WARP-Pixel — Baustein für die Händler-Datenschutzerklärung & Consent (§ 25 TDDDG)

ENTWURF — vor Veröffentlichung anwaltliche Prüfung erforderlich. Kein Rechtsrat. Stand: 25.07.2026 (Finalisierung).

Diese Datei ist ein Baustein zum Übernehmen durch den Händler (Shop-Betreiber) in dessen eigene Datenschutzerklärung und dessen Consent-Management-Tool (CMP). Sie ist keine Rechtsberatung und ersetzt keine anwaltliche Prüfung. Grundlage sind die technische Bestandsaufnahme in DATENFLUESSE.md (Abschnitt VT-11) und die am 25.07.2026 eingearbeiteten verbindlichen Angaben (WARP-Firmendaten, Serverstandort Helsinki). Die zwei zentralen Rechtsfragen (IP-Hashing F-29, Tracking ohne Cookie-Banner + AdCell-Consent F-30) sind an die anwaltliche Prüfung übergeben; siehe ANWALTS-UEBERGABEPAKET.md. Wo eine Angabe vom Händler zu ergänzen ist, steht [PLATZHALTER: …].

0. Rollen auf einen Blick

Der Händler ist damit für die rechtliche Absicherung des WARP-Pixels in seiner eigenen Datenschutzerklärung und seinem CMP verantwortlich. Dieser Baustein liefert dafür zitierbare Textvorschläge. Anbieter des WARP-Pixels ist WARP – ecomm solution, Inhaber Lukas Babbick, Ludwig-Erhard-Str. 11, 38518 Gifhorn, Deutschland. Für AVV-bezogene Anfragen und zur Weiterleitung von Betroffenenanfragen erreicht der Händler WARP unter datenschutz@wawihub.de.

1. Kurzbeschreibung des WARP-Pixels

Der WARP-Pixel ist ein serverseitiges Plugin für JTL-Wawi, das im Shop des Händlers läuft. Er besteht aus zwei technisch und rechtlich zu unterscheidenden Schichten:

Layer 1 — serverseitige, cookie-freie Erfassung

• Läuft serverseitig im Shop-Backend; kein JavaScript im Endkunden-Browser, kein Zugriff auf das Endgerät des Endkunden (kein Cookie, kein localStorage).
• Erfasst Pageviews und Bestellungen direkt im Shop-Server.
• Bildet die Identität eines Besuchers ausschließlich über getrennte HMAC-SHA256-Hashwerte — einen Hash für Session-/Visitor-Kennung und einen separaten Hash für die IP-Adresse —, jeweils unter Verwendung eines shopseitigen Pepper (geheimer Zusatzwert). Der Pepper verlässt den Shop nie — WARP erhält nur die Hashwerte, nicht den Pepper und nicht die Rohwerte.
• Erfasste Datenkategorien (Übersicht):

Die Übertragung erfolgt per HTTPS (Zertifikatsprüfung aktiv) mit einem shop-individuellen Zugriffsschlüssel an einen WARP-Ingest-Endpunkt; die Speicherung erfolgt in der WARP-Attribution-Datenbank.

Layer 2 — Affiliate-Konversionspixel (client-seitig)

Zusätzlich kann ein Layer-2-Affiliate-Pixel eingebunden sein (z. B. AdCell track.js). Dieser läuft im Browser des Endkunden und überträgt Bestellnummer, Nettobetrag und ggf. Gutscheincodes direkt an das jeweilige Affiliate-/Werbenetzwerk — außerhalb der WARP-Infrastruktur und außerhalb der Kontrolle von WARP. Diese Übertragung ist ein eigener, für sich genommen consent-pflichtiger Vorgang (siehe Ziff. 4).

2. Zweck der Verarbeitung

Zweck beider Layer ist die Marketing-Kanal- und Umsatz-Attribution für den Händler: Der Händler soll nachvollziehen können, über welchen Marketingkanal (z. B. Google Ads, Affiliate-Link, Preissuchmaschine) welche Bestellung ausgelöst wurde, um Marketingbudgets zu steuern und Provisionen abzurechnen.

