Der EuGH hat ein wesentliches Element des Systems zur Nutzereinwilligung bei Echtzeit-Auktionen um Werbeplätze ("Real Time Bidding") auf Internetseiten, den "TC-String" zur Übermittlung der Einwilligung, als personenbezogenes Datum eingestuft. Das könnte für die Branche erhebliche Folgen haben.
Beim Real Time Bidding können Werbetreibende über Broker in einer Echtzeit-Auktion nutzerprofilbasiert Werbeplätze auf aufgerufenen Websites ersteigern, um zielgerichtete Anzeigen einzublenden. Bevor die Werbung ausgespielt wird, muss aber die Einwilligung des Nutzers in die Datenverarbeitung eingeholt werden.
Dies geschieht in Cookie-Bannern, in denen der Nutzer der Verarbeitung auch widersprechen oder bestimmte Zwecke festlegen kann. Koordiniert wird dies vom Interessenverband IAB Europe, der Unternehmen der digitalen Werbe- und Marketingindustrie auf europäischer Ebene vertritt. Dessen "Transparency & Consent Framework" soll dafür sorgen, dass das Real Time Bidding im Einklang mit der DS-GVO steht. Die über die Cookie-Banner erfassten Nutzerpräferenzen werden in einem "Transparency and Consent String" (TC-String), einer Zeichenkette, gespeichert, die mit Datenbrokern und Werbeplattformen geteilt wird, damit diese wissen, worin der Nutzer eingewilligt oder wogegen er Widerspruch eingelegt hat. Miteinander kombiniert, können der TC-String und der auf dem Gerät des Nutzers gespeicherte Cookie dessen IP-Adresse zugeordnet werden.
Die belgische Datenschutzbehörde stufte den TC-String als ein personenbezogenes Datum im Sinn der DS-GVO und IAB Europe als "Verantwortlichen" ein. Die Behörde verhängte gegen IAB Europe eine Geldbuße und verpflichtete den Verband zur Abhilfe. IAB Europe focht diese Entscheidung beim Appellationshof Brüssel an, der den EuGH anrief.
IAB Europe ist "gemeinsamer Verantwortlicher"
Der EuGH hat die Einstufung des TC-Strings als personenbezogenes Datum bestätigt, da der String Informationen über einen identifizierbaren Nutzer enthalte. Denn anhand der Informationen im TC-String könne ein Profil des Nutzers erstellt und dieser identifiziert werden, wenn sie der IP-Adresse des Nutzergeräts zugeordnet werden (Urteil vom 07.03.2024 - C-604/22).
Auch sei IAB Europe als "gemeinsam Verantwortlicher" im Sinn der DS-GVO anzusehen. Denn der Verband scheine "bei der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String auf die Verarbeitungen personenbezogener Daten Einfluss zu nehmen und gemeinsam mit ihren Mitgliedern sowohl die Zwecke dieser Verarbeitungen als auch die ihnen zugrunde liegenden Mittel festzulegen." Für an die Speicherung der Einwilligungspräferenzen der Nutzer im TC-String anschließende Datenverarbeitungen könne der Verband aber nur dann "verantwortlich" sein, wenn nachgewiesen werden könne, dass er die Festlegung der Zwecke und Modalitäten dieser Weiterverarbeitungen beeinflusst hat (Urt. v. 7.3.2024 - C-604/22).
Aus der Datenbank beck-online
Baumgartner/Hansch, Onlinewerbung und Real-Time-Bidding, ZD 2020, 435