O rastreamento de afiliados processa dados pessoais, como IDs de clique e endereços IP. Portanto, o GDPR e – assim que algo é armazenado ou lido no dispositivo do usuário – § 25 TDDDG se aplicam. Na prática, isso significa: afiliados cookies geralmente precisam de consent, o rastreamento pertence à plataforma de gerenciamento consent e a declaração de proteção de dados, e um contrato é celebrado com a rede para processamento de ordem. Cookieless Tracking torna a medição mais robusta, mas não substitui o consentimento.
Este artigo fornece uma visão geral do estatuto jurídico de outubro de 2026 e não substitui o aconselhamento jurídico. Verifique sua configuração específica pelo seu oficial de proteção de dados ou uma firma de advocacia.
Que regras se aplicam?
No marketing de afiliados, três conjuntos de regras se entrelaçam. Eles dizem respeito a diferentes questões – e, portanto, são muitas vezes confusos:
| Regras | O que é? | Importância do Marketing de Afiliados |
|---|---|---|
| DSGVO | Qualquer tratamento de dados pessoais requer uma base jurídica, transparência e segurança. | Aplica-se aos IDs, endereços IP, dados de pedidos e sua comparação – independentemente de os cookies estarem em jogo. |
| § 25 TDDDG | Armazenar e ler informações no dispositivo, como cookies ou armazenamento local. | Para cookies de afiliados e IDs de cliques armazenados, o consentimento geralmente é necessário. |
| UWG | Concorrência leal, incluindo a rotulagem da publicidade. | Os editores devem tornar os links de afiliados e recomendações reconhecíveis como publicidade. |
O TDDDG foi chamado TTDSG até maio de 2024. Em termos de conteúdo, nada mudou na regra do cookie no § 25. A base para tal é a Directiva Europeia de Privacidade em linha, razão pela qual se aplicam regras semelhantes noutros países da UE. A rotulagem obrigatória é um tópico separado, que explicamos no Guias sobre links de afiliados.
Quais dados está envolvido no rastreamento de afiliados
Para entender onde os consentimentos são necessários, um olhar para o caminho de um clique para a comissão ajuda:
- 01Clique
O usuário clica em um link afiliado na editora. A rede registra o clique com data e endereço IP.
- 02Clique em ID
A rede gera um identificador único e a liga à URL de destino na loja.
- 03Armazenamento
A loja ou script de rastreamento armazena o ID do clique, geralmente em um cookie.
- 04Ordem
Ao comprar, o ID clique com número de ordem e valor do carrinho de compras é reportado à rede.
- 05Reconciliação
A rede atribui a venda ao editor e calcula o Comissão.
Nomes, endereços ou endereços de e-mail dos compradores não precisam da rede para isso. No entanto, IDs de cliques e endereços IP são considerados dados pessoais porque podem ser atribuídos a uma pessoa ou dispositivo. O GDPR é, portanto, sempre aplicável. Se o § 25 TDDDG se aplica adicionalmente depende do passo 03: Algo está armazenado ou lido no dispositivo do usuário?
Os cookies de afiliados precisam de consentimento?
Como regra, sim. § 25 TDDDG permite o armazenamento e leitura de informações no dispositivo terminal sem consentimento somente se for absolutamente necessário para que um serviço funcione que o usuário expressamente quer usar – por exemplo, para o cesto ou o login. As autoridades alemãs de supervisão da protecção de dados interpretam esta excepção de forma muito restrita. O acompanhamento, que serve para faturar com parceiros de publicidade, não está incluído na maioria das opiniões: A loja trabalha para o cliente mesmo sem um cookie de afiliado.
Ocasionalmente, argumenta-se que a liquidação de comissões é indispensável para o modelo de negócio e, portanto, permitida sem consentimento. Não deve confiar nisso. Qualquer um que estabeleça cookies afiliados sem consentimento arrisca avisos e multas – de acordo com o TDDDG até 300.000 euros, de acordo com o GDPR significativamente mais.
