Online-Werbetechnologien ermöglichen es, den Besuch einer Person auf einer Website zu analysieren und, wie im Fall einiger Social Plugins, Verknüpfungen mit anderen Datenbeständen wie dem Facebook-Profil des Websitebesuchers herzustellen. Der Websitebetreiber braucht hierfür meist nur ein Skript in den Quellcode seiner Seiten einzubinden. Das Skript sorgt dann dafür, dass die Daten über den Besuch der Person direkt an den Anbieter der Werbetechnologie gesendet werden (so z.B. bei Facebook Custom Audiences Website).

Ist der Websitebetreiber für die Datenerhebung verantwortlich?

Aus datenschutzrechtlicher Perspektive ist zunächst fraglich, ob der Websitebetreiber für die Einbindung des Skripts verantwortlich ist. Denn der Websitebetreiber erhält selbst meist keinen Zugriff auf die erhobenen Daten. Das braucht er auch nicht, denn ggf. anschließende Werbemaßnahmen lassen sich viel effektiver durch den Anbieter der Werbetechnologie durchführen, dem in der Regel noch zahlreiche andere Daten zum Besucher vorliegen. Diese Daten können (wie im Fall von Facebook) entweder aus dem hauseigenen Netzwerk stammen oder aber über andere Websites erhoben werden, in die dieselbe Werbetechnologie eingebunden ist und die ebenfalls von der Person besucht wurden.

Da der Websitebetreiber keinen Zugriff auf die Daten erhält, war in Literatur und Rechtsprechung bisher weitgehend unklar, wer aus datenschutzrechtlicher Sicht die „verantwortliche Stelle“ für die Datenverarbeitung ist. Gemäß § 3 Abs. 7 Bundesdatenschutzgesetz (BDSG) ist verantwortliche Stelle, „jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt.“

Während unstrittig war, dass für das Verarbeiten und Nutzen der Daten ausschließlich der Werbetechnologieanbieter verantwortlich ist, war unklar, ob dies auch für das Erheben der Daten gilt. Die entscheidende Frage war hier, ob eine Datenerhebung die Zugriffsmöglichkeit auf die Daten voraussetzt, die im Falle des Websitebetreibers nicht gegeben ist.

Landgericht Düsseldorf: Mitverantwortlichkeit trotz fehlender Zugriffsmöglichkeit

Das Landgericht Düsseldorf hat nun klargestellt, dass der Websitebetreiber trotz fehlender Zugriffsmöglichkeit für die Datenverarbeitung mitverantwortlich ist. Eine Zugriffsmöglichkeit auf die Daten sei für die Mitverantwortlichkeit ebenso wenig erforderlich, wie die Verfügungsmacht über die Daten:

„Allein, dass die Beklagte keinen direkten Einfluss auf die Funktionsweise des Buttons und die Verarbeitung der Daten hat, ihr deren Umfang sogar unbekannt sein mag, und dass sich ihre aktive Tätigkeit auf die Einbindung des Plugins erschöpft, steht dem ebenso wenig entgegen, wie die Tatsache, dass nicht die Beklagte an sie übermittelte und in ihrem Besitz stehende Daten an [das soziale Netzwerk] weiterleitet, sondern die Erfassung der IP-Adresse unmittelbar durch [das soziale Netzwerk] erfolgt.“

Mit dieser Einschätzung setzt sich das Gericht über die herrschende Literaturmeinung hinweg, die sowohl die Verfügungsmacht als auch die Kenntnis der Daten als Voraussetzung für ein Erheben ansieht. Es bleibt daher abzuwarten, wie sich andere Gerichte zu der Frage äußern.

Die europäische Datenschutz-Grundverordnung, die ab 2018 den Datenschutz in Europa neu regeln wird, enthält eine sehr weite Definition des Begriffs „Verarbeiten“. In diesem geht nicht nur der Begriff des Erhebens auf, sondern auch vage Begriffe wie der der „Verknüpfung“, die nicht unbedingt auf eine Zugriffsmöglichkeit hindeuten.

Werden überhaupt personenbezogene Daten erhoben?

Eine ganz andere, aber ebenso entscheidende Frage ist, ob mithilfe der eingebundenen Werbetechnologien überhaupt personenbezogene Daten im Sinne des Bundesdatenschutzgesetzes erhoben werden. Ist dies nicht der Fall, findet das Datenschutzrecht keine Anwendung. Eine Erhebung und Verarbeitung der Daten wäre dann, ganz gleich durch wen, gänzlich unproblematisch.

