Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
ID5 Universal ID ist eine gemeinsame Werbeidentitätsinfrastruktur, die aus gehashten E-Mail-Adressen, IP-Adressen und Browser-Signalen eine verschlüsselte, persistente Kennung erzeugt. Sie ermöglicht seitenübergreifende Nutzererkennung für programmatische Werbung ohne Drittanbieter-Cookies. Publisher und SSPs integrieren die ID5-API, um an einem gemeinsamen Identitätsgraph teilzunehmen, der mit DSPs und Werbetreibenden geteilt wird. Die Verarbeitung erfordert eine gültige IAB TCF v2.2-Einwilligung und unterliegt der DSGVO sowie der ePrivacy-Richtlinie.
ID5 Universal ID ist eine gemeinsame Identitätsinfrastruktur von ID5 Technology SAS (Frankreich), die Drittanbieter-Cookies bei der seitenübergreifenden Nutzererkennung in der programmatischen Werbung ersetzen soll. Wenn ein Nutzer eine Publisher-Seite besucht, erfasst die ID5-API verfügbare Signale: gehashte E-Mail-Adresse (bei angemeldeten Nutzern), IP-Adresse, User-Agent-Zeichenkette und Browser-Attribute. Diese Signale werden serverseitig verarbeitet, um eine verschlüsselte, persistente Kennung zu erzeugen, die im Browser des Nutzers über First-Party-Speicher oder eine dedizierte Synchronisierungsdomain (id5-sync.com) abgelegt wird.
Die ID5-Kennung wird dann über den Bid-Stream an DSPs, SSPs und andere programmatische Partner übermittelt. Da dieselbe deterministische oder probabilistische Kennung über mehrere am ID5-Netzwerk teilnehmende Publisher hinweg erkannt werden kann, ermöglicht sie verhaltensbasiertes Targeting, Frequenzbegrenzung und Attribution. Die Kennung bleibt auch nach Cookie-Löschung bestehen, da sie aus First-Party-Signalen oder serverseitigen Abfragen rekonstruiert werden kann.
ID5 verarbeitet folgende Datenkategorien: gehashte E-Mail-Adresse (SHA-256 oder MD5), IP-Adresse, User-Agent-Zeichenkette, Browser-Sprache und Zeitzone, Referrer-URL sowie die verschlüsselte ID5-Kennung selbst. Das primäre Cookie ist id5id, ein persistentes First-Party- oder Cross-Domain-Cookie mit einer Laufzeit von 90 Tagen, gespeichert auf id5-sync.com und auf Publisher-First-Party-Domains gespiegelt. Ein Einwilligungsstatus-Cookie (id5id_last) erfasst den TCF-Einwilligungsstatus zum Zeitpunkt der Kennungsgenerierung. Weitere Pixel und Redirect-Aufrufe zu eu-sync.id5-sync.com dienen der Partner-Identitätssynchronisierung.
Unter der DSGVO stellt die Erzeugung und Weitergabe einer persistenten seitenübergreifenden Kennung aus personenbezogenen Daten eine Hochrisikoverarbeitung dar. Art. 35(3)(b) DSGVO schreibt eine DSFA für systematisches Profiling im großen Maßstab vor, was der ID5-Identitätsgraph eindeutig erfüllt. Art. 5(3) der ePrivacy-Richtlinie verlangt eine vorherige informierte Einwilligung vor dem Speichern oder Lesen von Informationen auf dem Endgerät des Nutzers. Die Einwilligung ist die einzig zulässige Rechtsgrundlage für diese Art von Tracking.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
ID5 agiert im IAB TCF v2.2-Rahmen als Vendor-ID 131. Eine gültige Einwilligung für ID5 erfordert, dass die TC-Zeichenkette des Nutzers eine ausdrückliche Einwilligung für Zweck 1 (Informationen auf einem Gerät speichern und abrufen) sowie mindestens die Zwecke 3 und 4 (personalisiertes Anzeigenprofil erstellen und personalisierte Anzeigen auswählen) enthält. Die ID5-API muss vor der Initialisierung eine gültige TC-Zeichenkette prüfen und darf die ID5-Kennung nicht generieren oder weitergeben, bevor die Einwilligung bestätigt ist.
ID5 Technology SAS hat seinen Sitz in Frankreich und gewährleistet EU-Datenresidenz für seine Kernverarbeitung. Die ID5-Kennung wird jedoch an DSP- und SSP-Partner im programmatischen Ökosystem übermittelt, von denen viele in den USA ansässig sind. Diese Übermittlungen erfolgen auf Basis von Standardvertragsklauseln (SCC) gemäß den Anforderungen nach dem Schrems-II-Urteil, ergänzt durch Maßnahmen wie die Verschlüsselung der Kennung bei der Übertragung. Die vollständige ID5-Partnerliste ist unter id5.io/privacy veröffentlicht.
