TTPW-Beitragsreihe – Teil 2: Was hat politische Werbung mit Datenschutz zu tun?

Teil 2: Was hat politische Werbung mit Datenschutz zu tun?

Werbung und Datenschutz sind eng miteinander verzahnt, auch im Kontext politischer Werbung.

Werden personenbezogene Daten im Rahmen von Targetingmaßnahmen bzw. der Anzeigenschaltung im Internet verarbeitet, gelten die besonderen Anforderungen des Kapitel III, d.h. der Art. 18 und 19 der TTPW. Zwar sind beide Begriffe nicht auf das Internet beschränkt. Die Vorgaben der Art. 18 und 19 TTPW gelten gleichwohl ausschließlich für Targeting und Anzeigenschaltung im Internet. Postalische Werbung ist also nicht erfasst.

Targeting und Anzeigenschaltung

Unter Targeting im Sinne von Art. 3 Nr. 11 TTPW versteht man sowohl das zielgerichtete Ausspielen als auch das zielgerichtete Nichtausspielen von politischer Werbung an bestimmte Personen („Positiv- bzw. Negativselektion“). Gemeint sind Verfahren, die es ermöglichen, politische Anzeigen mit in der Regel maßgeschneiderten Inhalten auf der Grundlage der Verarbeitung personenbezogener Daten nur an eine bestimmte Person oder Personengruppe zu richten oder bestimmte Adressaten auszuschließen. Diese Voraussetzung kann etwa erfüllt sein, wenn dem Targeting eine sog. Parametrierung vorausgegangen ist. So kann auf Plattformen beispielsweise ausgewählt werden, dass Personen, die ein bestimmtes Produkt gekauft haben oder in einer bestimmten Gegend wohnen, die jeweilige politische Werbung erhalten.

Anzeigenschaltungsverfahren im Sinne von Art. 3 Nr. 12 TTPW sind Optimierungsverfahren, die eingesetzt werden, um die Verbreitung, die Reichweite oder die Sichtbarkeit einer politischen Anzeige auf der Grundlage der automatisierten Verarbeitung personenbezogener Daten zu erhöhen, und die es ermöglichen, die politische Anzeige nur einer bestimmten Person oder Personengruppe zuzustellen.

Während im Rahmen der Regulierung des Targetings vor allem der Inhalt der Botschaft im Fokus liegt, hat der Gesetzgeber bei der Anzeigenschaltung die damit typischerweise einhergehende Reichweitenerhöhung im Blick.

An wen richtet sich Kapitel III?

Kapitel III TTPW mit den Artikeln 18 und 19 adressiert den datenschutzrechtlich Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO. Verantwortlich ist auch hiernach, wer die Zwecke und Mittel der Verarbeitung allein oder gemeinsam mit anderen festlegt. Welcher der im Kontext politischer Werbung denkbaren Akteure (z.B. Werbedienstleister, Herausgeber) tatsächlich datenschutzrechtliche Verantwortung trägt, muss im Einzelfall bestimmt werden. Auch eine gemeinsame datenschutzrechtliche Verantwortung im Sinne von Art. 26 DSGVO ist denkbar, etwa zwischen Werbedienstleister und Sponsor.

Anforderungen an die Rechtsmäßigkeit der Verarbeitung (Art. 18 TTPW)

Die mit Maßnahmen des Targetings bzw. Anzeigenschaltungen im Kontext politischer Werbung einhergehende Datenverarbeitung ist nur zulässig, wenn die nachfolgend aufgelisteten in Art. 18 TTPW normierten Vorgaben kumulativ erfüllt sind:.

