Marketing durch personalisierte Werbung: ein berechtigtes Interesse?

Eine solche Kenntnis wird regelmäßig über das Setzen und Auswerten von Cookies erlangt. Der BGH urteilte bereits im Jahr 2020¹, dass zum Setzen von technisch nicht notwendigen Cookies – wie hier zum Zwecke des Marketings – eine Rechtsgrundlage zur Datenverarbeitung zwingend notwendig ist. Im Einklang mit der ePrivacy-Richtlinie könne eine solche Rechtsgrundlage im Falle der Datenverarbeitung zu Marketingzwecken in der Regel nur durch eine aktive und informierte Einwilligung des Betroffenen erzielt werden, eine Zustimmung „by default“ sei dagegen unzulässig.

Der Fall TikTok

Kreativ wurde nun der chinesische Konzern ByteDance, der Betreiber des Social-Media-Dienstes TikTok. ByteDance kündigte zuletzt an, ab dem 13. Juli 2022 personalisierte Werbung an alle volljährigen Nutzende der Plattform im europäischen Wirtschaftsraum (EWR), in der Schweiz und im Vereinigten Königreich auszuspielen². Als Rechtsgrundlage dafür führte das Unternehmen Art. 6 Abs. 1 lit. f) DSGVO an – das berechtigte Interesse. Vordergründig begründet ByteDance das berechtigte Interesse mit der Verbesserung des Erlebnis der Nutzenden auf der Plattform³, doch dürfte nicht zuletzt die deutlich erhöhte Umsatzerwartung bei der Anzeige von personalisierter Werbung eine gewichtige Rolle spielen. ByteDance selbst sieht ein solches Vorgehen im Einklang mit den europäischen Regularien⁴.

Berechtigtes Interesse

Könnte also voraussichtlich bald die Einholung von Einwilligungen obsolet werden? Voraussichtlich nicht, denn Datenschützerinnen und Datenschützer bezweifeln das Vorliegen der o.g. Rechtsgrundlage:

Ob ein berechtigtes Interesse als Rechtsgrundlage gem. Art. 6 Abs. 1 lit. f) DSGVO anzunehmen ist, bestimmt sich grundsätzlich anhand von drei Fragen:

1. Besteht ein berechtigtes Interesse?
2. Ist die Datenverarbeitung zur Wahrung dieses Interesses erforderlich?
3. Verläuft eine Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall zugunsten des Verantwortlichen?

Grundsätzlich kann zwar „die Erbringung des Dienstes in einer Form, die eine nutzerfreundliche Wahrnehmung des Online-Angebots möglich macht.“⁵ als berechtigtes Interesse angesehen werden, zweifelhaft ist allerdings, ob zur Erreichung dieses Interesses kein milderes, gleich effektives Mittel zur Verfügung steht. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) hält die Verwendung von Analyse-Tools, welche Daten über das Nutzungsverhalten betroffener Personen an Dritte weitergibt (z.B. soziale Netzwerke oder externe Analysedienste, die Nutzungsdaten über die Grenze der Website hinweg mit Daten von anderen Websites zusammenführen), für „nicht mehr erforderlich“, lediglich die Implementierung einer lokalen Analysesoftware könne für erforderlich gehalten werden⁶.

Ferner müsse eine Interessenabwägung stets für den Einzelfall durchgeführt werden, eine schlichte pauschale Feststellung genüge nicht⁷. Nach Ansicht des baden-württembergischen LfDI überwiegen grundsätzlich die Interessen des Betroffenen bei Ausspielung von personalisierter Werbung⁸.

Prüfung durch die irische DPC

Es ist zu erwarten, dass diese Einschätzung auch auf europäischer Ebene geteilt werden wird. Zwar hatte TikTok seinen europäischen Hauptsitz erst 2020 nach Irland verlegt, dessen Datenschutzbehörde, der Data Protection Commission (DPC), übrigens zuletzt eine mangelnde Durchsetzung der DSGVO vorgeworfen wurde⁹, jedoch folgte die DPC der Beurteilung der italienischen Datenschutzbehörde, dass das Vorgehen von TikTok unzulässig sei und legte Einspruch gegen die Umsetzung der Änderung der Datenschutzrichtlinie ein.

Aktuell pausiert TikTok – zumindest vorübergehend – die Umsetzung der geplanten Änderungen.

Die Bewertung der datenschutzrechtlichen Zulässigkeit durch die DPC ist bislang noch nicht beendet. Mit einer alsbaldigen Entscheidung ist allerdings nicht zu rechnen, denn zum einen hat die DPC weitere europäische Datenschutzbehörden in die Prüfung mit einbezogen, zum anderen sind bei der DPC bereits zwei weitere Verfahren gegen TikTok anhängig.

Empfehlung

Sollte TikTok noch vor Abschluss des Verfahrens der DPC sein Vorhaben umsetzen, so ist jedem Nutzendem geraten, Widerspruch gegen die Datenverarbeitung einzulegen und Beschwerde bei der zuständigen Datenschutzbehörde zu erheben.

^₁ BGH, Urteil vom 28. Mai 2020 - I ZR 7/16 - Cookie-Einwilligung II.
²https://www.tiktok.com/legal/changes-to-personalised-advertising-in-the-eea (Stand: 14.07.2022).
³https://techcrunch.com/2022/07/12/tiktok-pauses-privacy-policy-switch/ (Stand: 14.07.2022).
⁴https://newsroom.tiktok.com/de-de/aenderungen-bei-der-personalisierung-von-werbung-auf-tiktok (Stand: 14.07.2022).
⁵ Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien (Stand: März 2019), S. 11 f; „beispielsweise durch Optimierung des jeweiligen Webangebots und Personalisierung/Individualisierung des Angebots abgestimmt auf die jeweiligen Nutzer“.
⁶ Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien (Stand: März 2019), S. 13.
⁷ Datenschutzkonferenz, Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von Telemedien ab dem 1. Dezember 2021 (Stand: 20. Dezember 2021), S. 30 f.
⁸https://www.baden-wuerttemberg.datenschutz.de/faq-zu-cookies-und-tracking-2/#32_berechtigtes_interesse, s. Punkt 3.2.10.1 (Stand: 14.07.2022).
⁹https://www.europarl.europa.eu/news/en/press-room/20210311IPR99708/civil-liberties-committee-on-the-gdpr-implementation-and-enforcement (Stand: 14.07.2022).