Affiliate

Stand: 4. August 2026

Datenschutz­hinweise

Diese Hinweise erläutern, wie personenbezogene Daten auf der öffentlichen Website und – nach Aktivierung der jeweiligen Funktionen – in der KMG-Affiliate-Plattform verarbeitet werden.

2. Bereitstellung der Website und Sicherheit

Beim Aufruf der Website können technisch erforderliche Zugriffsdaten verarbeitet werden: IP-Adresse, Zeitpunkt des Abrufs, angeforderte Ressource, Statuscode, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemangaben. Dies dient der sicheren, stabilen und missbrauchsgeschützten Bereitstellung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb, in der Fehleranalyse und in der Abwehr von Angriffen. Sicherheitsprotokolle werden regelmäßig nach 90 bis 180 Tagen gelöscht; bei einem konkreten Vorfall können betroffene Auszüge bis zu dessen Aufklärung und zur Rechtsverteidigung länger gesperrt aufbewahrt werden.

Empfänger kann der eingesetzte Hosting- und Infrastrukturprovider als Auftragsverarbeiter sein. Zugriff erhalten daneben nur entsprechend berechtigte Administratoren und Dienstleister, soweit dies für Betrieb oder Störungsbehebung erforderlich ist.

3. Cookies und ähnliche Technologien

Die öffentlichen Marketingseiten verwenden derzeit keine Analyse-, Werbe- oder Social-Media-Tracking-Technologien und laden keine extern gehosteten Schriftarten. Technisch notwendige Session-, Sicherheits- oder Spracheinstellungen können eingesetzt werden, sobald eine entsprechende Funktion aufgerufen wird.

Soweit eine Speicherung im Endgerät oder ein Zugriff auf dort gespeicherte Informationen unbedingt erforderlich ist, erfolgt dies nach § 25 Abs. 2 TDDDG; die anschließende Verarbeitung stützt sich je nach Zweck auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Nicht notwendige Technologien werden nur nach vorheriger Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO aktiviert. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

4. Kontakt und Pilotanfragen

Bei einer Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir die übermittelten Kontakt- und Inhaltsdaten, um die Anfrage zu bearbeiten. Bei vorvertraglichen oder vertraglichen Anliegen ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage; sonst Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an der Bearbeitung geschäftlicher Anfragen.

Normale Anfragen löschen wir, wenn sie erledigt sind und keine gesetzlichen oder vertraglichen Gründe entgegenstehen. Geschäftsbriefe können sechs Jahre, vertrags- oder steuerrelevante Inhalte entsprechend den gesetzlichen Fristen länger aufbewahrt werden.

5. Benutzerkonto, Authentifizierung und Teamzugänge

Nach Aktivierung der Registrierung verarbeiten wir insbesondere E-Mail-Adresse, Anzeigename, Passwort-Hash oder Passkey-Daten, Verifikationsstatus, Rollen, Workspace- und Teamzugehörigkeiten, Sicherheitsereignisse, MFA- und Sitzungsdaten. Klartextpasswörter werden nicht gespeichert.

Die Verarbeitung ist für Registrierung, Authentifizierung, Berechtigungssteuerung und Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Sicherheits- und Missbrauchsdaten verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich notwendige Prüfungen stützen sich auf Art. 6 Abs. 1 lit. c DSGVO.

6. Shop-, Influencer- und Marktplatzprofile

Shopbetreiber können Unternehmens-, Marken-, Shop-, Kontakt-, Kategorien-, Zielgruppen- und Kooperationsdaten hinterlegen. Influencer können Profil- oder Künstlername, Bio, Themen, Sprachen, Zielmärkte, Plattformen, Handles, Reichweiten, aggregierte Zielgruppenwerte, Referenzen und Kooperationspräferenzen hinterlegen.

Die Daten werden für Profilerstellung, Suche, Matching, Bewerbungen, Einladungen und die Vorbereitung von Kooperationen verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Nutzer bestimmen im Rahmen der vorgesehenen Sichtbarkeitsstufen, welche optionalen Profildaten öffentlich, nur im Marktplatz oder nur für konkrete Vertragspartner sichtbar sind. Private Kontakt-, Steuer- und Zahlungsdaten erscheinen nicht in öffentlichen Profilen.

7. Social-Media-Verknüpfungen

Wenn ein Influencer freiwillig einen Social-Media-Kanal verknüpft, leiten wir zum gewählten Anbieter weiter und erhalten nach Freigabe insbesondere Provider-ID, Kanal-ID, Handle, Basisprofil, gewährte Berechtigungen sowie – nur bei aktivierter und freigegebener Funktion – aggregierte Kanalstatistiken. Social-Media-Passwörter werden weder abgefragt noch gespeichert.

