Affiliate-Marketing verbindet Unternehmen und Websitebetreiber über erfolgsabhängige Vermittlungsprovisionen. Der Beitrag erklärt die Funktionsweise, verschiedene Geschäftsmodelle sowie die datenschutzrechtlichen Anforderungen an Tracking, Cookies und gemeinsame Verantwortlichkeit. Im Mittelpunkt stehen insbesondere die Vorgaben der DSGVO und des TDDDG sowie die Frage, wann eine Einwilligung erforderlich ist.
Was ist Affiliate-Marketing?
Affiliate-Marketing hat sich in den vergangenen Jahren etabliert und zählt im Online-Marketing zu den beliebtesten Vertriebsformen zur Umsetzung von Marketingzielen. Es beruht auf einer Zusammenarbeit zwischen einem werbetreibenden Unternehmen, dem sogenannten Advertiser, und einem Websitebetreiber, dem sogenannten Affiliate.
Affiliate-Marketing kann definiert werden als:
„eine auf vertriebszwecken basierende Zusammenarbeit zwischen werbetreibendem Unternehmen (Advertiser) und Websitebetreiber (Affiliate) im Rahmen des Online-Marketing Geschäfts“
Der Advertiser nutzt den Affiliate zur Vermarktung seiner Produkte, indem er auf dessen Internetseiten eigene Werbung platziert. Der Affiliate bewirbt damit fremde Produkte auf seiner Website und stellt hierfür entsprechende Werbeflächen oder Werbemittel bereit. Im Gegenzug erhält er vom Unternehmen eine erfolgsbasierte Vermittlungsprovision.
Interessiert sich ein Internetnutzer für ein Produkt und klickt auf einen Werbebanner oder ein anderes Werbemittel des Advertisers, wird er zur Produktseite, Website oder Landingpage des Advertisers weitergeleitet. Für das Geschäftsmodell muss nachvollziehbar sein, ob aus diesem Klick tatsächlich eine Bestellung oder ein Produktkauf resultiert, damit die Provision dem richtigen Affiliate zugeordnet werden kann.
Wie funktioniert das Tracking beim Affiliate-Marketing?
Für die Nachverfolgung wird häufig ein Tracking des Websitebesuchers nach dem Minimalprinzip eingesetzt. Dabei werden diejenigen Daten in der Regel durch Cookies oder seltener auch über andere Trackingmethoden erhoben und auf dem Gerät des Websitebesuchers gespeichert, die für die Zuordnung der Transaktion erforderlich sind.
Auf diese Weise kann der Websitebesucher kostenlos von einer vielfältigen Produktpalette profitieren. Gleichzeitig wird dem Advertiser ermöglicht, den richtigen Affiliate auch nach Abschluss des Verkaufsprozesses zu bestimmen und die Provision korrekt auszuzahlen.
Welche Affiliate-Networks gibt es?
Beim Affiliate-Marketing wird zwischen Public und Private Affiliate-Networks unterschieden. Der maßgebliche Unterschied liegt vor allem in der Zahl der teilnehmenden Parteien und in der Zugänglichkeit des jeweiligen Netzwerks.
Das Public Affiliate Network ist ein öffentlich zugängliches Affiliate-Modell, auf das sowohl Advertiser als auch Affiliates zugreifen können. In diesem Netzwerk können beide Parteien miteinander interagieren. Der Advertiser präsentiert seine Werbemittel und legt die Provisionen für gewonnene Kontakte offen. Affiliates können sich auf Grundlage dieser Informationen über spezielle Affiliate-Programme für die Zusammenarbeit bewerben.
Das Private Affiliate Network richtet sich im Gegensatz dazu insbesondere an große Kunden, die erhebliche Beträge in Affiliate-Marketing investieren. In einem solchen Netzwerk werden ausgewählte und umsatzstarke Affiliates gezielt betreut.
Welche Geschäftsmodelle gibt es im Affiliate-Marketing?
