Criteo
Criteo ist ein französisches, an der Nasdaq notiertes Adtech Unternehmen (CRTO) mit Hauptsitz in Paris und europäischer Marktführer im programmatischen Retargeting. Das OneTag Pixel setzt Drittanbieter Cookies, um Nutzer websiteübergreifend zu identifizieren und personalisierte Display Werbung auszuspielen. Im Juni 2023 verhängte die CNIL gegen Criteo ein Bußgeld von 40 Millionen Euro wegen DSGVO Verstößen, womit Criteo zu den risikoreichsten Anbietern ohne strikt konformen Consent Flow zählt.
Was macht Criteo?
Was ist Criteo?
Criteo S.A. ist ein französisches, an der Nasdaq notiertes Adtech Unternehmen (CRTO), 2005 in Paris gegründet und lange Zeit europäischer Marktführer für personalisiertes Retargeting und Commerce Media. Das OneTag Pixel ist bei mehr als 20 000 E Commerce Anbietern weltweit eingebunden, um Besucher publisherübergreifend zu erkennen und dynamische Bannerwerbung mit zuletzt angesehenen Produkten auszuspielen. Criteo ist registrierter IAB TCF v2.2 Vendor (ID 91) und betreibt Programmatic Bidding über Partner im Open RTB Ökosystem.
Cookies und gesammelte Daten
Criteo setzt Drittanbieter Cookies auf criteo.com und criteo.net: uid (12 Monate) ist die websiteübergreifende Kennung, optout (5 Jahre) speichert das Opt out Signal, tid (1 Monat) den Targeting Kontext und dyn_user_match (6 Monate) führt das Cookie Syncing mit Bidding Partnern durch. Criteo erfasst zudem Produktnavigationsereignisse (ID, Kategorie, Preis, Währung), Suchanfragen und Conversions und kombiniert diese über Cookie Syncing mit den Publisher Signalen. Mit dem Auslaufen der Drittanbieter Cookies setzt Criteo zusätzlich auf den First Party Universal Token, auf SHA256 gehashte E Mail Adressen und auf die Privacy Sandbox APIs von Google.
Das CNIL Bußgeld 2023 (40 Mio. EUR)
Im Juni 2023 verhängte die französische Aufsichtsbehörde CNIL gegen Criteo ein Bußgeld von 40 Millionen Euro wegen fehlendem Einwilligungsnachweis, mangelnder Transparenz der Datenschutzerklärung, teilweiser Verletzung der Betroffenenrechte (Auskunft, Widerruf, Löschung) und unvollständiger Auftragsverarbeitungsverträge mit Händlerpartnern (Beschluss SAN 2023 009). Die Entscheidung wendet die strenge CNIL Doktrin an, wonach der Verantwortliche sich nicht allein auf die IAB TCF Kette stützen darf, um die Einwilligung nachzuweisen, sondern eigene Beweise speichern muss. Jede Website mit OneTag muss daher pro Besucher belegen können, dass die Einwilligung vor dem Auslösen des Tags vorlag.
DSGVO und ePrivacy Konformität
Das OneTag und die damit gesetzten Cookies unterliegen strikt Artikel 5(3) ePrivacy Richtlinie und erfordern die vorherige ausdrückliche Einwilligung nach Artikel 6(1)(a) DSGVO. Das berechtigte Interesse nach Artikel 6(1)(f) steht für websiteübergreifende Verhaltenswerbung nicht zur Verfügung, wie EDSA und CNIL bestätigen. Die CMP muss das OneTag vor Einwilligung blockieren, die Kategorie Werbung als Opt in konfigurieren, den Einwilligungsnachweis für mindestens 13 Monate speichern und den IAB TCF v2.2 String an Criteo übergeben. Der Ablehnen Button muss die gleiche visuelle Gewichtung wie der Akzeptieren Button haben.
