist so aus: PostHog EU Cloud für Produkttiefe mit offenem Code, Matomo für maximale jurisdiktionelle Unabhängigkeit und Amplitude EU für Enterprise-Teams, die bereits in dessen Ökosystem investiert haben und mit einer dokumentierten US-Exposition leben können. Eine Kombination ist ebenfalls verbreitet: Matomo für die öffentliche Website, PostHog für die eingeloggte Produktoberfläche.
Wo das demokratische Risiko in Analytics-Stacks steckt: SDKs, CDNs und intransparente Tracker
Das eigentliche demokratische Risiko in der Analyse liegt selten bei der Plattform, über die in Meetings gesprochen wird. Es steckt in den mobilen SDKs und Tracking-Skripten, die Entwickler in Apps einbauen, ohne den Datenfluss zu lesen. China, das im EIU-Index 2,12 Punkte erreicht, beherbergt eine ausgereifte Analytics-Branche mit Firmen wie Sensors Data und GrowingIO in Peking sowie Umeng, einem Teil von Alibaba. Diese SDKs sind verbreitet in Apps, die von ausgelagerten Entwicklungsstudios gebaut werden, in White-Label-E-Commerce-Vorlagen und in global vertriebenen Spielen. Nach dem chinesischen Nachrichtendienstgesetz von 2017 müssen diese Unternehmen mit staatlichen Geheimdiensten zusammenarbeiten, und keine unabhängige Justiz kann solche Anfragen überprüfen. Eine europäische App, die ein solches SDK einbettet, exportiert unter Umständen Verhaltensdaten in eine Jurisdiktion, die Democratic Market als unvereinbar betrachtet, und zwar ohne dass das Produktteam davon weiß.
Das zweite verborgene Risiko ist Intransparenz. Viele kostenlose Analyse- und Heatmap-Widgets nennen keine juristische Person, veröffentlichen keine Liste ihrer Unterauftragsverarbeiter und laden Skripte von Content-Delivery-Netzwerken, deren Serverstandorte nicht offengelegt werden. Einige finanzieren sich durch den Weiterverkauf aggregierter Verhaltensdaten an Datenhändler. Für Democratic Market gilt ein Anbieter, der weder Eigentümer noch Datenstandorte benennen kann, als Anbieter mit intransparenter Herkunft und wird so behandelt, als läge er unter 6,0. Die praktische Lehre für Produktteams lautet, jedes SDK im App-Bundle mindestens einmal jährlich zu prüfen. Werkzeuge wie Exodus Privacy, betrieben von einem französischen gemeinnützigen Verein, decken in wenigen Minuten auf, welche Tracker in Android-Apps eingebettet sind, und überraschen damit oft genau die Teams, die diese Apps ausgeliefert haben. Für Webanwendungen leistet ein einfacher Blick in die Netzwerkanfragen des Browsers ähnliche Dienste.
Amplitude vs. PostHog im Vergleich: Preise, Funktionen und demokratisches Profil
Bei der analytischen Tiefe liegt Amplitude für große Organisationen weiterhin vorn. Verhaltenskohorten, prädiktive Zielgruppen, Governance-Werkzeuge und Taxonomie-Management sind für Unternehmen mit Dutzenden Produktteams und strengen Datendefinitionen gebaut. PostHog ist eher breiter als tiefer: Analyse, Replay, Feature Flags, Experimente und Umfragen in einem Werkzeug, mit SQL-Zugriff auf Rohereignisse und einem Data Warehouse, das Produktdaten mit Abrechnungs- oder CRM-Tabellen verknüpfen kann. Beim Preis ist PostHog für kleine und mittlere Volumina dank des kostenlosen Kontingents und der offen auf der Website veröffentlichten Preise pro Ereignis meist günstiger. Amplitude wird bei Enterprise-Volumina über verhandelte Verträge konkurrenzfähig, doch seine Preisgestaltung ist weniger transparent und schwerer zu planen, was für Controlling-Abteilungen deutscher Mittelständler ein echter Nachteil sein kann.
