DSGVO: Endspiel um Nutzertracking und Cookiebanner

Wie legal sind Echtzeit-Auktionen für verhaltensbasierte Internetwerbung? Dazu startet nun die letzte Entscheidungsrunde der Datenschutzbehörden.

Ein Bericht von Christiane Schulzki-Haddouti veröffentlicht am 9. November 2021, 16:45 Uhr

Fällt bald der Hammer für die Echtzeit-Versteigerung von Werbeplätzen? (Bild: Pixabay)

Seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) bevölkern lästige Popup-Fenster fast alle Websites von Unternehmen und Verlagen. Über meist irreführende farbige Zustimm-Buttons holen sich Google und andere Online-Werbetreibende von den Nutzern ihre Einwilligung für Werbe-Targeting ein: Jeder soll die Werbung erhalten, die genau zu den eigenen Vorlieben und Surfgewohnheiten passt. Dazu werden auch sensible Daten zu Sexualität, Ethnizität und politischer Haltung erhoben und weitergereicht.

Die Basis dafür ist ein Rahmenwerk der Branchenorganisation IAB Europe. Gegen dieses hatten vor mehr als zwei Jahren ein Dutzend Bürgerrechtsorganisationen in Europa Beschwerde bei den Datenschutzbehörden eingereicht. Nun steht die Entscheidung an.

Johnny Ryan vom Irish Council for Civil Liberties, der 2018 die Beschwerde eingeleitet hatte, sieht darin bereits den Sieg. In einer Pressemitteilung schreibt er: "Wir haben gewonnen." Hunderte Millionen Europäer seien von der Online-Werbebranche und ihrem Verband IAB ihrer Grundrechte beraubt worden.

Das Online-Auktionssystem der Werbeindustrie (Real Time Bidding - RTB) wertet für personalisierte Anzeigen das Verhalten von Internetnutzern minutiös aus und verfolgt ihre Standorte. Ryan kritisiert: "RTB ist die größte jemals registrierte Datenschutzverletzung. Es gibt keine Möglichkeit, Daten in diesem kostenlosen Angebot zu schützen."

IAB geht in die Offensive

Die erwartete Entscheidung ist so brisant, dass die Branchenorganisation IAB Europe selbst in die Offensive ging und sie als erste verkündete. Mit ihrem 2018 eingerichteten IAB Europe Transparency & Consent Framework (TCF) glaubte die IAB, alle Anforderungen der DSGVO erfüllen zu können. Dennoch erwartet sie, dass die belgische Datenschutzbehörde ihr Rahmenwerk für Online-Werbung als Verstoß gegen die DSGVO werten wird.

Die belgische Datenschutzbehörde hatte gegenüber IAB Europe angekündigt, ihren Entscheidungsentwurf in den kommenden zwei bis drei Wochen in einem Konsultationsverfahren an andere europäische Datenschutzbehörden weiterzuleiten. Diese haben dann innerhalb des sogenannten One-Stop-Shop-Verfahrens 30 Tage Zeit, ihn zu prüfen. Danach kann die Behörde eine endgültige Entscheidung treffen oder die Angelegenheit dem Europäischen Datenschutzausschuss (EDSA) vorlegen, falls die Ansichten zu sehr auseinandergehen.

Stellen die Datenschutzbehörden einen Verstoß gegen die DSGVO fest, muss IAB Europa innerhalb von sechs Monaten unter Aufsicht der belgischen Behörde die Verstöße beheben. Sie kann auch gegen die Entscheidung klagen.