In Deutschland sind Affiliate-Tracking-Cookies reguliert und bedürfen in der Regel einer Einwilligung. Grundlage dafür sind das EuGH-Urteil Planet49 und § 25 TDDDG, konkretisiert durch die DSK-Orientierungshilfe. Wer Tracking-Links ohne wirksame Einwilligung setzt, riskiert Abmahnungen und Bußgelder. Die sofortige Maßnahme: nicht notwendige Cookies technisch blockieren, bis eine Zustimmung vorliegt, und cookie-freie Alternativen wie URL-Parameter oder Server-to-Server-Tracking prüfen.
Kurz gesagt:
- Ohne wirksame Einwilligung sind Affiliate-Tracking-Cookies in Deutschland nur schwer rechtlich zu rechtfertigen, da Nutzer aktiv zustimmen müssen.
- Cookie-freie Alternativen wie URL-Parameter oder Server-to-Server-Tracking vermindern das Risiko von Abmahnungen deutlich, unterscheiden sich jedoch in Funktion und Technik.
- Anbieter müssen bei Cookies den Nutzer gleichberechtigt ablehnen und den Widerruf der Einwilligung jederzeit erlauben, um Compliance sicherzustellen.
- Bei den Verantwortlichkeiten liegt die Hauptpflicht zur Einwilligungspflicht meist beim Werbetreibenden, während Affiliates für eigene Tracking-Links haften.
- Manipulative Dark-Patterns im Cookie-Banner können rechtlich hart bestraft werden, da visuelle Ungleichheit bei Zustimmung und Ablehnung häufig beanstandet wird.
Inhaltsverzeichnis
- Rechtslage in Deutschland: DSGVO, EuGH (Planet49) und § 25 TDDDG
- Auswirkungen für Affiliate-Tracking: Attribution, Haftung und praktische Probleme
- Cookie-freie Alternativen: URL-Parameter, S2S und Postback im Vergleich
- Praxis-Checkliste für einen rechtssicheren Cookie-Banner
- Typische Dark-Patterns und was Behörden dazu sagen
- Herausgeber-Perspektive: Was in der Praxis wirklich hakt
- Wie eine geprüfte Affiliate-Infrastruktur das Compliance-Risiko senkt
- Quellen
Rechtslage in Deutschland: DSGVO, EuGH (Planet49) und § 25 TDDDG
Der Europäische Gerichtshof hat mit dem Planet49-Urteil (C-673/17) 2019 klargestellt: Ein vorab angekreuztes Kästchen reicht nicht aus. Nutzer müssen aktiv und informiert zustimmen, bevor nicht notwendige Cookies gesetzt werden dürfen. Das gilt eins zu eins für Affiliate-Tracking-Cookies, die einen Klick auf einen Werbelink mit einem späteren Kauf verknüpfen.
National setzt § 25 TDDDG (ehemals TTDSG) diese Vorgabe um. Die Norm regelt den Zugriff auf Endgeräte und verlangt Einwilligung für jedes Speichern von Informationen, das nicht zwingend für die Bereitstellung eines vom Nutzer ausdrücklich gewünschten Dienstes nötig ist. Ein Warenkorb-Cookie fällt unter die Ausnahme. Ein Affiliate-Tracking-Cookie, das 30 Tage lang eine Provision zuordnet, fällt nicht darunter, denn es dient dem Geschäftsmodell des Betreibers, nicht der Funktion für den Nutzer.
Die DSK-Orientierungshilfe übersetzt diese Rechtslage in konkrete Bannergestaltung. Drei Punkte sind dabei nicht verhandelbar:
- Die Ablehnen-Option muss genauso leicht erreichbar sein wie die Zustimmung, keine versteckten Untermenüs.
- Vorab angekreuzte Kästchen für optionale Kategorien sind unzulässig.
- Nutzer müssen ihre Einwilligung jederzeit mit vergleichbarem Aufwand widerrufen können.