Desde os julgamentos do TJCE (Planet49, 2019) e do BGH (Cookie Consent II, 2020), requisitos claros se aplicam para o consentimento efetivo:
- Ativo e voluntário: Caixas pré-selecionadas ou "Continuação é considerada consentimento" não são suficientes.
- Antes da configuração: O script de afiliados só pode carregar após o consentimento do usuário.
- Informado: A usabilidade deve ser capaz de reconhecer que os dados são processados para programas de parceiros – idealmente em sua própria categoria ou com a rede como o provedor nomeado.odcip countricipationsure aufap aheadodap também.
- Rejeitável equivalentemente: A rejeição deve ser tão simples como concordar. Um botão “rejeitar” claramente visível no primeiro nível é o caminho seguro.
- Revogável: As configurações devem ser abertas e mutáveis a qualquer momento, por exemplo, através de um link no rodapé.
O Cookieless está rastreando a solução?
Quando Cookieless ou server-to-server tracking, a loja reporta o pedido junto com o ID de clique diretamente para a rede, em vez de confiar em um cookie no navegador da rede. Isso torna o rastreamento mais robusto contra bloqueadores de anúncios e restrições de navegador. Legalmente, porém, não é um passe livre: Assim que o ID do clique é armazenado no navegador – também como um cookie de primeira parte ou no armazenamento local – § 25 TDDDG aplica-se como qualquer outro cookie.
| Metodologia | Armazenado no dispositivo? | Consentimento de acordo com TDDDG |
|---|---|---|
| Cookie de terceiros da rede | Sim. | Normalmente necessário |
| Cookie de primeira parte ou armazenamento local com click-ID | Sim. | Normalmente necessário |
| Clique em ID apenas no lado do servidor, por exemplo na sessão da loja | Dependendo da implementação | Controlo caso a caso |
| Código de cupons na saída | Não | Não é necessário |
| Impressão digital | Ler a informação do dispositivo | Necessário – e visto especialmente criticamente pelas autoridades de supervisão |
Coupon códigos são o único método comum que gerencia sem salvar no dispositivo. Aqui também, no entanto, os dados são processados: ordem e código são atribuídos a um editor. A base jurídica para tal é geralmente o interesse legítimo por natureza. 6 par. 1 lit. f GDPR, e o processo pertence à declaração de proteção de dados.
O que os navegadores adicionalmente restringem
Independentemente da lei, os navegadores também limitam quanto tempo e se as informações de rastreamento são preservadas:
- Safari
- Bloqueia cookies de terceiros completamente. Cookies de primeira parte definidos via JavaScript expiram após sete dias, no máximo, em alguns casos após 24 horas.
- Firefox
- Separa cookies por padrão. Os cookies de terceiros de uma rede não são, portanto, reconhecidos através de páginas.
- Chrome
- Não implementou a saída anunciada de cookies de terceiros, mas restringi-los em modos individuais. Ninguém deve confiar nisso.
- Bloqueador de anúncios
- Bloquear domínios conhecidos de rastreamento. O rastreamento entre servidor e servidor dificilmente é afetado.
A consequência para anunciantes: Uma configuração limpa combina consentimento, armazenamento de primeira parte e uma mensagem do lado do servidor via Postback. Isso registra todas as vendas para as quais o consentimento foi dado – e não apenas aquelas para as quais o navegador joga aleatoriamente.
Quem é o responsável?
A lei de proteção de dados determina quem determina a finalidade e os meios de processamento. No marketing de afiliados, a seguinte imagem geralmente emerge:
Responsável por rastrear na sua própria loja. Obtém o consentimento, informa na declaração de proteção de dados e mantém o processamento na lista de atividades de processamento.
Dependendo do modelo de contrato, processadores por tipo. 28 GDPR, conjuntamente responsável pela arte. 26 GDPR ou pessoa responsável independente. O modelo deve ser claramente regulamentado no Tratado.
Responsável pelo seu próprio site ou canal. Ele não recebe dados de clientes da loja – ele só vê comissões anonymizedidau salesidaudauauauauauauauauauau.