Die Verarbeitung dient der Kanalverifikation und Plattformleistung (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung kann im Konto getrennt werden; erhaltene Zugriffstoken werden dann widerrufen oder gelöscht, soweit keine Nachweispflicht entgegensteht. Der jeweilige Anbieter verarbeitet Daten außerdem in eigener Verantwortung nach seinen Datenschutzhinweisen. Vorgesehen sind insbesondere Instagram/Meta, TikTok, YouTube/Google und später Twitch; nur tatsächlich aktivierte Anbieter werden in der produktiven Fassung konkret ausgewiesen.

8. Bewerbungen, Nachrichten, Verträge und Anhänge

Für Kooperationen verarbeiten wir Bewerbungen, Einladungen, Nachrichten, beteiligte Personen und Workspaces, Zeitpunkte, Vertragsentwürfe und -versionen, Annahmen, Konditionen, Nutzungsrechte, Anhänge sowie Support- und Streitfalldaten. Vertragsrelevante Erklärungen werden versioniert und nachvollziehbar protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Dokumentations- und Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Missbrauchsabwehr, Beweissicherung und Rechtsverteidigung beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Allgemeine erfolglose Bewerbungs- und Chatdaten sollen regelmäßig 24 Monate nach Abschluss gelöscht werden, sofern kein Vertrag, Streitfall oder anderer Nachweisgrund besteht. Vertragsrelevante Nachrichten und Dokumente bleiben nach den dafür geltenden Verjährungs- und Aufbewahrungsfristen gesperrt erhalten.

9. Rechtliche, steuerliche und Zahlungsdaten

Vor Vertrag und Abrechnung verarbeiten wir je nach Rolle insbesondere rechtlichen Namen, Rechtsform, Anschrift, Vertretungsberechtigung, Registerdaten, Steuerland, Steuernummer oder TIN, Umsatzsteuer-ID, Kleinunternehmerstatus, Rechnungs- und Vertragskontakt sowie IBAN, Kontoinhaber und Zahlungsreferenzen. Geburtsdatum oder weitere Identifikationsdaten werden nur erhoben, wenn sie für Volljährigkeitsprüfung, Steuerrecht oder gesetzliche Plattformmeldepflichten erforderlich sind.

Die Verarbeitung dient Vertragsschluss und Abrechnung (Art. 6 Abs. 1 lit. b DSGVO) sowie steuer-, handels- und gegebenenfalls plattformrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Besonders vertrauliche Felder werden verschlüsselt, in Oberflächen maskiert und nur für berechtigte Finance- oder Compliance-Rollen freigegeben.

10. Shopify-Integration, Bestellungen und Attribution

Nach Installation der Shopify-App verarbeiten wir Shop- und Installationskennungen, Domain, Währung, Zeitzone, freigegebene API-Berechtigungen, verschlüsselte Zugriffstoken, Produkt- und Rabattdaten sowie Webhook-, Synchronisations- und Fehlerstatus. Für die Abrechnung können Order-ID und -nummer, Zeitpunkte, Beträge, Währungen, Rabattcodes, Retouren, Stornos, Chargebacks und Zahlungsstatus verarbeitet werden.

Wir beschränken die Verarbeitung auf die für Rabatt, Attribution, Provision und Nachweis notwendigen Daten. Namen, Anschriften, E-Mail-Adressen, Telefonnummern und Zahlungsinstrumente von Shopkunden werden für eine reine Code- oder Linkattribution grundsätzlich nicht übernommen.

Rechtsgrundlage gegenüber Shopbetreibern und Influencern ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Daten von Shopkunden betroffen sind, müssen Shopbetreiber die Verarbeitung in ihren eigenen Datenschutzhinweisen erläutern und die erforderliche Rechtsgrundlage sicherstellen. Die datenschutzrechtlichen Rollen von KMG und Shopbetreiber werden vor Aktivierung vertraglich je Verarbeitung festgelegt.

Shopify International Limited in Irland ist für Händler im EWR regelmäßig die primäre Shopify-Vertragsgesellschaft. Shopify kann verbundene Unternehmen und Unterauftragsverarbeiter auch außerhalb des EWR einsetzen. Etwaige Übermittlungen werden nur auf Grundlage der gesetzlichen Transfermechanismen und der einschlägigen Shopify-Verträge vorgenommen.

11. Affiliate-Links, Rabattcodes und Newsletter-Zuordnung

Bei aktivierter Attribution können Linktoken, Shop und Influencer, Aufrufzeit, Referrer, Kampagnenparameter, gekürzte oder pseudonymisierte Netz- und Geräteinformationen sowie Attributionsereignisse verarbeitet werden. Ein Linkkontakt kann nach der vorgesehenen Pilotregel höchstens sieben Tage einem späteren Kauf zugeordnet werden. Rabattcodes und dokumentierte Newsletter-Zuordnungen können nach den vereinbarten Attributionsregeln vorrangig sein.

