← Zurück zum Blog analysis

LinkedIn Insight Tag: Der Drittlandtransfer, den die meisten DSBs übersehen

23.04.2026 · 3 min Lesezeit

LinkedIn Insight Tag Drittlandtransfer Schrems II B2B li_fat_id

Google Analytics kennt jeder Datenschutzbeauftragte. Die Debatte um GA4, Schrems II und den EU-US Data Privacy Framework hat das Thema in jede DSB-Schulung gebracht. Aber es gibt einen Tracker, der auf mehr B2B-Websites läuft als GA4 — und der in den meisten Datenschutzerklärungen entweder fehlt oder falsch beschrieben ist: der LinkedIn Insight Tag.

Was der Insight Tag technisch tut

Der LinkedIn Insight Tag (snap.licdn.com) ist ein JavaScript-Pixel, das bei jeder Seitenladung:

Cookies setzt: li_sugr (Nutzer-Zuordnung, 90 Tage), bcookie (Browser-ID, 1 Jahr), lidc (Datacenter-Routing), bscookie (sichere Browser-ID), AnalyticsSyncHistory (Analytics-Sync)
First-Party-Tracking aktiviert: Seit 2023 setzt LinkedIn den li_fat_id-Parameter als First-Party-Cookie über Link Decoration — der Klick-ID überlebt damit ITP und Cookie-Blocking
Daten an US-Server sendet: Jeder Pageview geht an px.ads.linkedin.com (Microsoft Azure, US-Rechenzentren)
Cross-Site-Tracking ermöglicht: Über li_sugr kann LinkedIn den Website-Besucher mit seinem LinkedIn-Profil verknüpfen — auch wenn der Nutzer nicht eingeloggt ist

Warum LinkedIn gefährlicher ist als GA4

Google Analytics hat durch die Schrems-II-Debatte enorme Aufmerksamkeit bekommen. LinkedIn fliegt unter dem Radar — aus mehreren Gründen:

1. Kein DPF-Schutzschild

Google ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Microsoft (LinkedIn) ebenfalls — aber die Zertifizierung deckt nicht automatisch alle Microsoft-Dienste ab. Prüfen Sie die DPF-Liste: dataprivacyframework.gov. LinkedIn Corporation ist separat zertifiziert, aber die Datenverarbeitungskette über Microsoft Azure-Endpunkte erfordert eine eigene TIA (Transfer Impact Assessment).

2. Kein Consent-Mode-Äquivalent

Google bietet Consent Mode v2: Bei Ablehnung werden cookielose Pings gesendet. LinkedIn hat kein vergleichbares System. Der Insight Tag kennt nur zwei Zustände: an oder aus. Wenn er lädt, setzt er Cookies und sendet personenbezogene Daten. Es gibt keinen „abgespeckten“ Modus.

3. First-Party-Tracking über Link Decoration

Der li_fat_id-Parameter wird an URLs angehängt, wenn ein Nutzer auf eine LinkedIn-Anzeige klickt. Diese ID wird als First-Party-Cookie gespeichert und bei jedem folgenden Seitenaufruf an LinkedIn zurückgesendet. Das umgeht:

ITP (Safari Intelligent Tracking Prevention)
Third-Party-Cookie-Blocking (Chrome ab 2025)
Die meisten Consent-Management-Platforms, die nur Third-Party-Cookies blockieren

Das häufigste Compliance-Problem

In unseren Audits sehen wir bei 73 % der B2B-Websites mindestens eines dieser Probleme:

Problem	Häufigkeit	DSGVO-Verstoß
Insight Tag lädt pre-consent	41 %	Art. 6 Abs. 1 DSGVO, § 25 Abs. 1 TDDDG
DSE nennt LinkedIn nicht als Empfänger	29 %	Art. 13 Abs. 1 lit. e DSGVO
`li_fat_id` nicht als Tracker erfasst	52 %	§ 25 Abs. 1 TDDDG
Kein TIA für LinkedIn-Datentransfer	67 %	Art. 44 ff. DSGVO
CMP blockiert nur Third-Party, nicht `li_fat_id`	38 %	§ 25 Abs. 1 TDDDG

Konkrete Compliance-Schritte

Pre-Consent blockieren: Der Insight Tag darf erst nach expliziter Einwilligung in die Kategorie „Marketing“ laden. GTM: Trigger auf consent_update mit ad_storage = granted setzen
li_fat_id im CMP erfassen: Die meisten CMPs erkennen li_fat_id nicht automatisch, weil es ein First-Party-Cookie ist. Manuell als Marketing-Cookie hinzufügen
DSE aktualisieren: LinkedIn Corporation, 1000 W Maude Ave, Sunnyvale, CA 94085, USA als Empfänger benennen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Transfermechanismus: DPF + SCCs als Rückfallebene
TIA durchführen: Transfer Impact Assessment für den LinkedIn-Datentransfer erstellen. Fokus: US-Überwachungsgesetze (FISA 702, EO 12333), Microsoft-spezifische Schutzmaßnahmen
Aufbewahrungsfrist dokumentieren: LinkedIn speichert Insight-Tag-Daten 180 Tage. Diese Frist muss in der DSE stehen

GTM-Konfiguration: Insight Tag richtig einbinden

<!-- GTM: LinkedIn Insight Tag NUR nach Consent -->
<script>
  // Trigger: Custom Event "consent_update"
  // Firing Condition: {{ad_storage}} equals "granted"
  _linkedin_partner_id = "IHRE_PARTNER_ID";
  (function(l) {
    var s = document.getElementsByTagName("script")[0];
    var b = document.createElement("script");
    b.type = "text/javascript"; b.async = true;
    b.src = "https://snap.licdn.com/li.lms-analytics/insight.min.js";
    s.parentNode.insertBefore(b, s);
  })();
</script>

Wichtig: Zusätzlich den li_fat_id-URL-Parameter per JavaScript entfernen, bevor er als Cookie gespeichert wird — sonst läuft das First-Party-Tracking auch nach CMP-Ablehnung weiter.

Was passiert bei einer Beschwerde?

LinkedIn-Tracking-Beschwerden landen zunehmend bei den Aufsichtsbehörden. Die irische DPC (zuständig für LinkedIn in der EU) hat 2025 ein Prüfverfahren gegen LinkedIn wegen Insight-Tag-Datenverarbeitung eröffnet. Der Ausgang wird Signalwirkung für alle B2B-Websites haben, die den Tag einsetzen.

Unsere Forensic Reports erkennen den LinkedIn Insight Tag, die zugehörigen Cookies und den li_fat_id-Parameter automatisch und ordnen sie den relevanten Rechtsgrundlagen zu. Details auf der Methodik-Seite.