EU-Gericht urteilt zum Personenbezug bei verschlüsselten Daten

Personenbezogene Daten werden häufig pseudonymisiert verarbeitet, indem unmittelbar identifizierende Klardaten (zum Beispiel Namen) mit Kennungen oder Codes ersetzt werden. Die Stelle, die eine Pseudonymisierung vornimmt, behält aber in der Regel Mittel in der Hand, um die hinter den pseudonymen Kennungen stehenden Personen weiterhin zu identifizieren, sodass das Datenschutzrecht und die DSGVO auf diese Daten weiterhin unmittelbar anwendbar bleiben.

Wie ist jedoch der Fall zu bewerten, wenn diese verschlüsselten Daten an ein anderes Unternehmen weitergegeben werden? Genau diese Frage musste das Europäische Gericht („EuG“) kürzlich beantworten (Urteil vom 26. April 2023, Az. T-557/20). (Hinweis: Das EuG ist eine Vorinstanz zum Europäischen Gerichtshof („EuGH“) und mit diesem daher nicht zu verwechseln!)

Der Sachverhalt

Das Single Resolution Board („SRB“), das als EU-Institution die Abwicklung von Insolvenz im Finanzsektor begleitet, erfasste über ein Online-Formular persönliche Stellungnahmen und gab diese Daten an eine Beratungsfirma weiter, ohne die Betroffenen darüber zu informieren. Vor der Weitergabe ersetzte das SRB die Namen jedoch jeweils mit einem Code.

Der nach einer Beschwerde eingeschaltete Europäische Datenschutzbeauftragte („EDSB“) sah hierin eine Weitergabe von pseudonymisierten – und damit personenbezogenen – Daten der Betroffenen an einen Dritten. Entsprechend hätte das SRB die Betroffenen über die Datenweitergabe informieren müssen.

Der SRB führte hiergegen an, dass es sich bei den weitergegebenen Daten um anonymisierte Daten handeln würde. So habe der SRB die für die Reidentifizierung der Interessenten erforderlichen Daten nicht mit der Beratungsfirma geteilt. Außerdem stünde letzterer kein Recht zu, auf die beim SRB liegenden Informationen zuzugreifen, um die Interessenten hinter den Codes zu ermitteln.

Urteil: Die Perspektive des Datenempfängers muss berücksichtigt werden

Das EuG führte in seiner Entscheidung aus, dass es für die Frage, ob pseudonymisierte Daten, die an ein anderes Unternehmen übermittelt werden, als personenbezogene Daten nach der DSGVO einzustufen sind, auf die Sicht des Datenempfängers ankommt. Es muss insoweit geprüft werden, ob der Datenempfänger (zulässige) Mittel besitzt, die er vernünftigerweise einsetzen kann, um die betroffenen Personen zu identifizieren. Diese Prüfung hatte der EDSB in dem vorliegenden Verfahren jedoch unterlassen und es für ausreichend befunden, dass jedenfalls das SRB eine Identifizierung vornehmen konnte.

Einordnung für die Praxis

Das EuG setzt mit seinem Urteil die bekannte „Breyer“-Rechtsprechung des EuGH aus dem Jahr 2016 konsequent fort. Es deutet hiermit an: Wenn ein Datenempfänger tatsächlich nicht über zusätzliche Informationen verfügt, die ihm eine erneute Identifizierung der betroffenen Personen ermöglichen, und wenn ihm keine rechtlichen Mittel zur Verfügung stehen, um auf diese Informationen zuzugreifen, stellen die ihm übermittelten (pseudonymisierten) Daten keine personenbezogenen Daten dar. Die DSGVO ist für die Verarbeitung dieser Daten in der Konsequenz auch nicht anwendbar.

Auf den ersten Blick sind dies gute Nachrichten insbesondere für Unternehmen in der Werbebranche, die pseudonymisierte Daten für das Anzeigen von Werbung speichern und verwenden, wie zum Beispiel Data Management Plattformen.