3. Rechtsgrundlage

• Layer 1 (serverseitig, cookie-frei): Im WARP-Code als Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) eingeordnet, mit der Begründung, dass keine Information auf/aus dem Endgerät des Endkunden ausgelesen oder gespeichert wird. [PLATZHALTER: Diese Einordnung ist rechtlich zu bestätigen — F-30 (siehe ANWALTS-UEBERGABEPAKET.md). Bis zur Bestätigung ist sie als vorläufige Annahme zu behandeln, nicht als gesicherte Rechtsauskunft.]
• Layer 2 (Affiliate-Pixel im Browser): Da hier auf/über das Endgerät des Endkunden Informationen übertragen bzw. dort ausgelesen werden (Skriptausführung, ggf. Cookie-/Speicherzugriff des Drittnetzwerks), ist regelmäßig eine vorherige Einwilligung des Endkunden nach § 25 Abs. 1 TDDDG erforderlich (siehe Ziff. 4).

4. § 25 TDDDG — Kernpflicht des Händlers

Kernaussage: Sobald ein Bestandteil des Pixels auf Informationen im Endgerät des Endkunden zugreift oder solche dort speichert — das betrifft insbesondere den Layer-2-Affiliate-Pixel sowie jedes zusätzliche Marketing-Cookie/-Skript im Shop —, ist die vorherige Einwilligung des Endkunden nach § 25 Abs. 1 TDDDG erforderlich.

Daraus folgt für den Händler:

1. Der Händler muss den WARP-Pixel — genauer: dessen consent-pflichtige Layer-2-/Affiliate-Bestandteile — in sein eigenes Consent-Management-Tool (CMP) einbinden.
2. Consent-pflichtige Bestandteile dürfen erst nach erteilter Einwilligung ausgelöst werden (technische Blockade bis zum Consent, danach Freigabe durch das CMP).
3. WARP prüft selbst kein Consent-Flag. Der WARP-Pixel-Code besitzt zwar ein Consent-bezogenes Feld (consent_granted, consent_manager_type, pixel_fired); im analysierten Code-Stand wird consent_granted jedoch nie mit einem echten Wert aus einem CMP befüllt (im Code durchgängig null). Es findet keine eigene Consent-Prüfung durch den Pixel statt und keine Blockade von sich aus. Die Einbindung, Steuerung und Blockade consent-pflichtiger Bestandteile obliegt vollständig dem Shop/CMP des Händlers — das Feld ist derzeit ein reines Protokoll-Platzhalterfeld ohne Wirkung.
4. Für Layer 1 (serverseitig, cookie-frei) besteht nach der Code-Einordnung keine Consent-Pflicht nach § 25 TDDDG — vorbehaltlich der anwaltlichen Bestätigung nach Ziff. 3 [PLATZHALTER: F-30, siehe ANWALTS-UEBERGABEPAKET.md]. Die Frage, ob das Basis-Tracking ohne Cookie-Banner tragfähig ist und wer für den AdCell-Consent zuständig ist, ist ausdrücklich Gegenstand der anwaltlichen Prüfung.

5. Muster-Einwilligungspassage für das Consent-Management-Tool (CMP)

Der folgende Text ist als Baustein für den Consent-Layer des CMP gedacht (Kategorie „Marketing" bzw. „Statistik/Marketing", je nach CMP-Taxonomie). Er ist vom Händler an sein konkretes CMP anzupassen und vor Veröffentlichung anwaltlich zu prüfen:

Marketing-Attribution (WARP-Pixel)

