Affiliate-Tracking verarbeitet personenbezogene Daten wie Klick-IDs und IP-Adressen. Deshalb gelten die DSGVO und – sobald etwas auf dem Gerät des Nutzers gespeichert oder ausgelesen wird – § 25 TDDDG. In der Praxis heißt das: Affiliate-Cookies brauchen in der Regel eine Einwilligung, das Tracking gehört in die Consent-Management-Plattform und die Datenschutzerklärung, und mit dem Netzwerk wird ein Vertrag zur Auftragsverarbeitung geschlossen. Cookieless Tracking macht die Messung robuster, ersetzt aber nicht die Einwilligung.
Dieser Artikel gibt einen allgemeinen Überblick zum Rechtsstand Oktober 2026 und ersetzt keine Rechtsberatung. Lass dein konkretes Setup von deinem Datenschutzbeauftragten oder einer Kanzlei prüfen.
Welche Regeln gelten?
Im Affiliate-Marketing greifen drei Regelwerke ineinander. Sie betreffen unterschiedliche Fragen – und werden deshalb oft verwechselt:
| Regelwerk | Worum es geht | Bedeutung im Affiliate-Marketing |
|---|---|---|
| DSGVO | Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, Transparenz und Sicherheit. | Gilt für Klick-IDs, IP-Adressen, Bestelldaten und deren Abgleich – unabhängig davon, ob Cookies im Spiel sind. |
| § 25 TDDDG | Speichern und Auslesen von Informationen auf dem Endgerät, etwa Cookies oder Local Storage. | Für Affiliate-Cookies und gespeicherte Klick-IDs ist in der Regel eine Einwilligung nötig. |
| UWG | Fairer Wettbewerb, unter anderem die Kennzeichnung von Werbung. | Publisher müssen Affiliate-Links und Empfehlungen als Werbung erkennbar machen. |
Das TDDDG hieß bis Mai 2024 TTDSG. Inhaltlich hat sich an der Cookie-Regel in § 25 nichts geändert. Die Grundlage dafür ist die europäische ePrivacy-Richtlinie, weshalb in anderen EU-Ländern ähnliche Regeln gelten. Die Kennzeichnungspflicht ist ein eigenes Thema, das wir im Ratgeber zu Affiliate-Links erklären.
Welche Daten beim Affiliate-Tracking anfallen
Um zu verstehen, wo Einwilligungen nötig sind, hilft ein Blick auf den Weg eines Klicks bis zur Provision:
- 01Klick
Der Nutzer klickt beim Publisher auf einen Affiliate-Link. Das Netzwerk registriert den Klick mit Zeitstempel und IP-Adresse.
- 02Klick-ID
Das Netzwerk erzeugt eine eindeutige Kennung und hängt sie an die Ziel-URL im Shop.
- 03Speicherung
Der Shop oder das Tracking-Skript speichert die Klick-ID, meist in einem Cookie.
- 04Bestellung
Beim Kauf wird die Klick-ID mit Bestellnummer und Warenkorbwert an das Netzwerk gemeldet.
- 05Abgleich
Das Netzwerk ordnet den Verkauf dem Publisher zu und berechnet die Provision.
Namen, Adressen oder E-Mail-Adressen der Käufer braucht das Netzwerk dafür nicht. Trotzdem gelten Klick-IDs und IP-Adressen als personenbezogene Daten, weil sie sich einer Person oder einem Gerät zuordnen lassen. Die DSGVO ist also immer anwendbar. Ob zusätzlich § 25 TDDDG greift, hängt an Schritt 03: Wird etwas auf dem Gerät des Nutzers gespeichert oder ausgelesen?
Brauchen Affiliate-Cookies eine Einwilligung?
In der Regel ja. § 25 TDDDG erlaubt das Speichern und Auslesen von Informationen auf dem Endgerät ohne Einwilligung nur, wenn es unbedingt erforderlich ist, damit ein Dienst funktioniert, den der Nutzer ausdrücklich nutzen möchte – etwa für den Warenkorb oder den Login. Die deutschen Datenschutzaufsichtsbehörden legen diese Ausnahme sehr eng aus. Tracking, das der Abrechnung mit Werbepartnern dient, fällt nach überwiegender Auffassung nicht darunter: Der Shop funktioniert für den Kunden auch ohne Affiliate-Cookie.
Vereinzelt wird argumentiert, die Provisionsabrechnung sei für das Geschäftsmodell unverzichtbar und deshalb ohne Einwilligung zulässig. Darauf solltest du dich nicht verlassen. Wer Affiliate-Cookies ohne Einwilligung setzt, riskiert Abmahnungen und Bußgelder – nach dem TDDDG bis zu 300.000 Euro, nach der DSGVO deutlich mehr.
