Affiliate tracking processer personuppgifter såsom klick-ID och IP-adresser. Därför gäller GDPR och – så snart något lagras eller läses på användarens enhet – § 25 TDDDG. I praktiken betyder detta: affiliate cookies vanligtvis behöver samtycke , spårning hör hemma i medgivande hanteringsplattform och dataskyddsdeklarationen, och ett kontrakt avslutas med nätverket för bearbetning . Cookieless Tracking gör mätningen mer robust, men ersätter inte samtycke.
Denna artikel ger en allmän översikt över den rättsliga statusen i oktober 2026 och ersätter inte juridisk rådgivning. Ha din specifika inställning kontrollerad av din dataskyddsombud eller en advokatbyrå.
Vilka regler gäller?
I affiliate-marknadsföring interlockerar tre uppsättningar regler. De rör olika frågor – och är därför ofta förvirrade:
| Regler | Vad det är | Betydelsen av affiliate marknadsföring |
|---|---|---|
| DSGVO | All behandling av personuppgifter kräver en rättslig grund, öppenhet och säkerhet. | Gäller för att klicka på ID, IP-adresser, orderdata och deras jämförelse – oavsett om cookies är i spel. |
| 25 TDDDG | Lagring och läsning av information på enheten, till exempel cookies eller lokal lagring. | För affiliate-cookies och lagrade klick-ID krävs vanligtvis samtycke. |
| UWG | Rättvis konkurrens, inklusive märkning av reklam. | Utgivare måste göra affiliate-länkar och rekommendationer som är kända som reklam. |
TDDDG kallades TTDSG till maj 2024. Inget har ändrats i cookieregeln i § 25. Grunden för detta är det europeiska direktivet om e-säkerhet, varför liknande regler gäller i andra EU-länder. obligatorisk märkning är ett separat ämne som vi förklarar i Guider på affiliate länkar.
Vilka data är inblandade i affiliate tracking
För att förstå var samtycke behövs, hjälper en titt på vägen för ett klick till kommissionen:
- 01Klicka
Användaren klickar på en affiliate länk på utgivareet. Nätverket registrerar klicket med tidsstämpel och IP-adress.
- 02Klicka på ID
Nätverket genererar en unik identifierare och fäster den till destinationsadressen i butiken.
- 03Lagring
Butiken eller spårningsskriptet lagrar klick-ID, vanligtvis i en cookie.
- 04Order
Vid inköp rapporteras klick-ID med ordernummer och kundvagnsvärde till nätverket.
- 05Försoning
Nätverket tilldelar försäljningen till utgivareet och beräknar Commission.
Namn, adresser eller e-postadresser till köparna behöver inte nätverket för detta. Klick-ID och IP-adresser anses dock vara personuppgifter eftersom de kan tilldelas en person eller en enhet. GDPR är därför alltid tillämplig. Om § 25 TDDDG dessutom gäller beror på steg 03: Är något lagrat eller läst på användarens enhet?
Behöver affiliate-cookies samtycke?
Som regel ja. 25 TDDDG tillåter lagring och läsning av information på terminalenheten utan samtycke endast om det är absolut nödvändigt för en tjänst att fungera som användaren uttryckligen vill använda – till exempel för korgen eller inloggningen. De tyska dataskyddsbyråerna tolkar detta undantag mycket snävt. Spårning, som tjänar till fakturering med reklampartners, ingår inte i majoriteten av åsikten: Butiken fungerar för kunden även utan en affiliate cookie.
Ibland hävdas det att provisionsavveckling är oumbärlig för affärsmodellen och därför tillåten utan samtycke. Du bör inte lita på det. Den som sätter affiliate-cookies utan samtycke riskerar varningar och böter - enligt TDDDG upp till 300 000 euro, enligt GDPR betydligt mer.
Eftersom domarna i ECJ (Planet49, 2019) och BGH (Cookie Consent II, 2020) gäller tydliga krav för ett effektivt samtycke:
- Aktiv och frivillig: Förvaltade lådor eller "Fortsättning anses vara samtycke" räcker inte.