Die Feststellungen im Urteil gelten jedoch nur unter dem Vorbehalt, dass Identifier in diesen Datensätzen nicht doch noch andere Identifikatoren vorhanden sind. In der Praxis sind solche vollverschlüsselten und damit anonymisierten Datensätze allerdings nur selten anzutreffen, da die Kombination der unterschiedlichen Datenkategorien in der Regel doch einen Rückschluss zu den betroffenen Personen erlauben. Die praktischen Auswirkungen des Urteils werden daher gering sein.

In Übrigen ist eine Berufung zum EuGH möglich und auch nicht unwahrscheinlich. Es bleibt daher abzuwarten, ob das Urteil des EuG vor dem Gerichtshof bestehen wird.

Vor etwa einem Jahr hat die belgische Datenschutzbehörde (APD) ihre Untersuchungen gegen das Interactive Advertising Bureau (IAB) Europe und deren 2018 ins Leben gerufene und 2019 als 2.0 Version überarbeitete „Transparency And Consent Framework“ (kurz TCF 2.0) begonnen. Dabei handelt es sich um einen Standard, der die Digitalwerbe-Branche bei der Einhaltung der datenschutzrechtlichen Vorschriften im Rahmen der eigenen Datenverarbeitungsprozesse unterstützen soll, insbesondere bei der Einholung von Einwilligungen für Online-Tracking durch Dritte, so genannte Vendoren.

Was ist der aktuelle Stand?

Das IAB Europe hat in einer Mitteilung am 5. November 2021 mitgeteilt, dass die belgische Datenschutzbehörde einen Entscheidungsentwurf veröffentlichen will, der die Untersuchung zur Rolle von IAB Europe im Rahmen des TCF abschließt. Dieses Verfahren war von einer Gruppe von Beschwerdeführern, koordiniert vom Irish Council for Civil Liberties (ICCL), gegen IAB Europe und dessen Einwilligungs-Standard TCF 2.0 eingeleitet worden.

In diesem Entwurf werden wohl Verstöße der IAB Europe gegen die DSGVO festgestellt. Die zentralen Punkte des Entwurfes sind offenbar die Folgenden:

1. Die APD geht davon aus, dass es sich bei den „Consent Strings“ um personenbezogene Daten handelt. Bei den „Consent Strings“ handelt es sich um digitale Signale, die auf Websites erstellt werden, um die Entscheidungen der Betroffenen über die Verarbeitung ihrer Daten für digitale Werbung, Inhalte und Messungen zu erfassen. Der ICCL beschreibt es in seiner Pressemitteilung vom 5. November als „Identifizierungscode, der über eine Person erstellt wird, basierend darauf, welche Apps sie nutzt und welche Websites sie besucht, und was sie in Zustimmungs-Popups anklickt“.
2. IAB Europe ist in diesem Rahmen als für die Datenverarbeitung Verantwortlicher anzusehen.
3. IAB Europe wird im spezifischen Kontext von OpenRTB vermutlich als mit vielen anderen Online-Werbetreibenden gemeinsam für die Verarbeitung Verantwortlicher für Consent Strings angesehen. Beim OpenRTB (Real-Time-Bidding) handelt es sich um ein tracking-basiertes Anzeigen-System, bei dem Werbetreibende bei der Auslieferung von Werbemitteln automatisiert und in Echtzeit Werbeeinblendungen auf Websites der Publisher kaufen können.

IAB Europe sah sich bisher nicht als Verantwortlicher

Bisher ist das IAB Europe laut eigener Aussage auf Grundlage der bisherigen Leitlinien anderer Datenschutzbehörden und der Tatsache, dass das IAB Europe einzelne Consent Strings weder verarbeitet, besitzt oder sonst über deren Verwendung entscheidet, sowie auf Grundlage der bisherigen Rechtsprechung davon ausgegangen, nicht als für die Datenverarbeitung im Kontext des TCF Verantwortlicher zu gelten. Etwaige Pflichten eines Verantwortlichen hat das IAB Europe dementsprechend bisher nicht erfüllt.