[PLATZHALTER: Händlername] setzt zur Erfolgsmessung von Marketingkampagnen und zur Zuordnung von Bestellungen zu Werbekanälen den WARP-Pixel des Anbieters WARP – ecomm solution ein. Dabei können — abhängig davon, über welchen Link Sie unseren Shop besucht haben — Kennungen aus Werbenetzwerken (z. B. Google, Microsoft, Meta, TikTok, Affiliate- und Preisvergleichsnetzwerke) sowie Bestelldaten (Bestellnummer, Warenkorbwert, ggf. Gutscheincode) an diese Netzwerke bzw. an WARP – ecomm solution übermittelt werden. Diese Verarbeitung erfolgt nur, wenn Sie hier einwilligen. Die Einwilligung ist freiwillig, für die Nutzung unseres Shops nicht erforderlich und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (siehe „Einstellungen verwalten" / [PLATZHALTER: Ort des Widerrufs im Shop]). Die Daten werden für die Dauer von [PLATZHALTER: Speicherdauer, siehe Ziff. 9] gespeichert.

Hinweis zur Abstufung: Ist im jeweiligen CMP zwischen dem serverseitigen Layer 1 (nach Ziff. 3 ohne Consent-Pflicht) und dem Layer-2-Affiliate-Pixel technisch trennbar zu steuern, sollte die Einwilligungspassage ausschließlich die consent-pflichtigen Bestandteile (Layer 2) betreffen. [PLATZHALTER: technische Abstimmung mit dem CMP-Anbieter des Händlers erforderlich.]

6. Muster-Absatz für die Datenschutzerklärung des Händlers

Der folgende Text ist als Baustein für den Abschnitt „Marketing/Tracking" der Datenschutzerklärung des Händlers gedacht und vor Veröffentlichung anwaltlich zu prüfen:

Marketing-Attribution mit WARP-Pixel

Wir nutzen in unserem Shop den WARP-Pixel des Anbieters WARP – ecomm solution, Inhaber Lukas Babbick, Ludwig-Erhard-Str. 11, 38518 Gifhorn ("WARP"), um nachzuvollziehen, über welche Marketingkanäle Bestellungen zustande kommen (Marketing-Kanal- und Umsatz-Attribution).

Verarbeitete Daten: Seitenaufrufe und Bestellungen in unserem Shop, dabei insbesondere: eine pseudonyme, aus einem geheimen Zusatzwert gebildete Kennung Ihrer Sitzung (kein Klartext-Cookie), eine gehashte IP-Adresse, Klick-Kennungen aus Werbelinks (z. B. gclid, msclkid, fbclid, ttclid sowie Kennungen von Affiliate- und Preisvergleichsnetzwerken), Kampagnenparameter (UTM), Referrer, aufgerufene Seite sowie Bestelldaten (Bestellnummer, Warenkorbwert, Währung).

Zweck: Zuordnung von Bestellungen zu Marketingkanälen zur Steuerung unserer Werbeausgaben und zur Provisionsabrechnung mit Werbepartnern.

Rechtsgrundlage: Die serverseitige Grunderfassung erfolgt cookie-frei ohne Zugriff auf Ihr Endgerät auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) [PLATZHALTER: rechtlich zu bestätigen, F-30]. Soweit Bestandteile dieses Pixels — insbesondere der Affiliate-Konversionspixel — auf Informationen in Ihrem Endgerät zugreifen oder solche speichern, erfolgt dies nur auf Grundlage Ihrer Einwilligung nach § 25 TDDDG, die Sie über unser Cookie-/Consent-Banner erteilen oder widerrufen können.

Auftragsverarbeiter: WARP verarbeitet diese Daten ausschließlich im Auftrag von uns als für die Datenverarbeitung Verantwortlichem, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. WARP trifft eigene Entscheidungen über Zweck und Mittel dieser Verarbeitung nicht. Das Hosting der WARP-Infrastruktur erfolgt bei Hetzner im Rechenzentrum Helsinki, Finnland (EU).

Empfänger / Drittnetzwerke: [PLATZHALTER: Liste der tatsächlich eingebundenen Werbe-/Affiliate-Netzwerke, z. B. AdCell, AWIN, Geizhals, Google, Microsoft, Meta, TikTok — je Netzwerk Land/Sitz und ggf. Drittlandtransfer ergänzen]. Diese Netzwerke sind hinsichtlich der von ihnen empfangenen Daten eigenständige Verantwortliche; für die Verarbeitung durch diese Netzwerke gelten deren eigene Datenschutzhinweise.

