Personalisierte Werbung: EuGH untermauert Probleme mit Cookie-Bannern

Der Europäische Gerichtshof (EuGH) hat die Regeln für Versteigerung von personenbezogenen Informationen für gezielte Online-Werbung per Real Time Bidding (RTB) auf Basis der Datenschutz-Grundverordnung (DSGVO) erläutert. Stein des Anstoßes ist mit dem Transparency & Consent Framework (TCF) der zentrale Standard hinter Cookie-Bannern. Über das Rahmenwerk wird ein potenzielles Einverständnis in die Datenverarbeitung für personalisierte Reklame weitergegeben. Sobald Nutzer bei einem Cookie-Banner auf "Akzeptieren" klicken, wird ein sogenannter TC-String erzeugt und an alle Partner geschickt, die auf das sogenannte OpenRTB-System setzen. Auf Basis dieser Zeichenkombination werden unter Einbezug eines Cookies und der IP-Adresse Nutzerprofile erstellt, die als Grundlage für Echtzeit-Werbeauktionen dienen.

Die belgische Datenschutzbehörde APD erklärte das vom Verband IAB Europe entwickelte TCF 2022 auf Basis der DSGVO für unzulässig und verhängte ein Bußgeld von 250.000 Euro. Die Branchenvereinigung klagte dagegen vor dem Appellationshof Brüssel, der dem EuGH Fragen zu dem Fall vorlegte. Die Luxemburger Richter bestätigen mit ihrem am Donnerstag verkündeten Urteil in der Rechtssache C-604/22 nun die APD-Auffassung, dass der TC-String Informationen über einen identifizierbaren Nutzer enthält und so ein personenbezogenes Datum im Sinne der DSGVO darstellt. Ferner hat der EuGH festgestellt, dass IAB Europe als "gemeinsam Verantwortlicher" im Sinne der DSGVO anzusehen ist.

Todesstoß für die Tracking-basierte Werbeindustrie?

Die Organisation scheine nämlich bei der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String auf die Verarbeitungen personenbezogener Daten Einfluss zu nehmen und gemeinsam mit ihren Mitgliedern sowohl die Zwecke als auch die zugrunde liegenden Mittel festzulegen, führt der Gerichtshof aus. Dies müsse der Appellationshof aber noch nachweisen. Die Brüsseler Kollegen sollen zudem untersuchen, ob IAB Europe auch als gemeinsamer Verantwortlicher zusammen mit den TCF-Teilnehmern rund um die nachfolgende Datenverarbeitung zur Verfolgung der TCF-Zwecke angesehen werden, also etwa das Ausspielen digitaler Werbung, Zielgruppenmessung oder Personalisierung. Die belgischen Datenschützer waren davon zunächst ausgegangen.

Der IAB Europe sieht sich als kleiner, nicht gewinnorientierter Verband außerstande, die Datenverarbeitung für alle Empfänger der Werbeinformationen zu übernehmen. Dabei geht es um Hunderte Firmen, die wiederum teils eigene Banner-Netzwerke betreiben. Johnny Ryan von der irischen Bürgerrechtsorganisation ICCL, die zu den Beschwerdeführern gehört, wertet die EuGH-Klarstellungen als großen Erfolg: Die Entscheidung werde "die größte Spam-Aktion der Geschichte beenden" und der "Tracking-basierten Werbebranche eine tödliche Wunde zufügen".

Der IAB Europe gibt sich dagegen nach außen hin gelassen und will das angerufene Brüsseler Gericht zunächst seine Arbeit weiter verrichten lassen. Bis dahin gelte die Aussetzung des APD-Beschlusses weiter. Der EuGH habe TCF-basierte Cookie-Banner nicht pauschal als illegal eingestuft. Die aktuelle, unter anderem von Google verlangte TCF-Version besagt etwa, dass der Widerruf der Einwilligung genauso einfach sein muss wie die Zustimmung.

(mho)