Beschwerde zu verhaltensbasierter Werbung mündet in ungewöhnlichem DSK-Beschluss

Der kurze Beschluss befasst sich jedoch – entgegen seiner Überschrift – nicht mit den inhaltlichen bzw. materiell-rechtlichen Aspekten dieser Beschwerde, sondern lediglich mit der Zuständigkeit und den Voraussetzungen ihrer Zulässigkeit. Insbesondere prüft die DSK, ob die Anforderungen gemäß Art. 77 DSGVO gegeben sind. Des Weiteren bestimmt sie, dass zunächst nur „Google“ Beschwerdegegner ist (nicht hingegen das IAB Europe), ohne jedoch die genaue juristische Person von Google zu benennen. Die Beschwerde solle laut Beschluss, soweit sie sich gegen Google richtet, zunächst an den Hamburgischen Beauftragten weitergeleitet werden.

Unabhängig von der Tatsache, dass es überhaupt sehr unüblich ist, dass bei Einreichen einer Beschwerde ein Beschluss der DSK öffentlich ergeht, bleiben Sinn und Zweck desselben unklar; es finden sich auch keine offiziellen Hintergrundinformationen. Insbesondere widerspricht ein solcher Beschluss eigentlich dem grundsätzlichen Verständnis der DSK von ihrem Aufgabenbereich. In der Geschäftsordnung heißt es nämlich: Die DSK fördert den Datenschutz und verständigt sich auf gemeinsame Positionen der Datenschutzaufsichtsbehörden des Bundes und der Länder. Dies geschieht namentlich durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen, Stellungnahmen, Pressemitteilungen und Festlegungen. […] Beschlüsse sind Positionen, die die Auslegung datenschutzrechtlicher Regelungen bzw. entsprechende Empfehlungen betreffen. In dem Beschluss werden jedoch weder datenschutzrechtliche Regelungen ausgelegt, noch Empfehlungen gegeben. Auch lässt sich dieser „Beschluss“ nicht als Stellungnahme, Entschließung oder Orientierungshilfe interpretieren.

Zudem verwundert es, dass die DSK die Voraussetzungen nach Art. 77 DSGVO prüft und als gegeben ansieht sowie den Verantwortlichen bzw. Beschwerdegegner festlegt, obwohl sie gar keine Aufsichtsbehörde gemäß Art. 4 Nr. 21 DSGVO darstellt. Insbesondere wird in der Beschwerde darauf hingewiesen, dass eine entsprechende Beschwerde bereits beim irischen Datenschutzbeauftragten erhoben wurde. Fraglich erscheint daher, ob sie überhaupt befugt ist, diese Voraussetzungen zu prüfen und festzustellen.

Zur Beschwerde

Die Beschwerde wurde von 5 Mitgliedern des „Netzwerkes Datenschutzexpertise“ bei einigen deutschen Datenschutzaufsichtsbehörden eingereicht.  Bei diesem Netzwerk handelt es sich um einen Zusammenschluss von Datenschutzexpert/-innen, deren Ziel es ist, öffentliche Diskussionen über Fragen des Datenschutzes sowie generell des Schutzes von Menschenrechten und Grundrechten in der digitalen Welt zu initiieren bzw. durch eigene Beiträge wissenschaftlicher oder praxisbezogener Art voranzubringen.

Weitere Beschwerden wurden bei anderen nationalen Aufsichtsbehörden sowie beim irischen Datenschutzbeauftragten erhoben.

Einleitend formulieren die Beschwerdeführer folgenden Satz: „Der Zweck der vorliegenden Beschwerde ist es, die deutschen Datenschutzaufsichtsbehörden um Maßnahmen zu bitten, welche den Einzelnen bzw. die Menschen allgemein vor weitreichenden und systematischen Datenschutzverstößen durch Google und andere Internet-Unternehmen der Branche schützen.“

Zunächst werden die Systeme, die der verhaltensbasierten Werbung zugrunde liegen, sowie die Gründe der datenschutzrechtlichen Bedenken erläutert. Kritisiert werden im Groben 3 Punkte:

1. Das Einsetzen von personalisierter Werbung habe eine Übertragung von Massendaten verursacht, deren Ausmaß weit über die erforderliche Informationssammlung hinausgeht.
2. Eine Kontrolle über die Verbreitung der personenbezogenen Daten sei nach deren Übertragung an weitere Empfänger praktisch nicht mehr möglich.
3. Besondere Kategorien personenbezogener Daten würden ohne Einverständnis und ohne Kontrolle beim Besuch von Websites erhoben, verbreitet und verarbeitet.

Besonders kritisiert werden zudem im Rahmen der Beschwerde die vom IAB Europe und Authorized Buyers (Googles RTB System) zugrunde gelegten Richtlinien für die Datenerhebung und Verarbeitung. Das vom IAB Europe geschaffene „Europe Transparency & Consent Framework“ ziele in erster Linie darauf ab, die Kontrolle über die personenbezogenen Daten nach deren Übertragung zu beseitigen. Die weitere Verbreitung der Daten könne dann auch ohne Einwilligung erfolgen. Die Richtlinie für Authorized Buyers verlagere die datenschutzrechtliche Verantwortung vom „Data Controller“ auf Dritte.

Als Hauptproblem wird angeführt, dass die Internet-Unternehmen nicht in der Lage seien, stets eine Einwilligung – welche die zentrale Voraussetzung einer vertraulichen und rechtmäßigen Datenverarbeitung darstelle – einzuholen. Insbesondere die Verarbeitung der „besonderen Kategorien personenbezogener Daten“, die grundsätzlich der ausdrücklichen Einwilligung bedürfe, verstoße durch das bisherige Vorgehen der Unternehmen gegen Art. 9 Abs. 2 DSGVO.

Die Beschwerdeführer fordern aufgrund dieser Bedenken die Datenschutzaufsichtsbehörden auf, die Beschwerdegründe zu überprüfen und die Datenschutzpraktiken von Google und den anderen Internet-Unternehmen zu untersuchen. Zugleich werden die deutschen Aufsichtsbehörden aufgefordert, mit anderen nationalen Aufsichtsbehörden zusammenzuarbeiten, um eine gemeinsame Untersuchung gemäß Art. 62 DS-GVO durchzuführen.

Ausblick

Abzuwarten bleibt, ob von den Aufsichtsbehörden eine Reaktion auf den Beschluss der DSK folgt. Möglicherweise soll dieser helfen, die gemeinsame Untersuchung der Beschwerde durch Bejahung der Zuständigkeit der Behörden und Festlegung des Beschwerdegegners (Google) zu vereinfachen. Vermutlich soll damit auch die klare Aufforderung an die Behörden, sich mit der Beschwerde gemeinsam zu befassen, enthalten sein. Den anderen nationalen Behörden sowie dem irischen Datenschutzbeauftragten könnte dies jedoch ein Dorn im Auge sein.

Auch abzuwarten bleibt, wie viele Aufsichtsbehörden sich tatsächlich mit der Beschwerde „gemeinsam“ befassen und welches Ergebnis diese Untersuchung bringen wird.

Mit verhaltensbasierter Werbung befasst sich der Beschluss jedoch nicht.