Im angesprochenen Gerichtsverfahren ging es neben der unzweifelhaft personenbezogenen Facebook-Nutzer-ID insbesondere um die Verarbeitung der IP-Adresse und Nutzungsdaten wie den Browser-String, die ohne jegliches Zutun des Websitebesuchers (auch ohne Anklicken des Social-Plugin-Buttons) beim Besuch der Webseite an Facebook gesendet werden. Auch hier vertritt das Gericht eine restriktive Haltung, indem es jedenfalls die IP-Adresse als personenbezogenes Datum einordnet. Das Gericht folgt damit einer Entscheidung des Bundesgerichtshofs, in der IP-Adressen ebenfalls als personenbezogene Daten angesehen werden. Manche Werbedienste verarbeiten daher IP-Adressen nur in gekürzter Form, sodass ein Rückschluss auf eine bestimmte Person nicht mehr möglich ist.

Personenbezogene Daten wie die ungekürzte IP-Adresse dürfen ohne vorangehende Einwilligung des Websitebesuchers grundsätzlich nur dann verarbeitet werden, wenn die Daten für den Betrieb und die Nutzung der Website erforderlich sind (§ 15 Abs. 1 S. 1 TMG). Dies ist freilich weder bei der Datenverarbeitung im Rahmen von Social Plugins noch im Rahmen sonstiger eingebundener Marketingtechnologien der Fall.

Sehr umstritten ist, ob bei der Erstellung von Nutzungsprofilen durch Dritte – z. B. Facebook oder einen anderen Werbetechnologieanbieter – die Ausnahmeregelung des § 15 Abs. 3 TMG greift, die eine Profilerstellung unter Pseudonym für Werbezwecke durch den sogenannten „Diensteanbieter“ erlaubt. Die Datenschutzaufsichtsbehörden vertreten hier eine sehr restriktive Haltung. Ihnen zufolge scheidet die Anwendbarkeit der Ausnahmeregelung zumindest dann aus, wenn ungekürzte IP-Adressen verarbeitet werden.

Wie ist eine datenschutzkonforme Einbindung von Technologien Dritter möglich?

Das Urteil des Landgerichts Düsseldorf erhöht den Druck auf Websitebetreiber, Inhalte Dritter rechtskonform in die eigene Website einzubinden. Für Marketers besteht die größte Herausforderung darin, Technologien so zu integrieren, dass die Einbindung einerseits rechtskonform ist, andererseits aber auch eine werbestrategische Wirkung entfalten kann. Wie dies bei Social Plugins und Retargeting-Anbietern möglich ist, wird im Folgenden kurz erläutert.

Social Plugins: verschiedene Privacy-Technologien auf dem Markt

In Hinblick auf Social Plugins könnten Technologien die Lösung sein, die eine Aktivierung des Plugins – und damit den Datenaustausch zwischen dem Browser des Websitebesuchers und dem Server des Technologieanbieters – erst dann auslösen, wenn der Besucher den Datenaustausch durch einen Klick bestätigt. Das Plugin wird somit durch einen Klick des Besuchers „aktiviert“.

Ein solches Vorgehen ermöglicht z.B. die sogenannte Zwei-Klick-Lösung von heise.de, die mittlerweile von zahlreichen Websites (u.a. von dem beklagten Shop im oben erwähnten Urteil) eingesetzt wird. Auch bei Verwendung der Zwei-Klick-Lösung bleibt der Websitebetreiber allerdings für die Datenerhebung mitverantwortlich. Er steht daher weiterhin vor der Herausforderung, gemäß §§ 12 Abs. 1, 13 Abs. 1 TMG über eine Datenverarbeitung zu informieren, zu der ihm vom Technologieanbieter oft nur unzureichende Informationen zur Verfügung gestellt werden.

Noch besser als die Zwei-Klick-Lösung ist daher die Shariff-Lösung von c’t, die zum Beispiel auch als WordPress-Plugin auf der activeMind Website eingesetzt wird. Hierbei braucht der Websitebetreiber gar keine Technologie der sozialen Netzwerke in die eigene Website einbinden. Stattdessen werden verlinkte Bilder in den jeweiligen Farben bzw. mit den Logos der Netzwerke eingebunden. Erst, wenn der Besucher auf das Bild klickt, werden Daten an das Netzwerk übermittelt. Shariff kann auf Wunsch des Websitebetreibers darüber hinaus während des Ladevorgangs der Webseite über ein Skript beim sozialen Netzwerk abfragen, wie oft die Webseite im Netzwerk bereits geteilt wurde. Da über die Website keine Daten erhoben werden, ist der Websitebetreiber bei der Shariff-Lösung nicht als verantwortliche Stelle anzusehen.

