EuGH: Bei Anwendung von „Transparency and Consent Strings“ (TC-String) werden personenbezogene Daten verarbeitet.

Worum geht es in dem Urteil des Europäischen Gerichtshofs (EuGH) vom 7. März 2024?

Ingo Kaiser: Der Europäische Gerichtshof beschäftigte sich in seinem Urteil (Az. C-604/22) mit der Thematik der Datenverarbeitung für personalisierte Werbung. Dabei wurde festgestellt, dass bei der Verwendung von „Transparency and Consent Strings“ (TC-String) personenbezogene Daten verarbeitet werden. Der Gerichtshof betonte, dass die Entwicklerin dieses Verfahrens gemäß der Datenschutzgrundverordnung (DSGVO) als Verantwortliche anzusehen ist.

Was war der Hintergrund des Verfahrens?

Ein belgisches Gericht hatte ein Vorabentscheidungsverfahrens vorgelegt. Das Interactive Advertising Bureau Europe (IAB), eine Organisation, die europäische Werbeunternehmen vertritt, hatte Klage eingereicht. Die belgische Datenschutzbehörde hatte Maßnahmen sowie ein Bußgeld gegen das IAB verhängt. Begründet wurde dies damit, dass das IAB gemäß der Datenschutz-Grundverordnung (DSGVO) verantwortliche Stelle sei und gegen die Bestimmungen der DSGVO verstoßen habe.

Könnten Sie das bitte konkretisieren.

Natürlich. Hierzu kurz Grundlegendes zur DSGVO: Bevor eine Website personalisierte Werbung für Nutzer:innen anzeigen darf, muss sie gemäß der DSGVO deren Einwilligung zur Sammlung und Nutzung ihrer Daten für spezifische Zwecke einholen. Diese Daten könnten beispielsweise Informationen über den Standort, das Alter, die Suchhistorie oder kürzlich getätigte Einkäufe umfassen. In der Regel dient die Datenverarbeitung dem Zweck der Werbung oder dem Austausch mit anderen Anbietern. Nutzer:innen haben dann aber auch das Recht, der Sammlung und Verarbeitung ihrer Daten zu widersprechen.

Und wie kommt nun hier die Werbebranche bzw das „Interactive Advertising Bureau Europe“ ins Spiel?

Das „Transparency and Consent Framework“ (TCF) wurde vom IAB entwickelt, um einen Rahmen bereitzustellen, der es ermöglicht, personalisierte Werbung gemäß der DSGVO zu integrieren. Zur praktischen Umsetzung dieses Rahmens bietet das IAB zudem eine „Consent Management Platform“ (CMP) an. Diese Plattform ist ein Werkzeug, mit dem Websites die Zustimmung zur Verarbeitung personenbezogener Daten einholen können.

Und hier setzt das Gericht an?

Ja. Die CMP des IAB arbeitet so: Die Präferenzen der Nutzer:innen einer Website werden in einem codierten String gespeichert, der als „Transparency and Consent String“ (TC-String) bekannt ist. Dieser String besteht aus einer Mischung von Buchstaben und Zeichen. IAB teilt diesen String mit Datenmaklern und Werbeplattformen, um ihnen mitzuteilen, welche Zustimmungen oder Widersprüche die jeweiligen Nutzer:innen erteilt haben. Zusätzlich wird auf den Geräten der Nutzer:innen ein Cookie gespeichert. Durch die Kombination des TC-Strings und des Cookies kann der jeweiligen IP-Adresse ein Nutzer zugeordnet werden. Damit stellt der String nun laut EuGH ebenfalls ein personenbezogenes Datum im Sinne der DSGVO dar. Die Informationen im String ermöglichen nämlich die Erstellung eines Nutzerprofils und die Identifizierung der Person, da sie einer Kennung wie der IP-Adresse des Geräts zugeordnet werden können.

Das IAB muss aber doch, um verurteilt zu werden, auch „verantwortlich im Sinne der DSGVO sein“?

Genau. Zusätzlich betrachtet der Europäische Gerichtshof IAB Europe als gemeinsam Verantwortlichen gemäß Artikel 26 der DSGVO. Die Organisation wird als beeinflussend für die Verarbeitung personenbezogener Daten angesehen, insbesondere wenn sie die Einwilligungspräferenzen der Nutzer:innen in einem TC-String speichert. IAB legt zusammen mit den Mitgliedern, die das Verfahren nutzen, sowohl die Zwecke als auch die Mittel der Datenverarbeitung fest. Allerdings hat der EuGH dieser Verantwortlichkeit auch eine Grenze gesetzt: Nach der Speicherung der Einwilligungspräferenzen ist IAB nur dann im Sinne der DSGVO verantwortlich, wenn sie nachweislich auch Einfluss auf die Weiterverarbeitung der Daten hat.