I processi di tracciamento dell'affiliazione dati personali come gli ID di clic e gli indirizzi IP. Pertanto, il GDPR e – non appena qualcosa viene memorizzato o letto sul dispositivo dell'utente – § 25 TDDDG si applicano. In pratica, questo significa: affiliazione cookie di solito bisogno consenso, il tracciamento appartiene al piattaforma di gestione del consenso e la dichiarazione di protezione dei dati, e un contratto è concluso con la rete per elaborazione dell'ordine. Monitoraggio senza cookie rende la misura più robusta, ma non sostituisce il consenso.
Questo articolo fornisce una panoramica generale dello stato legale di ottobre 2026 e non sostituisce la consulenza legale. Fai controllare la tua specifica configurazione dal tuo responsabile della protezione dei dati o da uno studio legale.
Quali regole si applicano?
Nel marketing di affiliazione, tre serie di regole interlock. Si tratta di domande diverse – e sono quindi spesso confuse:
| Regolamento | Che cosa è | Importanza del marketing di affiliazione |
|---|---|---|
| DSGVO | Qualsiasi trattamento dei dati personali richiede una base giuridica, trasparenza e sicurezza. | Si applica a fare clic su ID, indirizzi IP, dati di ordine e il loro confronto – indipendentemente dal fatto che i cookie siano in gioco. |
| § 25 TDDDG | Memorizzazione e lettura di informazioni sul dispositivo, come cookie o archiviazione locale. | Per i cookie di affiliazione e gli ID di clic memorizzati, il consenso è di solito richiesto. |
| UWG | Una concorrenza equa, compresa l'etichettatura della pubblicità. | Gli editori devono rendere i link di affiliazione e le raccomandazioni riconoscibili come pubblicità. |
Il TDDDG fu chiamato TTDSG fino al maggio 2024. In termini di contenuto, nulla è cambiato nella regola dei cookie nel § 25. La base di questo è la direttiva europea sulla concorrenza, motivo per cui si applicano norme analoghe in altri paesi dell'UE. The etichettatura obbligatoria è un argomento separato, che spieghiamo nel Guide sui link di affiliazione.
Quali dati sono coinvolti nel monitoraggio della filiale
Per capire dove sono necessari i consenso, uno sguardo al percorso di un click alla commissione aiuta:
- 01Fare clic
L'utente fa clic su un affiliato link all'editore. La rete registra il clic con il timestamp e l'indirizzo IP.
- 02Fare clic su ID
La rete genera un identificatore univoco e lo collega all'URL di destinazione nel negozio.
- 03Stoccaggio
Il negozio o lo script di tracciamento memorizza l'ID di clic, di solito in un cookie.
- 04Ordinanza
Quando si acquista, viene segnalato alla rete l'ID di clic con il numero di ordine e il valore del carrello.
- 05Riconciliazione
La rete assegna la vendita all'editore e calcola la Commissione.
I nomi, gli indirizzi o gli indirizzi e-mail degli acquirenti non hanno bisogno della rete per questo. Tuttavia, gli ID e gli indirizzi IP sono considerati dati personali perché possono essere assegnati a una persona o a un dispositivo. Il GDPR è quindi sempre applicabile. Se § 25 TDDDG si applica inoltre dipende dal passo 03: è qualcosa memorizzato o letto sul dispositivo dell'utente?
I cookie di affiliazione hanno bisogno di consenso?
Di regola, sì. § 25 TDDDG consente la memorizzazione e la lettura delle informazioni sul terminale senza il consenso solo se è assolutamente necessario per un servizio di lavoro che l'utente vuole utilizzare espressamente – ad esempio per il cestino o il login. Le autorità tedesche di controllo della protezione dei dati interpretano questa eccezione molto poco. Il monitoraggio, che serve per la fatturazione con i partner pubblicitari, non è incluso nella maggior parte del parere: Il negozio lavora per il cliente anche senza cookie di affiliazione.
Di tanto in tanto, si sostiene che il regolamento della commissione è indispensabile per il modello di business e quindi consentito senza consenso. Non dovresti fare affidamento su questo. Chi imposta i cookie di affiliazione senza il consenso rischia avvisi e ammende – secondo il TDDDG fino a 300.000 euro, secondo il GDPR significativamente di più.