Praktische Umsetzung
Steuern Sie das Criteo OneTag über eine CMP, die Drittanbieter Skripte vor der Einwilligung blockiert (CookieFirst, Didomi, Iubenda, Axeptio, Cookiebot, Usercentrics, Klaro). Aktivieren Sie IAB TCF v2.2 Vendor 91 in der CMP, leiten Sie den TCF String an Criteo weiter, speichern Sie den Einwilligungsnachweis mindestens 13 Monate und dokumentieren Sie die Interessenabwägung im Verarbeitungsverzeichnis. Für serverseitige Einbindungen nutzen Sie die Criteo Conversions API nur mit gegebener Einwilligung und übergeben Sie das Consent Signal in jedem Event Payload.
Criteo und die DSGVO
Criteo ist als „Marketing“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Prior explicit consent under Article 6(1)(a) GDPR and Article 5(3) ePrivacy Directive. Criteo retargeting relies on cross site behavioural advertising cookies and cannot rely on legitimate interest. The CNIL fined Criteo 40 million euros in June 2023 for failing to demonstrate consent, lack of transparency and partial breach of data subject rights.
- Risikostufe
- high
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive 2002/58/EC, French CNIL guidelines and 2023 sanction, German TDDDG, Spanish LSSI, IAB TCF v2.2, EDPB guidelines on dark patterns and consent
Datenschutz-Folgenabschätzung (DSFA)
Das Criteo Retargeting ist eine Verarbeitung mit hohem Risiko im Sinne des Artikels 35 DSGVO und der EDSA Liste: umfangreiche Verfolgung des Verhaltens zwischen Websites, grenzüberschreitende Datenweitergabe in der Programmatic Kette und Werbe Profilbildung, die die Betroffenen erheblich beeinflussen kann. Eine DSFA wird dringend empfohlen; dokumentieren Sie die Interessenabwägung (nicht für das Cookie, nur für das nachgelagerte Profiling), den Einwilligungsnachweis, die IAB TCF v2.2 Vendor 91 Registrierung und den Vertrag mit Criteo S.A.
Beispieltext für Ihr Banner
Diese Website nutzt Criteo, um personalisierte Werbung auf Basis Ihrer Navigation auszuspielen. Criteo, ein börsennotiertes französisches Unternehmen, setzt Drittanbieter Cookies, die Ihren Browser websiteübergreifend identifizieren und ein Werbeprofil bilden können. Criteo wird erst nach Ihrer Zustimmung zur Kategorie Werbung geladen; Sie können Ihre Einwilligung jederzeit widerrufen.
Was Criteo setzt und kontaktiert
- Tracking-Methode
- JavaScript loader (OneTag) and pixel from static.criteo.net. Sets third party cookies for cross site retargeting (uid, tid, dyn_user_match). Server side conversion API and Commerce Growth audience matching. IAB TCF v2.2 vendor (vendor ID 91).
- Serverstandort
- European Union and United States. Criteo S.A. is headquartered in Paris (France), with data centers in Paris, Amsterdam, Hong Kong, Tokyo, New York. Programmatic bid stream uses Equinix LD5 (London) and AMS9 (Amsterdam) for the EU traffic.
- Cookieloser Modus verfügbar
- Ja
- Datenübermittlung außerhalb der EU
- Although Criteo is a French company headquartered in Paris, the global programmatic bid stream means that bid requests containing user signals can be processed by partners outside the EEA. Criteo has been sanctioned by the CNIL (40 million euros in June 2023) for failing to demonstrate consent and to ensure data subject rights. Standard Contractual Clauses must be in place.
Gesetzte Cookies (4)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| uid | third_party | 12 months | Unique cross site identifier assigned by Criteo. Used to recognise the browser across publishers in the programmatic ecosystem and to build the retargeting profile. |
| tid | third_party | 1 month | Targeting context cookie storing the latest browsed product and campaign signals to compute the optimal ad to display. |
| dyn_user_match | third_party | 6 months | Cookie syncing identifier shared with bidding partners (Open RTB) to align user IDs across DSPs and SSPs in real time auctions. |
| optout | third_party | 5 years | Stores the user opt out preference. Set when the visitor uses the IAB TCF opt out signal or the Criteo specific opt out page. |
Kontaktierte Drittanbieter-Domains (4)
static.criteo.netsslwidget.criteo.comdis.criteo.comdis.eu.criteo.com
Häufige Fragen zu Criteo
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Criteo?