Retargeting-Anbieter: Auf das richtige Siegel kommt es an

Neben Social Plugins erfreuen sich verschiedenste Retargeting-Technologien im Online-Marketing großer Beliebtheit. Auch in diesem Bereich sind inzwischen einige datenschutzkonforme Technologien auf dem Markt zu finden. Viele Technologie-Anbieter versuchen, die Datenschutzkonformität ihrer Technologie mit einem Datenschutzsiegel zu belegen. Hier ist jedoch Vorsicht geboten, da leider nicht alle auf dem Markt auffindbaren Datenschutzsiegel das Datenschutzniveau bezeugen, das von den Aufsichtsbehörden verlangt wird.

Dies lässt sich gut an der Übersicht zu den vergebenen Siegeln des Anbieters ePrivacy GmbH verdeutlichen: Während das ePrivacyseal-Siegel den Anspruch hat, die Einhaltung gesetzlicher Regelungen zu belegen, bezeugt das EDAA Trust Seal zunächst einmal nur die Einhaltung eines (von der europäischen Datenschutzaufsicht bemängelten) Branchenstandards der Werbeindustrie. Eine allgemeine Übersicht zu Zertifizierungen und Gütesiegeln im Datenschutz findet sich bei der Stiftung Datenschutz.

Da trotz „gutem“ Siegel nicht immer klar ist, ob personenbezogene Daten verarbeitet werden, sollte in jedem Fall ein Hinweis in der Datenschutzerklärung zur jeweils eingebundenen Technologie erfolgen. Dies gilt auch für den datenschutzkonformen Einsatz von Social Plugins. Bei der Zwei-Klick-Lösung ist ein Hinweis zwingend erforderlich, beim Shariff empfiehlt er sich jedenfalls aus Marketingsicht.

Fazit: Datenschutz ins Marketing integrieren!

Auf den ersten Blick ist das Urteil des Landgerichts Düsseldorf ein schwerer Schlag für Marketers. Bei genauerem Hinsehen wird jedoch deutlich: Die Entscheidung konkretisiert, jedenfalls in den meisten Punkten, nur das, was die Aufsichtsbehörden bereits seit langem vertreten. Aus einer nachhaltigen Marketingperspektive heraus ist es daher sinnvoll, den Datenschutz von Anfang zu berücksichtigen und Datenschutz als Werbeinstrument zu begreifen, das langfristig Vertrauen schafft.

Ausgangspunkt: Persönlichkeitsprofile im Marketing

Ziel moderner Online-Werbung ist es, Nutzer möglichst individualisiert anzusprechen. Denn je näher eine Werbung den Interessen eines Nutzers kommt, desto wahrscheinlicher ist es, dass dieser die eingeblendete Werbung beachtet, anklickt und sich sogar mit dem darin beworbenen Produkt näher auseinandersetzt. Die individualisierte Ansprache ist also der Türöffner für die weitere Kommunikation mit dem Nutzer im Netz.

Voraussetzung für individualisierte Werbung sind personenbezogene Daten. Daten also, die dem Verhalten oder dem Wesen eines einzigen Menschen zugeordnet werden können. Nach Ansicht der Datenschutzaufsichtsbehörden liegen personenbezogene Daten bereits dann vor, wenn durch In-Beziehung-Setzen einzelner zeitlich voneinander getrennter Verhaltensabläufe, die isoliert noch nichts Einzigartiges über eine Person besagen (z.B.: „Besuch der Webseite XY am 18.01.2016 um 10:15 Uhr“), auf eine identische Person geschlossen werden kann. Das In-Beziehung-Setzen einzelner Verhaltensabläufe einer Person in einem Verhaltensprofil ist in diesem Sinn mehr, als die Momentaufnahme eines einzelnen Verhaltensablaufes.

Folgendes analoges Beispiel soll dies verdeutlichen: Betrachte ich in der S-Bahn eine unbekannte Person, handelt es sich hier um eine Momentaufnahme. Begegne ich dieser Person später durch Zufall wieder, „kenne“ ich die Person zwar noch immer nicht (ihr Name, ihre Telefonnummer etc. sind mir weiterhin unbekannt), jedoch weiß ich, dass die Person wenige Stunden vorher in der S-Bahn unterwegs war. Ich habe somit (ungewollt) bereits ein kleines Profil der Person gebildet.