Dal momento che le sentenze dell'ECJ (Planet49, 2019) e del BGH (Cookie Consent II, 2020), i requisiti chiari si applicano per un consenso efficace:
- Attivo e volontario: Le caselle preselezionate o "Continuazione è considerata consenso" non sono sufficienti.
- Prima dell'impostazione: Lo script di affiliazione può caricare solo dopo che l'utente ha acconsentito.
- Informato: La userityityity deve essere in grado di riconoscere che i dati vengono elaborati per i programmi partner – idealmente nella propria categoria o con la rete come provider.odcip insiemecipationsure aufap avantiodap troppo.
- Equivalentemente rifiutabile: La reiezione deve essere semplice come concordare. Un pulsante “rigetto” chiaramente visibile al primo livello è il modo sicuro.
- Revocabile: Le impostazioni devono essere aperte e modificabili in qualsiasi momento, ad esempio tramite un link nel piè di pagina.
Cookieless sta monitorando la Soluzione?
Quando Cookieless o server-to-server tracking , il negozio riporta l'ordine insieme all'ID di clic direttamente alla rete, invece di fare affidamento su un cookie nel browser della rete. Questo rende il monitoraggio più robusto contro i bloccanti pubblicitari e le restrizioni del browser. Legalmente, tuttavia, non è un pass gratuito: Non appena l'ID di clic viene memorizzato nel browser – anche come cookie di prima parte o nella memorizzazione locale – § 25 TDDDG si applica come con qualsiasi altro cookie.
| Metodologia | Memorizzato sul dispositivo? | Consenso secondo TDDDG |
|---|---|---|
| Cookie di terze parti della rete | Sì. | Di solito necessario |
| Cookie di prima parte o storage locale con click-ID | Sì. | Di solito necessario |
| Fare clic su ID solo sul lato server, per esempio nella sessione del negozio | A seconda dell'implementazione | Verifica caso per caso |
| Codice coupon al checkout | No. | Non necessario |
| Impronte per la stampa | Leggi le informazioni sui dispositivi | Necessaria – e vista particolarmente critica dalle autorità di vigilanza |
Codici coupon sono l'unico metodo comune che gestisce senza salvare sul dispositivo. Anche qui, tuttavia, i dati vengono trattati: ordine e codice vengono assegnati a un editore. La base giuridica per questo è di solito l'interesse legittimo per natura. 6 par. 1 lit. f GDPR, e il processo appartiene alla dichiarazione di protezione dei dati.
Quali browser limitano inoltre
Indipendentemente dalla legge, i browser limitano anche quanto tempo e se le informazioni di monitoraggio sono conservate:
- Safari
- Blocca completamente i cookie di terze parti. I cookie di prima parte impostati tramite JavaScript scadono dopo sette giorni al più tardi, in alcuni casi dopo 24 ore.
- Firefox
- Separa i cookie per impostazione predefinita. I cookie di terze parti di una rete non sono quindi riconosciuti attraverso le pagine.
- Chrome
- Non ha implementato l'uscita annunciata da cookie di terze parti, ma li limita in modalità individuali. Nessuno dovrebbe contare su questo.
- Blocco annunci
- Blocca i domini di tracciamento noti. Il monitoraggio da server a server è difficilmente influenzato.
La conseguenza per gli inserzionisti: una configurazione pulita combina il consenso, lo storage di prima parte e un messaggio lato server tramite Postback. Questo registra ogni vendita per cui il consenso è stato dato – e non solo quelli per cui il browser gioca casualmente.
Chi è il responsabile?
La legge sulla protezione dei dati determina chi determina lo scopo e i mezzi di trattamento. Nel marketing di affiliazione, l'immagine seguente di solito emerge:
Responsabile per il tracciamento nel tuo negozio. Ottiene il consenso, informa nella dichiarazione di protezione dei dati e mantiene il trattamento nell'elenco delle attività di trattamento.
A seconda del modello di contratto, processori per tipo. 28 GDPR, congiuntamente responsabili dall'art. 26 GDPR o persona responsabile indipendente. Il modello deve essere chiaramente regolamentato nel trattato.
Responsabile per il tuo sito web o canale. Non riceve i dati dei clienti dal negozio – vede solo le commissioni anonymizedidau salesidauidauauauauauauauauauauau.
