Was ist eine Datenschutzerklärung?

Was ist eine Datenschutzerklärung?

Eine Datenschutzerklärung erläutert, wie eine Organisation personenbezogene Daten erhebt, verwendet, teilt, speichert und schützt. Für eine Affiliate-Website oder ein Affiliate-Programm sollte sie die tatsächlichen Datenflüsse hinter Formularen, Analysen, Referral-Tracking und Provisionsabwicklung beschreiben.

Die Richtlinie gibt Besuchern die Möglichkeit, diese Praktiken zu verstehen und die Organisation zu kontaktieren. Sie sollte widerspiegeln, was auf der Website tatsächlich geschieht, und keine Versprechungen enthalten, die aus einer Vorlage übernommen wurden.

Starten Sie noch heute Ihr Affiliate-Programm

Richten Sie erweitertes Tracking in wenigen Minuten ein. Keine Kreditkarte erforderlich.

Demo anfordern 30-Tage-Testversion starten

Was sollte eine Datenschutzerklärung erklären?

Beginnen Sie mit einem Datenverzeichnis. Benennen Sie die erhobenen Informationen, ihren Zweck, die Organisationen, die sie erhalten, die Speicherregelungen und die für Datenschutzfragen zuständige Kontaktstelle. Erläutern Sie die geltenden Rechte der Besucher und wie eine Person diese ausüben kann.

Ein Händler könnte beispielsweise eine Referral-Kennung, eine Bestellkennung und den Provisionsbetrag erfassen, um einen Affiliate-Verkauf abzugleichen. Ein Publisher könnte Newsletter-Anmeldungen erfassen, während ein externer Händler Käufe separat abwickelt. Das sind unterschiedliche Tätigkeiten und sollten nicht so beschrieben werden, als würde der Publisher den Checkout des Händlers kontrollieren.

Geben Sie die tatsächlich verwendeten Tracking-Technologien an. Ein Erstanbieter-Cookie, ein Drittanbieter-Cookie und eine Server-zu-Server-Conversion-Meldung haben unterschiedliche technische Eigenschaften; keine davon beseitigt automatisch die Datenschutzpflichten. Vermeiden Sie es, sämtliches Affiliate-Tracking als anonym zu beschreiben, wenn Kennungen einer Person zugeordnet werden können.

Datenschutzerklärungen und Affiliate-Offenlegungen

Eine Datenschutzerklärung befasst sich mit personenbezogenen Daten. Eine Affiliate-Offenlegung erläutert die geschäftliche Verbindung hinter einer Empfehlung. Eine Seite kann beides benötigen: Das eine ersetzt das andere nicht.

Ein Publisher, der ein Produkt bewertet, sollte sein Provisionsverhältnis in der Nähe der Empfehlung deutlich machen. Seine Datenschutzinformationen sollten relevante Analysen, Formulare und Tracking separat erläutern. Ein Werbetreibender sollte dokumentieren, welche Daten er mit seiner Affiliate-Plattform und seinen Dienstleistern teilt.

Newsletter abonnieren

Erfahren Sie als Erster von neuen Funktionen und Produkt-Updates.

E-Mail-Adresse

Abonnieren

So bereiten Sie eine Richtlinie für ein Affiliate-Programm vor

1. Zeichnen Sie den Weg vom Affiliate-Klick über die Zielseite, den Kauf und die Conversion-Berichterstattung bis zur Provisionsfreigabe nach.
2. Halten Sie fest, welche Systeme welche Kennung erhalten und wer darauf zugreifen kann.
3. Prüfen Sie die Einwilligungssteuerungen und Cookie-Einstellungen der Website anhand dieses Verzeichnisses.
4. Legen Sie Speicherregelungen für Tracking-, Bestell- und Auszahlungsdatensätze fest.
5. Lassen Sie die Richtlinie anhand der Regelungen prüfen, die für die Organisation, ihre Besucher und ihre Verarbeitung gelten.