Tracking in bestimmten Grenzen zulässig

Erfolgt eine solche Profilbildung durch Einsatz automatisierter Nachverfolgungstechnik im Netz (Tracking), ist aus datenschutzrechtlicher Sicht im Zweifel von der Erhebung personenbezogener Daten auszugehen. Personenbezogene Daten liegen demzufolge dann vor, wenn es möglich ist, eine Person auf ihr Verhalten in der Vergangenheit gezielt anzusprechen. Dies ist auch dann möglich, wenn der Name oder andere eindeutige Identifikationsmerkmale der Person nicht bekannt sind, sie aber schon früher beobachtet wurde und man eben dieses weiß.

Im Gesetz ist nicht geregelt, welche Trackingtechnologien unter welchen Umständen angewandt werden dürfen. Geregelt ist dagegen insbesondere,

1. dass nur Nutzungsdaten – z. B. Daten zum Klickverhalten auf einer Website – für eine Profilerstellung genutzt werden dürfen und
2. dass diese Nutzungsdaten nur pseudonymisiert gesammelt und verarbeitet werden dürfen.

Eine Zusammenführung der Nutzungsdaten mit eindeutigen Identifikationsmerkmalen wie dem Namen oder der Telefonnummer ist somit nicht erlaubt. Da nach der Rechtsprechung des Bundesgerichtshofs (BGH) auch die dynamische IP-Adresse als personenbezogenes Datum einzuordnen sind – und in ihr insoweit ein „Datum über den Träger des Pseudonyms“ (§ 15 Abs. 3 TMG) gesehen werden kann – darf die ungekürzte IP-Adresse nicht in das Nutzungsprofil einfließen.

Eine Zusammenführung von eindeutigen Identifizierungsmerkmalen und Nutzungsdaten kann mit einem Bußgeld von bis zu 50.000 Euro bestraft werden. Grundsätzlich darf ferner nur Online-Verhalten, nicht jedoch Offline-Verhalten für die Erstellung der Nutzungsprofile erfasst werden.

In Rechtsprechung und Literatur ist nach wie vor ungeklärt, wie lange die erstellten Nutzungsprofile aufbewahrt werden dürfen und von wem sie eigenverantwortlich erstellt werden dürfen. Ist es nur dem Websitebetreiber erlaubt, Nutzungsprofile zu erstellen? Oder auch, wie es zumeist der Fall ist, einem Werbenetzwerk, dem der Websitebetreiber Zugang zu den Daten verschafft?

Geräteübergreifendes Tracking mit Vertrag – der Marketingvorteil sozialer Netzwerke & Konsumplattformen

Anbieter großer Werbenetzwerke wie Google und Facebook und große Konsumplattformen wie Amazon können im Gegensatz zu kleinen Websitebetreibern auf sehr viele detaillierte Profile zugreifen. Darüber hinaus haben sie einen ganz entscheidenden weiteren Vorteil: Sie stehen mit den vielen, wenn nicht sogar mit den meisten der Personen, die ihre Website oder eine Website ihrer Kooperationspartner besuchen, in einer vertraglichen Beziehung. Wer bei Amazon etwas kaufen möchte, muss zuvor ein Konto anlegen. Ebenso muss sich registrieren, wer sich bei Facebook mit seinen Freunden vernetzen oder aber über Google-Play eine App installieren möchte. Mit der Registrierung willigt der Nutzer darin ein, getrackt zu werden. So ist bei Amazon die Anmeldung nur möglich, wenn man den „Bestimmungen zu Cookies & Internet-Werbung“ zustimmt, in denen u.a. folgende Passage zu finden ist:

„Cookies werden von uns außerdem noch zu anderen Zwecken verwendet. Zum Beispiel können wir: […] Sie automatisch erkennen, wenn Sie sich auf unserer Website anmelden. Dadurch können wir Ihnen gezielte Produktempfehlungen geben, auf Sie individuell zugeschnittene Inhalte anzeigen, Sie als Prime-Kunden erkennen und Ihnen die Option “Bestellung mit 1-Click®” sowie zahlreiche weitere Funktionen und Dienste anbieten.“