Bei Affiliate-Setups sind die Verantwortlichkeiten häufig nicht klar abgegrenzt. Der Advertiser (Broker, Shop, Dienstleister) betreibt die Landingpage und ist meist datenschutzrechtlich Verantwortlicher im Sinne der DSGVO. Der Publisher, also der Affiliate selbst, haftet für seine eigene Seite, auf der Tracking-Links platziert sind. Wer den Cookie tatsächlich setzt, trägt in der Regel die Pflicht zur Einwilligung und genau das wird bei geteilten Tracking-Infrastrukturen schnell unklar.
Auswirkungen für Affiliate-Tracking: Attribution, Haftung und praktische Probleme
Ein klassisches Cookie ohne vorherige Einwilligung ist rechtlich kaum zu rechtfertigen. Es speichert eine eindeutige ID über einen langen Zeitraum, verfolgt Nutzer über mehrere Sitzungen und dient ausschließlich der Provisionszuordnung, nicht der Funktion der Seite. Genau dieses Muster steht im Zentrum der Beanstandungen, die Aufsichtsbehörden und Verbraucherschützer seit Jahren gegen unsauber konfigurierte Consent-Tools vorbringen.
Lehnt ein Nutzer das Tracking ab, entsteht sofort eine Attributionslücke: Der Klick auf den Affiliate-Link wird nicht mehr dem späteren Kauf zugeordnet. Für den Affiliate bedeutet das entgangene Provision, für den Advertiser eine verzerrte Reporting-Grundlage. Wer seine Kampagnen nach Cookie-Metriken steuert, ohne die Ablehnungsquote zu berücksichtigen, überschätzt regelmäßig die tatsächliche Reichweite bezahlter Werbung.
Die Haftungsfrage stellt sich besonders auf Checkout-Seiten. Setzt dort ein Tracking-Skript einen Cookie, ohne dass zuvor eine wirksame Einwilligung eingeholt wurde, haftet in erster Linie der Betreiber der Seite, also meist der Advertiser. Der Affiliate ist nicht automatisch aus dem Schneider: Wer wissentlich Tracking-Setups einbindet, die er als rechtswidrig hätte erkennen können, gerät ebenfalls in den Fokus.
Typische Risikoszenarien in der Praxis:
- Ein Tag-Manager-Container feuert das Tracking-Skript häufig beim Seitenaufruf, bevor der Consent-Status überhaupt geprüft wird.
- Ein A/B-Testing-Tool setzt parallel eigene Cookies, die im Consent-Log gar nicht erfasst sind.
- Ein Affiliate-Netzwerk cached Tracking-Parameter serverseitig weiter, obwohl der Nutzer im Banner widersprochen hat.
Jeder dieser Fälle erzeugt eine Lücke zwischen dem, was das Banner verspricht, und dem, was das System tatsächlich tut.
Cookie-freie Alternativen: URL-Parameter, S2S und Postback im Vergleich
Wer das Abmahnrisiko strukturell senken will, kommt an einer Reduzierung der Cookie-Abhängigkeit kaum vorbei. Zwei Ansätze haben sich in der Praxis etabliert.
URL-Parameter-Tracking hängt eine eindeutige Kennung direkt an den Link an, etwa als Query-String. Der Vorteil: Es wird kein persistenter Cookie im Browser abgelegt, die Zuordnung funktioniert innerhalb einer Sitzung auch ohne separate Einwilligung. Der Nachteil zeigt sich, sobald der Kaufprozess die Sitzung verlässt: Öffnet der Nutzer den Shop später erneut oder wechselt das Gerät, geht die Zuordnung verloren.