Zu den bekannten Geschäftsmodellen des Affiliate-Marketings gehören:
- Cashback- & Loyalty-Plattformen
- Vergleichs- & Bewertungsportale
- Deal- & Gutschein-Portale
- News- & Content-Blogs
- Bannerwerbung – Retargeting
Die konkrete Ausgestaltung hängt davon ab, über welche Plattform, welches Werbemittel und welche technische Infrastruktur die Vermittlung erfolgt. Gemeinsam ist den Modellen, dass eine erfolgreiche Transaktion oder ein anderer definierter Erfolg einem Affiliate zugeordnet werden soll.
Warum ist Datenschutz beim Affiliate-Marketing relevant?
Die Transaktionszuweisung zu Abrechnungszwecken erfordert häufig den Einsatz von Trackingmechanismen, insbesondere das Setzen von Cookies. Wird ein Cookie auf dem Endgerät des Nutzers gespeichert, kann der Advertiser später nachvollziehen, von welcher Affiliate-Seite der Nutzer auf die Advertiser-Seite weitergeleitet wurde.
Problematisch ist, dass die Rentabilität des Affiliate-Marketings von der erfolgsbasierten Provision und damit von der Transaktionsattribution abhängt. Die wirtschaftliche Funktionsfähigkeit des Modells ist deshalb unweigerlich mit einer Nachverfolgung des Nutzerverhaltens verbunden.
Findet eine Nutzerverfolgung durch Tracking statt, verlangen die Datenschutzaufsichtsbehörden grundsätzlich eine wirksam eingeholte aktive Einwilligung des Nutzers. Da eine solche Einwilligung freiwillig ist und daher möglicherweise nicht erteilt wird, entsteht ein Spannungsverhältnis zum Geschäftsmodell des Affiliate-Marketings.
Welche Vorgaben gelten nach DSGVO und TDDDG?
Die Verarbeitung personenbezogener Daten im Rahmen des Affiliate-Marketings muss die Vorgaben der DSGVO und des TDDDG beachten. Zwar zielt das Grundmodell nicht zwingend darauf ab, Nutzerprofile zu bilden oder mehr Daten als erforderlich zu erheben. An das Tracking von personenbezogenen bzw. personenbeziehbaren Daten sind jedoch hohe datenschutzrechtliche Anforderungen geknüpft.
Für die rechtliche Bewertung kommt es auf die konkrete technische und organisatorische Ausgestaltung an. Zu prüfen sind insbesondere die verwendeten Cookies, die verarbeiteten Informationen, die beteiligten Unternehmen, die Zwecke der Verarbeitung und die jeweiligen Rechtsgrundlagen.
Ist Affiliate-Marketing nur nach einer Einwilligung möglich?
Ob Affiliate-Marketing nur nach einer Einwilligung betrieben werden darf, wird man nach den Ausführungen der Datenschutzkonferenz und unter Hinzuziehung des TDDDG schlicht mit JA antworten können. 25 Abs. 1 TDDDG verlangt eine Einwilligung des Endnutzers auf Grundlage einer klaren und umfassenden Information, wenn Informationen in der Endeinrichtung des Endnutzers gespeichert werden oder ein Zugriff auf Informationen erfolgt, die bereits in der Endeinrichtung gespeichert sind. Dabei muss es sich nicht zwangsläufig um personenbezogene Daten handeln.
