Noyb: Keine Betroffenenrechte bei Microsofts Xandr

19. Juli 2024

Personalisierte Werbung ist ein wesentliches Instrument des Online-Marketings. Allerdings steht dieses auch regelmäßig im Konflikt mit dem Datenschutzrecht. Die jüngste Beschwerde von noyb gegen Microsofts Xandr vom 09.07.2024 wirft dem Werbeunternehmen vor, praktisch keine Betroffenenrechte zu gewähren. Außerdem seien die verarbeiteten Daten häufig nicht korrekt.

Personalisierte Werbung

Die digitale Werbebranche basiert auf der Sammlung und Analyse von Nutzerdaten, um gezielte Werbung zu ermöglichen. Real Time Bidding (RTB) Plattformen wie Xandr spielen hierbei eine zentrale Rolle, indem sie Werbeflächen in Echtzeit versteigern. Doch die Einhaltung der Datenschutzbestimmungen stellt eine erhebliche Herausforderung dar, wie der aktuelle Fall Xandr zeigt. Das verdeutlichte erst kürzlich der EuGH, in dem er entschied, dass die in diesem Verfahren regelmäßig verwendeten TC-Strings als personenbezogene Daten zu werten seien.

Wie Xandr funktioniert

Xandr, eine Tochtergesellschaft von Microsoft, sammelt und teilt im Rahmen von RTB persönliche Daten von Millionen Europäern für gezielte Werbung. Über Xandr können Werbetreibende Werbeflächen auf Webseiten und in Apps völlig automatisiert erwerben. Hierfür sammelt das Unternehmen zunächst große Mengen personenbezogener Daten, um im Anschluss anhand der Benutzerprofile innerhalb von Sekunden über einen Algorithmus den Ersteigerern den geeigneten Werbeplatz zu zuteilen. Laut der Pressemitteilung von noyb umfassen die Daten oft sensible Informationen wie Gesundheitszustand, sexuelle Orientierung oder religiöse Ausrichtung.

Rechtliche Schritte durch noyb

Die Bürgerrechtsorganisation noyb wirft dem Werbeunternehmen verschiedene Verstöße gegen die Datenschutzgrundverordnung (DSGVO) vor. Deshalb hat die Datenschutzorganisation nun eine Beschwerde bei der italienischen Datenschutzbehörde (Garante) eingereicht. Die Vorwürfe betreffen Transparenzprobleme, das Auskunftsrecht und die Verwendung ungenauer Informationen. Noyb fordert, dass Xandr seine Praktiken an die DSGVO anpasst und schlägt empfindliche Geldstrafen vor. Zudem empfiehlt noyb der Datenschutzbehörde eine Anordnung über die Datenminimierung zu erlassen.

Mangelhafte Beantwortung von DSGVO-Anfragen

Vorrangig wirft noyb Xandr vor, DSGVO-Anfragen mit einer Quote von 0 % zu erfüllen. Eine interne Statistik von Xandr belege, dass sowohl Auskunfts- (Art. 15 DSGVO) als auch Löschanfragen (Art. 17 DSGVO) nicht beachtet werden. Auch noybs Beschwerdeführer hätten eine solche Ablehnung erhalten. Xandr habe als Grund hierfür angegeben, dass man ihn nicht identifizieren konnte. Noyb zweifelt dies an. Vielmehr hätte das „Unternehmen alle notwendigen Informationen, um eine“ konkrete Person zu identifizieren“. Individuen zu bestimmen und personalisierte Werbung für sie zu ermöglichen sei „immerhin ihr Kerngeschäft“.

Unzutreffende und widersprüchliche Nutzerdaten

Neben den Rechten auf Auskunft- und Löschung, bestimmt Art. 5 Abs. 1 lit. d DSGVO auch, dass die gespeicherten Informationen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen. Noyb behauptet, dass die von Xandr gespeicherten Daten teilweise ungenau und widersprüchlich sind. Dies habe man aus einer Anfrage bei emetriq schließen können. Danach enthielten Nutzerprofile fehlerhafte Angaben zu ein und der selben Person, wie etwa sowohl die Angabe, dass man weiblich als auch männlich ist. Diese Ungenauigkeiten würden nicht nur das Konzept der gezielten Werbung untergraben und Nachteile für die Kunden darstellen, sondern seien auch ein Verstoß gegen die DSGVO-Vorgaben zur Datenrichtigkeit.

Fazit

Falls der Vorwurf von noyb, dass Microsofts Xandr tatsächlich keine Betroffenenrechte gewährt, zutrifft, könnte dies weitreichende Auswirkungen auf die Branche haben. Der Fall illustriert jedenfalls die Herausforderungen, die mit der Einhaltung der Datenschutzbestimmungen im Online-Marketing verbunden sind. Zunächst bleibt abzuwarten, wie die Entscheidung der Datenschutzbehörde ausfallen wird.