Die rechtlichen Anforderungen hängen von der Rechtsordnung und den Umständen ab. Die ICO-Leitlinien zum Recht auf Information des Vereinigten Königreichs erläutern die Transparenzanforderungen gemäß der UK-DSGVO. Sie sind eine rechtsgebietsspezifische Referenz und keine universelle Vorlage.

Wo Sie sie veröffentlichen und wann Sie sie aktualisieren

Stellen Sie einen gut erreichbaren Link zur Richtlinie bereit, auch in der Nähe relevanter Datenerhebungsformulare. Überprüfen Sie sie, wenn sich Tracking-Methoden, Dienstleister, Zwecke oder Speicherregelungen ändern. Testen Sie, ob die Aussagen der Richtlinie mit den aktuellen Checkout-, Newsletter- und Affiliate-Tracking-Abläufen übereinstimmen.

Vorlagen können beim Strukturieren eines Entwurfs helfen, aber sie können weder festlegen, welche Gesetze gelten, noch überprüfen, wie das Unternehmen mit Daten umgeht.

Woran erkennt man Warnsignale in einer Datenschutzerklärung?

Nicht jede Datenschutzerklärung bietet einen wirksamen Schutz. Wenn Sie eine Datenschutzerklärung prüfen — Ihre eigene oder die einer anderen Person — achten Sie auf folgende Warnsignale:

Vage Aussagen zur Weitergabe. Eine brauchbare Richtlinie benennt Empfänger oder Empfängerkategorien und erläutert den Zweck der Weitergabe. Eine Formulierung wie „vertrauenswürdige Partner" liefert für sich genommen kaum praktische Informationen.

• Kein Opt-out-Mechanismus. Eine Richtlinie, die den Verkauf oder die Weitergabe von Daten beschreibt, ohne zu erklären, wie man widersprechen kann, ist ein Warnsignal.

• Übermäßige Datenerhebung. Wenn die Richtlinie Datenkategorien auflistet, die nichts mit dem Dienst zu tun zu haben scheinen — etwa eine Taschenlampen-App, die Standortdaten und Kontaktlisten anfordert — fragen Sie, warum diese Kategorien benötigt werden und in welchem Zusammenhang sie mit dem Dienst stehen.

Sie sollten in der Lage sein, eine E-Mail-Adresse, eine physische Adresse oder ein Kontaktformular zu finden.

• Keine Erwähnung der Nutzerrechte. Wenn die Richtlinie nicht erklärt, wie Sie auf Ihre Daten zugreifen, sie korrigieren oder löschen können, prüfen Sie, wie die Organisation die geltenden Rechte umsetzt; Schweigen allein belegt nicht, wie ihre Prozesse aussehen.

• Versteckte oder schwer auffindbare Richtlinie. Wenn Sie die Datenschutzerklärung nicht innerhalb weniger Sekunden nach dem Aufruf der Startseite finden, fällt es Besuchern möglicherweise schwer, die Datenpraktiken zu verstehen.

So wählen Sie die Vorgehensweise für eine Datenschutzerklärung

Es gibt drei übliche Ausgangspunkte: einen Generator, eine Vorlage oder eine mit professioneller Beratung erstellte Richtlinie. Die beste Wahl hängt von der Komplexität der tatsächlichen Verarbeitung ab und nicht von der Anzahl der Seiten der Website.

Ein Generator kann Zeit beim Verfassen sparen, kann aber weder die Implementierung des Affiliate-Trackings prüfen noch über jede anwendbare rechtliche Verpflichtung entscheiden. Eine Vorlage kann fehlende Abschnitte aufzeigen, sollte aber nicht unverändert übernommen werden. Professionelle Beratung kann helfen, unsichere Anforderungen zu klären, insbesondere wenn Geschäftsprozesse mehrere Rechtsordnungen oder sensible Informationen betreffen.