Auf Affiliate-Marketing und Tracking-Cookies übertragen, liegt regelmäßig eine Speicherung von Informationen in der Endeinrichtung des Nutzers vor. Daher sollte die Einwilligung nach den Vorgaben der DSGVO und des TDDDG eingeholt werden. Auch die Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG ist nach der Orientierungshilfe der Datenschutzkonferenz regelmäßig nicht einschlägig. Die Ausnahme besagt, dass eine Einwilligung entbehrlich ist,
„wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.“
Das Setzen eines Tracking-Cookies zur Affiliate-Zuordnung ist zwar wirtschaftlich für das Geschäftsmodell erforderlich. Es ist jedoch nicht ohne Weiteres technisch erforderlich, um dem Endnutzer einen von ihm ausdrücklich gewünschten Telemediendienst zur Verfügung zu stellen. Die Datenschutzkonferenz führt unter Randnummer 78 der Orientierungshilfe hierzu aus:
„Eine Ausnahme von der Einwilligungsbedürftigkeit kann daher nicht dadurch begründet werden, dass das Speichern von oder der Zugriff auf Informationen im Endgerät wirtschaftlich für das Geschäftsmodell erforderlich ist, in das der Telemediendienst eingebunden ist“
Teile der Literatur vertreten weiterhin, dass nicht in jedem Fall eine Einwilligung erforderlich sei und stattdessen das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO herangezogen werden könne. Zur Begründung wird insbesondere auf das sogenannte Fashion-ID-Urteil des EuGH verwiesen. Die Berufung auf das berechtigte Interesse sollte angesichts der Vorgaben des TDDDG jedoch besonders kritisch geprüft werden.
Was bedeutet Cookieless Tracking im Affiliate-Marketing?
Affiliate-Tracking kann auch ohne klassische Cookies erfolgen. Beim sogenannten Cookieless Tracking werden beispielsweise individuelle Tracking-Links, serverseitige Verfahren, URL-Parameter oder andere technische Identifikatoren eingesetzt, um einen Klick oder eine Transaktion einem bestimmten Affiliate zuzuordnen.
Der Verzicht auf Cookies führt daher nicht automatisch dazu, dass keine datenschutzrechtlichen Anforderungen mehr bestehen. Entscheidend ist vielmehr, welche Informationen verarbeitet werden, ob ein Personenbezug hergestellt werden kann und ob die eingesetzte Technologie auf Informationen in der Endeinrichtung des Nutzers zugreift.
Auch bei einem serverseitigen Verfahren kann eine Verarbeitung personenbezogener Daten vorliegen. Das gilt etwa dann, wenn IP-Adressen, individuelle Kennungen oder andere Informationen verarbeitet werden, die sich einem Nutzer zuordnen lassen. Die konkrete technische Umsetzung ist daher für die datenschutzrechtliche Bewertung maßgeblich.
Fällt Cookieless Tracking unter das TDDDG?
Auch Cookieless Tracking kann unter § 25 TDDDG fallen. Die Vorschrift knüpft nicht ausschließlich an Cookies an, sondern an die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff auf Informationen, die dort bereits gespeichert sind. Werden beispielsweise Informationen in der Endeinrichtung gespeichert oder ausgelesen, kann grundsätzlich eine Einwilligung erforderlich sein, sofern keine gesetzliche Ausnahme greift.
Allein die Bezeichnung als „cookieless“ sagt deshalb nichts über die Einwilligungsbedürftigkeit aus. Auch Verfahren ohne Cookies müssen technisch und rechtlich daraufhin geprüft werden, ob sie Informationen in der Endeinrichtung speichern oder auf solche Informationen zugreifen. Zusätzlich ist zu prüfen, ob durch die Verarbeitung personenbezogene Daten entstehen und welche Rechtsgrundlage nach der DSGVO einschlägig ist.
Für die konkrete Bewertung kommt es insbesondere auf die technische Umsetzung an. Ein serverseitiges Tracking, bei dem keine Informationen auf dem Endgerät gespeichert oder ausgelesen werden, ist unter § 25 TDDDG anders zu beurteilen als ein Verfahren, das lediglich auf ein Cookie verzichtet, aber weiterhin Informationen in der Endeinrichtung nutzt oder dort ausliest.
Ist Affiliate-Marketing ohne Cookies datenschutzrechtlich unproblematisch?
