Mit Urteil vom 07.03.2024 (C-604/22) hat der EuGH Fragen zur Auslegung der DS-GVO im Zusammenhang mit der Verwendung von „Transparency and Consent Strings“ geklärt.
Sachverhalt
Der Entscheidung liegt ein Vorabentscheidungsantrag des Appellationshofs Brüssel zugrunde, der über einen Rechtstreit zwischen IAB Europe, einem Branchenverband von Unternehmen der europäischen digitalen Werbe- und Marketingindustrie, und der belgischen Datenschutzbehörde wegen verschiedener Datenschutzverstöße zu entscheiden hatte.
Die IAB Europe hatte das sog „Transparency & Consent Framework“ (TCF) entwickelt. Hierbei handelt es sich um einen Regelungsrahmen, der aus Richtlinien, Anweisungen, technischen Spezifikationen, Protokollen und vertraglichen Verpflichtungen besteht, die es Websiteanbietern, Datenbrokern und Werbeplattformen ermöglichen sollen, personenbezogene Daten des Nutzers einer Website oder Anwendung datenschutzkonform zum Real Time Bidding, einem System der sofortigen und automatisierten Online-Versteigerung von Nutzerprofilen für den Verkauf und den Kauf von Werbeplätzen im Internet, mittels OpenRTB-Protokoll zu nutzen, um personalisierte Werbung an den Nutzer zu richten.
Da die Anzeige personalisierter Werbung die Einwilligung des Nutzers erfordert, erscheint beim Aufruf der Website eine sog. „Consent Management Platform“. Der Nutzer hat sodann die Möglichkeit, dem Anbieter der Website seine Einwilligung zur Erhebung und Verarbeitung seiner personenbezogenen Daten für vorher festgelegte Zwecke, wie u. a. Marketing oder Werbung, oder zum Austausch dieser Daten mit bestimmten Anbietern zu geben. Zugleich kann er verschiedenen Arten der Datenverarbeitung oder dem Austausch von Daten aufgrund der von den Anbietern geltend gemachten berechtigten Interessen widersprechen.
Die vom Nutzer ausgewählten Präferenzen werden anschließend in einem String kodiert und gespeichert. Dieser von IAB Europe als „Transparency and Consent String“ (TC-String) bezeichnete String wird mit den an dem OpenRTB-Protokoll beteiligten Brokern für personenbezogene Daten und Werbeplattformen geteilt, damit diese wissen, worin der Nutzer eingewilligt oder wogegen er Widerspruch eingelegt hat. Die „Consent Management Platform“ speichert auch ein Cookie (Euconsent‑v2) auf dem Gerät des Nutzers. Miteinander kombiniert, können der TC‑String und das Cookie der IP‑Adresse dieses Nutzers zugeordnet werden.
Seit 2019 gingen bei der Datenschutzbehörde mehrere Beschwerden gegen IAB Europe sowohl aus Belgien als auch aus Drittländern ein, die sich auf die Vereinbarkeit des TCF mit der DS-GVO bezogen. Nach Prüfung der Beschwerden vertrat die Datenschutzbehörde die Auffassung, IAB Europe handele in Bezug auf die Erfassung der Einwilligung, der Ablehnung und der Präferenzen einzelner Nutzer mittels eines TC‑Strings, der einem identifizierbaren Nutzer zugeordnet sei, als Verantwortlicher. Im Übrigen verpflichtete die Datenschutzbehörde IAB Europe dazu, die Verarbeitung personenbezogener Daten im Rahmen des TCF mit den Bestimmungen der DS-GVO in Einklang zu bringen, und verhängte gegen IAB Europe mehrere Abhilfemaßnahmen sowie eine Geldbuße.
Hiergegen richtet sich die Klage der IAB Europe.
