DSGVO: Endspiel um Nutzertracking und Cookiebanner
Seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) bevölkern lästige Popup-Fenster fast alle Websites von Unternehmen und Verlagen. Über meist irreführende farbige Zustimm-Buttons holen sich Google und andere Online-Werbetreibende von den Nutzern ihre Einwilligung für Werbe-Targeting ein: Jeder soll die Werbung erhalten, die genau zu den eigenen Vorlieben und Surfgewohnheiten passt. Dazu werden auch sensible Daten zu Sexualität, Ethnizität und politischer Haltung erhoben und weitergereicht.
Die Basis dafür ist ein Rahmenwerk der Branchenorganisation IAB Europe. Gegen dieses hatten vor mehr als zwei Jahren ein Dutzend Bürgerrechtsorganisationen in Europa Beschwerde bei den Datenschutzbehörden eingereicht. Nun steht die Entscheidung an.
Johnny Ryan vom Irish Council for Civil Liberties, der 2018 die Beschwerde eingeleitet hatte, sieht darin bereits den Sieg. In einer Pressemitteilung(öffnet im neuen Fenster) schreibt er: "Wir haben gewonnen." Hunderte Millionen Europäer seien von der Online-Werbebranche und ihrem Verband IAB ihrer Grundrechte beraubt worden.
Das Online-Auktionssystem der Werbeindustrie (Real Time Bidding – RTB) wertet für personalisierte Anzeigen das Verhalten von Internetnutzern minutiös aus und verfolgt ihre Standorte. Ryan kritisiert: "RTB ist die größte jemals registrierte Datenschutzverletzung. Es gibt keine Möglichkeit, Daten in diesem kostenlosen Angebot zu schützen."
IAB geht in die Offensive
Die erwartete Entscheidung ist so brisant, dass die Branchenorganisation IAB Europe selbst in die Offensive ging und sie als erste verkündete(öffnet im neuen Fenster). Mit ihrem 2018 eingerichteten IAB Europe Transparency & Consent Framework (TCF) glaubte die IAB, alle Anforderungen der DSGVO erfüllen zu können. Dennoch erwartet sie, dass die belgische Datenschutzbehörde ihr Rahmenwerk für Online-Werbung als Verstoß gegen die DSGVO werten wird.
Die belgische Datenschutzbehörde hatte gegenüber IAB Europe angekündigt, ihren Entscheidungsentwurf in den kommenden zwei bis drei Wochen in einem Konsultationsverfahren an andere europäische Datenschutzbehörden weiterzuleiten. Diese haben dann innerhalb des sogenannten One-Stop-Shop-Verfahrens 30 Tage Zeit, ihn zu prüfen. Danach kann die Behörde eine endgültige Entscheidung treffen oder die Angelegenheit dem Europäischen Datenschutzausschuss (EDSA) vorlegen, falls die Ansichten zu sehr auseinandergehen.
Stellen die Datenschutzbehörden einen Verstoß gegen die DSGVO fest, muss IAB Europa innerhalb von sechs Monaten unter Aufsicht der belgischen Behörde die Verstöße beheben. Sie kann auch gegen die Entscheidung klagen.
IAB streitet nach wie vor Verantwortlichkeit ab
Die IAB vermutet mit Blick auf Richtlinien verschiedener Aufsichtsbehörden, dass die Datenschutzbehörde die IAB als Verantwortliche für die Datenverarbeitung bestimmter "digitaler Signale" sieht, die auf Websites erstellt werden, um Werbung personalisiert ausspielen zu können.
Bei den Signalen handelt es sich um die Identifikationscodes, die zu jedem Nutzer erstellt werden. Dabei geht es darum, die Entscheidung der Betroffenen über die Verarbeitung ihrer Daten für Online-Werbung zu erfassen. Da die IAB aber nicht unmittelbar über diese digitalen Signale verfügt und diese auch nicht verarbeitet, sieht sie sich auch nicht als Verantwortliche.
"Google und die gesamte Tracking-Branche verlassen sich auf das Zustimmungssystem von IAB Europe, das sich nun als illegal herausstellt", sagt Ryan. Die IAB sei sehr wohl mit Tausenden von Online-Werbefirmen gemeinsam verantwortlich und haftbar.
Die IAB kündigte dennoch an, gemeinsam mit der Aufsichtsbehörde an einem Aktionsplan arbeiten zu wollen, um eine Genehmigung für das Rahmenwerk als einen länderübergreifenden Verhaltenskodex zu erhalten. Dagegen klagen will sie offenbar erstmal nicht. Mit ihrer Offensive erinnert sie jedoch die beteiligten Datenschutzbehörden kurz vor der endgültigen gemeinsamen Entscheidung noch einmal an ihren Standpunkt.
Datenschutzbehörden werden die Rechtsauffassung der belgischen Behörde kommentieren
Dem Bundesdatenschutzbeauftragten liegt der Entwurf aus Belgien noch nicht vor. Mehrere deutsche Aufsichtsbehörden hatten bei einer Massenbeschwerde mehrerer Bürgerrechtsorganisation 2019 ebenfalls Beschwerden erhalten.
Zum Sachverhalt haben sich die Aufsichtsbehörden bislang gegenüber den Beschwerdeführern nicht geäußert. Jede Behörde kann nun eine eigene Stellungnahme nach Belgien schicken, erklärte der Bundesdatenschutzbeauftragte Golem.de. Diese Stellungnahmen sollen untereinander abgestimmt werden, dennoch kann jede Behörde zusätzlich einen eigenen Einspruch formulieren. Eine Federführung innerhalb der deutschen Behörden gibt es nicht, weshalb auch kein Beschluss der Datenschutzkonferenz (DSK) von Bund und Ländern notwendig sein wird.
Ursprünglich lag die Federführung des Verfahrens bei der britischen Datenschutzaufsicht CIO, nach dem Brexit ging diese auf die belgische Behörde über, da IAB Europe seinen Sitz in Brüssel hat.
- Anzeige Hier geht es zu den aktuellen Blitzangeboten bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.