Schlagwort: Datenschutz

KI in der Agentur: Was in der Werbe-, Media- und Onlinebranche jetzt rechtlich zu beachten ist

Geschrieben am von Dr. Frank Eickmeier

Künstliche Intelligenz ist in der Werbe-, Media- und Onlinebranche längst ein produktives Werkzeug des Arbeitsalltags. Agenturen, Medienhäuser und Digitalunternehmen setzen KI-Systeme heute routinemäßig ein — für Recherchen, die Erstellung von Texten und Bildmaterial, für Präsentationen, für Kampagnenreporting und Datenvisualisierung. Der Wettbewerbsdruck, diese Möglichkeiten zu nutzen und auszubauen, ist real. Ebenso real sind aber die rechtlichen Anforderungen, die damit einhergehen und die in dieser Branche besondere Relevanz haben. Dieser Artikel gibt einen Überblick über die wichtigsten Handlungsfelder.

Datenschutz und interne Sicherheitsanforderungen

Wann greift die DSGVO?

Der Ausgangspunkt ist schnell beschrieben: Sobald personenbezogene Daten in ein KI-System eingegeben oder durch ein solches System verarbeitet werden, greift die Datenschutzgrundverordnung. In der Werbe- und Mediabranche ist diese Schwelle besonders schnell erreicht. Kampagnendaten mit Kundenbezug, Nutzerprofile, Zielgruppendaten, Kontaktdaten aus CRM-Systemen, Gesprächsprotokolle aus Kundenmeetings, Briefing-Unterlagen — all das ist in der täglichen Arbeit präsent, und all das landet schnell in einem KI-System, wenn Mitarbeiter damit produktiv arbeiten.

Auftragsverarbeitungsvertrag als Pflichtbaustein

Der erste und wichtigste Schritt ist daher die Prüfung, ob mit jedem eingesetzten KI-Anbieter eine Auftragsverarbeitungsvereinbarung geschlossen wurde. Dieser Vertrag ist keine bürokratische Formalität, sondern zwingende Voraussetzung dafür, dass eine Datenverarbeitung überhaupt rechtmäßig ist. Wer die Consumer-Versionen gängiger KI-Dienste nutzt — etwa die Standardversionen von ChatGPT oder Google Gemini — wird feststellen, dass diese Voraussetzung dort in der Regel nicht erfüllt ist. Die erforderlichen Business- oder Enterprise-Optionen müssen gezielt gebucht und aktiviert werden.

Serverstandort und Drittlandtransfers

Eng damit verbunden ist die Frage des Serverstandorts. Personenbezogene Daten sollten idealerweise ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet werden. Drittlandtransfers — also die Übermittlung von Daten in die USA oder andere Staaten außerhalb des EWR — sind zwar unter bestimmten Voraussetzungen, etwa auf Basis von Standardvertragsklauseln zulässig, aber mit erheblichem Dokumentationsaufwand verbunden, rechtlich angreifbar und im Zweifel gegenüber Aufsichtsbehörden schwer zu verteidigen. Gerade für Agenturen, die im Auftrag ihrer Kunden handeln und dabei häufig sensible Markt- und Zielgruppendaten verarbeiten, ist die Wahl EU-basierter Infrastruktur keine bloße Vorsichtsmaßnahme, sondern ein zentrales Element der eigenen Compliance-Strategie zu empfehlen.

Kein Training mit Ihren Daten

Ein weiterer Punkt, der in der Praxis regelmäßig übersehen wird: Viele KI-Anbieter nutzen Eingabedaten in ihrer Standardkonfiguration zur Verbesserung und zum Training ihrer Modelle. Aus datenschutzrechtlicher Sicht ist das in aller Regel unzulässig. Dieser Ausschluss muss vertraglich ausdrücklich vereinbart und technisch nachvollziehbar sein — allein eine entsprechende Zusicherung im Kleingedruckten der Nutzungsbedingungen reicht meist nicht.

Zentrale KI-Infrastruktur statt Tool-Wildwuchs

Wer diese Anforderungen konsequent und skalierbar umsetzen will, kann den Einsatz einer zentralen KI-Plattformlösung in Betracht ziehen. Systeme wie Langdock oder Logicc können es ermöglichen, verschiedene KI-Modelle — etwa GPT-4, Claude oder Gemini — über eine einheitliche, Infrastruktur zu betreiben, die Datenschutzaspekte berücksichtigt. Zugriffsrechte lassen sich granular nach Abteilungen, Projekten oder Mandanten steuern, Eingaben können protokolliert werden, und der gesamte Datenfluss bleibt innerhalb einer kontrollierten Compliance-Umgebung. Gerade für Agenturen, die für mehrere Kunden parallel arbeiten und dabei unterschiedliche Datensätze verwalten, ist dieser Ansatz dem unkontrollierten Wildwuchs verschiedener Einzel-Tools deutlich vorzuziehen.

