Retargeting im Shop: Wirkung und Rechtsrahmen

Retargeting wirbt bei Besuchern, die Ihren Shop schon kennen. Ein Werbenetzwerk erkennt sie beim nächsten Kontakt wieder und zeigt ihnen erneut ein Produkt aus dem Shop. Ohne diese Wiedererkennung gibt es kein Retargeting. Genau daran hängt auch der Rechtsrahmen: Die Kennung am Endgerät ist in Deutschland, Österreich und der Schweiz unterschiedlich geregelt.

Wie Retargeting im Shop funktioniert

Retargeting ist die Ausspielung von Werbung an Personen, die eine Website oder ein Produkt bereits aufgerufen haben, ohne dort abzuschließen. Der technische Ablauf hat drei Schritte: Ein Skript im Shop setzt am Endgerät des Besuchers eine Kennung, das Werbenetzwerk liest sie beim Aufruf einer anderen Seite wieder aus, und die Anzeige wird auf die daraus gebildete Zielgruppe ausgesteuert. Der Shop liefert die Besucher- und Produktdaten.

Deshalb ist Retargeting verhaltensbezogen: Es beruht auf dem früheren Verhalten einer Person. Kontextbezogene Werbung richtet sich dagegen nach dem Inhalt der Seite, auf der die Anzeige erscheint, und muss niemanden wiedererkennen. Die Zielgruppe besteht aus eigenen Besuchern; Beispiele sind angesehene Produkte und abgebrochene Bestellungen (Warenkorbabbrecher zurückgewinnen); die Anzeigen selbst brauchen laufende Pflege (Shopping-Anzeigen einrichten).

Für die Wirkung ordnen Sie der beworbenen Zielgruppe eine vergleichbare Gruppe ohne Anzeigen zu. Ohne eine solche Kontrollgruppe lässt sich der Anteil der Anzeigen nicht von der normalen Nachfrage trennen (redaktionelle Einschätzung).

Welche Vorschrift in welchem Land gilt

Die Tabelle nennt die Norm, die den Zugriff auf das Endgerät regelt. Sie gilt unabhängig davon, auf welche Rechtsgrundlage der Shop die anschließende Verarbeitung stützt.

Land	Vorschrift und Stand	Was sie verlangt	Folge bei Verstoß
Deutschland	§ 25 Abs. 1 und 2 TDDDG, Textnachweis ab 1. Dezember 2021	Einwilligung vor jedem Speichern oder Auslesen am Endgerät, auch wenn die Information nicht personenbezogen ist; ohne Einwilligung nur Nachrichtenübertragung und unbedingt erforderliche Zugriffe für den ausdrücklich gewünschten Dienst	Geldbuße bis 300.000 Euro (§ 28 Abs. 1 Nr. 13 und Abs. 2 TDDDG)
Österreich	§ 165 Abs. 3 TKG 2021, BGBl. I Nr. 190/2021, in Kraft seit 1. November 2021	aktive Einwilligung auf Grundlage klarer und umfassender Information; zusätzlich Information über Datenarten, Rechtsgrundlage, Zwecke und Speicherdauer	Verwaltungsübertretung bis 50.000 Euro, wenn die Information unterbleibt (§ 188 Abs. 4 Z 24 TKG 2021)
Schweiz	Art. 45c FMG, SR 784.10, in Kraft seit 1. April 2007	Bearbeiten von Daten auf fremden Geräten durch fernmeldetechnische Übertragung nur für die Fernmeldedienste und ihre Abrechnung oder nach Information über die Bearbeitung und ihren Zweck mit Hinweis auf die Ablehnungsmöglichkeit	Busse bis 5’000 Franken bei vorsätzlichem oder fahrlässigem Verstoß (Art. 53 FMG)

In Deutschland und Österreich tritt für die Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO hinzu; stützt der Shop sie auf eine Einwilligung, gelten die Bedingungen des Art. 4 Nr. 11, des Art. 7 und des Art. 21 DSGVO. Ein voreingestelltes Ankreuzkästchen trägt keine Einwilligung, und die Information muss die Funktionsdauer der Cookies sowie den Zugriff Dritter umfassen (EuGH, Urteil vom 1. Oktober 2019, C-673/17, Planet49, ECLI:EU:C:2019:801, Rn. 63, 75 und 80).

In der Schweiz bleibt Art. 45c FMG neben dem DSG anwendbar. Für Werbe-Cookies, die zu einem Profiling nach Art. 5 lit. f DSG führen, nennt der EDÖB als Mindestanforderung an private Verantwortliche, dass die Ablehnung beim ersten und bei weiteren Besuchen sofort erkennbar und mit wenigen Klicks auszuüben ist; mündet der Einsatz in ein Profiling mit hohem Risiko oder in die Bearbeitung besonders schützenswerter Personendaten, ist die Einwilligung ausdrücklich einzuholen (EDÖB-Leitfaden, Ziff. 3.10.1, 3.11.2 und 3.11.3; Art. 6 Abs. 7 DSG). Die drei Länderregelungen sind in eigenen Artikeln zusammengefasst: Cookie-Einwilligung in Deutschland, Cookie-Einwilligung in Österreich und Cookie-Einwilligung in der Schweiz.