Beginnen Sie damit, die Systeme zu erfassen, statt beruhigende Formulierungen zu wählen. Fragen Sie die Verantwortlichen für Analysen, Checkout, Newsletter, Partnerakquise und Auszahlungen, welche Informationen ihre Systeme tatsächlich erhalten. Vergleichen Sie ihre Antworten mit der Konfiguration und der Dokumentation des Anbieters. Eine Richtlinie, die behauptet, es würden keine personenbezogenen Daten erhoben, kann irreführend sein, wenn die Website auch Analysen betreibt und identifizierbare Formulareingaben speichert.

Versprechen Sie keine Sicherheitsmaßnahmen, die die Organisation nicht umgesetzt hat. Erläutern Sie relevante Sicherheitsvorkehrungen genau, ohne sensible betriebliche Details preiszugeben. Auch Aussagen zur Speicherung sollten einen realen Prozess widerspiegeln: Zu sagen, dass Datensätze nach einem bestimmten Zeitraum gelöscht werden, führt die Löschung nicht herbei.

Benennen Sie eine verantwortliche Person für die Pflege des Dokuments. Bewahren Sie das Datenverzeichnis und die Anbieterliste zusammen mit der Richtlinie auf, damit spätere Änderungen anhand derselben Grundlage geprüft werden können. Eine neue Checkout-Integration oder ein neuer Tracking-Partner kann die Richtlinie ändern, auch wenn die öffentliche Website unverändert aussieht.

Datenschutzerklärungen im Affiliate-Marketing

Affiliate-Marketing kann Datenschutzfragen aufwerfen, wenn Klick-Tracking, Attribution oder Provisionsdatensätze personenbezogene Informationen enthalten. Wenn ein Besucher auf einen Affiliate-Link klickt, zeichnet das Affiliate-Netzwerk bzw. die Tracking-Software in der Regel den Klick auf, setzt ein Cookie und erhebt möglicherweise die IP-Adresse, Geräteinformationen und das Browserverhalten des Besuchers.

Für Werbetreibende (Händler)

• Dass Sie Tracking-Technologien — Cookies und Pixel — einsetzen, um Verkäufe Affiliates zuzuordnen.
• Welche Daten die Tracking-Software erhebt: Klickdaten, IP-Adressen, Bestellwerte und Conversion-Zeitstempel.
• Welche Daten an die Plattform, Dienstleister oder Publisher weitergegeben werden und welche Details jeder Empfänger sehen kann.
• Wie lange Tracking-Cookies bestehen bleiben und was das für den Nutzer bedeutet.

Workflow-Beispiel: Ein Händler betreibt einen Online-Shop und verwendet Affiliate-Tracking-Software. Wenn ein Besucher über einen Affiliate-Link auf die Website gelangt, setzt die Software ein Erstanbieter-Cookie. Wenn der Besucher innerhalb des Cookie-Zeitfensters — etwa 30 Tage — einen Kauf tätigt, zeichnet die Software den Verkauf auf und ordnet ihn dem vermittelnden Affiliate zu. Die Datenschutzinformationen sollten diesen Prozess genau erklären, damit der Besucher versteht, warum Daten erhoben werden und wohin sie gelangen.

Für Publisher (Affiliates)

Für einen Publisher sollte das Datenverzeichnis Folgendes berücksichtigen:

• Dass Ihre Website Affiliate-Links verwendet und ein Klick darauf dazu führen kann, dass Cookies auf dem Gerät des Besuchers gesetzt werden.
• Welche Organisation welches Cookie setzt oder welche Kennung erhält; dies hängt von der Implementierung ab.
• Wo Besucher die separate Offenlegung finden können, die das Provisionsverhältnis erläutert.
• Die Arten von Daten, die über diese Links erhoben werden können.

Praxistipp: Viele Affiliates kombinieren ihre Datenschutzerklärung mit einer Seite zur Affiliate-Offenlegung. Auch wenn beide relevant sein können, befasst sich die Datenschutzerklärung mit der Datenseite, während die Offenlegung die geschäftliche Beziehung betrifft. Vermischen Sie die beiden nicht.

