[et_pb_section fb_built=“1″ _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_row _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.18.0″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text _builder_version=“4.18.0″ _module_preset=“default“ hover_enabled=“0″ global_colors_info=“{}“ sticky_enabled=“0″]<\/p>\n
EuGH-Entscheidung vom 7.3.2024, Rechtssache C\u2011604\/22<\/p>\n
<\/p>\n
Sachverhalt:<\/strong><\/p>\n IAB Europe ist ein belgischer Verband, der Unternehmen der digitalen Werbe- und Marketingindustrie vertritt. Zu seinen Mitgliedern geh\u00f6ren Unternehmen, die durch den Verkauf von Werbepl\u00e4tzen auf Websites oder in Anwendungen (Applikationen) hohe Einnahmen erzielen.<\/p>\n IAB\u00a0Europe entwickelte das \u201eTransparency & Consent Framework<\/em>\u201c, das einen Regelungsrahmen darstellt, der es erm\u00f6glichen soll, personenbezogene Daten rechtm\u00e4\u00dfig unter Einhaltung der DSGVO zu verarbeiten. Insbesondere dann, wenn diese Unternehmen das\u00a0OpenRTB\u00a0nutzen, dh eines der am meisten verwendeten Protokolle f\u00fcr\u00a0Real Time Bidding<\/em>, einem System der sofortigen und automatisierten Online-Versteigerung von Nutzerprofilen f\u00fcr den Verkauf und den Kauf von Werbepl\u00e4tzen im Internet<\/strong>. Beim Real Time Bidding k\u00f6nnen Unternehmen \u00fcber Broker in Echtzeit-Auktionen nutzerprofilbasiert Werbepl\u00e4tze auf aufgerufenen Websites ersteigern, um zielgerichtete Anzeigen einzublenden.<\/span><\/p>\n Bevor eine solche gezielte Werbung angezeigt wird, muss die vorherige Einwilligung des Nutzers<\/strong> eingeholt werden. So erscheint ein Cookie-Banner, \u00fcber das der Nutzer der Verarbeitung widersprechen oder bestimmte Zwecke festlegen kann. Diese personenbezogenen Daten betreffen insbesondere den Standort des Nutzers, sein Alter, den Verlauf seiner Suchanfragen und seine zuletzt get\u00e4tigten Eink\u00e4ufe.<\/p>\n Die Nutzerpr\u00e4ferenzen werden in einem aus einer Kombination von Buchstaben und Zeichen bestehenden String kodiert und gespeichert, der als \u201eTransparency and Consent String\u201c (TC-String)<\/strong> bezeichnet wird und der mit Brokern f\u00fcr personenbezogene Daten und Werbeplattformen geteilt wird, damit diese wissen, worin der Nutzer eingewilligt oder wogegen er Widerspruch eingelegt hat. Auf dem Ger\u00e4t des Nutzers wird auch ein Cookie gespeichert. Miteinander kombiniert, k\u00f6nnen der TC-String und das Cookie der IP-Adresse dieses Nutzers zugeordnet werden.<\/p>\n Bei der belgischen Datenschutzbeh\u00f6rde gingen mehrere Beschwerden gegen IAB\u00a0Europe ein.\u00a0\u00a0Die Datenschutzbeh\u00f6rde stellte fest, dass der TC-String ein personenbezogenes Datum im Sinne der DSGVO darstelle. Der Hof van beroep te Brussel (Appellationshof Br\u00fcssel) beschloss, das Verfahren auszusetzen und dem EuGH zur Vorabentscheidung vorzulegen.<\/p>\n <\/p>\n Entscheidung:<\/strong><\/p>\n Art.\u00a04 Nr.\u00a01 DSGVO definiert \u201epersonenbezogene Daten\u201c<\/strong> als \u201ealle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen<\/em>\u201c. Als identifizierbar wird eine nat\u00fcrliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identit\u00e4t dieser nat\u00fcrlichen Person sind, identifiziert werden kann. Der Begriff \u201epersonenbezogene Daten\u201c erfasst nicht nur die von dem Verantwortlichen erhobenen und gespeicherten Daten<\/strong>, sondern auch alle Informationen \u00fcber eine identifizierte oder identifizierbare Person, die aus einer Verarbeitung personenbezogener Daten resultieren<\/strong> (siehe EuGH-Entscheidung HIER im Blog<\/a>). Soweit die Verkn\u00fcpfung<\/strong> einer aus einer Kombination von Buchstaben und Zeichen bestehenden Zeichenfolge, wie des TC\u2011Strings, mit zus\u00e4tzlichen Daten, insbesondere der IP\u2011Adresse des Ger\u00e4ts<\/strong> eines Nutzers oder anderen Kennungen, die Identifizierung dieses Nutzers erm\u00f6glicht<\/strong>, ist davon auszugehen, dass der TC\u2011String Informationen \u00fcber einen identifizierbaren Nutzer enth\u00e4lt und somit ein personenbezogenes Datum im Sinne von Art.