Der Ablauf der Einwilligung

1. Bestandsaufnahme. Listen Sie je Werkzeug auf, was es am Endgerät speichert oder ausliest, zu welchem Zweck, mit welcher Funktionsdauer und wer es auslesen kann. Das ist in allen drei Ländern die erste Prüfung; die Einzelheiten folgen der Norm des Landes (Deutschland: § 25 Abs. 1 TDDDG; EuGH C-673/17, Rn. 75).
2. Zwecke trennen. Zielgruppenbildung, Ausspielung, Erfolgsmessung und Häufigkeitssteuerung sind eigene Zwecke; in Deutschland und Österreich muss die Einwilligung für den bestimmten Fall gelten und eine getrennte Wahl zulassen. Eng zusammenhängende Zwecke dürfen gebündelt werden, solange eine getrennte Einwilligung oder Ablehnung möglich bleibt (Art. 4 Nr. 11 DSGVO; OH Digitale Dienste, Rn. 51 und 52).
3. Vor der Entscheidung nichts laden. Werbe-Skripte starten erst nach der Einwilligung. In Deutschland und Österreich ist jeder Zugriff davor unzulässig, soweit nicht eine der beiden Ausnahmen greift (§ 25 Abs. 2 TDDDG; § 165 Abs. 3 TKG 2021); die deutschen Aufsichtsbehörden nennen das Nachladen vor der Entscheidung ausdrücklich als unzulässig (OH Digitale Dienste, Rn. 121). In der Schweiz darf die Bearbeitung am fremden Gerät erst beginnen, wenn die Information und der Hinweis auf die Ablehnung vorliegen (Art. 45c FMG).
4. Aktive Handlung verlangen. Voreingestellte Häkchen, Scrollen und Untätigkeit tragen in Deutschland und Österreich keine Einwilligung (EuGH C-673/17, Rn. 63; OH Digitale Dienste, Rn. 43 bis 45). In der Schweiz verlangt ein Profiling mit hohem Risiko ebenfalls ein aktives Anklicken (Art. 6 Abs. 7 DSG; EDÖB-Leitfaden, Ziff. 3.10.5).
5. Ablehnen gleichwertig gestalten. Verdeckt ein Banner Inhalte, muss Ablehnen nach Auffassung der deutschen Aufsichtsbehörden ohne Mehraufwand an Klicks möglich sein; führt der Weg ausschließlich über „Einstellungen“, liegt regelmäßig keine wirksame Einwilligung vor (OH Digitale Dienste, Rn. 48 bis 50).
6. Informieren. In Deutschland und Österreich gehören zur Information Zweck, Empfänger oder Kategorien von Empfängern und die Funktionsdauer (EuGH C-673/17, Rn. 75 und 80). In Österreich kommen Datenarten, Rechtsgrundlage, Zwecke und Speicherdauer hinzu (§ 165 Abs. 3 TKG 2021); in der Schweiz genügen Information über die Bearbeitung und ihren Zweck und der Hinweis auf die Ablehnung (Art. 45c lit. b FMG).
7. Nachweisen und nachführen. In Deutschland und Österreich müssen Sie die Einwilligung belegen können (Art. 7 Abs. 1 DSGVO); ändern sich die eingesetzten Cookies oder Drittdienste, ist sie für den neuen Fall erneut einzuholen (OH Digitale Dienste, Rn. 63). In der Schweiz dokumentieren Sie Information und Ablehnung.
8. Widerruf und Widerspruch anbinden. In Deutschland und Österreich muss der Widerruf so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO); bei Widerspruch gegen Werbung endet die Verarbeitung für diesen Zweck (Art. 21 Abs. 3 DSGVO). In der Schweiz muss die Ablehnung bei jedem Besuch sichtbar und mit wenigen Klicks auszuüben bleiben (EDÖB-Leitfaden, Ziff. 3.9). Halten Sie im Werbekonto fest, wann eine Zielgruppe neu geladen wird.

Was Sie ohne Einwilligung messen können

Die Erfolgsmessung hängt nicht am Retargeting. Die Tabelle ordnet Messwege danach, ob sie am Endgerät etwas speichern oder auslesen; die letzte Spalte nennt die Bedingung, unter der der Weg trägt.