Auch wenn Affiliate-Marketing ohne klassische Cookies betrieben werden kann, folgt daraus nicht automatisch, dass keine Einwilligung erforderlich ist. Für die rechtliche Bewertung ist zwischen § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO zu unterscheiden: § 25 TDDDG betrifft die Speicherung von Informationen in der Endeinrichtung des Nutzers oder den Zugriff auf dort gespeicherte Informationen. Die DSGVO ist hingegen immer dann zu beachten, wenn personenbezogene Daten verarbeitet werden – unabhängig davon, ob diese Daten auf dem Endgerät gespeichert oder auf anderem Weg erhoben werden.
Eine beispielhafte Situation besteht darin, dass der Affiliate lediglich einen gewöhnlichen Text-Link auf seiner Website platziert. Der Nutzer klickt auf diesen Link und erst danach wird auf der Website des Advertisers oder im Affiliate-Network eine Information zur Zuordnung des Affiliates verarbeitet.
Ob in einem solchen Fall auf eine Einwilligung verzichtet werden kann, hängt von der konkreten Umsetzung ab. Zu prüfen ist insbesondere, ob Informationen auf der Endeinrichtung gespeichert oder ausgelesen werden und/oder ob personenbezogene Daten verarbeitet werden und welche Beteiligten über Zwecke und Mittel der Verarbeitung entscheiden.
Der Verzicht auf Cookies beseitigt daher nicht automatisch die datenschutzrechtlichen Risiken. Insbesondere beim Affiliate-Marketing kann eine gemeinsame Verantwortlichkeit zwischen Advertiser, Affiliate-Network und Publisher vorliegen. Für die Begründung einer Mitverantwortlichkeit kann es bereits ausreichen, dass der Affiliate die Datenverarbeitung durch einen gesetzten Link auslöst.
Wann besteht eine gemeinsame Verantwortlichkeit?
Zwischen Advertisern, Affiliate-Networks und Publishern kann eine dreiteilige gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. Voraussetzung ist, dass zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen.
Zunächst muss im konkreten Fall geprüft werden, welche Beteiligten des Affiliate-Marketings als Verantwortliche nach der DSGVO einzuordnen sind. Dabei kommt es auf die tatsächlichen Einflussmöglichkeiten und die konkrete Ausgestaltung der Verarbeitung an.
Handeln mehrere Beteiligte als Verantwortliche und liegen die Voraussetzungen des Art. 26 Abs. 1 Satz 1 DSGVO vor, muss eine Vereinbarung über die gemeinsame Verantwortlichkeit geschlossen werden. Darin sind insbesondere die jeweiligen Zuständigkeiten und Pflichten gegenüber den betroffenen Personen transparent festzulegen.
Affiliate-Marketing bleibt mit datenschutzrechtlichen Herausforderungen verbunden
Affiliate-Marketing nimmt im Online-Marketing eine bedeutende Rolle ein. Es bietet Werbetreibenden und Affiliates Vorteile bei der Vermarktung von Produkten und ermöglicht Konsumenten eine vielfältige Marken- und Produktauswahl.
Wird personenbezogenes Tracking eingesetzt, müssen neben der DSGVO auch die Vorgaben des TDDDG berücksichtigt werden. Die Einholung einer wirksamen Einwilligung wird dabei in vielen Fällen unumgänglich sein. Auch der Einsatz cookieloser Tracking-Technologien beseitigt die datenschutzrechtlichen Anforderungen nicht automatisch. Entscheidend bleiben die konkrete technische Umsetzung, die verarbeiteten Informationen und die Rollen der beteiligten Unternehmen.
Interessanter Beitrag! Spannend wären aber konkrete Aussagen zu „Affiliate-Marketing ohne Cookies“. Denn die hier genannte alternative Gestaltung kommt ja nicht ohne Cookies aus, die Cookies werden nur an anderer Stelle gesetzt. Welche Alternativen (serverside tagging etc.) gäbe es, um komplett ohne Cookies arbeiten zu können und damit auch all diejenigen Nutzer zu erfassen, die an keiner Stelle im Prozess ihre Einwilligung nach TTDSG geben?