\u00a04 Abs.\u00a01 DSGVO darstellt, was durch den 30.\u00a0Erw\u00e4gungsgrund der DSGVO best\u00e4tigt wird.<\/p>\n Der EuGH kam also zu dem Ergebnis, dass der TC-String Informationen \u00fcber einen identifizierbaren Nutzer enth\u00e4lt und somit ein personenbezogenes Datum im Sinne der DSGVO darstellt<\/strong>. Anhand der enthaltenen Informationen kann n\u00e4mlich, wenn sie einer Kennung wie insbesondere der IP-Adresse des Ger\u00e4ts des Nutzers zugeordnet werden, ein Profil dieses Nutzers erstellt und die betreffende Person identifiziert werden.<\/p>\n Der Begriff \u201eVerantwortlicher\u201c<\/strong> wird in Art.\u00a04 Nr.\u00a07 DSGVO weit definiert als nat\u00fcrliche oder juristische Person, Beh\u00f6rde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen \u00fcber die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der EuGH kam zu dem Ergebnis, dass IAB Europe als \u201egemeinsam Verantwortlicher\u201c im Sinne der DSGVO anzusehen<\/strong> ist. IAB Europe scheint bei der Speicherung der Einwilligungspr\u00e4ferenzen der Nutzer in einem TC-String auf die Verarbeitungen personenbezogener Daten Einfluss zu nehmen<\/strong> und gemeinsam mit ihren Mitgliedern sowohl die Zwecke dieser Verarbeitungen als auch die ihnen zugrunde liegenden Mittel festzulegen<\/strong>.<\/p>\n Allerdings kann, unbeschadet einer etwaigen im nationalen Recht vorgesehenen zivilrechtlichen Haftung, IAB Europe f\u00fcr Datenverarbeitungen, die nach der Speicherung der Einwilligungspr\u00e4ferenzen der Nutzer in einem TC-String erfolgen, nur dann als im Sinne der DSGVO verantwortlich angesehen werden, wenn nachgewiesen werden kann, dass dieser Verband Einfluss auf die Festlegung der Zwecke und Modalit\u00e4ten dieser Weiterverarbeitungen ausge\u00fcbt hat.<\/p>\n <\/p>\n Link zur Entscheidung<\/a><\/p>\n Link zur Pressemitteilung<\/a><\/p>\n <\/p>\n Weitere Blog-Beitr\u00e4ge zum Thema Datenschutzrecht:<\/strong><\/p>\n EuGH: Keine Bagatellgrenze f\u00fcr immateriellen Schaden infolge DSGVO-Versto\u00df. Jedoch Nachweis erforderlich, dass immaterieller Schaden tats\u00e4chlich entstanden ist.<\/a><\/p>\n EuGH: Datenschutzverletzung allein begr\u00fcndet nicht Unangemessenheit von Sicherheitsma\u00dfnahmen. Bef\u00fcrchtung eines Datenmissbrauchs kann immateriellen Schaden darstellen.<\/a><\/p>\n EuGH zu den Praktiken der deutschen Wirtschaftsauskunftei SCHUFA (\u201eScoring\u201c sowie mehrj\u00e4hrige Datenspeicherung).<\/a><\/p>\n EuGH zu DSGVO-Geldbu\u00dfen: Versto\u00df muss schuldhaft begangen worden sein. H\u00f6he richtet sich nach weltweitem Jahresumsatz.<\/a><\/p>\n EuGH: DSGVO gew\u00e4hrt Recht auf Auskunft \u00fcber Zeitpunkt und Grund f\u00fcr Abfrage personenbezogener Daten. Jedoch zumeist keine Auskunft \u00fcber konkreten Arbeitnehmer, der die Abfrage vornimmt.<\/a><\/p>\n Immaterieller Schadenersatz bei Verst\u00f6\u00dfen gegen die DSGVO? Versto\u00df allein gen\u00fcgt nicht. Schaden erforderlich. Aber: Keine \u201eErheblichkeitsschwelle\u201c.<\/a><\/p>\n EuGH: Recht auf \u201eKopie\u201c von verarbeiteten personenbezogenen Daten = Ausfolgung originalgetreuer und verst\u00e4ndlicher Reproduktion aller dieser Daten.<\/a><\/p>\n