Für einen DSGVO-konformen Einsatz von ID5 Universal ID müssen Publisher: (1) vor dem Launch eine DSFA durchführen und durch den DSB genehmigen lassen; (2) ein TCF v2.2-zertifiziertes CMP integrieren und sicherstellen, dass ID5-Vendor 131 mit vollständiger Zweckoffenlegung erscheint; (3) die ID5-API so konfigurieren, dass sie die TC-Zeichenkette liest und abbricht, wenn die Einwilligung fehlt; (4) die Datenschutzerklärung und Cookie-Hinweise aktualisieren; (5) den ID5-Opt-out-Mechanismus implementieren; (6) die ID5-Partnerliste jährlich überprüfen; (7) Einträge im Verzeichnis von Verarbeitungstätigkeiten (VVT) für den ID5-Einsatz pflegen.
Websites using ID5 Universal ID must obtain user consent under GDPR regulations.
DPIA considerations
Vor dem Einsatz von ID5 Universal ID ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Der Dienst erzeugt eine persistente seitenübergreifende Kennung aus personenbezogenen Daten (E-Mail-Hash, IP-Adresse, Browser-Fingerprint-Komponenten), was eine Hochrisikoeverarbeitung im Sinne von Art. 35(3)(b) DSGVO darstellt. Die DSFA muss dokumentieren: (1) die Natur der verschlüsselten Kennung und ihre Verknüpfbarkeit mit Personen über Publisher hinweg; (2) den Identitätsgraph, der mit Drittpartnern einschließlich US-amerikanischer DSPs und SSPs geteilt wird; (3) die Abhängigkeit von IAB TCF v2.2-Einwilligungszeichenketten als Rechtsgrundlage; (4) Aufbewahrungsfristen für die persistente Kennung (in der Regel 90 Tage); (5) Mechanismen zur Wahrnehmung der Rechte betroffener Personen über das ID5-Datenschutzportal; (6) Schutzmaßnahmen für internationale Übermittlungen (SCCs mit US-Partnern); (7) das Risiko, dass die Kennung nach Cookie-Löschung rekonstruiert werden kann. Der DSB muss die DSFA vor dem Go-live genehmigen.
Sample consent text
Wir verwenden ID5 Universal ID, bereitgestellt von ID5 Technology SAS (Frankreich), um Ihren Browser seitenübergreifend für personalisierte Werbung zu erkennen. ID5 erzeugt eine verschlüsselte Kennung aus Ihrer gehashten E-Mail-Adresse (sofern angegeben), Ihrer IP-Adresse und Browser-Signalen und teilt diese Kennung mit unseren Werbepartnern, einschließlich Partner außerhalb des Europäischen Wirtschaftsraums. Diese Verarbeitung basiert ausschließlich auf Ihrer Einwilligung. Sie können Ihre Einwilligung jederzeit über unsere Datenschutzeinstellungen oder unter id5.io/privacy widerrufen.
Third-party domains contacted
id5-sync.comid5.ioeu-sync.id5-sync.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| id5id | persistent | 90 days | Stores the encrypted ID5 Universal Identifier used for cross-site user recognition in programmatic advertising |
| id5id_last | persistent | 90 days | Records the IAB TCF v2.2 consent string state at the time the ID5 identifier was generated, used to detect consent changes |
| id5-sync | persistent | 30 days | Synchronises the ID5 identifier across participating publisher domains via the id5-sync.com synchronisation endpoint |
| id5_ab | session | Session | A/B test allocation cookie used by ID5 to route requests between processing infrastructure variants |
| id5_fs | persistent | 90 days | First-party storage mirror of the id5id value written to the publisher domain when first-party storage delegation is enabled |
ID5 Universal ID setzt Tracking-Cookies für Werbezwecke — werden Sie DSGVO-konform mit FlowConsent.
ID5 setzt ein primäres persistentes Cookie namens id5id auf der Domain id5-sync.com mit einer Laufzeit von 90 Tagen; dieses Cookie speichert die verschlüsselte universelle Kennung. Ein Begleit-Cookie id5id_last erfasst den Zustand der IAB TCF-Einwilligungszeichenkette zum Zeitpunkt der Kennungsgenerierung. Wenn Publisher First-Party-Speicherdelegierung verwenden, werden äquivalente Werte auf der eigenen Domain des Publishers gespeichert. Redirect-Aufrufe zu eu-sync.id5-sync.com ermöglichen die Partner-Identitätssynchronisierung.
