Insbesondere im Bereich des Real Time Biddings wird es immer wichtiger, dem Nutzer gezielte Werbung anzuzeigen. Bevor jedoch solche Werbung angezeigt werden kann, muss die vorherige Einwilligung des Nutzers zur Verarbeitung seiner Daten eingeholt werden.
Um dieses Erfordernis zur gezielten Werbung mit der DSGVO in Einklang bringen zu können, entwickelte die IAB Europe – ein Verband mit Sitz in Belgien, der Unternehmen der digitalen Werbe- und Marketingindustrie auf europäischer Ebene vertritt – eine Lösung in Form des „Transparency and Consent String“ (TC-String). Dieser String besteht aus kodierten und anschließend gespeicherten Nutzerpräferenzen in Kombination aus Buchstaben und Zeichen.
Ziel des Strings ist es, Nutzerpräferenzen in kodierter Form mit Brokern für personenbezogene Daten und verschiedenen Werbeplattformen zu teilen und anschließend gezielte Werbung anzeigen zu können.
Problematisch ist jedoch, dass auf dem Gerät des Nutzers auch ein Cookie gespeichert wird, welcher sich in Kombination mit dem TC-String der IP-Adresse des Nutzers zuordnen lässt.
Aufgrund dessen stellte die belgische Datenschutzbehörde 2022 fest, dass der TC-String ein personenbezogenes Datum im Sinne der DSGVO darstelle und dass IAB Europe als Verantwortlicher aufgetreten sei, ohne die Vorschriften der DSGVO vollständig einzuhalten. Die Behörde verhängte gegen IAB Europe mehrere Abhilfemaßnahmen sowie eine Geldbuße.
Als Folge focht IAB Europe diese Entscheidung an.
Nun bestätigte jedoch auch der Gerichtshof, dass der TC-String ein personenbezogenes Datum im Sinne der DSGVO darstellt. Anhand der in einem TC-String enthaltenden Informationen über einen identifizierbaren Nutzer kann nämlich ein Profil dieses Nutzers erstellt werden und die betroffene Person identifiziert werden.
Die IAB Europe könne – unabhängig von etwaiger im nationalen Recht vorgesehener zivilrechtlicher Haftung – jedoch nur dann als im Sinne der DSGVO verantwortlich gesehen werden, wenn nachgewiesen werden kann, dass dieser Verband Einfluss auf die Festlegung der Zwecke und Modalitäten dieser Weiterverarbeitungen ausgeübt hat.
Die Pressemitteilung des EuGH vom 08. März 2024 finden Sie hier.
