Online-Plattformen: Werbetreibende stehen nach EuGH-Urteil vor neuer Herausforderung
Frankfurt. Der Europäische Gerichtshof hat mit einem aktuellen Urteil den Datenschutz im Zusammenhang mit personalisierter Onlinewerbung gestärkt.
Internetnutzer kennen das: Sobald sie sich für bestimmte Produkte interessieren oder diese kaufen, bekommen sie in der Folge Werbung angezeigt, die auf sie zugeschnitten ist. Das heißt, der eine Besucher einer bestimmten Webseite bekommt andere Angebote angezeigt als ein anderer, selbst wenn dieser zur gleichen Zeit auf derselben Seite stöbert.
Möglich machen das bestimmte Abläufe, die schnell und unbemerkt im Hintergrund ablaufen: Wenn ein Besucher der Nutzung von Cookies – das sind kleine Textdateien, die zu Marketingzwecken auf seinem Rechner gespeichert werden – zustimmt, münden dessen persönliche Dateien in einem sogenannten „Transparency and Consent String“ kurz TC-String.
Dieser sieht aus wie ein Code aus Buchstaben und Zahlen und enthält Informationen einmal zur Einwilligungsentscheidung – „Consent“ – des Webnutzers sowie darüber, welche Anbieter die Einwilligung erhalten haben und zu welchem Zweck sie diese verwenden dürfen.
Bieterverfahren in Echtzeit
Gemeinsam mit dem Cookie auf dem Rechner des Internetnutzers ermöglicht der TC-String dessen Identifizierung. Transparent gemacht werden etwa das Alter, der Standort und vor allem das Nutzungs- und Kaufverhalten. Entwickelt hat diesen TC-String der in Belgien beheimatete Verband Interactive Advertising Bureau (IAB), der ohne Gewinnerzielungsabsicht agiert. Dort versammeln sich zahlreiche Unternehmen der digitalen und Marketingindustrie.
Die Strings nutzen Broker für personenbezogene Daten und Werbeplattformen – diese verdienen ihr Geld mit dem Verkauf von Werbeplätzen. Diese werden im Verfahren des „Realtime-Biddings“, das heißt im Bieterverfahren in Echtzeit, vertrieben. Werbetreibende müssen blitzschnell zuschlagen, um sich die freien Werbeplätze auf dem Bildschirm des Nutzers zu sichern.
Anlass für das Verfahren vor dem Europäischen Gerichtshof bot eine Vorlage des Appellationshofes in Brüssel. Dort setzt sich aktuell der IAB gegen einen Bußgeldbescheid der belgischen Datenschutzbehörde zur Wehr, 250.000 Euro soll der Verband zahlen. 2022 hatte die Behörde den Personenbezug der TC-Strings im Sinne der Datenschutzgrundverordnung (DSGVO) festgestellt und im IAB Europe den Verantwortlichen für das Inverkehrbringen identifiziert.
Neben dem Bußgeld hatte die Behörde zudem Abhilfemaßnahmen verlangt. Die Begründung lautete: Nicht alle einschlägigen Vorschriften der DSGVO seien eingehalten worden. Mit dem aktuellen Urteil bestätigt der EuGH, dass der TC-String Informationen über einen identifizierbaren Nutzer enthält und somit ein personenbezogenes Datum im Sinne der DSGVO darstellt.
Einflussnahme nachweisen
Der IAB Europe sei zudem „gemeinsam Verantwortlicher“ im Sinne der Verordnung. Vorbehaltlich der vom Appellationshof in Brüssel vorzunehmenden Prüfungen scheine diese Organisation bei der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String auf die Verarbeitung personenbezogener Daten Einfluss zu nehmen und gemeinsam mit den Verbandsmitgliedern die Zwecke der Verarbeitung und die ihnen zugrunde liegenden Mittel festzulegen.
Allerdings schränkt der EuGH ein, dass die Einflussnahme auf die Festlegung der Zwecke und Modalitäten der Weiterverarbeitung seitens des Verbandes konkret nachgewiesen werden muss. Das nun ist Aufgabe des Appellationshofes in Brüssel.
Mit dem Urteil stellt der EuGH klar, dass die bisherige Praxis der personenbezogenen Werbung im Netz mit TC-String, Cookie und im Echtzeitbieterverfahren nicht mit den Vorschriften der DSGVO übereinstimmt. Das stellt Werbetreibende vor eine große Herausforderung.
Alexander Pradka ist leitender Redakteur der Fachzeitschrift „In-house Counsel“. Dieser Artikel stammt aus der Kooperation zwischen dem Handelsblatt und der Fachzeitschrift.