Messweg	Was er zeigt	Zugriff auf das Endgerät	Bedingung und Grenze
Eigene Bestell- und Umsatzdaten auswerten	Abschlüsse, Warenkorbwert, Retouren, Wiederkauf	nein, die Daten liegen im Shopsystem	In Deutschland und Österreich löst das keine Pflicht nach § 25 TDDDG oder § 165 Abs. 3 TKG 2021 aus; Rechtsgrundlage und Löschung nach DSGVO bleiben zu regeln
Kampagnen- oder Aktionscode auswerten, den der Kunde im Bestellformular selbst angibt	welche Kampagne oder Aktion die Bestellung gebracht hat	nein, den Code übermittelt der Kunde im Bestellformular, der Shop liest ihn in seinem eigenen System	Trägt nur, wenn der Code aus einer eigenen Angabe des Kunden stammt. Wird die Kampagne stattdessen über eine Kennung im Link zugeordnet, rechnet der EDSA schon die Übermittlung der Kennung an das Endgerät dem Speichern (mindestens Zwischenspeichern) und das Einsammeln der Kennung dem Auslesen zu (EDSA-Leitlinien 2/2023, Rn. 50 und 51); dann gelten § 25 Abs. 1 TDDDG und § 165 Abs. 3 TKG 2021
Seitenaufrufe über Server-Logfiles zählen	Anzahl der Aufrufe je Seite	nein, reine Zählung ohne Kennung	In Deutschland ordnet die DSK den Begriff Reichweitenmessung nicht pauschal ein; maßgeblich sind Konfiguration und Zweck (OH Digitale Dienste, Rn. 88 bis 90)
Kunden nach dem Kauf fragen	Fundweg, Zufriedenheit, Kaufgründe	nein	Freiwillige Angaben, keine Pflichtfelder; das Ergebnis bleibt eine Stichprobe
Kontextbezogen aussteuern statt nach Verhalten	Anzeige nach Seiteninhalt, nicht nach Besucherverhalten	nein, solange keine Kennung gesetzt und keine Häufigkeit am Gerät gemessen wird	Der Weg braucht keinen Zugriff auf das Endgerät; sobald das Netzwerk für Häufigkeit oder Messung doch eine Kennung setzt, gilt die Regeln der letzten Zeile
Verhaltensbasiertes Retargeting	Wiedererkennen über Websites hinweg	ja, Cookie, Pixel oder Gerätekennung	Einwilligung vor dem Zugriff in Deutschland und Österreich; in der Schweiz Information und Ablehnung nach Art. 45c FMG, ausdrückliche Einwilligung bei besonders schützenswerten Personendaten, bei Profiling mit hohem Risiko und bei Profiling durch ein Bundesorgan (Art. 6 Abs. 7 DSG)

Wie Sie eine eigene Messung aufbauen, steht unter Webanalyse im Shop einrichten; die rechtliche Einordnung von Analysewerkzeugen unter Webanalyse und Tracking rechtlich einordnen.

Typische Fehler

• Das Werbe-Skript lädt schon beim Seitenaufbau. Folge: unzulässiger Zugriff auf das Endgerät nach § 25 Abs. 1 TDDDG in Deutschland und § 165 Abs. 3 TKG 2021 in Österreich.
• Ein Schalter deckt Zielgruppenbildung, Ausspielung und Erfolgsmessung, ohne dass sich einzelne Zwecke getrennt wählen lassen. Folge: Fehlt diese Einzelwahl bei Zwecken, die nicht eng zusammenhängen, oder sind die Zwecke nur vage beschrieben, ist die Einwilligung nicht für den bestimmten Fall erteilt (Art. 4 Nr. 11 DSGVO; OH Digitale Dienste, Rn. 51 und 52).
• Ablehnen ist nur über „Einstellungen“ erreichbar. Folge: Nach Auffassung der deutschen Aufsichtsbehörden liegt dann regelmäßig keine wirksame Einwilligung vor (OH Digitale Dienste, Rn. 48 bis 50).
• Die Ausspielung stützt sich auf ein berechtigtes Interesse. Folge: In Deutschland und Österreich fehlt die Einwilligung für den Gerätezugriff; im Tracking sehen die Aufsichtsbehörden Buchst. f nur in wenigen Konstellationen als tragfähig (OH Digitale Dienste, Rn. 109).
• Nach einem Widerspruch bleibt die Kennung in der Zielgruppe. Folge: Die Verarbeitung für Werbung läuft weiter, obwohl sie beendet sein muss (Art. 21 Abs. 3 DSGVO).

So gehen Sie vor

1. Erfassen Sie jedes Werbe- und Messwerkzeug mit Zweck, Funktionsdauer und Empfänger in einer Liste, bevor Sie eine Kampagne anlegen.
2. Bilden Sie je Kampagne eine eigene Zielgruppe und legen Sie eine Laufzeit fest; die Laufzeit ist Teil der Information an den Besucher.
3. Prüfen Sie das Banner: gleiche Sichtbarkeit für Zustimmen und Ablehnen, kein Häkchen vorausgewählt, Grundinformationen auf der ersten Ebene.
4. Laden Sie Werbe-Skripte erst nach der Entscheidung und protokollieren Sie Banner-Version, Zeitpunkt und Auswahl des Besuchers.
5. Führen Sie Widerspruch und Widerruf in einem Arbeitsablauf zusammen, der die Kennung aus den Zielgruppen entfernt und den Vorgang dokumentiert.
6. Stellen Sie der Zielgruppe eine Kontrollgruppe ohne Anzeigen gegenüber und lesen Sie Bestellungen und Umsatz beider Gruppen im selben Zeitraum.