Da sich der Nutzer über alle Amazon-Applikationen und Websites mit dem gleichen Konto anmeldet, ist es für Amazon sehr leicht, Daten über die Nutzung seiner unterschiedlichen Dienste zusammenzuführen und auszuwerten. Dies gilt natürlich auch für das Cross-Device-Tracking, also die Erstellung eines Nutzungsprofils auf Basis von Daten unterschiedlicher Geräte. So können Daten, die über ein Log-In eines stationären Geräts in einem Cookie gespeichert werden, mit Daten zusammengeführt werden, die Tablet oder Smartphone derselben Person über eine Werbe-ID erfassen. Anschließend kann z. B. ausgewertet werden, welche Kategorie von Produkten die getrackte Person auf welchem Gerät kauft und über welchen Werbekanal sie zu welcher Zeit am besten erreichbar ist. Um den Nutzer schließlich zu bewerben, braucht dieser gar nicht mehr eingeloggt sein. Die Informationen zu ihm sind ja bereits auf seinem Betriebssystem in der Werbe-ID bzw. im Cookie gespeichert und können jederzeit ausgelesen werden.

Geräteübergreifendes Tracking ohne Vertrag

Der Predictive-Ansatz – Wahrscheinlichkeiten auf Basis vieler Daten

Schwierig wird das geräteübergreifende Tracking hingegen, wenn mit dem Nutzer keine vertragliche Beziehung und somit auch kein identifizierbares Nutzerkonto besteht.

Führen wir das obige Beispiel aus der analogen Welt fort: Möchte ich jemanden mit dem Beobachten der von mir mehrfach gesehenen Person beauftragen, muss dieser Jemand wissen, wie er die Person identifizieren kann. Die nächstliegende Methode wäre hier, möglichst genaue Informationen zu der Person zu übermitteln, damit gezielt nach einer Person Ausschau gehalten werden kann, die diesem Profil entspricht. Ein solches Profil könnte etwa wie folgt lauten: „Männliche Person mit heller Jeans, grauer Jacke und schwarzem Hut steigt morgens um 08:15 Uhr an der S-Bahnstation Heidelberger Platz in den ersten Wagen der S41“. Der Beobachter hätte so konkrete Anhaltspunkte und eine gewisse Wahrscheinlichkeit, die beschriebene Person am Folgetag in der S-Bahnstation anzutreffen.

Ganz ähnlich funktioniert das geräteübergreifende Tracking mit der „Probalistic-Predictive-Method“: Anhand von massenhaft gesammelter Daten zu Standort, technischen Eigenschaften und aufgerufenen Websites schaffen es Unternehmen wie Drawbridge, AdTruth und TapAd nach eigenen Aussagen, Auswertungen verschiedener Geräte einer einzigen Person zuzuordnen und so eine durchgehende Customer-Journey (also den Weg des Kunden auf verschiedenen Endgeräten) aufzuzeigen. Die Probalistic-Predictive-Method lässt sich auch mit der Log-In-Methode (Deterministic-Method) verbinden, indem einer Person, die bereits über ein Log-In identifiziert wurde, weitere (wahrscheinliche) Interessen zugeschrieben werden.

Die Silverpush-Technologie – wenn TV & Smartphone kommunizieren

Allein der Kontext eines durch den Nutzer aufgerufenen Mediums verrät oft schon viel über dessen (vermeintliche) Vorlieben. Entscheidet sich eine Person etwa dazu, eine bestimmte Fernsehsendung zu sehen, nimmt sie damit bestimmte Werbeeinblendungen in Kauf, von denen die Werbetreibenden annehmen, dass sie zur Sendung und dem durchschnittlichen Zuschauer passen. So ist es durchaus nicht unwahrscheinlich, dass sich eine Person, die ein FC Bayern München-Spiel im Fernsehen verfolgt und in der Werbepause einen Werbespot der Paulaner Brauerei anschaut (die favorisierte Biermarke des Vereins), sich für Bier interessiert und deswegen für die im Spot beworbene Marke zu gewinnen ist. Wäre es da nicht praktisch, wenn der Fernsehzuschauer noch während des Spiels zusätzliche Informationen zum Bier und ein dazu passendes Gewinnspiel auf seinem Smartphone erhielte?

Mit der Silverpush-Technologie ist das – aus technischer Sicht – kein Problem mehr, denn der Fernseher kann mit dem Smartphone des Fußballfans kommunizieren, das neben diesem auf dem Sofa liegt. Das TV-Gerät informiert das Smartphone (genauer gesagt: bestimmte Apps, in die die Silverpush-Technologie integriert ist) z. B. über den Werbeinhalt, über die Fernsehsendung und über technische Daten des Fernsehgeräts. Die App sendet diese Daten dann inklusive Daten zum Smartphones (z. B. MAC-Adresse, Geräte-ID, Telefonnummer) weiter an Silverpush.