Server-to-Server-Tracking (S2S/Postback) verlagert die Zuordnung auf die Serverebene. Der Advertiser meldet eine Conversion direkt an das Affiliate-Netzwerk zurück, ganz ohne Cookie im Browser des Nutzers. Das reduziert das datenschutzrechtliche Risiko erheblich, weil im Endgerät nichts gespeichert wird, verlangt aber zusätzliche technische Absicherung gegen Betrug, etwa durch serverseitigen IP-Abgleich.
| Methode | Speicherort | Cross-Device-fähig | Einwilligung nötig |
|---|---|---|---|
| Klassisches Tracking-Cookie | Browser des Nutzers | Nein | Ja |
| URL-Parameter | Keine persistente Speicherung | Nein (nur Sitzung) | In der Regel nein |
| Server-to-Server (Postback) | Server des Anbieters | Teilweise, je nach ID-Übergabe | In der Regel nein |
Welche Methode passt, hängt vom Geschäftsmodell ab. Digitale Produkte mit sofortigem Checkout kommen mit URL-Parametern oft gut zurecht, weil Klick und Kauf meist in derselben Sitzung passieren. Bei längeren Entscheidungsprozessen, etwa im Finanzbereich mit mehrtägiger Kontoeröffnung, ist S2S-Tracking robuster, weil es nicht von einer durchgehenden Sitzung abhängt.
Profi-Tipp: Kombinieren Sie beide Methoden als Fallback: URL-Parameter für die unmittelbare Zuordnung, S2S-Postback als zweite Bestätigung beim tatsächlichen Vertragsabschluss. So verlieren Sie weniger Conversions, wenn ein Kanal ausfällt.
Mehr zur technischen Umsetzung finden Sie in unserem Beitrag zu Tracking-Links und deren Governance sowie in der vertiefenden Anleitung zu Postback-Tracking.
Praxis-Checkliste für einen rechtssicheren Cookie-Banner
Ein Banner, das nur optisch nach Compliance aussieht, schützt nicht vor Abmahnungen. Entscheidend ist, was technisch dahintersteckt.
- Skripte blockieren, bis Consent vorliegt. Tracking-Skripte dürfen erst nach aktiver Zustimmung feuern, nicht vorher und "nachträglich löschen" reicht nicht aus.
- Tag-Manager sauber konfigurieren. Trigger für Marketing- und Affiliate-Tags an den Consent-Status koppeln, nicht an den Seitenaufruf.
- Ablehnen gleichwertig gestalten. Größe, Farbe und Platzierung des Ablehnen-Buttons dürfen der Zustimmung nicht optisch unterlegen sein.
- Consent dokumentieren. Ein Log mit Zeitstempel, Kategorie und IP-Kürzel dient als Nachweis im Streitfall.
- Widerruf ermöglichen. Ein dauerhaft erreichbarer Link oder ein Icon im Footer, über das Nutzer ihre Einwilligung jederzeit ändern können.
- Partnerverträge nachschärfen. Affiliates vertraglich verpflichten, nur DSGVO-konforme Tracking-Setups einzubinden.
| Maßnahme | Verantwortlich | Prüfintervall |
|---|---|---|
| Skript-Blocker im Tag-Manager | Advertiser/IT | Bei jedem Tool-Update |
| Consent-Log-Archivierung | Advertiser | Laufend |
| Vertragsklausel zu Datenschutz | Advertiser + Affiliate | Bei Vertragsabschluss |
| Banner-Design-Review | Datenschutzverantwortlicher | Vierteljährlich |
Details zu Haftungsfragen zwischen Advertiser und Publisher behandelt unser Beitrag zu Datenschutz beim Affiliate-Tracking.
Typische Dark-Patterns und was Behörden dazu sagen
Die häufigsten Fehler sind fast immer dieselben: ein Ablehnen-Button, der optisch verblasst neben einem grün leuchtenden "Alle akzeptieren", ein Cookie-Wall, der den Zugang zur Seite komplett verweigert, oder ein Ablehnen-Link, der erst nach drei Klicks in einem Untermenü auftaucht. Solche Muster fallen unter das, was die DSK-Orientierungshilfe ausdrücklich untersagt.
