WARP-Pixel — Baustein für die Händler-Datenschutzerklärung & Consent (§ 25 TDDDG)

Fassung vom 12.09.2026.

Diese Datei ist ein Baustein zum Übernehmen durch den Händler (Shop-Betreiber) in dessen eigene Datenschutzerklärung und dessen Consent-Management-Tool (CMP). Grundlage sind der Quellcode des Shop-Plugins und des Panels (Stand f1cf3bc7) und das Fakten- und Entscheidungsregister zur Fassung vom 12.09.2026 (im Folgenden: Register 12.09.2026). Angaben, die nur der Händler machen kann, stehen in eckigen Klammern, z. B. „[Name des Händlers]"; der Händler ersetzt sie vor Veröffentlichung.

0. Rollen auf einen Blick

Der Händler ist damit für die rechtliche Absicherung des WARP-Pixels in seiner eigenen Datenschutzerklärung und seinem CMP verantwortlich. Dieser Baustein liefert dafür zitierbare Textvorschläge. Anbieter des WARP-Pixels ist WARP – ecomm solution, Inhaber Lukas Babbick, Ludwig-Erhard-Str. 11, 38518 Gifhorn, Deutschland. Für AVV-bezogene Anfragen und zur Weiterleitung von Betroffenenanfragen erreicht der Händler WARP unter datenschutz@wawihub.de.

1. Kurzbeschreibung des WARP-Pixels

Der WARP-Pixel ist ein serverseitiges Plugin für den JTL-Shop des Händlers. Er besteht aus zwei technisch und rechtlich zu unterscheidenden Schichten:

Layer 1 — serverseitige, cookie-freie Erfassung

• Läuft serverseitig im Shop-Backend; kein JavaScript im Endkunden-Browser, kein Zugriff auf das Endgerät des Endkunden (kein Cookie, kein localStorage).
• Erfasst Pageviews und Bestellungen direkt im Shop-Server.
• Bildet die Identität eines Besuchers ausschließlich über HMAC-SHA256-Hashwerte: eine Sitzungs- und eine Besucherkennung sowie einen gekürzten Hashwert der IP-Adresse, jeweils mit einem geheimen shopseitigen Schlüssel (Pepper). Der Schlüssel verlässt den Shop nie; WARP erhält weder den Schlüssel noch die Rohwerte. Den IP-Hashwert speichert WARP nicht (siehe Ziff. 8).
• Erfasste Datenkategorien (Übersicht):

Die Übertragung erfolgt per HTTPS (Zertifikatsprüfung aktiv) mit einem shop-individuellen Zugriffsschlüssel an einen WARP-Ingest-Endpunkt; die Speicherung erfolgt in der WARP-Attribution-Datenbank.

Layer 2 — Affiliate-Konversionspixel (client-seitig)

Zusätzlich kann ein Layer-2-Affiliate-Pixel eingebunden sein (z. B. AdCell track.js). Dieser läuft im Browser des Endkunden und überträgt Bestellnummer, Nettobetrag und ggf. Gutscheincodes direkt an das jeweilige Affiliate-/Werbenetzwerk — außerhalb der WARP-Infrastruktur und außerhalb der Kontrolle von WARP. Diese Übertragung ist ein eigener, für sich genommen einwilligungspflichtiger Vorgang (siehe Ziff. 4).

2. Zweck der Verarbeitung

Zweck beider Layer ist die Marketing-Kanal- und Umsatz-Attribution für den Händler: Der Händler soll nachvollziehen können, über welchen Marketingkanal (z. B. Google Ads, Affiliate-Link, Preissuchmaschine) welche Bestellung ausgelöst wurde, um Marketingbudgets zu steuern und Provisionen abzurechnen.