Die Auswertung der Daten ermöglicht es u.a. festzustellen, wann der Fernsehzuschauer von einem Programm zum nächsten zappt oder aber aktiv auf dem Smartphone nach weiteren Informationen zum beworbenen Produkt sucht. Der Fernsehzuschauer erfährt hiervon gar nichts, da die Kommunikation zwischen Fernseher und Smartphone über hochfrequente, für das menschliche Ohr nicht wahrnehmbare Signale erfolgt. Diese Klangschnipsel, sogenannte Sound-Beacons, werden direkt in den Werbespot eingebettet.

Welches geräteübergreifende Tracking ist rechtskonform?

Ob eine Tracking-Methode zulässig ist, hängt zunächst davon ab, ob entweder eine gesetzliche Erlaubnis für die Datenverarbeitung besteht oder der Betroffene in die Datenverarbeitung eingewilligt hat. Für die Profilbildung mittels Nutzungsdaten sieht das Gesetz die bereits angesprochene Erlaubnis vor (§ 15 Abs. 3 TMG). Da im Falle des Trackings registrierter Nutzer jedoch in der Regel nicht nur Nutzungsdaten, sondern auch Bestandsdaten und Inhaltsdaten verarbeitet werden (und somit ein von den Aufsichtsbehörden so bezeichnetes „explizites Profil“ vorliegt) ist die Erlaubnisnorm hier nicht anwendbar; eine Einwilligung des Nutzers ist erforderlich.

Bei der Probalistic-Predictive-Method werden zwar nach Aussage der Anbieter lediglich statistische Daten verarbeitet. Da das Ziel der Datenverarbeitung jedoch – wie bei herkömmlichen Tracking-Verfahren – das Erstellen eines möglichst präzisen Persönlichkeitsprofils ist, sollte aus rechtlicher Sicht von der Verarbeitung personenbezogener Daten ausgegangen werden. Dies trifft allemal dann zu, wenn IP-Adressen verarbeitet werden.

Davon zu trennen ist die Frage nach der Kategorie der Daten: Werden ausschließlich Nutzungsdaten verarbeitet, also keine Bestands- und Inhaltsdaten, kann die Probalistic-Predictive-Method auf § 15 Abs. 3 TMG gestützt werden. Nach derzeitiger Rechtslage besteht hier allerdings das Problem, dass nicht klar ist, ob nur der jeweilige Websitebetreiber oder aber auch der Anbieter der Probalistic-Predictive-Technologie (hierbei kann es sich zum Beispiel um das Werbenetzwerk Adform handeln, das die AdTruth-Technologie nutzt) die Daten eigenverantwortlich verarbeiten darf. Fraglich ist auch, wie lange die erstellten Nutzungsprofile aufbewahrt werden dürfen.

In jedem Fall müsste der Nutzer gemäß § 13 Abs. 1 TMG über Art, Umfang und Zwecke der Erhebung und Verwendung seiner Daten sowie über die ggf. erfolgende Verarbeitung in Drittstaaten (= Staaten außerhalb des EU- bzw. EWR-Raums) und sein jederzeitiges Widerspruchsrecht aufgeklärt werden. Die Unterrichtung muss in allgemein verständlicher Form erfolgen. Neben diesen Hinweisen empfiehlt es sich, eine skriptbasierte Widerspruchsmöglichkeit (mit der Wirkung eines Cross-Screen-Opt-outs) in die Datenschutzerklärung einzubinden.

Die Informationspflicht resultiert aus dem datenschutzrechtlichen Transparenzprinzip. Die Anwendung dieses Prinzips soll den Betroffenen befähigen, gegen eine ggf. rechtswidrige Verarbeitung seiner Daten vorzugehen. Transparente Informationen über eine Datenverarbeitung ermöglichen so erst, dass der Betroffene sein grundrechtlich geschütztes Recht auf informationelle Selbstbestimmung wahrnehmen kann. Der Betroffene soll, so jedenfalls die Idee, Herr seiner Daten bleiben.

Dies ist beim aktuell praktizierten Einsatz der Silverpush-Sound-Beacon-Methode ganz offensichtlich nicht der Fall. Denn der Betroffene weiß hier gar nicht, dass eine Datenverarbeitung stattfindet. Ein rechtskonformer Einsatz von Sound-Beacons würde daher voraussetzen, dass der Nutzer in allgemein verständlicher Weise über den Einsatz der Technologie und über die übrigen in § 13 Abs. 1 TMG genannten Angaben informiert wird. Allerdings werden beim Einsatz von Silverpush ohnehin nicht nur Nutzungs-, sondern auch Bestands- und Inhaltsdaten (z. B. Telefonnummern) verarbeitet, weshalb der Einsatz der Technologie ohne aktive Einwilligung des Betroffenen nach europäischem Recht klar rechtswidrig ist.