Die Verarbeitung dient der Messung und Abrechnung einer angeforderten Affiliate-Leistung. Soweit dafür Informationen im Endgerät gespeichert oder ausgelesen werden, wird die Funktion für nicht technisch notwendige Zwecke erst nach Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO aktiviert. Ein Shopbetreiber darf Affiliate-Tracking erst einsetzen, wenn seine Shop-Datenschutzhinweise und Einwilligungsverwaltung entsprechend eingerichtet sind.

Newsletter-Anmeldungen erfordern eine gesonderte, nachweisbare Einwilligung des Empfängers und ein Bestätigungsverfahren. Abmeldung oder Widerruf beendet die werbliche Nutzung; der erforderliche Einwilligungsnachweis kann zur Rechtsverteidigung gesperrt weiter aufbewahrt werden.

12. Provision, Abrechnung und easybill

Für Provisionsberechnung, Monatsfreigabe, Gutschriften, KMG-Rechnungen, Korrekturen, Zahlungsstatus und Streitfälle verarbeiten wir Vertrags-, Order-, Vergütungs-, Steuer-, Beleg- und Zahlungsdaten. Finale Belege werden nicht überschrieben, sondern bei Bedarf storniert oder korrigiert.

Für die technische Belegerstellung ist easybill vorgesehen. Dabei können Stammdaten, Rechnungsanschriften, Steuerangaben, Belegpositionen, Beträge, Zahlungsfristen und E-Mail-Adressen an die easybill GmbH, Düsselstraße 21, 41564 Kaarst, als Auftragsverarbeiter übermittelt werden. Die Nutzung wird erst nach Abschluss beziehungsweise Bestätigung der erforderlichen Vereinbarung zur Auftragsverarbeitung aktiviert.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsdurchführung und Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten.

13. Empfänger und Übermittlungen in Drittländer

Daten erhalten nur Stellen, die sie für den jeweiligen Zweck benötigen: beteiligte Shopbetreiber und Influencer entsprechend ihrer Rolle, berechtigte KMG-Mitarbeiter, Hosting- und Sicherheitsdienstleister, E-Mail-Anbieter, Shopify, aktiv verbundene Social-Media-Anbieter, easybill, Steuer- und Rechtsberatung sowie Behörden bei gesetzlicher Verpflichtung.

Bei Anbietern außerhalb des Europäischen Wirtschaftsraums erfolgt eine Übermittlung nur, wenn ein Angemessenheitsbeschluss besteht oder geeignete Garantien – insbesondere EU-Standardvertragsklauseln und erforderlichenfalls zusätzliche Schutzmaßnahmen – vereinbart wurden. Anbieter, Zweck, Datenumfang und Transfergrundlage werden vor Aktivierung einer neuen Integration in diesen Hinweisen konkretisiert.

14. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten und Rechtsansprüche dies verlangen. Insbesondere gelten derzeit folgende Leitlinien:

  • Rechnungen, Gutschriften, strukturierte Originale und Buchungsbelege: regelmäßig acht Jahre ab Ende des maßgeblichen Kalenderjahres;
  • Handels- und Geschäftsbriefe: regelmäßig sechs Jahre;
  • gesetzlich erforderliche Plattformmelde-Aufzeichnungen: gegebenenfalls zehn Jahre;
  • Vertragsversionen, Annahmen und Streitnachweise: Vertragslaufzeit zuzüglich gesetzlicher Nachweis- und Verjährungsfristen;
  • abgebrochene Profile: regelmäßig sechs bis zwölf Monate nach letzter Aktivität;
  • OAuth-Zugriffstoken: bis zur Trennung des Kanals, zum Widerruf oder zum Ende des Erforderlichkeitszwecks.

Nach Ablauf der jeweils längsten anwendbaren Frist werden Daten gelöscht oder, soweit zulässig, anonymisiert. Bei einem rechtlichen Aufbewahrungsgrund werden sie für andere Zwecke gesperrt.

15. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Ohne als Pflichtfelder gekennzeichnete Konto-, Vertrags-, Steuer- und Abrechnungsdaten können wir die jeweilige Plattformleistung oder Auszahlung nicht bereitstellen. Optionale Profildaten sind freiwillig. Es findet derzeit keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

16. Minderjährige

Die Plattform richtet sich ausschließlich an volljährige Nutzer. Konten oder Vertragsabschlüsse von Minderjährigen sind im Pilot nicht vorgesehen.

17. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung auf Grundlage berechtigter Interessen aus Gründen ihrer besonderen Situation widersprechen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung der Rechte genügt eine Nachricht an info@kmgvertrieb.de. Zusätzlich besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

18. Änderungen dieser Hinweise

Wir aktualisieren diese Datenschutzhinweise, wenn Funktionen, Empfänger, Rechtsgrundlagen oder gesetzliche Anforderungen geändert werden. Wesentliche Änderungen, die bestehende Konten oder Verträge betreffen, werden den betroffenen Nutzern in geeigneter Form mitgeteilt.