3. Rechtsgrundlage

• Layer 1 (serverseitig, cookie-frei): Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Händlers an der Zuordnung von Bestellungen zu Marketingkanälen). Die Erfassung läuft serverseitig; es wird keine Information auf dem Endgerät des Endkunden gespeichert und keine von dort ausgelesen. § 25 TDDDG ist daher nicht berührt.
• Layer 2 (Affiliate-Pixel im Browser): Hier werden über das Endgerät des Endkunden Informationen übertragen bzw. dort ausgelesen (Skriptausführung, ggf. Cookie-/Speicherzugriff des Drittnetzwerks). Der Layer-2-Pixel darf deshalb nur mit vorheriger Einwilligung des Endkunden nach § 25 Abs. 1 TDDDG ausgelöst werden, die der Händler über seine Consent-Lösung einholt; datenschutzrechtlich ist die Grundlage Art. 6 Abs. 1 lit. a DSGVO (siehe Ziff. 4).

4. § 25 TDDDG — Kernpflicht des Händlers

Kernaussage: Sobald ein Bestandteil des Pixels auf Informationen im Endgerät des Endkunden zugreift oder solche dort speichert — das betrifft den Layer-2-Affiliate-Pixel sowie jedes zusätzliche Marketing-Cookie/-Skript im Shop —, ist die vorherige Einwilligung des Endkunden nach § 25 Abs. 1 TDDDG erforderlich.

Daraus folgt für den Händler:

1. Der Händler muss den WARP-Pixel — genauer: dessen einwilligungspflichtige Layer-2-/Affiliate-Bestandteile — in sein eigenes Consent-Management-Tool (CMP) einbinden.
2. Einwilligungspflichtige Bestandteile dürfen erst nach erteilter Einwilligung ausgelöst werden (technische Blockade bis zur Einwilligung, danach Freigabe durch das CMP).
3. WARP prüft selbst kein Consent-Flag. Der WARP-Pixel-Code besitzt zwar Consent-bezogene Felder (consent_granted, consent_manager_type, pixel_fired); consent_granted wird serverseitig jedoch nie mit einem echten Wert aus einem CMP befüllt (im Code durchgängig null). Es findet keine eigene Consent-Prüfung durch den Pixel statt und keine Blockade von sich aus. Die Einbindung, Steuerung und Blockade einwilligungspflichtiger Bestandteile obliegt vollständig dem Shop/CMP des Händlers; das Feld ist derzeit ein reines Protokollfeld ohne Wirkung.
4. Für Layer 1 (serverseitig, cookie-frei) besteht keine Einwilligungspflicht nach § 25 TDDDG (Ziff. 3). Die Einholung der Einwilligung für den AdCell-Pixel und jedes weitere Netzwerk liegt beim Händler, nicht bei WARP und nicht beim Netzwerk. Stimmen Sie die Einbindung des Affiliate-Pixels mit Ihrem Consent-Anbieter ab: Der Layer-2-Pixel muss in Ihrem CMP der Kategorie „Marketing" zugeordnet und bis zur Einwilligung blockiert sein.

5. Muster-Einwilligungspassage für das Consent-Management-Tool (CMP)

Der folgende Text ist als Baustein für den Consent-Layer des CMP gedacht (Kategorie „Marketing" bzw. „Statistik/Marketing", je nach CMP-Taxonomie). Er ist vom Händler an sein konkretes CMP anzupassen:

Marketing-Attribution (WARP-Pixel)

[Name des Händlers] setzt zur Erfolgsmessung von Marketingkampagnen und zur Zuordnung von Bestellungen zu Werbekanälen den WARP-Pixel des Anbieters WARP – ecomm solution ein. Dabei können, abhängig davon, über welchen Link Sie unseren Shop besucht haben, Kennungen aus Werbenetzwerken (Affiliate- und Preisvergleichsnetzwerke wie AdCell, AWIN und Geizhals; sofern eingebunden auch Google, Microsoft, Meta, TikTok) sowie Bestelldaten (Bestellnummer, Warenkorbwert, ggf. Gutscheincode) an diese Netzwerke bzw. an WARP – ecomm solution übermittelt werden. Diese Verarbeitung erfolgt nur, wenn Sie hier einwilligen. Die Einwilligung ist freiwillig, für die Nutzung unseres Shops nicht erforderlich und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (siehe [Ort des Widerrufs im Shop, z. B. Cookie-Einstellungen im Fußbereich]). Die Attributionsdaten werden bei WARP für 24 Monate gespeichert.