- Versteckte Ablehnen-Funktion hinter "Einstellungen" statt direkt sichtbar.
- Ungleiche visuelle Gewichtung von Zustimmen- und Ablehnen-Button.
- Cookie Walls, die den kompletten Seitenzugang von der Zustimmung abhängig machen.
Die Initiative noyb prüft aktiv Consent-Tools auf genau solche Designs und hat bereits zahlreiche Beschwerden gegen manipulative Bannergestaltungen eingereicht. Auch die BGH-Entscheidung (I ZR 7/16) und Verfahren vor dem LG München I zeigen als Praxisbeispiel, dass Gerichte die konkrete Umsetzung der Einwilligung prüfen, nicht nur deren formales Vorhandensein.
Nicht das bloße Vorhandensein eines Banners entscheidet über Rechtssicherheit, sondern die visuelle Gleichbehandlung von Zustimmen und Ablehnen. Genau dieser Punkt fällt bei Prüfungen am häufigsten negativ auf.
Priorisieren Sie zuerst die Button-Gleichbehandlung und den Consent-Blocker auf Skriptebene. Vertragliche Nachschärfungen mit Affiliates können Sie parallel angehen, sie sind seltener der Auslöser einer Abmahnung.
Herausgeber-Perspektive: Was in der Praxis wirklich hakt
Bei Signal Partners sehen wir täglich, wie Tracking-Links, Landingpages und Coaching-Prozesse ineinandergreifen müssen, damit Provisionen sauber ankommen. Die größte Fehlerquelle liegt selten im Banner selbst, sondern in der Lücke zwischen Consent-Tool und tatsächlicher Skript-Ausführung. Ein Tag-Manager, der drei Wochen nach dem letzten Banner-Update noch alte Trigger-Regeln fährt, ist keine Ausnahme, sondern eher die Regel.
Was viele unterschätzen: Finanz-Affiliates haben ein höheres Risiko als klassische E-Commerce-Partner, weil der Entscheidungsprozess bis zur ersten Einzahlung Tage oder Wochen dauert. Genau in dieser Zeitspanne versagen klassische Cookie-Lösungen am häufigsten, weil Sitzungen ablaufen oder Geräte wechseln. Wer auf robustere Attribution setzt, statt sich blind auf lange Cookie-Laufzeiten zu verlassen, spart sich am Ende sowohl rechtlichen Ärger als auch verlorene Provisionen.
Mehr dazu in unserem Beitrag zu Impressumspflicht und Haftung für Affiliate-Seiten.
— Johann
Wie eine geprüfte Affiliate-Infrastruktur das Compliance-Risiko senkt
Wer nicht jedes Tracking-Setup selbst von Grund auf rechtlich absichern will, kann auf eine Infrastruktur setzen, die das bereits mitbringt. Signalpartners stellt Tracking-Links, Landingpages und Reporting bereit, deren Konfiguration bereits auf robuste Attribution statt auf lange Cookie-Laufzeiten ausgelegt ist, ein klarer Vorteil gegenüber selbst gebauten Setups, bei denen jede Tag-Manager-Änderung neue Compliance-Fragen aufwirft.
Für Affiliates im CFD-Bereich kommt ein weiterer Punkt dazu: tägliche Handelssignale von Analysten, individuelles Coaching und Auszahlungen innerhalb von 48 Stunden, ohne dass Sie selbst Handelserfahrung mitbringen müssen. Die komplette Infrastruktur, von Tracking bis Landingpage, liegt bereits vor, statt dass Sie sie parallel zur rechtlichen Absicherung selbst aufbauen müssen. Wer sehen will, wie das Partnermodell konkret aussieht, findet auf der Signal Partners CFD Affiliate Plattform die Details zu Konditionen und Einstieg. Ein Blick auf die Landingpage genügt, um zu prüfen, ob das Modell zu Ihrem bestehenden Traffic passt.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.