Source: https://www.real-time-advertising-und-recht.de/aufsaetze/real-time-advertising-datenschutz/
Timestamp: 2020-01-28 10:47:12+00:00

Document:
Real Time Advertising & Datenschutz :: Real Time Advertising Recht Urteile Entscheidungen Aufsätze
Um eine rechtliche Bewertung vornehmen zu können, bedarf es einer kurzen Skizzierung der technischen Abläufe. Auf eine weitergehende Darstellung wird im folgenden bewusst verzichtet. Es sei an dieser Stelle vielmehr auf die hervorragende Einführung von Schroeter/Westermeyer/Müller/Schlottke/Wendels verwiesen.
Für unsere juristische Betrachtung gehen wir von nachfolgender vereinfachten Darstellung aus, wobei in der Praxis die Abläufe deutlich komplexer und umfangreicher sind:
Publisher <---> SSP <---> DSP <---> Advertiser
Hierbei wird zwischen drei Arten von Daten differenziert:
Facebook hat aus seinen Benutzerprofilen einen eigenständigen, neuen Datensatz erstellt. Darin enthalten ist die Information, dass 54% der Leute gerne Schokoladeneis essen, während hingegen nur 33% der Nutzer Erdbeereis mögen. Es ist nicht mehr rückführbar, welcher der einzelnen User Erdbeere und wer Schokolade bevorzugt.
Im Datensatz von Facebook ist die Information enthalten, dass der User „Martin Bahr“ von Beruf „Rechtsanwalt“ ist. Facebook entfernt nun den Namen und ersetzt ihn durch ein Pseudonym, z.B. eine Kennzahl wie „00001“. Dieses neue Pseudonym wird nur einmal vergeben. Ein anderer Facebook-Nutzer erhält z.B. die Zahl „00002“.
Das Internet-Unternehmen weiß also nicht mehr, wer sich hinter der Zahl „00001“ verbirgt, da der Name vollständig gelöscht wurde. Erkennbar sind jedoch weiterhin alle sonstigen Informationen.
Wie oben dargestellt, gehen wir im nachfolgenden davon aus, dass der Publisher der SSP bestimmte pseudonymisierte Benutzerdaten weiterreicht. Ist eine solche Informations-Übertragung datenschutzrechtlich unbedenklich?
Um die Antwort vorweg zu nehmen: Ja, sie ist es.
Zwar gibt es bislang zu dieser Frage keine einzige Gerichtsentscheidung, jedoch sprechen sehr gute Argumente für die rechtliche Einwandfreiheit einer solchen Daten-Übertragung. Unklar ist nur der juristische Weg, auf dem dieses Ziel erreicht wird.
Die erste Frage, die sich der Jurist stellt, ist die, ob überhaupt im rechtlichen Sinne eine Datenübermittlung vorliegt. Qualifiziert man nämlich das Verhältnis zwischen Publisher und SSP als Auftragsdatenverarbeitung, so liegt nach dem Gesetz bereits keine Datenübermittlung vor (§ 3 Abs. 4 Nr. 3 iVm. Abs. 8 S. 3 BDSG). Die Handlungen wären damit rechtlich gesehen weitgehend unproblematisch.
Die Möglichkeiten und Grenzen der Auftragsdatenverarbeitung hatten wir bereits in einem vorherigen Artikel ausführlich besprochen. Bedenken bestehen jedoch, dass die SSP in ihrer Funktion nicht nur die Interessen des Publishers wahrnimmt, sondern zumindestens wirtschaftlich gleichgewichtig auch eigene kommerzielle Interessen im Auge hat. Eine solche Geschäftsbeziehung als Auftragsdatenverarbeitung iSd. § 11 BDSG zu qualifizieren, dürfte nur außerordentlich schwer möglich sein, denn die SSP erhebt und verarbeitet die Daten auch zu eigenen Zwecken. Dies ist insbesondere dann der Fall, wenn die SSP die Daten für Zwecke verwendet, die das Geschäftsverhältnis zwischen dem einzelnen Publisher und ihr übersteigt.
