Gefahr für Werbenetzwerke: Wie legal ist das Tracking von Online-Nutzern?

Dürfen Websites ohne weiteres Daten von Websurfern an Werbenetzwerke weiterreichen? Die französische Datenschutzaufsicht CNIL weist einen französischen Werbenetzbetreiber in die Schranken und versetzt damit die internationale Online-Werbewirtschaft in Aufregung.

Ein Bericht von Christiane Schulzki-Haddouti veröffentlicht am 14. Dezember 2018, 9:35 Uhr

Auch ohne die E-Privacy-Verordnung könnte das Nutzertracking schwieriger werden. (Bild: Pixabay)

Welche Auswirkungen hat die EU-Datenschutzgrundverordnung (DSGVO) auf das Tracking von Internetnutzern? Eine erste Entscheidung, mit möglicherweise weitreichenden Folgen, hat inzwischen die französische Datenschutzaufsicht CNIL in dieser Frage getroffen. Demnach muss das französische Werbenetzwerk Vectaury sein System, mit dem es die Einwilligungen von Nutzern einholt und an Werbetreibende weiterreicht, gründlich überholen. Die CNIL hält das System nicht für DSGVO-konform. Vectaury betreibt ein Werbenetzwerk, das im Auftrag von Werbetreibenden Online-Werbeflächen auf verschiedenen Websites und Plattformen bucht.

Das Unternehmen bietet seinen Werbekunden ein Software Development Kit (SDK) an, mit dem diese über ihre Apps Informationen über das Gerät, den Browser und den Aufenthaltsort des Nutzers erheben können. Auf Basis der Daten werden Nutzerprofile erstellt, auf die Werbekampagnen zugeschnitten werden können. Die Datenerhebung soll dabei so genau sein, dass die Bewegungen von Nutzern in Ladenlokalen gemessen werden können, um zu überprüfen, wie die Online-Kampagnen erfolgreich sind.

Unzulässige Vermischung von App- und Werbefunktionen

Die Kritikpunkte der CNIL sorgen in der Werbewirtschaft für Aufsehen. Die Datenschutzaufsicht verlangt nämlich nicht nur eine konsistente Handhabung beim Einholen und Durchreichen von Einwilligungen an Dritte, sondern auch deutlich mehr Transparenz für den Nutzer. Sie fordert von Vectaury nun, die rechtswidrig erhobenen Daten zu löschen und innerhalb von drei Monaten folgende Mängel zu beseitigen:

Information über Standortdaten kommt zu spät: Die CNIL kritisiert, dass die Geodaten von der App standardmäßig erfasst werden. Nutzer, die dies über die Einstellungen ändern wollten, würden zu vorab angekreuzten Optionen geleitet. Doch genau dies beschreibt die DSGVO in Erwägungsgrund 32 des Artikel 7 als ungültige Einwilligung. Die CNIL bemängelt deshalb, dass die Nutzer "nicht systematisch" bereits beim Herunterladen der App darüber informiert werden, dass ein SDK ihre Standortdaten sammelt.

Appfunktionen und Datenweiterleitungen für Werbezwecke müssen getrennt werden: Die CNIL kritisiert, dass Nutzer die App nicht verwenden können, ohne dass das SDK deaktiviert ist. Die untrennbare Verbindung von App und SDK führe automatisch zur Übertragung der Daten an Vectaury. Werbetreibende müssen Nutzer aufklären: Die CNIL verlangt, dass die Unternehmen, die gezielt Werbung über das Werbenetzwerk schalten wollen, den Nutzer darüber informieren, welche weiteren Empfänger seine Daten erhalten.

Transparenz über AGB reicht nicht: Die Nutzer werden "zum Zeitpunkt der Installation" nicht über den Werbezweck sowie über die Identität der verantwortlichen Datenverarbeiter informiert. Laut CNIL genügt es nicht, den Nutzer über die AGB zu informieren. Eine informierte Einwilligung erfordere eine vorhergehende Information.

Entscheidung mit internationaler Sprengkraft

Die Entscheidung zieht inzwischen international Kreise: Vectaury hatte als Lösung des Einwilligungsproblems die Consent-Management-Plattform des internationalen Dachverbands Interactive Advertising Bureau (IAB) vorgeschlagen und implementiert. Mit der Lösung wird die Einwilligung an jeden im Werbenetzwerk beteiligten Werbetreibenden durchgereicht. Doch auch damit zeigte sich die CNIL nicht zufrieden, da die Informationen an den Nutzer immer noch "unzureichend" seien.