Remarketing und Datenschutz

Definition: Remarketing (auch als Retargeting bezeichnet) ist eine digitale Werbemethode, bei der Nutzerinnen und Nutzer, die eine Website besucht oder eine App genutzt haben, auf anderen Plattformen und Websites erneut mit gezielten Werbeanzeigen angesprochen werden. Die technische Grundlage bilden üblicherweise Marketing-Cookies, Pixel-Technologien (z. B. der Meta Pixel oder das Google Ads Remarketing-Tag) oder serverseitige Tracking-Lösungen, die das Nutzerverhalten erfassen und eine geräteübergreifende oder plattformübergreifende Wiedererkennung ermöglichen. Datenschutzrechtlich stellt Remarketing in der Europäischen Union eine besonders regulierte Datenverarbeitungsform dar: Da es auf der Speicherung von Informationen auf dem Endgerät der Nutzenden oder dem Auslesen solcher Informationen beruht, ist es in Deutschland nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) grundsätzlich einwilligungspflichtig. Ohne eine gültige, freiwillige und vor dem Tracking erteilte Einwilligung ist cookie- und pixelbasiertes Remarketing in der EU rechtswidrig und kann sowohl von Aufsichtsbehörden als auch von Wettbewerbsverbänden sanktioniert werden.

Erläuterung

Remarketing zählt zu den wirkungsvollsten Werbemaßnahmen im Performance-Marketing, weil es Nutzerinnen und Nutzer adressiert, die bereits Interesse an einem Produkt oder einer Dienstleistung gezeigt haben — und damit mit vergleichsweise hoher Konversionswahrscheinlichkeit werben kann. Gleichzeitig ist Remarketing aus datenschutzrechtlicher Sicht besonders kritisch: Es basiert strukturell auf der plattformübergreifenden Verfolgung des Nutzerverhaltens, was als besonders eingriffsintensive Form der Verarbeitung gilt.

Rechtlich entsteht die Einwilligungspflicht für cookiebasiertes Remarketing in Deutschland aus zwei Quellen: dem TTDSG (§ 25 Abs. 1), das das Setzen und Auslesen von Cookies und vergleichbaren Technologien von einer Einwilligung abhängig macht, und der DSGVO, die für die darauf aufbauende Datenverarbeitung — also das Profiling, die Zielgruppenbildung und die tatsächliche Ausspielung der Anzeigen — ebenfalls eine Rechtsgrundlage erfordert. Die Einwilligung muss eindeutig, freiwillig und vor dem ersten Tracking erteilt werden. Eine vorab aktivierte Remarketing-Einwilligung im Cookie-Banner ist unzulässig.

Die Landschaft der Remarketing-Technologien steht vor einem grundlegenden Wandel: Der sukzessive Rückzug von Third-Party-Cookies aus modernen Browsern, der durch Apples Intelligent Tracking Prevention (ITP) in Safari bereits weitgehend vollzogen ist und von Google Chrome für zukünftige Versionen angekündigt wurde, zwingt Marketer zur Neuausrichtung ihrer Remarketing-Strategien. First-Party-Data-basierte Ansätze gewinnen dabei erheblich an Bedeutung.

Datenschutzkonforme Alternativen zu klassischem cookie-basiertem Remarketing umfassen insbesondere Customer-Match-Remarketing (Upload von Hashed-E-Mail-Listen aus dem eigenen CRM), kontextuelles Targeting, serverseitiges Tracking auf Basis von First-Party-Daten sowie die Privacy-Sandbox-Technologien von Google (z. B. Protected Audience API), die eine aggregierte Zielgruppenansprache ohne individuelle geräteübergreifende Verfolgung ermöglichen sollen.

Datenschutzrechtliche Anforderungen für Remarketing

Einwilligung vor dem Tracking: Remarketing-Pixel und -Cookies dürfen erst nach Erteilung einer ausdrücklichen Einwilligung gesetzt werden. Der Cookie-Banner muss alle nicht technisch notwendigen Cookies standardmäßig deaktiviert haben (Privacy by Default).
Granulare Einwilligung: Die Einwilligung für Remarketing-Zwecke sollte separat von anderen Einwilligungen (z. B. Analytics) eingeholt werden, damit Nutzer gezielt nur einzelne Verarbeitungszwecke erlauben können.
Auftragsverarbeitungsvertrag (AVV): Mit allen Remarketing-Plattformen (Google Ads, Meta, LinkedIn, etc.) muss entweder ein AVV oder eine andere datenschutzkonforme Vereinbarung bestehen. Bei internationalen Drittlandtransfers (z. B. in die USA) ist das EU-US-Data-Privacy-Framework oder ein anderer geeigneter Transfermechanismus erforderlich.
Begrenzte Remarketing-Listen-Dauer: Die Aufbewahrungsdauer von Remarketing-Listen (sog. Membership Duration) sollte auf das für den Kampagnenzweck notwendige Minimum beschränkt werden — in vielen Fällen sind 30 bis 60 Tage ausreichend.
Transparenz in der Datenschutzerklärung: Die Datenschutzerklärung muss über den Einsatz von Remarketing-Technologien, die verwendeten Plattformen, den Zweck und die Möglichkeit des Widerspruchs informieren.

Datenschutzkonforme Remarketing-Alternativen

Customer Match / Custom Audiences: Upload von Hashed-E-Mail-Adressen aus dem eigenen CRM an Werbeplattformen. Setzt eine bestehende Einwilligung für Direktmarketing voraus, ist aber weniger von Browser-Cookie-Restriktionen betroffen.
Kontextuelles Targeting: Ausspielung von Werbung basierend auf dem Inhalt der aktuell aufgerufenen Seite, nicht auf dem Nutzerprofil. Ohne Personenbezug und ohne Einwilligung möglich.
Serverseitiges Tracking (Server-side Tagging): Verlagerung des Trackings vom Browser auf den eigenen Server. Verbessert die Datenqualität und gibt mehr Kontrolle über die Datenweitergabe an Drittplattformen, ersetzt aber nicht die Einwilligungspflicht für das Remarketing selbst.
Modellierte Conversions und aggregierte Daten: Plattformen wie Google und Meta bieten Conversion-Modellierungen an, die auf statistischen Modellen statt auf individuellem Tracking basieren — datenschutzfreundlicher, aber weniger präzise.

Praxistipp: Nutzen Sie für Remarketing-Kampagnen verstärkt Customer-Match-Zielgruppen auf Basis bestehender Einwilligungen aus dem E-Mail-Marketing, da diese weniger von Browser-Cookie-Restriktionen betroffen und im Datenschutzrisiko kontrollierter sind als pixelbasiertes Remarketing. Implementieren Sie einen serverseitigen Tag-Manager, um die Datenweitergabe an Drittplattformen zu kontrollieren und auf das notwendige Minimum zu beschränken. Überprüfen Sie regelmäßig die Einwilligungsraten in Ihrem Cookie-Banner — niedrige Raten deuten auf Handlungsbedarf bei der Gestaltung des Banners oder der Consent-Strategie hin.