Criteo setzt Drittanbieter Cookies auf criteo.com und criteo.net: uid (12 Monate) als websiteübergreifende Kennung, tid (1 Monat) als Targeting Kontext, dyn_user_match (6 Monate) für das Cookie Syncing mit Bidding Partnern und optout (5 Jahre) für das Opt out Signal. Ohne diese Cookies kann das Retargeting nicht funktionieren.
Ist für Criteo eine Einwilligung erforderlich?
Ja. Vorherige ausdrückliche Einwilligung nach Artikel 6(1)(a) DSGVO und Artikel 5(3) ePrivacy ist erforderlich. Criteo Cookies sind reine Werbe Cookies für websiteübergreifendes Retargeting und können sich nicht auf das berechtigte Interesse stützen, wie CNIL und EDSA bestätigt haben.
Was ist die Rechtsgrundlage für Criteo?
Ausschließlich die Einwilligung (Artikel 6(1)(a) DSGVO). Der CNIL Beschluss SAN 2023 009 vom Juni 2023 bestätigt, dass Criteo Retargeting eine ausdrückliche, nachweisbare Einwilligung verlangt, und verhängte gegen Criteo ein Bußgeld von 40 Millionen Euro wegen fehlendem Einwilligungsnachweis und Verletzung von Betroffenenrechten.
Übermittelt Criteo Daten in die USA?
Criteo hat seinen Sitz in Paris, betreibt aber eine globale programmatische Infrastruktur. Bid Requests mit Nutzer Signalen können von Partnern außerhalb des EWR verarbeitet werden. Standardvertragsklauseln sind unterzeichnet und das EU US Data Privacy Framework wird referenziert; eine Schrems II Transfer Folgenabschätzung wird empfohlen.
Ist eine DSFA für Criteo erforderlich?
Ja. Criteo Retargeting ist eine Hochrisiko Verarbeitung (umfangreiche Verhaltensverfolgung, Profilbildung, grenzüberschreitende Weitergabe), eine DSFA wird von CNIL und EDSA dringend empfohlen. Dokumentieren Sie den Consent Flow, die IAB TCF Vendor 91 Registrierung, den Vertrag mit Criteo S.A. und die 13 monatige Aufbewahrung des Nachweises.
Wie binde ich Criteo korrekt ein?
Blockieren Sie das Criteo OneTag in einer CMP, aktivieren Sie IAB TCF v2.2 Vendor 91, übergeben Sie den TCF String an Criteo, speichern Sie den Einwilligungsnachweis mindestens 13 Monate, konfigurieren Sie den Ablehnen Button mit gleicher visueller Gewichtung und nutzen Sie die Conversions API serverseitig nur mit Einwilligung. Dokumentieren Sie die Interessenabwägung im Verarbeitungsverzeichnis.
Welche Alternativen zu Criteo gibt es?
Europäische Programmatic Alternativen: RTB House (Polen), AdUp (Deutschland, kontextuell), Smartclip (Deutschland) und kontextuelle Plattformen wie Seedtag (Spanien) und Outbrain Engage (Israel). Privacy First Alternativen: serverseitiges First Party Retargeting über CDP (Snowflake, Twilio Segment) in Kombination mit E Mail Retargeting.
Wie halte ich meine Cookie Richtlinie für Criteo aktuell?
Nennen Sie Criteo ausdrücklich als Werbe Auftragsverarbeiter in Ihrer Cookie Richtlinie, verlinken Sie auf die Criteo Datenschutzerklärung https://www.criteo.com/privacy, erklären Sie die IAB TCF Vendor 91 Registrierung, dokumentieren Sie den Drittland Transfer Mechanismus und aktualisieren Sie die Richtlinie bei Änderungen der Criteo Cookie Liste oder Domains.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.