Ja, die Einwilligung ist zwingend erforderlich. ID5 speichert und liest Informationen auf dem Endgerät des Nutzers und erzeugt eine seitenübergreifende Tracking-Kennung, für die beide Vorgänge eine vorherige informierte Einwilligung gemäß Art. 5(3) der ePrivacy-Richtlinie erfordern. Unter der DSGVO erfordert die Verarbeitung personenbezogener Daten zum Aufbau des Identitätsgraphen eine gültige Rechtsgrundlage; nur die Einwilligung (Art. 6(1)(a)) ist hierfür geeignet. Die ID5-API darf erst initialisiert werden, wenn eine gültige TC-Zeichenkette mit Einwilligung für Vendor 131 vorliegt.
Die einzig zulässige Rechtsgrundlage ist die Einwilligung gemäß Art. 6(1)(a) DSGVO in Verbindung mit Art. 5(3) der ePrivacy-Richtlinie für den Gerätezugriff. Berechtigte Interessen sind nicht anwendbar, da ID5 ein systematisches seitenübergreifendes Profiling für Werbezwecke beinhaltet. Die Einwilligung muss freiwillig, spezifisch, informiert, eindeutig und über ein TCF v2.2-zertifiziertes CMP mit ID5 als Vendor 131 dokumentiert sein.
Ja. Obwohl ID5 Technology SAS in Frankreich ansässig ist und EU-Datenresidenz für die Kernverarbeitung gewährleistet, wird die ID5-Kennung im programmatischen Bid-Stream an DSP- und SSP-Partner übermittelt, von denen viele in den USA ansässig sind. Diese Übermittlungen basieren auf Standardvertragsklauseln (SCC) als Übermittlungsmechanismus gemäß DSGVO Kapitel V. Publisher müssen diese Drittlandübermittlungen in ihren Datenschutzhinweisen vor der Einwilligung der Nutzer offenlegen.
Ja, eine DSFA ist vor dem Einsatz erforderlich. ID5 stellt ein systematisches Profiling im großen Maßstab über mehrere Websites dar, was die DSFA-Pflicht nach Art. 35(3)(b) DSGVO auslöst. Die DSFA muss die seitenübergreifende Verknüpfbarkeit der verschlüsselten Kennung, den mit Drittpartnern geteilten Identitätsgraph, das Reidentifikationsrisiko, Schutzmaßnahmen für internationale Übermittlungen und Mechanismen zur Wahrung der Betroffenenrechte bewerten. Der DSB muss die DSFA prüfen und genehmigen.
Eine rechtskonforme Implementierung erfordert: Integration eines TCF v2.2-zertifizierten CMP mit ID5 als Vendor 131 und vollständiger Zweckoffenlegung; Sicherstellung, dass die ID5-API-Initialisierung von einer gültigen TC-Zeichenkette mit Einwilligung für Zwecke 1, 3 und 4 abhängt; Erstellung und Dokumentation einer vom DSB genehmigten DSFA; Aktualisierung der Cookie-Richtlinie und Datenschutzerklärung; Implementierung des ID5-Opt-out-Mechanismus; und Pflege der VVT-Einträge für die ID5-Verarbeitungstätigkeit.
Kontextbezogene Werbung erfordert keine persistente Kennung und ist ohne Einwilligung vollständig DSGVO- und ePrivacy-konform. Serverseitige First-Party-Identitätslösungen für authentifizierte Nutzersitzungen ermöglichen Personalisierung innerhalb eines einzelnen Publishers ohne seitenübergreifende Weitergabe. Andere Cookie-freie Identitätsframeworks wie Unified ID 2.0 oder RampID erfordern ebenfalls eine Einwilligung. ID5 mit rigorosem Einwilligungsmanagement bleibt eine valide Option, wenn personalisierte Werbung eine Geschäftsanforderung ist.
Die Cookie-Richtlinie muss einen dedizierten Eintrag für das Cookie id5id enthalten mit Angaben zu: Cookie-Name und Domain (id5-sync.com), 90-tägiger Laufzeit, Zweck (seitenübergreifende Werbekennung), Identität des Verantwortlichen (ID5 Technology SAS), Weitergabe der Kennung an programmatische Partner einschließlich solcher außerhalb des EWR, sowie dem Recht der Nutzer, die Einwilligung zu widerrufen und sich über id5.io/privacy abzumelden. Die Richtlinie muss vor dem ID5-Einsatz aktualisiert werden.