Allein die Verwendung anderer Trackingmethoden schließt die Notwendigkeit einer Einwilligung nicht zwangsläufig aus, sofern auch in diesen Fällen personenbezogene Daten erhoben werden. Hierzu zählt bereits die IP-Adresse.
Matomo arbeitet angeblich komplett anonymisiert ohne Cookie Einwilligung und DSGVO konform. Und es gibt auch andere Tools die nutzerdaten angeblich komplett anonym erfassen. Es ist nur etwas schwierig aktuell noch hier durchzublicken ohne juristischen Background. Aus der Not heraus entstehen jedoch zahlreiche Alternativen. Wäre hierzu ein zusätzlicher Beitrag denkbar?
Hallo Anonymous, ich beschäftige mich mit den gleichen Fragen und habe bereits einige Alternativen für anonymes Tracking ohne Einwilligung dennoch DSGVO konform recherchiert. Wollen wir uns vernetzen und austauschen?
Was wäre denn, wenn sich der Publisher vom Werbetreibenden einen einzigartigen Rabattcode geben lässt? So könnte man anhand des Rabattcodes nachweisen, dass der Publisher den Käufer zum Kauf angeregt hat.
Sofern die Nutzung des Rabattcodes eine Nachverfolgung ohne Tracking des Websitebesuchers ermöglicht, könnte hierdurch, je nach Ausgestaltung eine Alternative zu den bisherigen Trackingmethoden gesehen werden. Es hängt jedoch immer von der konkreten Ausgestaltung und der Prüfung im Einzelfall ab, ob und inwieweit die Vorgaben der DSGVO oder des TTDSG greifen und eine Einwilligung des Nutzers erforderlich ist.
Hallo, ein kurzes Beispiel. Ich verlinke mit einem einfachen Textlink, der lediglich meine Partner-ID enthält, zu Amazon.de. Auf der Amazon-Seite gibt es zunächst den Cookie-Consent, wo der Nutzer die entsprechende Auswahl hat. Ist die gemeinsame Verantwortlichkeit in folgendem Fall nicht gewährleistet? Wenn auf den Affiliate-Seiten dann zusätzlich ein Cookie-Consent notwendig ist (ohne dass von diesen Seiten Cookies gesendet werden), wäre das ja irgendwie eine Dopplung.
Hier muss man noch einmal etwas unterscheiden, denn der reine Cookie-Consent nach TDDDG ist nicht komplett Deckungsgleich mit der datenschutzrechtlichen Anforderung nach DSGVO. Durch die Nutzung des Textlinks setzt man keinen eigenen Cookie, daher ist man diesbezüglich auf der eigenen Webseite nach TDDDG nicht verpflichtet, einen Consent-Banner o.ä. zu benutzen. Allerdings setzt man hier einen spezifischen Link mit eigener Affiliate-ID, kooperiert mit Amazon und ist damit in die Datenverarbeitung seitens Amazon mit eingebunden, in einer Art und Weise, die einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO wohl entspricht. Das heißt, man müsste zwar ggf. nicht viel Cookie-Banner eine Einwilligung einholen, aber jedenfalls transparent in der Datenschutzerklärung auf die gemeinsame Verantwortlichkeit hinweisen und wohl auch im Bezug auf die Links transparent damit umgehen, dass hier gemeinsame Verantwortlichkeit besteht und was das für die Datenverarbeitung bedeutet, wenn der Link geklickt wird. Und eine entsprechende Vereinbarung mit Amazon haben, in der ggf. weitere Konkretisierungen stehen, wie die datenschutzrechtlichen Pflichten gegenüber den Betroffenen gewahrt werden. Komplett pflichtenfrei wird man mit dieser Methode sicher nicht.
Vielen Dank für die nette und hilfreiche Erläuterung.