Nach § 15 Abs.5 TMG dürfen „zum Zwecke der Marktforschung anonymisierte Nutzungsdaten an andere Diensteanbieter übermittelt werden.“
Es würde die gesetzgeberische Wertung unterlaufen, würde man die Übermittlung von nicht schütztenswerten anonymen Daten lediglich zu Marktforschungszwecken erlauben, andererseits die Übertragung von deutlich schützenswerteren pseudonymen Daten aber auch zum Zwecke der Werbung zulassen. Dies wäre ein eindeutiger Wertungswiderspruch.
Denkbar erscheint jedoch ein Rückgriff auf § 28 Abs. 2 Nr. 1 iVm. Abs. 1 Nr. 2 BDSG. Danach darf der Publisher die Daten übermitteln, wenn dies zur Wahrung seiner berechtigter Interessen erforderlich ist und kein Grund zur Annahme besteht, dass schutzwürdige Belange des Users betroffen sind.
Zu den berechtigten Interessen des Publishers gehören nach ständiger Rechtsprechung auch finanzielle Aspekte. Dabei ist im Rahmen einer umfassenden Interessensabwägung zu analysieren, ob die Interessen des einzelnen Users überwiegen oder die des Publishers. Für den Publisher sind hier seine wirtschaftlichen Interessen ins Feld zu führen, für den User hingegen sein grundsätzliches Recht auf informationelle Selbstbestimmung. Wie eine Abwägung im Einzelfall ausfällt, ist daher kaum vorhersagbar.
Rechtliche Bedenken hinsichtlich eines solchen Rückgriffs bestehen insbesondere unter dem Einwand, dass durch einen Rückgriff auf eine allgemeinere Norm, nämlich das BDSG, die spezielleren Regelungen des TMG ausgehebelt würden. Wollte der Gesetzgeber nämlich – wie oben dargestellt - nach den Regelungen des TMG keine Übermittlung der pseudonymisierten Daten zu Werbezwecken, dann verbietet sich die Anwendung der herkömmlichen Regelungen des BDSG, da ansonsten der abschließende Zweck des TMG unterlaufen würde.
Daher sprechen die ganz überwiegenden Gründe gegen eine Anwendung des § 28 BDSG.
Bei Internet-Portalen, die Nutzerprofile lediglich von registrierten Nutzern erheben, ist dies unproblematisch möglich. Im Rahmen der Anmeldung wird einfach auf diese Umstände hingewiesen, mehr ist nicht erforderlich.
Problematisch hingegen sind die Fälle, in denen Unternehmen Daten auch von nicht registrierten Usern speichern, z.B. von allen Personen, die eine Webseite ansurfen. Hier stellt sich die entscheidende Frage, an welcher Stelle die rechtliche Aufklärung zu platzieren ist: Direkt auf der Startseite mittels eines großen, bunt blinkenden Pop-Up-Fensters? Oder reicht auch die dezente Platzierung im Impressum aus? Und reicht es aus, den Widerspruch in Form eines Opt-Out-Cookies auf dem lokalen Rechner des Users zu speichern?
Überraschenderweise existiert zu diesem gesamten Themenkomplex bislang keine bzw. kaum relevante Rechtsprechung in Deutschland. So unbefriedigend diese Tatsache auf den ersten Blick ist, sollten Sie als Internet-Unternehmer diesem Umstand vielmehr eine positive Seite abgewinnen: Wenn nämlich alles ungeklärt ist, so kann es Ihnen niemand vorwerfen, wenn Sie diesen Freiraum nutzen.
Für das Verhältnis zwischen SSP und DSP kann spiegelbildlich auf die Ausführungen zwischen SSP und DSP zurückgegriffen werden. Auch hier scheitert eine Auftragsdatenverarbeitung an der Tatsache, dass die DSP primär eigene wirtschaftliche Ziele verfolgt. Eine Anwendung des § 15 Abs. 5 TMG scheidet - wie oben dargestellt - auch in dieser Konstellation aus. Denkbar wäre hier die Lösung nach § 15 Abs. 3 TMG, jedoch setzt dies voraus, dass die DSP ebenfalls auf der Webseite des Publishers genannt wird, was aus technischen und logistischen Gründen jedoch ausscheidet.

References: § 11
 § 15
 § 28
 § 28
 § 15
 § 15