Für eine wirksame Einwilligung gelten seit den Urteilen des EuGH (Planet49, 2019) und des BGH (Cookie-Einwilligung II, 2020) klare Anforderungen:
- Aktiv und freiwillig: Vorausgewählte Kästchen oder „Weitersurfen gilt als Zustimmung“ reichen nicht.
- Vor dem Setzen: Das Affiliate-Skript darf erst laden, nachdem der Nutzer zugestimmt hat.
- Informiert: Der Nutzer muss erkennen können, dass Daten für Partnerprogramme verarbeitet werden – idealerweise in einer eigenen Kategorie oder mit dem Netzwerk als genanntem Anbieter.
- Gleichwertig ablehnbar: Ablehnen muss ähnlich einfach sein wie Zustimmen. Ein gut sichtbarer „Ablehnen“-Button auf der ersten Ebene ist der sichere Weg.
- Widerrufbar: Die Einstellungen müssen sich jederzeit wieder öffnen und ändern lassen, etwa über einen Link im Footer.
Ist Cookieless Tracking die Lösung?
Beim Cookieless oder Server-to-Server-Tracking meldet der Shop die Bestellung samt Klick-ID direkt an das Netzwerk, statt sich auf ein Cookie im Browser des Netzwerks zu verlassen. Das macht das Tracking robuster gegenüber Ad-Blockern und Browser-Einschränkungen. Rechtlich ist es aber kein Freifahrtschein: Sobald die Klick-ID im Browser gespeichert wird – auch als First-Party-Cookie oder im Local Storage –, greift § 25 TDDDG wie bei jedem anderen Cookie.
| Methode | Speichert auf dem Gerät? | Einwilligung nach TDDDG |
|---|---|---|
| Third-Party-Cookie des Netzwerks | Ja | In der Regel nötig |
| First-Party-Cookie oder Local Storage mit Klick-ID | Ja | In der Regel nötig |
| Klick-ID nur serverseitig, etwa in der Shop-Session | Je nach Umsetzung | Im Einzelfall prüfen |
| Gutscheincode an der Kasse | Nein | Nicht nötig |
| Fingerprinting | Liest Geräteinformationen aus | Nötig – und von Aufsichtsbehörden besonders kritisch gesehen |
Gutscheincodes sind die einzige gängige Methode, die ganz ohne Speichern auf dem Gerät auskommt. Auch hier werden aber Daten verarbeitet: Bestellung und Code werden einem Publisher zugeordnet. Die Rechtsgrundlage dafür ist meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, und der Vorgang gehört in die Datenschutzerklärung.
Was Browser zusätzlich einschränken
Unabhängig vom Recht begrenzen auch die Browser, wie lange und ob Tracking-Informationen erhalten bleiben:
- Safari
- Blockiert Third-Party-Cookies vollständig. Per JavaScript gesetzte First-Party-Cookies laufen nach spätestens sieben Tagen ab, in manchen Fällen schon nach 24 Stunden.
- Firefox
- Trennt Cookies standardmäßig nach Website. Third-Party-Cookies eines Netzwerks werden dadurch nicht seitenübergreifend erkannt.
- Chrome
- Hat den angekündigten Ausstieg aus Third-Party-Cookies nicht umgesetzt, schränkt sie aber in einzelnen Modi ein. Darauf verlassen sollte sich niemand.
- Ad-Blocker
- Blockieren bekannte Tracking-Domains. Server-to-Server-Tracking ist davon kaum betroffen.
Die Konsequenz für Advertiser: Ein sauberes Setup kombiniert Einwilligung, First-Party-Speicherung und eine serverseitige Meldung per Postback. So wird jeder Verkauf erfasst, für den eine Einwilligung vorliegt – und nicht nur die, bei denen der Browser zufällig mitspielt.
Wer ist verantwortlich?
Datenschutzrechtlich ist entscheidend, wer über Zweck und Mittel der Verarbeitung bestimmt. Im Affiliate-Marketing ergibt sich meist folgendes Bild:
Verantwortlicher für das Tracking im eigenen Shop. Er holt die Einwilligung ein, informiert in der Datenschutzerklärung und führt die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten.
Je nach Vertragsmodell Auftragsverarbeiter nach Art. 28 DSGVO, gemeinsam Verantwortlicher nach Art. 26 DSGVO oder eigenständig Verantwortlicher. Das Modell muss im Vertrag klar geregelt sein.
Verantwortlich für die eigene Website oder den eigenen Kanal. Kundendaten aus dem Shop erhält er nicht – er sieht nur anonymisierte Verkäufe und Provisionen.
