Leadgenerierung DSGVO-konform umsetzen: Leitfaden für Dating

Leadgenerierung nach DSGVO ist im Dating-Marketing kein Randthema: Jede Registrierung, die von der Seite eines Publishers zu einer Dating-Brand wandert, enthält personenbezogene Daten, und ob diese genutzt werden dürfen, entscheidet sich bei ihrer Erhebung. Dieser Leitfaden richtet sich an Dating-Brands, Media Buyer und Publisher mit Traffic aus der EU und behandelt Rechtsgrundlage, Einwilligung, Rollenverteilung, Dokumentation und Verträge. Er dient der allgemeinen Information und ist keine Rechtsberatung; für Ihr konkretes Setup sollten Sie fachkundigen rechtlichen Rat einholen.

Leadgenerierung nach DSGVO: Was im Dating anders ist

DSGVO-konforme Leadgenerierung heißt: personenbezogene Daten nur mit gültiger Rechtsgrundlage, transparenter Information und nachweisbar zu erheben und weiterzugeben. Im Dating ist das aus drei Gründen anspruchsvoller:

• Sensible Daten. Profilangaben und Präferenzen können Rückschlüsse auf sexuelle Orientierung oder Sexualleben zulassen. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die strengere Voraussetzungen gelten, in der Regel eine ausdrückliche Einwilligung. Schon die Anmeldung bei einem Nischenangebot kann solche Rückschlüsse erlauben.
• Viele Beteiligte. Publisher, Netzwerk, Tracker und Werbetreibender verarbeiten Daten, und jeder muss seine Rolle kennen.
• Marktortprinzip. Die DSGVO gilt auch für Unternehmen außerhalb der EU, wenn sie Personen in der EU Dienste anbieten oder deren Verhalten beobachten, etwa durch Tracking.

Rechtsgrundlage und Einwilligung nach Art. 6 und 7 DSGVO

Nach Art. 6 DSGVO braucht jede Verarbeitung eine Rechtsgrundlage. Im Dating-Funnel sind in der Praxis drei relevant:

• Vertrag (Art. 6 Abs. 1 lit. b): Anlegen und Führen des Nutzerkontos sind in der Regel zur Erbringung des Dienstes erforderlich.
• Einwilligung (lit. a): Werbe-E-Mails und die Weitergabe von Daten an andere Unternehmen stützen sich typischerweise darauf.
• Berechtigtes Interesse (lit. f): Betrugsprävention und Sicherheit beruhen häufig darauf, mit dokumentierter Interessenabwägung.

Stützen Sie sich auf eine Einwilligung, gelten die Bedingungen aus Art. 7 DSGVO. Sie müssen die Einwilligung nachweisen können. Die Anfrage muss klar von anderen Sachverhalten abgegrenzt und verständlich formuliert sein, nicht versteckt in den AGB. Ein Widerruf muss jederzeit und so einfach wie die Erteilung möglich sein. Die Einwilligung muss freiwillig sein: Das sogenannte Kopplungsverbot setzt Grenzen, wenn ein Dienst von einer Einwilligung abhängig gemacht wird, die er nicht benötigt. Nach der Definition der DSGVO muss sie zudem für den bestimmten Fall, in informierter Weise und durch eine eindeutige bestätigende Handlung erteilt werden. Vorangekreuzte Checkboxen genügen nicht.

Verantwortlicher und Auftragsverarbeiter: Wer wofür zuständig ist

Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung; der Auftragsverarbeiter verarbeitet Daten in dessen Auftrag und nach dessen Weisung. Die Tabelle zeigt typische Rollen im Dating-Funnel.

Legen zwei Partner Zwecke und Mittel gemeinsam fest, können sie gemeinsam Verantwortliche sein und brauchen eine Vereinbarung nach Art. 26 DSGVO. Maßgeblich ist die tatsächliche Ausgestaltung: Wer Daten für eigene Zwecke nutzt, wird nicht dadurch zum Auftragsverarbeiter, dass es so im Vertrag steht.

Transparenz bei der Weitergabe von Leads

Viele Probleme entstehen, wenn Daten den Besitzer wechseln. Schon bei der Erhebung muss erkennbar sein, wer die Daten erhebt, wofür und wer sie erhält.

• Erhebt ein Publisher eine E-Mail-Adresse und gibt sie an eine Dating-Brand weiter, braucht diese Weitergabe eine eigene Rechtsgrundlage, in der Praxis meist eine konkrete Einwilligung, die den Empfänger nennt. Formulierungen wie „ausgewählte Partner“ sind eine bekannte Schwachstelle.
• Co-Registrierung, bei der ein Formular mehrere Empfänger bedient, ist besonders fehleranfällig: Jeder Empfänger braucht eine wirksame, konkrete Einwilligung, und Nutzer müssen wählen können.
• Das sauberste Setup für viele Dating-Funnels: Der Prelander erhebt keine personenbezogenen Daten, die Registrierung erfolgt direkt im Formular der Brand, und die Vergütung läuft über Klick-ID und Postback. Die Brand informiert als Verantwortliche selbst und holt die Einwilligung ein.
• Kaufen oder verkaufen Sie keine Lead-Listen ohne dokumentierte Einwilligung, die genau diese Weitergabe abdeckt. Recycelte Leads sind zudem ein Qualitätsproblem, wie unser Beitrag zu Klickbetrug und Ad Fraud zeigt.