Hinweis zur Abstufung: Stimmen Sie die Einbindung des Affiliate-Pixels mit Ihrem Consent-Anbieter ab. Lässt sich in Ihrem CMP der serverseitige Layer 1 (nach Ziff. 3 ohne Einwilligungspflicht) vom Layer-2-Affiliate-Pixel getrennt steuern, beziehen Sie die Einwilligungspassage ausschließlich auf die einwilligungspflichtigen Bestandteile (Layer 2).

6. Muster-Absatz für die Datenschutzerklärung des Händlers

Der folgende Text ist als Baustein für den Abschnitt „Marketing/Tracking" der Datenschutzerklärung des Händlers gedacht. Der Händler ersetzt die Angaben in eckigen Klammern und streicht die Netzwerke, die er nicht eingebunden hat:

Marketing-Attribution mit WARP-Pixel

Wir nutzen in unserem Shop den WARP-Pixel des Anbieters WARP – ecomm solution, Inhaber Lukas Babbick, Ludwig-Erhard-Str. 11, 38518 Gifhorn ("WARP"), um nachzuvollziehen, über welche Marketingkanäle Bestellungen zustande kommen (Marketing-Kanal- und Umsatz-Attribution).

Verarbeitete Daten: Seitenaufrufe und Bestellungen in unserem Shop, dabei insbesondere: eine pseudonyme, mit einem geheimen Schlüssel gebildete Kennung Ihrer Sitzung (kein Klartext-Cookie), ein gekürzter Hashwert Ihrer IP-Adresse (HMAC-SHA256 mit geheimem Schlüssel; Ihre IP-Adresse selbst wird nicht übertragen, und WARP speichert auch den Hashwert nicht), Klick-Kennungen aus Werbelinks (z. B. gclid, msclkid, fbclid, ttclid sowie Kennungen von Affiliate- und Preisvergleichsnetzwerken), Kampagnenparameter (UTM), Referrer, aufgerufene Seite sowie Bestelldaten (Bestellnummer, Warenkorbwert, Währung).

Zweck: Zuordnung von Bestellungen zu Marketingkanälen zur Steuerung unserer Werbeausgaben und zur Provisionsabrechnung mit Werbepartnern.

Rechtsgrundlage: Die serverseitige Grunderfassung erfolgt cookie-frei ohne Zugriff auf Ihr Endgerät auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Zuordnung von Bestellungen zu Marketingkanälen. Soweit Bestandteile dieses Pixels, insbesondere der Affiliate-Konversionspixel, auf Informationen in Ihrem Endgerät zugreifen oder solche speichern, erfolgt dies nur auf Grundlage Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über unser Cookie-/Consent-Banner erteilen oder widerrufen können.

Auftragsverarbeiter: WARP verarbeitet diese Daten ausschließlich im Auftrag von uns als für die Datenverarbeitung Verantwortlichem, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. WARP trifft eigene Entscheidungen über Zweck und Mittel dieser Verarbeitung nicht. Das Hosting der WARP-Infrastruktur erfolgt bei Hetzner im Rechenzentrum Helsinki, Finnland (EU).

Empfänger / Drittnetzwerke: Je nachdem, über welchen Werbelink Sie unseren Shop besucht haben, werden Bestelldaten (Bestellnummer, Nettobetrag, ggf. Gutscheincode) an das jeweilige Netzwerk übermittelt: AdCell (Adcell GmbH, Berlin, Deutschland), AWIN (AWIN AG, Berlin, Deutschland), Geizhals (Preisvergleich Internet Services AG, Wien, Österreich). [Sofern eingebunden, sonst streichen:] Sofern wir zusätzlich Google, Microsoft, Meta oder TikTok eingebunden haben, übermitteln wir Bestelldaten auch an diese Anbieter; sie verarbeiten Daten auch in den USA (Drittland). Einzelheiten und die Grundlage der Übermittlung entnehmen Sie den Datenschutzhinweisen des jeweiligen Anbieters. Alle genannten Netzwerke sind hinsichtlich der von ihnen empfangenen Daten eigenständige Verantwortliche; für die Verarbeitung durch diese Netzwerke gelten deren eigene Datenschutzhinweise.