Trotz fehlender Einwilligungsmöglichkeit ist die Technologie derzeit einer Stellungnahme des Center for Democracy and Technology (CDT) zufolge in sechs bis sieben Apps integriert, die wiederum auf 18 Millionen Smartphones installiert sind. Hier ist es nur folgerichtig, dass etwa das Antiviren-Unternehmen Avira die Notbremse zog, die Silverpush-Lösung als Trojaner klassifizierte und entsprechend blockiert. Die fehlende Rechtssicherheit verfügbarer Cross-Device-Methoden ist sicher auch ein Grund dafür, dass nach einer Studie des deutschen Werbenetzwerkes intelliAD gerade einmal 15 % der Verantwortlichen für Online-Marketing in Deutschland Cross-Device-Technologien nutzen.

Fazit: Datenschutz von Anfang an berücksichtigen

Aus Sicht werbetreibender Unternehmen bleibt zu hoffen, dass die Hersteller moderner Tracking-Technologien wie den Sound-Beacons in Zukunft von Anfang an das Datenschutzrecht beachten und von sich aus auf einen datenschutzkonformen Einsatz ihrer Technologie hinwirken. Andernfalls besteht die Gefahr, dass vielversprechende und kreative Technologien als nicht-einsatzfähig verworfen werden, weil etwa die Möglichkeit einer rechtskonformen und gleichzeitig userfreundlichen Einwilligung unberücksichtigt bleibt. Anders formuliert: Selten ist eine datenverarbeitende Technologie als solche rechtswidrig; auf ihren rechtskonformen Einsatz kommt es an!

1. Schritt: Kontextanalyse der Datenverarbeitung

Die Kontextanalyse dient dazu, die praktischen Umstände der Datenverarbeitung zu erfassen. Wichtig ist hier zunächst, die Personen zu ermitteln, die an der Datenverarbeitung beteiligt sind. Danach ist die interne und ggf. externe Verantwortlichkeit zu klären: Wer leitet das Verfahren? Welche Dienstleister sind an der Verarbeitung beteiligt und wie sind hier die Verantwortlichkeiten geregelt?

Anschließend muss die Rechtsgrundlage der Datenverarbeitung bestimmt werden. Hierbei kann es sich um ein vertragliches oder vertragsähnliches Verhältnis handeln oder aber um eine Einwilligung des Betroffenen.

Mit der Rechtsgrundlage eng verzahnt sind die Zwecke, also das Warum, der Datenverarbeitung. Auch diese sollten möglichst konkret definiert werden. Schließlich gilt es, die technische Infrastruktur, also das Wie, der Datenverarbeitung für die folgende rechtliche Prüfung festzuhalten.

Die Kontextanalyse der Datenverarbeitung dient vorwiegend der Dokumentation, um im nächsten Schritt die Rechtmäßigkeitsprüfung vornehmen zu können.

2. Schritt: Rechtliche Prüfung der Datenverarbeitungen

Die rechtliche Prüfung ist der zweite Vorbereitungsschritt zur eigentlichen Anwendung des Standard-Datenschutzmodells. Zunächst sollte geprüft werden, ob die in der vorangehenden Kontextanalyse definierten Zwecke rechtlich legitim sind.

Ein weiterer Prüfpunkt sind Datenübermittlungen: Welchen Personen bzw. Stellen dürfen personenbezogene Daten bekannt gemacht werden? Schließlich müssen die umgesetzten technischen und organisatorischen Maßnahmen rechtlich bewertet werden.

Die rechtliche Prüfung soll im Ergebnis die Frage beantworten, ob die vorgesehene Datenverarbeitung grundsätzlich zulässig ist bzw. welchen rechtlichen Anforderungen sie unterliegt.

3. Schritt: Spezifizierung der Gewährleistungsziele

Dieser Schritt ist der Hauptanwendungsschritt des Standard-Datenschutzmodells. In ihm geht es im Wesentlichen darum, eine über die grobe rechtliche Analyse hinausgehende Wertung der Datenverarbeitung zu erreichen, um anschließend Verbesserungsmaßnahmen entwickeln zu können. Hierzu müssen die im Standard-Datenschutzmodell definierten Gewährleistungsziele auf die einzelnen Datenverarbeitungen angewendet werden. Dabei sind sowohl qualitative Parameter (z. B. Bestimmung der Zugriffsberechtigten) als auch quantitative Parameter (z. B. Verfügbarkeitsanforderungen) anzulegen.