Beim demokratischen Profil sind beide Unternehmen in den USA eingetragen und damit dem CLOUD Act unterworfen, und beide bieten eine EU-Region in Frankfurt an. Der Unterschied liegt in Offenheit und Ausstiegsoptionen. Der Code von PostHog ist öffentlich, sodass Kunden überprüfen können, was erhoben wird, und die Plattform kann bei Bedarf auf europäischer Infrastruktur selbst gehostet werden, wodurch das US-Unternehmen vollständig aus dem Datenpfad verschwindet. Amplitude ist proprietär und ausschließlich als Cloud verfügbar. Das Team von PostHog arbeitet zudem zu einem erheblichen Teil aus dem Vereinigten Königreich und der EU, deren wichtigste Standorte zwischen 7,99 und 9,39 Punkten liegen. Democratic Market bewertet beide Plattformen als akzeptabel, wobei PostHog EU Cloud bevorzugt wird und eine selbst gehostete PostHog- oder Matomo-Instanz für sensible Branchen die höchste Bewertung erhält.
EU-Gesetzgebung 2026 für Produktanalyse: DSGVO, TDDDG, Data Act und Cyber Resilience Act
Vier Rechtsrahmen gelten 2026 für Analysewerkzeuge, ergänzt durch nationales Recht. Die DSGVO regelt die Verarbeitung von Kennungen, IP-Adressen und Verhaltensprofilen, verlangt einen Auftragsverarbeitungsvertrag mit dem Anbieter und reguliert Übermittlungen nach Kapitel V. Die ePrivacy-Richtlinie, in Deutschland umgesetzt durch das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG und früher TTDSG, verlangt eine vorherige Einwilligung für das Speichern oder Auslesen von Informationen auf dem Endgerät, was die meisten Analyse-Cookies und den Local Storage betrifft. Seit April 2025 ermöglicht die Einwilligungsverwaltungsverordnung zudem anerkannte Dienste zur Einwilligungsverwaltung. Der EU Data Act, anwendbar seit September 2025, verpflichtet Cloud- und SaaS-Anbieter, den Wechsel zu erleichtern, einschließlich des Exports von Kundendaten in strukturierten Formaten und des schrittweisen Wegfalls von Wechselgebühren bis 2027, was Kunden den Ausstieg aus proprietären Analyseplattformen erleichtert.
Der Cyber Resilience Act, der im Dezember 2024 in Kraft trat, fügt eine neue Ebene für in der EU verkaufte Software hinzu. Ab September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen melden, die vollständigen Sicherheitsanforderungen gelten ab Dezember 2027. Analyse-SDKs, die in kommerzielle Apps eingebettet sind, fallen in den Pflichtenbereich des App-Anbieters, was bedeutet, dass Produktteams genau wissen müssen, welchen Fremdcode sie ausliefern. Open-Source-Projekte erhalten über das Konzept der Open-Source-Steward ein leichteres Regime. In Deutschland begleitet das Bundesamt für Sicherheit in der Informationstechnik die Umsetzung mit technischen Richtlinien. Für Käufer bedeutet das praktisch, dass Anbieter mit transparentem Code, einer veröffentlichten Sicherheitsrichtlinie und einem klar benannten EU-Vertreter ab 2026 deutlich leichter in konforme Produkte zu integrieren sind.
Wie Democratic Market Analyseplattformen bewertet
Democratic Market bewertet Analyseplattformen anhand von vier gewichteten Kriterien. Die Jurisdiktion macht 40 Prozent aus: wo Ereignisse gespeichert werden und wo das kontrollierende Unternehmen eingetragen ist, gemessen an den EIU-Werten, wobei jedes entscheidende Glied unter 6,0 zum Ausschluss führt. Die extraterritoriale Exposition macht 25 Prozent aus und umfasst Gesetze wie den US CLOUD Act oder das chinesische Nachrichtendienstgesetz. Offenheit und Portabilität machen 20 Prozent aus: ob der Code prüfbar ist, ob Rohdaten in Standardformaten exportiert werden können und ob das Werkzeug auf Kundeninfrastruktur laufen kann. Die Eigentumstransparenz macht die verbleibenden 15 Prozent aus, einschließlich der Frage, ob Investoren und Muttergesellschaften öffentlich offengelegt sind. Die technische Qualität wird separat ausgewiesen und gleicht eine ungenügende demokratische Bewertung niemals aus.