Datenminimierung, Cookies und Altersgrenze

Der Grundsatz der Datenminimierung aus Art. 5 DSGVO bedeutet: nur erheben, was der Zweck erfordert. Konkret heißt das:

• Postbacks: Übertragen Sie Klick-IDs, Event-Namen und Payout-Werte, niemals E-Mail-Adressen, Namen oder Telefonnummern. Eine saubere Struktur zeigt unser Beitrag zu Postback-URL und S2S-Tracking.
• Cookies und ähnliche Technologien: Das Speichern oder Auslesen nicht notwendiger Informationen auf dem Endgerät, etwa über Cookies, Local Storage, Tracking-Pixel oder Fingerprinting, erfordert in der Regel eine Einwilligung; in Deutschland regelt das § 25 TDDDG (früher TTDSG). Setzen Sie auf Prelandern und Landingpages mit Tracking-Tags eine Consent-Management-Plattform ein.
• S2S ist kein Schlupfloch: Klick-IDs und IP-Adressen, die sich einer Person zuordnen lassen, bleiben personenbezogene Daten, und viele Landingpages speichern die Klick-ID trotzdem im Browser.
• Betrugsprävention: Auch Anti-Fraud-Tools verarbeiten personenbezogene Daten und brauchen eine eigene Rechtsgrundlage.
• Speicherfristen: Legen Sie Löschfristen für Klick-Logs und Lead-Datensätze fest.
• Altersgrenze: Dating-Dienste richten sich an Erwachsene. Bauen Sie eine 18+-Bestätigung ein und sprechen Sie Minderjährige niemals an.

Werbe-E-Mails, UWG und Double Opt-in als Nachweis

Für Werbe-E-Mails an Privatpersonen verlangen die EU-Regeln grundsätzlich eine vorherige Einwilligung; für Bestandskunden gibt es eine enge Ausnahme. In Deutschland ist E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung nach § 7 UWG grundsätzlich eine unzumutbare Belästigung. Um die Einwilligung nachzuweisen, hat sich das Double-Opt-in-Verfahren als Standard etabliert.

Ein DOI-Protokoll sollte jede Einwilligung rekonstruierbar machen:

• Zeitpunkt der Anmeldung und Quelle (Seite, Partner, Sub-ID)
• IP-Adresse bei Anmeldung und Bestätigung
• genauer Wortlaut und Version des Einwilligungstextes
• versandte Bestätigungsmail und Zeitpunkt des Bestätigungsklicks
• spätere Widerrufe und Abmeldungen

Halten Sie die Bestätigungsmail selbst frei von Werbung. Warum eine SOI-Registrierung allein wenig belegt, erklärt unser Vergleich Single Opt-in vs. Double Opt-in.

Checkliste: Dokumentation und Verträge mit Partnern

• Jeder Zweck (Registrierung, Werbe-E-Mails, Weitergabe, Analyse, Betrugsprävention) ist einer Rechtsgrundlage zugeordnet.
• Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) liegt vor, Einwilligungstexte sind versioniert.
• Jede Seite, die Daten erhebt, hat Datenschutzhinweise und nennt die Empfänger weitergegebener Daten.
• Mit Auftragsverarbeitern bestehen AV-Verträge, mit Lead-Käufern und -Verkäufern Vereinbarungen zwischen Verantwortlichen.
• Verträge regeln erlaubte Traffic-Quellen, freigegebene Einwilligungstexte, das Verbot incentivierter Anmeldungen und von Co-Registrierung ohne Einwilligung, die Weiterleitung von Widerrufen und Löschanfragen, die Meldung von Datenpannen und Prüfrechte.
• Für Partner außerhalb der EU gibt es einen gültigen Transfermechanismus, etwa Standardvertragsklauseln.
• Löschfristen sind definiert, die 18+-Vorgabe gilt im Funnel und im Targeting.

FAQ

Ist Double Opt-in nach DSGVO Pflicht?

Die DSGVO schreibt das Verfahren nicht ausdrücklich vor. Sie verlangt aber, dass Sie eine Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). Für E-Mail-Werbung ist das protokollierte Double Opt-in in Deutschland der etablierte Weg, diesen Nachweis zu führen.

Dürfen Dating-Leads gekauft oder verkauft werden?

Nur mit einer Rechtsgrundlage für die Weitergabe, in der Praxis meist einer konkreten, informierten Einwilligung, die den Empfänger nennt, und wenn die Nutzer bei der Erhebung darüber informiert wurden. Lead-Listen ohne dokumentierte Einwilligung sind für Käufer und Verkäufer gleichermaßen ein Risiko.

Brauche ich bei reinem S2S-Tracking eine Cookie-Einwilligung?

Das hängt von der Umsetzung ab. Viele Landingpages speichern die Klick-ID in einem Cookie oder im Local Storage, und die DSGVO gilt für Klick-IDs und IP-Adressen ohnehin. Lassen Sie das konkrete Setup prüfen, statt S2S pauschal als ausgenommen zu betrachten.

Fazit

DSGVO-konforme Leads sind vor allem eine Frage des Funnel-Designs: Daten vom Verantwortlichen selbst erheben lassen, Einwilligungen sauber protokollieren, Postbacks frei von personenbezogenen Daten halten und Rollen vertraglich klären. Das schützt die Nutzer und hält Ihre Leads verwertbar. Wenn Sie Dating-Traffic über direkte Partnerschaften einkaufen möchten, in denen Sie solche Punkte unmittelbar mit Ihrem Partner abstimmen, sprechen Sie mit Leadpartner.