• Die Daten müssen bei der betroffenen Person erhoben worden sein, d.h. sie dürfen nicht von einem Dritten stammen (Direkterhebung). Damit werden insbesondere Datenbestände problematisch, die von Datenhändlern, AdTech-Unternehmen oder anderen Dritten bezogen wurden. Für politische Kampagnen und die beteiligten Werbedienstleister bedeutet dies, dass die Datenherkunft zu einem zentralen Compliance-Kriterium wird. Selbst eine wirksame Einwilligung kann die Voraussetzung des Art. 18 Abs. 1 Buchst. a nicht ohne Weiteres ersetzen.
• Targeting darf nur auf die ausdrückliche Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO gestützt werden, einschließlich aller damit verbundenen formellen Anforderungen der DSGVO an die Wirksamkeit einer Einwilligung. Andere Rechtsgrundlagen der DSGVO reichen für das von Art. 18 erfasste Targeting grundsätzlich nicht aus. Insbesondere kann politisches Targeting nicht allein auf eine Interessenabwägung nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden. Hinzu kommt eine weitere Verschärfung: Die Einwilligung muss qualifiziert, d.h. gesondert für den Zweck der politischen Werbung erteilt werden. Eine allgemeine Einwilligung in personalisierte Werbung oder in die Erstellung eines Werbeprofils genügt damit nicht. Hat eine betroffene Person der Verarbeitung zum Zwecke politischer Werbung bereits widersprochen, müssen Verantwortliche sicherstellen, dass diese nicht (erneut) um die Abgabe einer Einwilligung ersucht werden. Consent-Walls sind gemäß Art. 18 Abs. 4 lit. b TTPW verboten
• Profiling unter Heranziehung von besonderen Datenkategorien im Sinne von Art. 9 Abs. 1 DSGVO (politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen, Ethnie, etc.) ist verboten. Auch eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO legitimiert das von Art. 18 Abs. 1 lit. c TTPW erfasste Profiling nicht. Die Norm enthält insoweit ein eigenständiges Verbot des Profilings in diesen Fällen und nicht lediglich einen Verweis auf die Rechtmäßigkeitsvoraussetzungen der DSGVO.
• Die Zulässigkeit der Datenverarbeitung wird in Art. 18 Abs. 2 TTPW um ein eigenständiges Targetingverbot zum Schutz junger Menschen ergänzt: Verboten sind Targeting- und Anzeigenschaltungsverfahren unter Verarbeitung personenbezogener Daten, wenn der Verantwortliche mit hinreichender Sicherheit davon ausgehen kann, dass die betreffende Person das nach nationalem Recht geltende Wahlalter frühestens innerhalb eines Jahres erreichen wird. Die Vorschrift knüpft damit nicht allein an die Minderjährigkeit der betroffenen Person an. Maßgeblich ist vielmehr das jeweilige nationale Wahlalter zuzüglich eines Schutzzeitraums von einem Jahr. Bei einem Wahlalter von 18 Jahren werden damit grundsätzlich Personen erfasst, von denen der Verantwortliche mit hinreichender Sicherheit weiß, dass sie noch keine 17 Jahre alt sind. Bei einem niedrigeren Wahlalter verschiebt sich die Grenze entsprechend.

Mit Art. 18 DSGVO wird für den Verarbeitungszweck der politischen Werbung hinsichtlich Maßnahmen des Targetings bzw. für Anzeigenschaltungen ein gegenüber den allgemeinen Regeln der DSGVO wesentlich restriktiveres System etabliert. Die Vorschrift fragt nicht lediglich, ob für die jeweilige Datenverarbeitung irgendeine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO besteht. Targeting- und Anzeigenschaltungsverfahren im Zusammenhang mit politischer Online-Werbung, bei denen personenbezogene Daten verarbeitet werden, sind vielmehr nur innerhalb der abschließend normierten eng eingrenzten Vorgaben zulässig.

Zusätzliche Anforderungen an Targeting und Anzeigenschaltung im Internet (Art. 19 TTPW)

Zusätzlich zu den Anforderungen aus Art. 18 TTPW enthält Art. 19 TTPW zahlreiche weitere Vorgaben, die bei Targeting- und Anzeigenschaltungsverfahren im Zusammenhang mit politischer Werbung einzuhalten sind. Während Art. 18 VO TTPW festlegt, unter welchen Voraussetzungen personenbezogenes Targeting und die personalisierte Anzeigenschaltung bei politischer Online-Werbung überhaupt zulässig sind, setzt Art. 19 TTPW auf der nächsten Ebene an. Die Vorschrift begründet umfangreiche zusätzliche Transparenz-, Dokumentations- und Rechenschaftspflichten für den Einsatz solcher Verfahren:

• Der Verantwortliche muss eine „interne Politik“ für den Einsatz der Targeting- und Anzeigenschaltungsverfahren annehmen und umsetzen. Darin muss in klarer und einfacher Sprache beschrieben werden, wie die entsprechenden Verfahren eingesetzt werden. Bemerkenswert ist, dass diese „interne“ Politik zugleich öffentlich zugänglich gemacht werden muss. Es handelt sich also gerade nicht um eine ausschließlich unternehmensinterne Compliance-Richtlinie. Die jeweilige „Politik“ muss sieben Jahre ab dem letzten Einsatz der betreffenden Verfahren aufbewahrt werden. Damit verfolgt die Vorschrift neben der unmittelbaren Information der Öffentlichkeit ersichtlich auch einen Rechenschaftszweck. Es soll nachträglich nachvollziehbar bleiben, nach welchen Regeln und Mechanismen politisches Targeting durchgeführt wurde. Die Möglichkeit zum Abruf der „Politik“ muss leicht erreichbar sein.
• Die Norm verpflichtet Verantwortliche darüber hinaus, Protokolle über den Einsatz der Targeting- und Anzeigenschaltungsverfahren zu führen. Die Aufzeichnungen müssen insbesondere die relevanten Mechanismen und die verwendeten Parameter erfassen. Die Verpflichtung geht damit über eine abstrakte Beschreibung der eingesetzten Verfahren hinaus. Während die erforderliche „Politik“ beschreibt, wie Targeting grundsätzlich eingesetzt wird, soll die Protokollierung die tatsächliche Verwendung der Verfahren nachvollziehbar machen. Für die Praxis bedeutet dies, dass Verantwortliche nicht lediglich eine allgemeine Targeting Policy erstellen können. Benötigt wird daneben ein Dokumentationssystem, aus dem hervorgeht, welche Mechanismen und Parameter tatsächlich eingesetzt wurden.
• Zusammen mit dem Hinweis darauf, dass es sich um politische Werbung handelt, müssen zusätzliche Informationen bereitgestellt werden, die erforderlich sind, damit die betroffene Person die zugrunde liegende Logik und die wichtigsten Parameter der eingesetzten Verfahren nachvollziehen kann. Der Gesetzgeber gibt umfangreiche Transparenzvorgaben vor und verfolgt darüber ein konkretes Transparenzziel: Eine Person soll nicht lediglich erfahren, dass sie Ziel einer personalisierten politischen Anzeige geworden ist. Sie soll grundsätzlich auch nachvollziehen können, warum gerade sie zu dem angesprochenen Personenkreis gehört. Die Vorschrift konkretisiert deshalb detailliert, welche Informationen zur Verfügung gestellt werden müssen. Hierzu zählen:
  • Die spezifischen Gruppen der gezielt angesprochenen Empfänger. Dazu gehören auch die Parameter, anhand derer bestimmt wurde, welchen Empfängern die politische Werbung angezeigt wird (z.B. Alter, Wohngegend, Interessen).
  • Die Kategorien personenbezogener Daten, die für das Targeting oder die Anzeigenschaltung verwendet werden. Hier besteht eine deutliche Parallele zu den Transparenzpflichten der DSGVO. Art. 19 TTPW verfolgt allerdings einen spezifischeren Ansatz: Die Informationen sollen unmittelbar verständlich machen, auf welcher Datengrundlage das politische Targeting erfolgt. Für einen Nutzer soll damit beispielsweise erkennbar werden können, ob dem Targeting Standortdaten, Altersinformationen, Interessen, Nutzungsverhalten oder andere Kategorien personenbezogener Daten zugrunde liegen.
  • Anzugeben sind die Ziele, Mechanismen und die Logik des Targetings. Ausdrücklich erfasst werden dabei sowohl Inklusions- als auch Ausschlussparameter. Damit muss nicht nur erläutert werden, welche Personen in die Zielgruppe aufgenommen wurden. Gegebenenfalls muss auch transparent gemacht werden, anhand welcher Kriterien bestimmte Personen gerade nicht adressiert werden. Zusätzlich müssen die Gründe für die Auswahl dieser Parameter angegeben werden.
  • Wird für das Targeting oder die Zustellung der politischen Anzeige ein System der künstlichen Intelligenz eingesetzt, müssen hierzu aussagekräftige Informationen bereitgestellt werden. Die Vorschrift schafft eine Schnittstelle zwischen Datenschutzrecht, politischer Werberegulierung und KI-Regulierung. Praktisch relevant kann dies insbesondere sein, wenn algorithmische Systeme nicht lediglich eine vom Werbetreibenden vollständig vorgegebene Zielgruppe abarbeiten, sondern selbst optimieren, welchen Personen eine Anzeige angezeigt wird. Gerade solche Optimierungsmechanismen können dazu führen, dass die tatsächliche Empfängergruppe einer Kampagne nicht vollständig mit der ursprünglich vom Sponsor definierten Zielgruppe übereinstimmt.
  • Weitere Transparenzplichten betreffen den Zeitraum der Verbreitung der politischen Anzeige anzugeben und die Zahl der Personen, an die die politische Anzeige verbreitet wird.

