„Werbung ist teuer, keine Werbung ist noch teurer.“ (Paolo Bulgari, Geschäftsmann und Schmuckdesigner).
Ganz nach diesem Prinzip gewinnt das programmatische Kaufen und Bereitstellen von verhaltensorientierter Werbung im Internet immer mehr an Bedeutung. Auch Google nutzt das Konzept des sogenannten „Programmatic Advertising“ für seine Produktkampagnen.
Der private Web-Browser-Hersteller Brave Software Inc. hat Beschwerden gegen Google, genauer dessen Produkte Open RTB and Authorized Buyers, bei mehreren britischen und irischen Datenschutzbehörden eingereicht, da das Geschäftsmodell der „Verhaltenswerbung“ nach Ansicht von Brave verschiedenen Vorschriften der Datenschutz-Grundverordnung (DSGVO) zuwiderlaufe. Darüber hinaus forderte der Antragsteller die Datenschutzbehörden auf, gemeinsame Maßnahmen einschließlich gemeinsamer Untersuchungen und gemeinsamer Durchsetzungsmaßnahmen im Hinblick auf diese Praxis gemäß Art. 62 DSGVO durchzuführen. Sollten die Datenschutzbehörden diesem Antrag nachkommen, wäre dies das erste Mal, dass eine gemeinsame Kontrollmaßnahme nach Art. 62 GDPR durchgeführt würde.
Was ist „Programmatic Advertising“ und wie funktioniert das verhaltensorientierte Onlinewerbung?
Programmatic Advertising bezeichnet den automatisierten Einkauf von Werbeflächen auf Webseiten in Echtzeit. Auf Basis vorliegender gesammelter Nutzerdaten werden gezielt auf den Nutzer zugeschnittene Werbebanner oder Werbespots ausgespielt. Die Individualisierung der Werbebanner geschieht dabei über einen Auktionsprozess, das sog. „Real-Time-Bidding“. Nach der Überprüfung der Nutzerrelevanz für die Kampagne des Werbetreibenden erhält der Höchstbietende den Zuschlag und darf sein Werbebanner auf der Webseite platzieren.
Zur Veranschaulichung:
Datenschutzrechtliche Relevanz?
Personenbezogene Daten sind für ein Programmatic Advertising essenziell. „Jedes Mal, wenn eine personalisierte Anzeige angezeigt wird, werden intime Daten über den Nutzer an Dutzende oder Hunderte von Firmen gesendet“, schreibt Brave-Manager Johnny Ryan. Dazu gehören unter anderem die IP-Adresse des Betroffenen, Cookie-IDs, technische Parameter des verwendeten Geräts und die Art der abgerufenen Inhalte.
Ryan nennt das Geschäft mit persönlicher Werbung eine „datenschutzfreie Zone“. Auf den „Echtzeitmarktplätzen“, auf denen die Werbeplätze gehandelt werden, würden laut Beschreibung Ryans Daten an einem großen Kreis von Werbedienstleistern weitergegeben, ohne dass hier ausreichend Kontrolle darüber herrsche, was mit diesen Daten passiert. Zudem wird bezweifelt, dass die Kunden ausreichend über das Ausmaß und die Folgen der Datenweitergaben informiert sind.
Vorliegend relevante Vorschriften der DSGVO sind daher Art. 5 Abs. 1 lit. a und f DSGVO, der eine besondere Sorgfalt bei der Verarbeitung persönlicher Daten verlangt; Art. 6 DSGVO, der die Voraussetzungen nennt, unter denen eine rechtmäßige Verarbeitung personenbezogener Daten erfolgen sollte; Art. 9 DSGVO, der die besondere Zustimmung der Betroffenen zur Verarbeitung ihrer sensibler Daten erfordert; Art. 22 DSGVO, welcher Hürden bei der automatisierten Verarbeitung solcher Daten aufstellt, Art. 25 DSGVO, welcher Anforderungen an datenschutzfreundliche Voreinstellungen stellt sowie Art. 13 und 14 DSGVO, die eine umfassende Informationspflicht bei Erhebung der Daten gegenüber dem Betroffenen vorsehen.
Aussicht:
Gegenüber Heise Online hat Google auf Anfrage zur Beschwerde geäußert, man habe den Datenschutz und die Sicherheit von Anfang an in die Produkte integriert und sich dazu verpflichtet, den Bedingungen der Datenschutz-Grundverordnung zu entsprechen. Auf die eigenen Datenschutz-Tools für Nutzer wurde verwiesen.
Ein vehementes Veto gegen die eingereichten Beschwerden legte IAB Europe (führender europäischer Branchenverband für digitale Werbung) ein. Die Beschwerden seien fehlerhaft und würden ein fundamental falsches Verständnis des europäischen Datenschutzrechts aufweisen. Es verstoße nicht gegen das Gesetz, persönliche Daten in Echt-Auktionen zu verwenden, wenn die Teilnehmer DSGVO-konform handeln würden.
Es handelt sich um einen durchaus interessanten Fall, der eine EU-weite Untersuchung der Praktiken der Ad-Tech-Industrie unter Anwendung von Artikel 62 DSGVO auslösen kann und folglich von erheblicher Relevanz für das Online-Marketing Geschäft ist. Wir gehen davon aus, dass troz allem nicht mit einer zeitnahen Entscheidung gerechnet werden kann, da die europäischen Datenschutzbehörden derzeit mit Beschwerden überhäuft werden und es bis zur Entscheidung vor Gericht mitunter Jahre dauern kann. Es bleibt jedoch zu hoffen, dass eine schnellere Entscheidung im Hinblick auf die Bedeutung des Falles, getroffen werden wird.