Fraglich eigentlich, ob Cookies nach TDDDG tatsächlich nur mit Consent erfolgen dürfen. Werden sie mit Javascript im Client gesetzt, auf jeden Fall, aber werden sie vom Server gesetzt, „eigentlich“ nicht. Ein Server kann Cookies setzen und lesen, aber nicht direkt im Client, sondern sie werden über den HTTP-Header übertragen. Der Client sendet sie freiwillig mit und schreibt sie auch, sofern er Cookies im Header findet. Ein direkter Zugriff findet so eigentlich nicht statt. Ob das ein Richter ebenso sieht, steht auf einem anderen Blatt, allerdings sagen die Datenschützer von BW explizit, dass nach (ok, veraltet) TTDSG die Nutzung der Header-Daten eigentlich kein Problem ist.
Datenschutz Bademwürtemberg > faq-zu-cookies-und-tracking-2 Abschnitt 3.1
Somit eigentlich auch die Cookie-Informationen, die über den Header übertragen werden, aber wie gesagt: Risiko.
Problem beim Affiliate-Marketing ist allerdings ein anderes. Selbst wenn man das Cookie-Problem lösen kann (der gleiche Link geht auf eine Art Cookieless-Tracking ein, wie Matomo, etracker oder auch Econda nutzen), besteht aus Datenschutz-Sicht das Problem, dass für die Zuordnet des Sales zu einem vorhergehenden Klick bzw. Publisher eine eindeutige Klick-ID verwendet wird, die man im Request für den Sale an das Netzwerk zurück sendet. Diese identifiziert zwar nicht direkt eine Person, aber wenn das Netzwerk vorher beim Klick die IP-Adresse erfasst hat, wäre eine Zuordnung indirekt wieder möglich. Das wäre zwar kein Problem nach TDDDG, aber wieder ein persönliches Datum nach DSGVO. Kontern könnte man das ggfs mit berechtigtem Interesse, wobei ich dazu zwar nichts gelesen habe (DSK nennet Tracking, aber ich glaube nicht Vergütung), allerdings hat der Nutzer ja vorher auch aktiv eine Leistung (die des Affiliates) in Anspruch genommen, da ist eine Vergütung eigentlich nur konsequent.
Wie sieht da die Meinung der juristischen Expertin zu aus? :)
Aus Klarstellungsgründen soll hier zunächst noch einmal festgehalten werden, dass das „Cookieless-Tracking“ nicht immer direkt den Anwendungsbereich des TDDDG ausschließt. Wie auch sehr gut im Beitrag zum Thema Cookieless Tracking erklärt, bezieht sich der § 25 Abs. 1 TDDDG gerade nicht ausschließlich auf Cookies, sondern erfasst sämtliche Tracking-Formen, bei denen „auf Informationen, die bereits in der Endeinrichtung gespeichert sind“ zugegriffen wird.
Handelt es sich bei der Trackingtechnik hingegen tatsächlich um eine Lösung ohne Zugriff auf das Endgerät, ist der Anwendungsbereich des § 25 TDDDG nicht eröffnet. Davon unabhängig bedarf es aber, wie Sie bereits richtig geschrieben haben, der Beachtung der DSVO Vorgaben, wenn personenbezogene Daten verarbeitet werden. Ob aber tatsächlich die Verarbeitung personenbezogener Daten im Rahmen des Affiliate-Marketing auf ein überwiegendes Interesse nach Art. 6 Abs. 1 S.1 lit. f) DSGVO gestützt werden kann, kann von uns nicht pauschal in einem Kommentar beantwortet werden. Es mag Einzelfällen geben, in denen ein solches argumentiert werden könnte. Dies wäre aber für den jeweiligen Einzelfall zu prüfen. In der Regel wird es bei der Einwilligung, gem. Art. 6 Abs. 1 S.1 lit. a) DSGVO als Rechtsgrundlage bleiben.