Workflow-Beispiel: Ein Publisher betreibt eine Bewertungswebsite mit Affiliate-Links zu mehreren Händlern. Der Publisher sollte sein eigenes Tracking beschreiben und die Beteiligung externer Händler oder Netzwerke erläutern. Ein Link setzt nicht immer ein Drittanbieter-Cookie: Weiterleitungen, Erstanbieter-Speicherung und Server-zu-Server-Integrationen unterscheiden sich. Prüfen Sie den tatsächlich implementierten Ablauf, statt von einer einzigen Tracking-Methode auszugehen.

Für Affiliate-Programm-Manager

Programm-Manager stehen zwischen Werbetreibenden und Publishern und sind dafür verantwortlich, dass die Datenpraktiken ihres Programms dokumentiert und kommuniziert werden. Zu den wichtigsten Überlegungen gehören:

• Sicherzustellen, dass die Datenerhebung der Tracking-Software korrekt in der Datenschutzerklärung des Händlers abgebildet ist.
• Publishern die Informationen bereitzustellen, die sie für ihre eigenen Datenschutzerklärungen benötigen — insbesondere, welche Daten die Tracking-Links erheben und wie sie verwendet werden.
• Datenschutzerklärungen von Publishern im Rahmen des Affiliate-Bewerbungsprozesses zu prüfen, um sicherzustellen, dass sie Mindeststandards erfüllen.
• Sich über Änderungen der Datenschutzgesetze auf dem Laufenden zu halten, die grenzüberschreitende Datenübermittlungen betreffen, wenn das Programm internationale Affiliates umfasst.

Zu beachtende Einschränkungen: Eine Datenschutzerklärung kann nicht jedes Datenschutzrisiko beseitigen. Wenn die Tracking-Software eines Händlers von einer Datenpanne betroffen ist, dokumentiert die Datenschutzerklärung, was hätte geschehen sollen, verhindert die Panne aber nicht. Wenn ein Publisher das Affiliate-Tracking in seiner eigenen Datenschutzerklärung nicht offenlegt, schließt die Richtlinie des Händlers diese Lücke ebenfalls nicht. Jeder Beteiligte sollte seine eigenen Aktivitäten und Verantwortlichkeiten bewerten.

Wie oft sollten Sie Ihre Datenschutzerklärung aktualisieren?

Überprüfen Sie Ihre Datenschutzerklärung mindestens einmal pro Jahr und aktualisieren Sie sie, wenn:

• Sie eine neue Datenerhebungsmethode einführen (z. B. ein neues Analysetool oder eine E-Mail-Plattform).
• Sie mit einem neuen Drittanbieter zusammenarbeiten, der Nutzerdaten erhält.
• Sie in einer neuen Rechtsordnung tätig werden, die über ein eigenes Datenschutzgesetz verfügt.
• Ein wichtiges Datenschutzgesetz geändert wird oder ein neues in Kraft tritt.
• Sich Ihr Geschäftsmodell ändert (z. B. wenn Sie ein Affiliate-Programm einführen, Daten verkaufen oder Nutzerkonten anbieten).

Jede Aktualisierung sollte datiert werden. Bei wesentlichen Änderungen prüfen Sie die geltenden Benachrichtigungs- und Einwilligungsschritte, statt davon auszugehen, dass eine bestimmte Benachrichtigungsmethode ausreicht.

Ein detailliertes Datenverzeichnis für Affiliate-Tracking

Führen Sie für jede Verarbeitungstätigkeit einen eigenen Datensatz, statt einen einzelnen Eintrag mit der Bezeichnung „Affiliate-Daten" zu verwenden. Partnerbewerbungen, Website-Analysen, Verkaufszuordnung und Auszahlungen haben unterschiedliche Zwecke und Empfänger.