Se a rede funciona como um processador, você precisa de um contrato para processamento de ordem (AVV). Além disso, preste atenção ao local onde os dados são processados: Para os servidores fora da UE, são aditadas as regras aplicáveis às transferências de países terceiros. Adlesa trabalha como processador de acordo com a arte. 28 GDPR e hospeda todos os dados em data centers em Frankfurt am Main – mais na página da plataforma .
Lista de verificação para os anunciantes
Com estes sete passos você implementa o rastreamento de afiliados em conformidade com a proteção de dados:
- Configuração de acompanhamento de documentação. Grave quais scripts, cookies e mensagens de servidor são usados para o rastreamento de afiliados e quais fluxos de dados.
- Verifique o contrato com a rede. Esclareça a distribuição de funções e complete um AVV ao processar pedidos. Verifique a localização do servidor.
- Incorporate tracking into the consent management platform. Crie a rede como provedora, atribua-a a uma categoria como "Marketing" ou "Programas parceiros" e descreva o propósito claramente.
- Scripts de carga apenas após consentimento. Controle o script de afiliados através da plataforma de gerenciamento de consentimento ou gerenciador de tags. Teste com o consentimento rejeitado que realmente nada está definido.
- Transfer consent status to the network. Assim, a rede pode lidar com as vendas corretamente sem o consentimento, em vez de processá-las tacitamente.
- Suplemente a política de privacidade.Propósito específico, base jurídica, destinatário, duração do armazenamento e a duração do cookie do rastreamento de afiliados – também para códigos de voucher.
- Mantenha o diretório de processamento e períodos de eliminação. Digite o rastreamento e especifique quando os dados do clique e da ordem serão excluídos.
O que os editores precisam considerar
Para os editores, o esforço é muito menor, porque o rastreamento real acontece na rede e na loja. No entanto, alguns pontos aplicam-se:
- Declaração de privacidade: Mencione que seu site contém links de afiliados e os usuários são encaminhados para a rede e loja ao clicar.
- Own tracking tools: Para ferramentas de análise, rastreamento de cliques ou criativos incorporados com seus próprios scripts em seu site, você geralmente precisa de seu próprio consentimento.
- As ligações puras são acríticas: Um link de texto simples não define cookies em sua página. O rastreamento só começa após clicar na rede.
- Rotulagem: Independentemente da privacidade, você deve rotular links de afiliados como publicidade.
Mais consentimentos, menos comissões perdidas
Qualquer venda sem consentimento é uma comissão perdida para editores – e para anunciantes uma razão pela qual os parceiros promovem seu programa menos. A taxa de consentimento pode ser melhorada sem empurrar os usuários:
“Medemos através de quais parceiros você vem até nós para que eles sejam pagos de forma justa” convence mais do que um bloco legal de texto.
O comprimento dos textos, a ordem das categorias e a colocação afetam a taxa. Teste variantes sem complicar a rejeição.
Os códigos atribuem vendas mesmo sem consentimento em cookies. Eles são particularmente adequados para criadores e boletins informativos.
Explique aos editores a sua configuração de rastreamento. Quem entende por que os números flutuam permanece fiel ao programa.
Erros frequentes
- Tracking loads before consent. O erro mais comum: O script é permanentemente instalado na loja e é executado independentemente do banner de cookies.
- Classifique o rastreamento de afiliados como “necessário”. Isto evita o consentimento – e é exactamente isso que as autoridades de supervisão consideram criticamente.
- Confuse "cookieless" com "livre de consentimento". Cookies de primeira parte e armazenamento local também são abrangidos pelo § 25 TDDDG.
- Falta de contrato com a rede. Sem AVV ou distribuição clara de funções, falta a base para a transferência de dados.
- Códigos de cupão esquecidos. A atribuição via códigos é também um processamento de dados pessoais e pertence à declaração de proteção de dados.
- Banner sem botão de rejeição. Uma forma oculta ou complicada de recusar torna o consentimento vulnerável.
Você quer saber como um programa parceiro é configurado de forma limpa desde o início? Leia na guia para construir seu próprio programa de parceiro.