Angewandt auf diesen Vergleich erzielt Amplitude als börsennotiertes Unternehmen starke Werte bei der Transparenz, angemessene bei der Jurisdiktion dank seines Frankfurter Rechenzentrums und schwache bei der Offenheit, weil der Code geschlossen ist und sich die Plattform nicht selbst hosten lässt. PostHog schneidet mit seiner EU-Cloud gut bei der Jurisdiktion ab, sehr gut bei der Offenheit dank MIT-lizenziertem Code und Self-Hosting, und gut bei der Transparenz, weil das Unternehmen seine Finanzierungshistorie, sein Handbuch und sogar sein Vergütungsmodell veröffentlicht. Matomo, selbst gehostet in Deutschland, erreicht in jedem Kriterium das oberste Band. Die Rangfolge spiegelt die besonderen Risiken von Verhaltensdaten wider: Sie zeigen, wie echte Menschen echte Produkte nutzen, und sind gerade deshalb wertvoll, weil sie detailliert, verknüpfbar und langlebig sind.
Kaufratgeber: So wählen Sie Schritt für Schritt eine demokratische Produktanalyse-Plattform
Erstens: Kartieren Sie Ihre Daten. Listen Sie jedes Ereignis auf, das Sie erfassen, welche davon Nutzer-IDs oder E-Mail-Adressen tragen und ob einige Gesundheits-, Finanz- oder politische Informationen preisgeben. Zweitens: Wählen Sie Ihre Region vor Ihrem Anbieter. Wenn Sie europäische Nutzer bedienen, bestehen Sie auf EU-Speicherung und klären Sie, welche juristische Person den Auftragsverarbeitungsvertrag unterzeichnet und welche Unterauftragsverarbeiter von außerhalb der EU auf Daten zugreifen können. Drittens: Lesen Sie das Tracking-Skript oder SDK. Bei PostHog und Matomo können Sie den Code einsehen, bei proprietären Werkzeugen sollten Sie eine Dokumentation jedes erfassten Feldes anfordern. Viertens: Testen Sie den Ausstieg. Exportieren Sie einen Monat Rohereignisse und prüfen Sie, ob Sie diese in ein Data Warehouse oder ein anderes Werkzeug laden können. Gelingt das nicht, rechnen Sie künftige Wechselkosten in den Preis ein.
Für ein europäisches Start-up in der Frühphase empfiehlt Democratic Market, mit PostHog EU Cloud zu beginnen, mit standardmäßig aktivierter Maskierung im Session Replay und deaktivierter IP-Erfassung. Das hält die Kosten monatelang bei null und bewahrt die Option, später selbst zu hosten. Für eine Behörde, eine Gesundheits-App oder eine Bank empfiehlt sich der Start mit selbst gehostetem Matomo auf deutscher, niederländischer oder nordischer Infrastruktur, wobei die Niederlande 9,01 und Finnland 9,20 Punkte erreichen. Für ein großes Unternehmen, das bereits Amplitude nutzt, gilt: Projekt ins EU-Rechenzentrum verlagern, das Transfer Impact Assessment dokumentieren und die übermittelten Kennungen minimieren. In jedem Fall sollten Sie vor dem nächsten Release jedes Analyse-SDK chinesischer oder unbekannter Herkunft aus Ihrem App-Bundle entfernen und den Datenschutzbeauftragten in diese Prüfung einbeziehen.
Fazit: Amplitude oder PostHog für das demokratische Produktteam?
Amplitude ist eine ausgereifte, transparente und leistungsfähige Plattform aus einer Demokratie mit 7,85 Punkten, und sein Frankfurter Rechenzentrum macht es zu einer vertretbaren Wahl für Unternehmen, die seine analytische Tiefe benötigen. PostHog ist 2026 für die meisten europäischen Produktteams die bessere Standardwahl: Sein offener Code erlaubt es, zu überprüfen, was erhoben wird, seine EU-Cloud hält die Daten in Deutschland, und die Self-Hosting-Option bietet einen echten Ausstieg aus der US-Jurisdiktion, falls Regulierung oder Kunden es verlangen. Teams mit den strengsten Anforderungen sollten Matomo prüfen. Was auch immer Sie wählen: Das größere demokratische Risiko liegt in ungeprüften SDKs. Der abschließende Rat von Democratic Market ist daher einfach: Kennen Sie jede Zeile Tracking-Code, die Sie ausliefern, und wissen Sie, wohin ihre Daten fließen.