- Before inställning: Affiliate script kan endast laddas efter att användaren har godkänt.
- Informerad: Användarskapet måste kunna känna igen att data behandlas för partnerprogram - helst i sin egen kategori eller med nätverket som namngiven leverantör.odcip tillsammanscipationsure aufap aheadodap också.
- Allt förkastligt: Avvisande måste vara så enkelt som att komma överens. En tydligt synlig "avvisa" knapp på den första nivån är det säkra sättet.
- Återkallbar: Inställningarna måste vara öppna och ändras när som helst, till exempel via en länk i sidfoten.
Är Cookieless Spåra Lösningen?
När Cookieless eller server-till-server spårning, rapporterar butiken ordern tillsammans med klick-ID direkt till nätverket, istället för att förlita sig på en cookie i webbläsaren i nätverket. Detta gör spårning mer robust mot annonsblockerare och webbläsarbegränsningar. Men lagligt är det inte ett gratis pass: Så snart klick-ID lagras i webbläsaren – även som en förstapartscookie eller i lokal lagring – gäller § 25 TDDDG som med någon annan cookie.
| Metodologi | Förvarad på enheten? | samtycke enligt TDDDG |
|---|---|---|
| Cookie från tredje part i nätverket | Ja ja ja ja ja | Vanligtvis nödvändigt |
| Förstapartscookie eller lokal lagring med Click-ID | Ja ja ja ja ja | Vanligtvis nödvändigt |
| Klicka på ID endast på serversidan, till exempel i butikssessionen | Beroende på genomförandet | Kontrollera från fall till fall |
| Coupon code vid kassan | Ingen | Inte nödvändigt |
| Fingerprinting | Läs enhetsinformation | Nödvändigt – och särskilt kritiskt ses av tillsynsbyråer |
Kupongkoder är den enda vanliga metoden som hanterar utan att spara på enheten. Här behandlas dock data: order och kod tilldelas en utgivare. Den rättsliga grunden för detta är vanligtvis naturens legitima intresse. 6 par.1 lit. f GDPR, och processen tillhör dataskyddsdeklarationen.
Vilka webbläsare begränsar dessutom
Oavsett lagen begränsar webbläsare också hur länge och om spårningsinformation bevaras:
- Safari
- Blockerar tredjepartscookies helt. Förstapartscookies som anges via JavaScript löper ut efter sju dagar senast, i vissa fall efter 24 timmar.
- Firefox
- Separerar cookies per webbplats som standard. Cookies från tredje part i ett nätverk är således inte erkända på sidorna.
- Chrome Chrome Chrome
- Har inte implementerat det tillkännagivna exitet från tredjepartscookies, men begränsar dem i enskilda lägen. Ingen bör lita på det.
- Ad-blockerare
- Blockera kända spårningsdomäner. Server-till-server spårning påverkas knappast.
Konsekvensen för annonsörer: En ren inställning kombinerar samtycke, förstapartsförvaring och ett server-side-meddelande via Postback. Detta registrerar varje försäljning för vilken samtycke har getts - och inte bara de för vilka webbläsaren spelar slumpmässigt.
Vem är ansvarig?
Dataskyddslagen bestämmer vem som bestämmer syftet och sättet att bearbeta. I affiliate-marknadsföring uppstår följande bild vanligtvis:
Ansvarig för spårning i din egen butik. Han erhåller samtycke, informerar i dataskyddsdeklarationen och håller behandlingen i förteckningen över behandlingsaktiviteter.
Beroende på kontraktsmodellen, processorer efter typ 28 GDPR, gemensamt ansvarig av konst. 26 GDPR eller oberoende ansvarig person. Modellen måste tydligt regleras i fördraget.
Ansvarig för din egen webbplats eller kanal. Han får inte kunddata från affären – han ser endast anonymiseradeidau försäljningsidauidauauauauau provisioner.