Speicherdauer: In unserem Shop verbleiben die Ereignisse 7 Tage nach der Übertragung an WARP, bei fehlgeschlagener Übertragung 30 Tage. WARP speichert die Attributionsereignisse 24 Monate; daraus gebildete aggregierte Kanal- und Margenwerte ohne Einzelereignisse werden 400 Tage gespeichert.

Ihre Rechte: Sie können sich hinsichtlich Ihrer Rechte als betroffene Person (Auskunft, Löschung, Widerspruch, Widerruf der Einwilligung) an uns ([Kontaktangabe des Händlers]) wenden; wir leiten Ihr Anliegen, soweit es bei WARP gespeicherte Daten betrifft, an WARP als unseren Auftragsverarbeiter weiter. Eine bereits erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über [Ort des Widerrufs im Shop, z. B. Cookie-Einstellungen im Fußbereich] widerrufen.

7. Verantwortlichkeiten im Detail

• Der Händler ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für alle über den WARP-Pixel erfassten Endkundendaten. Er entscheidet über Einbindung, Umfang und Consent-Steuerung des Pixels in seinem Shop.
• WARP ist Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet die übermittelten Daten ausschließlich nach Weisung des Händlers zum Zweck der Attribution. WARP prüft — wie in Ziff. 4 dargestellt — kein Consent-Flag und trifft keine eigene Entscheidung über Zulässigkeit der Erfassung im Einzelfall; diese Verantwortung liegt beim Händler.
• Werbe-/Affiliate-Netzwerke (Layer 2), an die aus dem Endkunden-Browser direkt Daten übertragen werden, sind eigenständige Empfänger und insoweit selbst Verantwortliche für die von ihnen empfangenen Daten. Sie handeln nicht im Auftrag von WARP.
• Zwischen Händler und WARP besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, der auch die Pixel-/Attributionsverarbeitung (VT-11) abdeckt. Der Händler nimmt ihn bei der Registrierung an; er besteht damit vor Beginn der Verarbeitung.

8. Hinweis zur IP-Adresse (ip_hash)

Die IP-Adresse des Endkunden wird im Shop weder im Klartext gespeichert noch im Klartext übertragen. Das Shop-Plugin bildet aus ihr ausschließlich einen HMAC-SHA256-Wert mit einem geheimen shopseitigen Schlüssel, der auf 32 Zeichen gekürzt wird (ip_hash). Der Schlüssel verlässt den Shop nicht; ohne ihn lässt sich der Wert nicht auf eine IP-Adresse zurückführen. WARP speichert diesen Wert nicht: Das WARP-Backend legt den übermittelten ip_hash nicht ab. Für die Attribution bei WARP werden nur die Sitzungs- und Besucherkennung, Klick-Kennungen, Kampagnendaten und Bestelldaten verwendet.

9. Empfänger und Speicherdauer (Übersicht)

10. Betroffenenrechte der Endkunden

Endkunden, deren Daten über den WARP-Pixel erfasst werden, wenden sich mit Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsanliegen an den Händler als Verantwortlichen — nicht an WARP. WARP unterstützt den Händler im Rahmen des AVV bei der Erfüllung solcher Anfragen, soweit sie die bei WARP verarbeiteten Daten betreffen.

Ablauf bei WARP: Die Löschung von Attributionsdaten auf Anfrage erfolgt bei WARP manuell nach dem Lösch-Runbook binnen der gesetzlichen Frist (Art. 12 Abs. 3 DSGVO). Der Händler leitet Anfragen, die bei WARP gespeicherte Daten betreffen, an datenschutz@wawihub.de weiter. Einen Selbstbedienungs-Mechanismus für Löschung oder Opt-out gibt es bei WARP nicht; Widersprüche gegen Layer 1 richtet der Endkunde an den Händler, der sie an WARP weiterleitet.

Der Widerruf einer erteilten Einwilligung (Layer 2) erfolgt über das CMP des Händlers und wirkt für die Zukunft.

Angaben beruhen auf Code-Stand f1cf3bc7 und dem Register 12.09.2026.