Speicherdauer: [PLATZHALTER: endgültige Speicherdauer der Attributionsdaten bei WARP und im Shop — siehe Ziff. 9].

Ihre Rechte: Sie können sich hinsichtlich Ihrer Rechte als betroffene Person (Auskunft, Löschung, Widerspruch, Widerruf der Einwilligung) an uns [PLATZHALTER: Kontaktangabe des Händlers] wenden; wir leiten Ihr Anliegen ggf. an WARP als unseren Auftragsverarbeiter weiter. Eine bereits erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über [PLATZHALTER: Ort des Consent-Widerrufs im Shop] widerrufen.

7. Verantwortlichkeiten im Detail

• Der Händler ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für alle über den WARP-Pixel erfassten Endkundendaten. Er entscheidet über Einbindung, Umfang und Consent-Steuerung des Pixels in seinem Shop.
• WARP ist Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet die übermittelten Daten ausschließlich nach Weisung des Händlers zum Zweck der Attribution. WARP prüft — wie in Ziff. 4 dargestellt — kein Consent-Flag und trifft keine eigene Entscheidung über Zulässigkeit der Erfassung im Einzelfall; diese Verantwortung liegt beim Händler.
• Werbe-/Affiliate-Netzwerke (Layer 2), an die aus dem Endkunden-Browser direkt Daten übertragen werden, sind eigenständige Empfänger und insoweit selbst Verantwortliche für die von ihnen empfangenen Daten. Sie handeln nicht im Auftrag von WARP.
• Zwischen Händler und WARP muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bestehen, der auch die Pixel-/Attributionsverarbeitung (VT-11) abdeckt. [PLATZHALTER: F-26 — Status des AVV-Abschlusses mit dem jeweiligen Händler vor Beta-Start zu klären.]

8. Hinweis zur IP-Adresse (ip_hash)

Die IP-Adresse des Endkunden wird im WARP-Pixel nicht im Klartext gespeichert oder übertragen, sondern ausschließlich als ip_hash — ein HMAC-Hashwert — gebildet und weitergegeben; eine Kürzung/Trunkierung der IP-Adresse (z. B. Entfernen des letzten Oktetts) findet nicht statt, stattdessen wird die vollständige IP-Adresse gehasht. [PLATZHALTER: Ob dieses Hashing-Verfahren als ausreichende Pseudonymisierung bzw. Anonymisierung im Sinne der DSGVO zu bewerten ist, ist rechtlich zu bestätigen — F-29 (Anwaltsfrage, siehe ANWALTS-UEBERGABEPAKET.md). Der Punkt soll zusätzlich anhand des Codes und einschlägiger Best Practice überprüft werden.]

9. Empfänger und Speicherdauer (Übersicht)

10. Betroffenenrechte der Endkunden

Endkunden, deren Daten über den WARP-Pixel erfasst werden, wenden sich mit Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsanliegen an den Händler als Verantwortlichen — nicht an WARP. WARP unterstützt den Händler im Rahmen des AVV bei der Erfüllung solcher Anfragen, soweit sie die bei WARP verarbeiteten Daten betreffen.

[PLATZHALTER: Für Attributionsdaten existiert derzeit kein automatisierter Lösch-/Opt-out-Mechanismus; Auskunfts- und Löschanfragen sind bis zur Umsetzung eines solchen Mechanismus nur manuell erfüllbar — F-35. Dies ist bei der Bearbeitung von Endkunden-Anfragen durch den Händler zu berücksichtigen.]

Der Widerruf einer erteilten Einwilligung (Layer 2) erfolgt über das CMP des Händlers und wirkt für die Zukunft.

Angaben beruhen auf Code-Stand ddbba50; der Produktivstand ist abzugleichen (F-28).