Om nätverket fungerar som processor behöver du ett kontrakt för orderbehandling (AVV). Var också uppmärksam på var data behandlas: För servrar utanför EU läggs reglerna för tredjelandsöverföringar till. Adlesa arbetar som processor enligt konst. 28 GDPR och värdar all data i datacenter i Frankfurt am Main – mer på plattformssida.
Checklista för Advertisers
Med dessa sju steg implementerar du affiliate-spårning i enlighet med dataskydd:
- Dokumenteringsspårning. Spela in vilka skript, cookies och servermeddelanden som används för affiliate-spårning och vilka dataflöden.
- Kontrollera avtalet med nätverket. Klargöra rolldistributionen och slutföra ett AVV vid bearbetning av order. Kontrollera serverns plats.
- Införliva spårning i samtyckeshanteringsplattformen. Skapa nätverket som leverantör, tilldela det till en kategori som "Marketing" eller "Partnerprogram" och beskriva syftet tydligt.
- Load scripts endast efter samtycke. Kontrollera affiliate script via samtycke management plattform eller tag manager. Test med avvisat samtycke som verkligen ingenting är inställt.
- Överför samtyckesstatus till nätverket. Således kan nätverket hantera försäljningen korrekt utan samtycke, istället för att noggrant behandla dem.
- Komplettera integritetspolicyn.Särskilt syfte, rättslig grund, mottagare, lagringstid och cookie varaktighet av affiliate-spårningen – även för kupongkoder.
- Håll processkatalogen och raderingsperioderna. Ange spårningen och ange när klicka och beställa data raderas.
Vilka utgivare måste överväga
För utgivare är ansträngningen mycket mindre, eftersom själva spårningen sker i nätverket och i butiken. Några punkter gäller dock:
- Privacy Statement: Nämn att din webbplats innehåller affiliate-länkar och användare vidarebefordras till nätverket och butiken när du klickar.
- Own tracking tools: För analysverktyg, klicka på spårning eller inbäddade kreativa med egna skript på din webbplats behöver du vanligtvis ditt eget samtycke.
- Rena länkar är okritiska: En enkel textlänk ställer inte in cookies på din sida. Spårning börjar först efter att ha klickat på nätverket.
- Märkning: Oavsett integritet måste du märka affiliate-länkar som reklam.
Mer samtycke, färre förlorade provisioner
Varje försäljning utan samtycke är en förlorad provision för utgivare - och för annonsörer en anledning till att partner främjar sitt program mindre. Godkännandegraden kan förbättras utan att driva användare:
"Vi mäter genom vilka partners du kommer till oss så att de betalas rättvist" övertygar mer än ett lagligt textblock.
Längd av texter, ordning på kategorier och placering påverkar hastigheten. Testvarianter utan att komplicera avslag.
Koder tilldelar försäljning även utan samtycke i cookies. De är särskilt lämpliga för skapare och nyhetsbrev.
Förklara för publicister din tracking setup. Den som förstår varför siffror fluktuerar är trogen programmet.
Ofta fel
- Spår laster före samtycke. Det vanligaste felet: Skriptet är permanent installerat i butiken och körs oberoende av cookiebannern.
- Klassificera affiliate spårning som "nödvändig". Detta kringgår samtycke – och det är precis vad tillsynsbyråerna ser kritiskt.
- Förvirra "cookieless" med "fri samtycke". Förstapartscookies och lokal lagring omfattas också av § 25 TDDDG.
- Brist på avtal med nätverket. Utan AVV eller tydlig rolldistribution saknas grunden för dataöverföring.
- Glöm kupongkoder. Uppdraget via koder är också en behandling av personuppgifter och tillhör dataskyddsdeklarationen.
- Banner utan avvisande knapp. Ett dolt eller besvärligt sätt att vägra gör samtycke sårbart.
Vill du veta hur ett partnerprogram sätts upp rent från början? Läs vidare i Guideline för att bygga ditt eget partnerprogram .