Die Entscheidung der belgischen Aufsichtsbehörde ist daher durchaus überraschend, auch weil das TCF in Zusammenarbeit mit Datenschutzbehörden erarbeitet wurde. Dies soll laut Aussage des IAB jetzt erneut geschehen um das TCF datenschutzkonform anzupassen und den Anforderungen der DSGVO zu entsprechen.

Mögliche Folgen der Entscheidung für die Onlinemarketing-Branche

Endgültig werden wir die Auswirkungen dieser Entscheidung erst beantworten können, wenn der Entscheidungsentwurf veröffentlicht wurde und andere Aufsichtsbehörden Stellung dazu beziehen. Das kann noch etwas dauern, da der Entwurf zunächst an andere Datenschutzbehörden weitergeleitet wird und die belgische Datenschutzbehörde davon ausgehend eine endgültige Entscheidung treffen oder aber die Angelegenheit an den Europäischen Datenschutzausschuss (EDPB) zur verbindlichen Entscheidung weiterleiten wird.

Das IAB ist insofern zuversichtlich, dass die festgestellten Verstöße innerhalb von sechs Monaten unter Zusammenarbeit von IAB, der belgischen Aufsichtsbehörde und den anderen Aufsichtsbehörden behoben werden können. So steht es angeblich auch im besagten Entscheidungsentwurf. Einen anderen Ton schlägt hingegen der ICCL an, der in seiner Pressemitteilung jubelt „We have won“ und den Entscheidungsentwurf so bewertet, dass festgestellt wurde, dass IAB Europe und dessen TCF hundert Millionen Europäern ihrer Grundrechte beraubt habe und das TCF rechtswidrig sei.

Was lässt sich bereits jetzt sagen?

Für die Frage, ob das IAB Europe tatsächlich als für die Verarbeitung Verantwortlicher angesehen werden kann, ist maßgeblich, wo die Grenze gezogen wird, ab wann der Einfluss auf die Datenverarbeitung bereits so groß ist, dass von einer Verantwortlichkeit gesprochen werden kann. Dass eine hauptsächlich verwaltende Rolle, in der lediglich die Richtlinien festgelegt und eine Liste der teilnehmenden Vendoren verwaltet werden, aber in keiner Weise eine Verarbeitung spezifischer TC Strings durch IAB erfolgt, dafür ausreichen soll, kann angezweifelt werden. Eine Argumentation in die andere Richtung ist zwar denkbar, würde jedoch dazu führen, dass die Schwelle, ab wann eine datenverarbeitende Stelle bereits als Verantwortlicher gilt sehr niedrig angesetzt wird. Die Konsequenz davon wäre, dass viele datenschutzrechtliche Rollenverteilungen und Beziehungen zwischen Verantwortlichen und (vermeintlichen) Auftragsverarbeitern neu überdacht werden müssten. Die Entscheidung der belgischen Aufsichtsbehörde, IAB Europe als für die Verarbeitung Verantwortlicher einzustufen, ist insofern überraschend und könnte, sollte sie Bestand haben, richtungsweisend in der Frage der Abgrenzung von Verantwortlicher, gemeinsam Verantwortliche und Auftragsverarbeiter sein.

In letzter Zeit ist jedenfalls ein Trend zu beobachten, dass zunehmend möglichst viele Datenverarbeitungsprozesse unter den Hut der gemeinsamen Verantwortlichkeit gebracht und der Stempel des Mit-Verantwortlichen auf immer mehr Anwendungsfälle ausgeweitet werden soll. Das wird nicht erst seit der FashionID-Entscheidung des Europäischen Gerichtshofs deutlich. Die Entscheidung der belgischen Aufsichtsbehörde könnte sich insofern in diese Entwicklung einreihen.

Wir werden diese Entwicklung für Sie weiter beobachten. Sobald der Entwurf im Wortlaut veröffentlicht wurde und andere Aufsichtsbehörden dazu Stellung bezogen haben, werden wir die Rechtslage für Sie erneut näher beleuchten.

Bis dahin stehen wir Ihnen selbstverständlich in allen Fragen diesbezüglich zur Verfügung und beraten Sie gern.