Jährliche interne Risikobewertung

Eine bemerkenswerte zusätzliche Anforderung enthält Art. 19 Abs. 1 lit. d TTPW: Verantwortliche müssen jährlich eine interne Risikobewertung zum Einsatz ihrer Targeting- und Anzeigenschaltungsverfahren durchführen. Gegenstand dieser Bewertung sind ausdrücklich die Auswirkungen bzw. Risiken des Einsatzes dieser Verfahren für die Grundrechte und Grundfreiheiten

Die Vorschrift weist gewisse strukturelle Ähnlichkeiten mit der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auf, ist mit dieser jedoch nicht identisch. Insbesondere knüpft Art. 19 Abs. 1 lit. d TTPW nicht daran an, dass die betreffende Verarbeitung „voraussichtlich ein hohes Risiko“ für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Risikobewertung ist vielmehr bereits aufgrund des Einsatzes der von Art. 19 TTPW erfassten Verfahren jährlich durchzuführen.

Auch die Rechtsfolgen unterscheiden sich erheblich: Während eine Datenschutz-Folgenabschätzung nach der DSGVO grundsätzlich ein internes Compliance-Instrument ist, verlangt Art. 19 TTPW ausdrücklich, dass die Ergebnisse der jährlichen Risikobewertung öffentlich verfügbar gemacht werden.

Zusammenfassung

Die Art. 18 und 19 TTPW machen deutlich, dass der europäische Gesetzgeber bei politischem Targeting nicht allein auf die Einwilligung des einzelnen Betroffenen setzt. Selbst ein nach Art. 18 TTPW zulässiges und auf einer wirksamen ausdrücklichen Einwilligung beruhendes Targeting unterliegt einem erheblichen zusätzlichen Rechenschaftsregime.

Unternehmen und politische Akteure müssen daher insbesondere

• eine öffentlich zugängliche Targeting-Politik etablieren,
• die eingesetzten Targetingmechanismen und Parameter protokollieren,
• für jede entsprechende politische Werbung nachvollziehbare Informationen über Zielgruppen, verwendete Daten, Targetinglogik und gegebenenfalls KI-Einsatz bereitstellen,
• jährlich eine Grundrechts-Risikobewertung durchführen und deren Ergebnisse veröffentlichen,
• unmittelbar zugängliche Möglichkeiten zur Wahrnehmung von Datenschutzrechten schaffen und
• bei arbeitsteiliger Leistungserbringung sicherstellen, dass die hierfür notwendigen Informationen zwischen Verantwortlichen, Werbedienstleistern und Herausgebern politischer Werbung rechtzeitig ausgetauscht werden.

Damit wird politisches Targeting nicht nur zu einer Frage datenschutzrechtlicher Zulässigkeit, sondern zugleich zu einer erheblichen Dokumentations- und Transparenzaufgabe.

Nächste Woche geht es weiter mit Beitrag 3.