Das vorlegende Gericht hegte Zweifel, ob ein TC‑String – gegebenenfalls in Kombination mit einer IP‑Adresse – als personenbezogenes Datum zu qualifizieren sei und ob IAB Europe als Verantwortlicher zu qualifizieren sei. Vor diesem Hintergrund setzte das Gericht das Verfahren aus und legte dem EuGH mehrere Fragen zur Vorabentscheidung vor.
Entscheidung des EuGH
Der EuGH antwortet dem Appellationshof wie folgt:
1. Art. 4 Nr. 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)
ist dahin auszulegen, dass
eine aus einerKombination von Buchstaben und Zeichen bestehende Zeichenfolge wie der TC‑String (Transparency and Consent String), die die Präferenzen eines Internetnutzers oder Nutzers einer Anwendung in Bezug auf dessen Einwilligung in die Verarbeitung der ihn betreffenden personenbezogenen Daten durch Anbieter von Websites oder Anwendungen sowie durch Datenbroker und Werbeplattformen enthält, ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt, soweit sie, wenn sie mit vertretbarem Aufwand einer Kennung wie insbesondere der IP‑Adresse des Geräts dieses Nutzers zugeordnet werden kann, es erlaubt, die betreffende Person zu identifizieren. Unter diesen Umständen schließt der Umstand, dass eine Branchenorganisation, die im Besitz dieser Zeichenfolge ist, ohne einen Beitrag von außen weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch diese Zeichenfolge mit anderen Elementen kombinieren kann, nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt.
2. Art. 4 Nr. 7 und Art. 26 Abs. 1 der Verordnung 2016/679
sind dahin auszulegen, dass
- zum einen eine Branchenorganisation, soweit sie ihren Mitgliedern einen von ihr aufgestellten Regelungsrahmen in Bezug auf die Einwilligung im Bereich der Verarbeitung personenbezogener Daten anbietet, der nicht nur verbindliche technische Vorschriften enthält, sondern auch Vorschriften, die detailliert festlegen, wie personenbezogene Daten, die diese Einwilligung betreffen, gespeichert und verbreitet werden müssen, als „gemeinsam Verantwortlicher“ im Sinne dieser Bestimmungen einzustufen ist, wenn sie unter Berücksichtigung der besonderen Umstände des vorliegenden Falles aus Eigeninteresse auf die betreffende Verarbeitung personenbezogener Daten Einfluss nimmt und damit gemeinsam mit ihren Mitgliedern die Zwecke der und die Mittel zur betreffenden Verarbeitung festlegt. Der Umstand, dass eine solche Branchenorganisation selbst keinen unmittelbaren Zugang zu den von ihren Mitgliedern innerhalb dieses Regelungsrahmens verarbeiteten personenbezogenen Daten hat, schließt nicht aus, dass sie ein gemeinsam Verantwortlicher im Sinne dieser Bestimmungen sein kann;
- zum anderen sich die gemeinsame Verantwortlichkeit dieser Branchenorganisation nicht automatisch auf die Weiterverarbeitung personenbezogener Daten durch Dritte, wie beispielsweise Anbieter von Websites oder Anwendungen, erstreckt, was die Nutzerpräferenzen für gezielte Online-Werbung betrifft.
Im Ergebnis bestätigt der EuGH damit die Einschätzung der belgischen Datenschutzbehörde zur Qualifizierung des TC-Strings (wenn dieser einer IP-Adresse zugeordnet werden kann) als personenbezogenes Datum und zur datenschutzrechtlichen Verantwortlichkeit des Branchenverbandes. Die gemeinsame Verantwortlichkeit des Branchenverbandes erstreckt sich jedoch nicht automatisch auf die weitere Verarbeitung durch Dritte.
Aufgrund der weiten Verbreitung des TCF wird die Entscheidung des EuGH weitreichende Auswirkungen auf die Bereitstellung personalisierter Werbung haben. Die Folgeentscheidung des Appellationshofs im wiedereröffneten Berufungsverfahren darf deshalb mit Spannung erwartet werden.
Quelle: EuGH, Urteil vom 07.03.2024, Rs. C- 604/22, ECLI:EU:C:2024:214