Arbeitet das Netzwerk als Auftragsverarbeiter, brauchst du einen Vertrag zur Auftragsverarbeitung (AVV). Achte außerdem darauf, wo die Daten verarbeitet werden: Bei Servern außerhalb der EU kommen die Regeln für Drittlandübermittlungen hinzu. Adlesa arbeitet als Auftragsverarbeiter nach Art. 28 DSGVO und hostet alle Daten in Rechenzentren in Frankfurt am Main – mehr dazu auf der Plattform-Seite.
Checkliste für Advertiser
Mit diesen sieben Schritten setzt du Affiliate-Tracking datenschutzkonform um:
- Tracking-Setup dokumentieren. Halte fest, welche Skripte, Cookies und Server-Meldungen beim Affiliate-Tracking zum Einsatz kommen und welche Daten dabei fließen.
- Vertrag mit dem Netzwerk prüfen. Kläre die Rollenverteilung und schließe bei Auftragsverarbeitung einen AVV ab. Prüfe den Serverstandort.
- Tracking in die Consent-Management-Plattform aufnehmen. Lege das Netzwerk als Anbieter an, ordne es einer Kategorie wie „Marketing“ oder „Partnerprogramme“ zu und beschreibe den Zweck verständlich.
- Skripte erst nach Einwilligung laden. Steuere das Affiliate-Skript über die Consent-Management-Plattform oder den Tag-Manager. Teste mit abgelehnter Einwilligung, dass wirklich nichts gesetzt wird.
- Einwilligungsstatus an das Netzwerk übergeben. So kann das Netzwerk Verkäufe ohne Einwilligung korrekt behandeln, statt sie stillschweigend zu verarbeiten.
- Datenschutzerklärung ergänzen. Nenne Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und die Cookie-Laufzeit des Affiliate-Trackings – auch für Gutscheincodes.
- Verarbeitungsverzeichnis und Löschfristen pflegen. Trage das Tracking ein und lege fest, wann Klick- und Bestelldaten gelöscht werden.
Was Publisher beachten müssen
Für Publisher ist der Aufwand deutlich kleiner, denn das eigentliche Tracking passiert beim Netzwerk und im Shop. Ein paar Punkte gelten trotzdem:
- Datenschutzerklärung: Erwähne, dass deine Seite Affiliate-Links enthält und Nutzer beim Klick an das Netzwerk und den Shop weitergeleitet werden.
- Eigene Tracking-Tools: Für Analyse-Tools, Klick-Tracking oder eingebettete Werbemittel mit eigenen Skripten auf deiner Website brauchst du in der Regel selbst eine Einwilligung.
- Reine Links sind unkritisch: Ein einfacher Textlink setzt auf deiner Seite keine Cookies. Das Tracking beginnt erst nach dem Klick beim Netzwerk.
- Kennzeichnung: Unabhängig vom Datenschutz musst du Affiliate-Links als Werbung kennzeichnen.
Mehr Einwilligungen, weniger verlorene Provisionen
Jeder Verkauf ohne Einwilligung ist für Publisher eine verlorene Provision – und für Advertiser ein Grund, warum Partner ihr Programm weniger bewerben. Die Einwilligungsrate lässt sich verbessern, ohne Nutzer zu drängen:
„Wir messen, über welche Partner du zu uns kommst, damit sie fair vergütet werden“ überzeugt mehr als ein juristischer Textblock.
Länge der Texte, Reihenfolge der Kategorien und Platzierung beeinflussen die Rate. Teste Varianten, ohne das Ablehnen zu erschweren.
Codes ordnen Verkäufe auch ohne Einwilligung in Cookies zu. Sie eignen sich besonders für Creator und Newsletter.
Erkläre Publishern dein Tracking-Setup. Wer versteht, warum Zahlen schwanken, bleibt dem Programm treu.
Häufige Fehler
- Tracking lädt vor der Einwilligung. Der häufigste Fehler: Das Skript ist fest im Shop eingebaut und läuft unabhängig vom Cookie-Banner.
- Affiliate-Tracking als „notwendig“ einstufen. Damit umgeht man die Einwilligung – und genau das sehen Aufsichtsbehörden kritisch.
- „Cookieless“ mit „einwilligungsfrei“ verwechseln. Auch First-Party-Cookies und Local Storage fallen unter § 25 TDDDG.
- Fehlender Vertrag mit dem Netzwerk. Ohne AVV oder klare Rollenverteilung fehlt die Grundlage für die Datenweitergabe.
- Gutscheincodes vergessen. Auch die Zuordnung über Codes ist eine Verarbeitung personenbezogener Daten und gehört in die Datenschutzerklärung.
- Banner ohne Ablehnen-Button. Ein versteckter oder umständlicher Weg zum Ablehnen macht die Einwilligung angreifbar.
Du willst wissen, wie ein Partnerprogramm von Anfang an sauber aufgesetzt wird? Lies weiter im Leitfaden zum Aufbau eines eigenen Partnerprogramms.