Se la rete funziona come processore, è necessario un contratto per elaborazione dell'ordine (AVV). Inoltre, prestare attenzione a dove i dati sono trattati: Per i server al di fuori dell'UE vengono aggiunte le regole per i trasferimenti di paesi terzi. Adlesa lavora come processore secondo l'arte. 28 GDPR e ospita tutti i dati nei data center di Francoforte sul Meno – maggiori informazioni pagina della piattaforma.
Lista di controllo per inserzionisti
Con questi sette passaggi si implementa il monitoraggio della filiale nel rispetto della protezione dei dati:
- Configurazione di monitoraggio dei documenti. Registra quali script, cookie e messaggi del server vengono utilizzati per il tracciamento della filiale e quali flussi di dati.
- Controllare il contratto con la rete. Chiarire la distribuzione del ruolo e completare un AVV durante l'elaborazione degli ordini. Controlla la posizione del server.
- Incorpora il monitoraggio nella piattaforma di gestione del consenso. Creare la rete come fornitore, assegnarlo a una categoria come "Marketing" o "Partner programmi" e descrivere chiaramente lo scopo.
- Caricare gli script solo dopo il consenso. Controllare lo script della filiale tramite la piattaforma di gestione del consenso o tag manager. Prova con il consenso respinto che veramente nulla è impostato.
- Trasferisci lo stato del consenso alla rete. Così, la rete può gestire le vendite correttamente senza il consenso, invece di trattarle in modo tacito.
- Integrare la privacy policy.Finalità specifica, base giuridica, destinatario, durata di conservazione e durata cookie del monitoraggio della filiale – anche per i codici voucher.
- Mantenere la directory di elaborazione e i periodi di cancellazione. Inserire il tracciamento e specificare quando clic e i dati dell'ordine verranno eliminati.
Cosa gli editori devono considerare
Per gli editori, lo sforzo è molto più piccolo, perché il monitoraggio reale avviene in rete e nel negozio. Tuttavia, alcuni punti si applicano:
- Informativa sulla privacy: Menzione che il tuo sito contiene link di affiliazione e gli utenti vengono inoltrati alla rete e negozio quando si fa clic.
- Strumenti di tracciamento propri: Per strumenti di analisi, fare clic su tracciamento o creativi incorporati con i propri script sul tuo sito web, di solito hai bisogno del tuo consenso.
- I collegamenti puri sono non critici: Un semplice link di testo non imposta i cookie sulla tua pagina. Il monitoraggio inizia solo dopo aver cliccato sulla rete.
- Etichettatura: Indipendentemente dalla privacy, è necessario etichettare link di affiliazione come pubblicità.
Più consenso, meno commissioni perse
Qualsiasi vendita senza consenso è una commissione per gli editori persa - e per gli inserzionisti un motivo per cui i partner promuovono il loro programma meno. Il tasso di consenso può essere migliorato senza spingere gli utenti:
“Misuriamo attraverso quali partner ci vieni in modo che siano pagati abbastanza” convince più di un blocco legale di testo.
La lunghezza dei testi, l'ordine delle categorie e il posizionamento influiscono sul tasso. Varianti di prova senza complicare il rifiuto.
Codici assegnano le vendite anche senza consenso nei cookie. Sono particolarmente adatti per i creatori e le newsletter.
Spiega agli editori la tua configurazione di tracciamento. Chiunque capisca perché i numeri fluttuano rimane fedele al programma.
Errori frequenti
- Tracciare carichi prima del consenso. L'errore più comune: Lo script viene installato permanentemente nel negozio e viene eseguito indipendentemente dal banner cookie.
- Classificare il tracciamento della filiale come “necessario”. Questo comporta il consenso – e questo è esattamente ciò che le autorità di vigilanza vedono criticamente.
- Confondere "cookieless" con "libero consenso". I cookie di prima parte e la memorizzazione locale sono anche coperti dal § 25 TDDDG.
- Mancanza di contratto con la rete. Senza AVV o una distribuzione chiara del ruolo, manca la base per il trasferimento dei dati.
- Ho dimenticato i codici coupon. L'assegnazione tramite codici è anche un trattamento dei dati personali e appartiene alla dichiarazione sulla protezione dei dati.
- Banner senza pulsante di rifiuto. Un modo nascosto o ingombrante di rifiutare rende il consenso vulnerabile.
Vuoi sapere come viene impostato un programma partner in modo pulito dall'inizio? Continua a leggere Linee guida per la costruzione del proprio programma partner.