IAB streitet nach wie vor Verantwortlichkeit ab

Die IAB vermutet mit Blick auf Richtlinien verschiedener Aufsichtsbehörden, dass die Datenschutzbehörde die IAB als Verantwortliche für die Datenverarbeitung bestimmter "digitaler Signale" sieht, die auf Websites erstellt werden, um Werbung personalisiert ausspielen zu können.

Bei den Signalen handelt es sich um die Identifikationscodes, die zu jedem Nutzer erstellt werden. Dabei geht es darum, die Entscheidung der Betroffenen über die Verarbeitung ihrer Daten für Online-Werbung zu erfassen. Da die IAB aber nicht unmittelbar über diese digitalen Signale verfügt und diese auch nicht verarbeitet, sieht sie sich auch nicht als Verantwortliche.

"Google und die gesamte Tracking-Branche verlassen sich auf das Zustimmungssystem von IAB Europe, das sich nun als illegal herausstellt", sagt Ryan. Die IAB sei sehr wohl mit Tausenden von Online-Werbefirmen gemeinsam verantwortlich und haftbar.

Die IAB kündigte dennoch an, gemeinsam mit der Aufsichtsbehörde an einem Aktionsplan arbeiten zu wollen, um eine Genehmigung für das Rahmenwerk als einen länderübergreifenden Verhaltenskodex zu erhalten. Dagegen klagen will sie offenbar erstmal nicht. Mit ihrer Offensive erinnert sie jedoch die beteiligten Datenschutzbehörden kurz vor der endgültigen gemeinsamen Entscheidung noch einmal an ihren Standpunkt.

Datenschutzbehörden werden die Rechtsauffassung der belgischen Behörde kommentieren

Dem Bundesdatenschutzbeauftragten liegt der Entwurf aus Belgien noch nicht vor. Mehrere deutsche Aufsichtsbehörden hatten bei einer Massenbeschwerde mehrerer Bürgerrechtsorganisation 2019 ebenfalls Beschwerden erhalten.

Zum Sachverhalt haben sich die Aufsichtsbehörden bislang gegenüber den Beschwerdeführern nicht geäußert. Jede Behörde kann nun eine eigene Stellungnahme nach Belgien schicken, erklärte der Bundesdatenschutzbeauftragte Golem.de. Diese Stellungnahmen sollen untereinander abgestimmt werden, dennoch kann jede Behörde zusätzlich einen eigenen Einspruch formulieren. Eine Federführung innerhalb der deutschen Behörden gibt es nicht, weshalb auch kein Beschluss der Datenschutzkonferenz (DSK) von Bund und Ländern notwendig sein wird.

Ursprünglich lag die Federführung des Verfahrens bei der britischen Datenschutzaufsicht CIO, nach dem Brexit ging diese auf die belgische Behörde über, da IAB Europe seinen Sitz in Brüssel hat.