Halten Sie für jede Tätigkeit fest:

1. Erhobene Informationen. Unterscheiden Sie Kontaktdaten, Referral-IDs, Bestell-IDs, Zeitstempel, Geräteinformationen, Bestellwerte und Auszahlungsdatensätze. Führen Sie keine Zahlungskarteninformationen auf, wenn das Affiliate-System diese nie erhält.
2. Erhebungsmethode. Benennen Sie Formulare, Browserspeicher, Weiterleitungen, Pixel, API-Aufrufe und Server-zu-Server-Meldungen. Beschreiben Sie, was die tatsächliche Implementierung sendet, und nicht alles, was ein Anbieter theoretisch erheben könnte.
3. Zweck. Erklären Sie, ob die Informationen der Zuordnung, Betrugsermittlung, Provisionsberechnung, Kommunikation oder Kontoverwaltung dienen. Ein neuer Zweck verdient eine Überprüfung, selbst wenn dieselbe Kennung wiederverwendet wird.
4. Empfänger und Zugriff. Trennen Sie das Personal des Händlers, den Softwareanbieter, Netzwerke und einzelne Publisher. Ein Publisher benötigt möglicherweise einen Conversion-Betrag, ohne den Namen des Kunden oder vollständige Bestelldaten zu erhalten.
5. Speicherung. Geben Sie den geltenden Zeitraum bzw. die Kriterien und den operativen Löschprozess an. Cookie-Ablauf und Speicherung eines Bestelldatensatzes sind unterschiedliche Einstellungen; das Löschen eines Cookies entfernt nicht jeden zugehörigen Serverdatensatz.
6. Rechte und Kontaktweg. Benennen Sie die geltenden Rechte und wie eine Anfrage das zuständige Team erreicht. Stellen Sie sicher, dass das Team Informationen in den in der Richtlinie beschriebenen Systemen auffinden kann.

Beispielsweise könnte ein Händler ein Referral-Cookie für die Zuordnung verwenden und Transaktionsdatensätze länger für Stornierungen und die Auszahlungsabstimmung aufbewahren. Ein Publisher könnte eine E-Mail-Adresse für seinen Newsletter erheben, während der Händler den Kauf separat abwickelt. Vermeiden Sie den Eindruck, dass der Publisher lediglich wegen seiner Provision die Zahlungsdaten des Händlers erhebt.

Datenschutzerklärung, Datenschutzhinweis und interne Verfahren

Auf Websites bezeichnen „Datenschutzerklärung" und „Datenschutzhinweis" üblicherweise die öffentliche Darstellung der Datenpraktiken. Eine interne Datenschutzrichtlinie kann stattdessen die Verfahren beschreiben, die Mitarbeiter befolgen. Geben Sie Besuchern ein klar benanntes Dokument, das die sie betreffende Verarbeitung erklärt, unabhängig von der gewählten Terminologie.

Das öffentliche Dokument sollte mit den internen Verfahren übereinstimmen. Wenn es eine Kontaktadresse nennt, sollte jemand diese überwachen. Wenn es einen Zugriffs- oder Löschprozess beschreibt, sollten die Mitarbeiter wissen, wie sie ihn durchführen. Die Veröffentlichung eines Hinweises setzt für sich genommen keine Einwilligungssteuerungen um, schränkt den Zugriff nicht ein und begründet keine Rechtsgrundlage für die Verarbeitung.

Stellen Sie das Dokument sowohl in der Nähe relevanter Erhebungspunkte als auch über die Navigation oder die Fußzeile bereit. Prüfen Sie Kontoregistrierung, Affiliate-Bewerbungen, Newsletter-Formulare und mobile Ansichten. Ein Link in der Fußzeile kann nützlich sein, aber eine Person, die ein Formular ausfüllt, sollte nicht die gesamte Website durchsuchen müssen, um zu erfahren, warum Informationen erfragt werden.