Der wohl wichtigste Schritt innerhalb der Spezifizierungsphase ist die Durchführung der sogenannten Schutzbedarfsanalyse einer Datenverarbeitung. Durch Zuordnung von Schutzbedarfskategorien („normal“, „hoch“ und „sehr hoch“) zu sogenannten Schadensszenarien, wird der Eingriff in das Persönlichkeitsrecht eines Betroffenen bewertet. Die Schutzbedarfsanalyse als Kern der Datenschutzprüfung lohnt einer genaueren Betrachtung:

Welche Schadensszenarien gibt es im Standard-Datenschutzmodell?

Das Datenschutzmodell sieht folgende sechs Schadensszenarien vor:

1. Unrechtmäßige Datenverarbeitung (Verstoß gegen Gesetze / Vorschriften / Verträge),
2. Beeinträchtigungen für informationelle Selbstbestimmung,
3. Beeinträchtigungen des Ansehens und der Reputation des / der Betroffenen,
4. Beeinträchtigungen der persönlichen Unversehrtheit des / der Betroffenen,
5. Finanzielle Auswirkungen für den / die Betroffenen und
6. Auswirkungen auf nicht unmittelbar Betroffene (Grundrechtsausübung).

Wie erfolgt die Zuordnung von Schutzbedarfskategorien zu Schadensszenarien?

Anschließend stellt sich die Frage, nach welchen Kriterien die Zuordnung der Schutzbedarfskategorien zu den Schadensszenarien erfolgen kann. Maßgeblich sind u. a. die Erwartungshaltung des Betroffenen hinsichtlich der Datenverarbeitung, die Möglichkeit zur Intervention des Betroffenen, die Tolerabilität der Datenverarbeitung und das (unmittelbare) Schadenspotential.

Was ist das Ergebnis der Zuordnung zu den Schadensszenarien?

Folgende Praxisfragen lassen sich mithilfe der Zuordnung von Schutzbedarfskategorien zu Schadensszenarien für eine konkrete Datenverarbeitung beantworten:

• Für welchen Zeitraum ist der Verlust der Verfügbarkeit der Daten für die Betroffenen in welchem Grad tolerabel?
• Mit welcher Verzögerung soll die Aktualität der Daten garantiert werden?
• Mit welcher zeitlichen Präzision muss die Verarbeitung im Nachhinein nachvollzogen werden können?
• In welchem zeitlichen Rahmen muss die verantwortliche Stelle in der Lage sein, die jeweiligen Betroffenenrechte zu gewähren?

Neben der Beantwortung solcher Praxisfragen erlaubt die Schutzbedarfsanalyse eine Abwägung zwischen den Persönlichkeitsinteressen des Betroffenen und dem Datenschutzaufwand des verantwortlichen Unternehmens. Auch lassen sich Restrisiken abschätzen, die aus der (nur begrenzten) Erfüllung eines Gewährleistungsziels resultieren.

4. Schritt: Soll-Ist- bzw. Soll-Plan-Vergleich

Den Abschluss der Prüfung auf Grundlage des Standard-Datenschutzmodells bildet ein Soll-Ist-Vergleich. Darin werden die von der verantwortlichen Stelle eingeleiteten oder sogar bereits umgesetzten Datenschutzmaßnahmen den Maßnahmen gegenüberstellt, die das SDM mit seinen Gewährleistungszielen und generischen Maßnahmen als optimale Umsetzung definiert. Der Soll-Ist-Vergleich ermöglicht es somit, die Weiterentwicklung des Datenschutzes im Detail umzusetzen.

Fazit: Ein solides, aber etwas sperriges Modell

Bei konsequenter Anwendung des Standard-Datenschutzmodells schafft dieses nicht nur Klarheit über den faktischen Stand des Datenschutzes im eigenen Unternehmen, sondern ermöglicht auch die Gewichtung einzelner (ggfs. noch zu ergreifender) Schutzmaßnahmen. Hierzu bieten die Schutzbedarfskategorien und die Schadensszenarien eine gute Hilfestellung.

Vor allem mit Blick auf den europäischen und internationalen Raum bleibt allerdings fraglich, ob sich das Standard-Datenschutzmodell in seiner teilweise starren und abstrakten Form in der datenschutzrechtlichen Praxis behaupten wird.