EuGH: Klarheit zu personalisierter Werbung
Cookie-Banner und das damit verbundene Tracking sind nicht nur nervig, sondern beachten auch regelmäßig nicht sämtliche Datenschutzvorschriften. So hat erst letzten Monat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in einer anlasslosen Untersuchung die deutliche Mehrheit der geprüften Cookie-Banner als rechtswidrig eingestuft. In einer Entscheidung vom 07.03.2024 hat nun der EuGH Klarheit zu Tracking und personalisierter Werbung geschaffen. Er befasst sich unteranderem mit dem Begriff von personenbezogenen Daten und dem gemeinsamen Verantwortlichen. Das Urteil betrifft insbesondere das Real Time Bidding (RTB) und die Rolle von IAB Europe beim Ausspielen von personalisierter Werbung.
Real Time Bidding
RTB ist ein automatisierter Prozess im Bereich der Online-Werbung, bei dem Anzeigenplätze in Echtzeit versteigert werden. Wenn ein Nutzer eine Webseite oder eine App aufruft, auf der Werbeplätze verfügbar sind, findet eine anonyme Auktion statt, an der verschiedene Werbetreibende, Datenbroker und Werbeplattformen teilnehmen. Diese bieten in Echtzeit auf den Werbeplatz. Dabei werden umfangreiche Daten über den Nutzer, wie sein Surfverhalten, seine Interessen und demografische Merkmale, verwendet, um die Anzeigen möglichst zielgerichtet zu gestalten. Der Höchstbietende erhält dann den Werbeplatz und seine Anzeige wird innerhalb von Millisekunden auf der Webseite oder in der App des Nutzers angezeigt.
Datenschutzrechtliche Relevanz von RTB
Das Anzeigen solcher ersteigerten personalisierten Werbung bedarf jedoch das Vorliegen einer Einwilligung des Nutzers zur Verwendung seiner personenbezogenen Daten nach Art. 6 Abs. 1 lit. a i. V. m. Art. 7 DSGVO. Die Einwilligung muss sich auf die Verwendung der Daten zu Marketing oder Werbezwecken, insbesondere zur Übergabe der Daten an die Mitbieter, beziehen. Dem kann der Nutzer allerdings auch widersprechen.
Der Lösungsansatz vom IAB
Um das Einwilligungsdilemma bei Versteigerungen im Sinne der DSGVO zu lösen, hat sich das Interactive Advertising Bureau Europe (IAB Europe) ein bestimmtes Werkzeug auf ihrer „Consent Management Platform“ (CMP) ausgedacht. IAB Europe ist ein belgischer Unternehmerverband ohne Gewinnerzielungsabsicht der europäischen Werbe- und Marketingindustrie. Der Lösungsansatz besteht darin, dass auf der CMP ein sogenannter „Transparency and Consent String” (TC-String) erstellt wird. In dem TC-String, der sich aus einer Mischung von Buchstaben und Zeichen zusammensetzt, werden die Nutzerpräferenzen gespeichert. Dieser String wird an die Bietenden geschickt, damit sie Kenntnis darüber Erlangen, in welchem Rahmen eine Einwilligung vorliegt. Wie die Pressemitteilung (abrufbar hier) des Gerichtshofs erklärt, wird gleichzeitig „auf dem Gerät des Nutzers […] ein Cookie gespeichert“.
Bewertung der belgischen Datenschutzbehörde
Die belgische Datenschutzbehörde hat im Februar 2022 den Lösungsansatz von IBA Europe als unzulässig gewertet. Zunächst sei der TC-String ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO. Dabei ist nach Ansicht der belgischen Datenschutzbehörde IAB Europe als Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO zu sehen, der mit dem neuen Verfahren Datenschutzvorschriften verletze. Insbesondere sei vielen Nutzern nicht bewusst, dass sie mit einer Einwilligung dem täglich mehrmaligen Verkauf ihrer Daten zustimmen. Infolgedessen verhängte die Datenschutzbehörde ein Bußgeld in Höhe von 250.000 €.
Entscheidung des Gerichts
IAB Europe wehrte sich gegen die Behörde mittels Klage beim Appellationshof Brüssel. Dieser reichte am 19.09.2022 beim EuGH ein Vorabentscheidungsersuchen ein.
Der EuGH schließt sich in seinem Urteil (C-604/22) der Behörde an und wertet den TC-String ebenfalls als personenbezogenes Datum. Eine Identifizierung der betroffenen Person sei etwa mittels der IP-Adresse möglich.
Im Übrigen handle es sich bei IAB Europe um einen gemeinsam Verantwortlichen gemäß Art. 4 Nr. 7 DSGVO i. V. m. Art. 26 Abs. 1 S. 1 DSGVO. Das ergebe sich daraus, dass IAB Europe sowohl Einfluss bezüglich der Datenverarbeitung als auch bezüglich der gemeinsamen Festlegung der Zwecke und Mittel habe. Jedoch liege für sämtliche Datenverarbeitungen, die nach der „Speicherung der Einwilligungspräferenzen im TC-String erfolgen“, eine Verantwortlichenstellung nur vor, wenn auch hier weiterhin eine Einflussmöglichkeit besteht.
Stellungnahmen zum Urteil
Bürgerrechtsorganisationen begrüßen die Entscheidung. Der irische Council für Civil Liberties (ICCL) weißt in seiner Stellungnahme auf die weitrechenden Auswirkungen des Urteils hin, da Google, Amazon, Microsoft, TikTok und viele andere Plattform den IAB-Dienst nutzen würden. Johnny Ryan vom ICCL ist der Meinung, dass dies der „Online-Tracking-basierten Werbeindustrie“ eine „tödliche Wunde“ verpasst, die endlich Werbespam beendet.
Auch IAB Europe begrüßt nach außen hin die Entscheidung des EuGH, da sie lang überfällige Klarheit zu personalisierter Werbung schafft. Insgesamt wolle man nun zunächst auf die finale Entscheidung des Brüsseler Appellationshof warten.
Fazit
Für Unternehmer und Nutzer ist wichtig zu wissen, dass das noch laufende Verfahren vor dem belgischen Gericht weiterhin die Entscheidung der belgischen Datenschutzbehörde suspendiert. Nun kommt es vor allem auf die abschließende Bewertung an. Auch wenn das Urteil des EuGH nicht zwangsläufig die vollständige Unzulässigkeit von Cookie-Bannern und personalisierter bedeutet, hat die Entscheidung insgesamt jedoch weitreichende Konsequenzen. Unternehmen sollten die Entwicklung aufmerksam verfolgen und ihre Datenschutzmaßnahmen entsprechend anpassen, um den rechtlichen Anforderungen gerecht zu werden.