Interne KI-Nutzungsrichtlinie

Ergänzend sollte jedes Unternehmen, das KI produktiv einsetzt, eine interne KI-Nutzungsrichtlinie festlegen. Diese regelt, welche Datenkategorien in KI-Systeme eingegeben werden dürfen, welche Tools zugelassen sind, und welche internen Freigabeprozesse gelten. Sie ist datenschutzrechtlich als Teil des technisch-organisatorischen Rahmens erforderlich und zugleich arbeitsrechtlich relevant, weil sie Mitarbeiterpflichten klar definiert und das Unternehmen absichert, wenn gegen diese Pflichten verstoßen wird. In einer Branche, in der Mitarbeiter eigenständig und kreativ mit einer Vielzahl digitaler Tools arbeiten, ist eine solche Richtlinie eine praktische Notwendigkeit.

Bestehende Kundenverträge auf KI-Tauglichkeit prüfen

Schließlich — und das betrifft speziell Agenturen und Dienstleister — ist zu prüfen, ob bestehende Auftragsverarbeitungsverträge mit Kunden den KI-Einsatz abdecken. Wenn Kundendaten, die im Rahmen eines Agenturauftrags verarbeitet werden, in KI-Systeme eingegeben werden, entsteht eine zusätzliche Ebene der Unterauftragsverarbeitung. Diese muss durch den bestehenden AVV mit dem Kunden ausdrücklich gedeckt sein. In vielen heute noch gültigen Agenturverträgen ist dieser Fall nicht geregelt, weil er zum Zeitpunkt des Vertragsschlusses noch nicht relevant war. Das sollte zeitnah geprüft und bei Bedarf angepasst werden.

Urheberrecht und Kennzeichnungspflichten: besondere Relevanz für die Kreativbranche

Kein Urheberrechtsschutz für KI-generierte Inhalte

Nach deutschem Recht setzt urheberrechtlicher Schutz eine persönliche geistige Schöpfung voraus, also einen menschlichen Schöpfungsakt. KI-generierte Inhalte erfüllen dieses Kriterium grundsätzlich nicht oder allenfalls dann in eingeschränktem Maße, wenn ein Mensch durch sehr spezifische Prompts, gezielte Auswahl und nachgelagerte Bearbeitung eine hinreichend individuelle gestalterische Leistung erbracht hat. Praktisch bedeutet das: Texte, Bilder, Grafiken oder Videoschnitte, die überwiegend durch KI erzeugt wurden, sind in der Regel nicht oder nur schwach urheberrechtlich geschützt. Dritte können sie grundsätzlich frei verwenden.

Konsequenzen für die Vertragsgestaltung mit Kunden

Das hat unmittelbare Konsequenzen für die Vertragsgestaltung. Wenn eine Agentur KI-generierte Inhalte im Rahmen eines Auftrags erstellt und liefert, geht der Kunde möglicherweise davon aus, exklusive Nutzungsrechte an einem urheberrechtlich geschützten Werk zu erwerben. Diese Annahme ist in vielen Fällen unzutreffend. Wer hier keine klaren vertraglichen Regelungen trifft, riskiert Haftungsansprüche und Folgestreitigkeiten. Es empfiehlt sich daher, in AGB oder Einzelverträgen ausdrücklich darauf hinzuweisen, dass zur Leistungserbringung KI-gestützte Tools eingesetzt werden und dass der urheberrechtliche Schutzstatus der erzeugten Inhalte entsprechend eingeschränkt sein kann.

Risiko: Reproduktion geschützten Trainingsmaterials

Hinzu kommt ein weiteres urheberrechtliches Risiko: KI-Modelle werden auf großen Mengen urheberrechtlich geschützten Materials trainiert. Bei der Generierung neuer Inhalte kann es vorkommen, dass das Modell geschützte Werke reproduziert oder stark angenäherte Inhalte erzeugt. Es ist denkbar, dass die generierten Inhalte Urheberrechte verletzen, auch wenn sie selbst urheberrechtlich nicht geschützt sind. Im Außenverhältnis trägt derjenige das Risiko, der den Inhalt verwendet und veröffentlicht. Eine sorgfältige Qualitätskontrolle vor Veröffentlichung ist daher nicht nur inhaltlich, sondern auch rechtlich geboten und sollte in den internen Freigabeprozess integriert werden.

Kennzeichnungspflichten für KI-Inhalte ab August 2026

Die EU-KI-Verordnung enthält Transparenzpflichten für bestimmte KI-generierte Inhalte. Diese Vorschrift wird in der öffentlichen Diskussion häufig überdehnt, weshalb eine genaue Einordnung wichtig ist. Relevant ist dabei auch der Zeitpunkt: Die Transparenzpflicht ist erst ab August 2026 vollständig anwendbar. Das klingt nach ausreichend Vorlaufzeit, ist es für viele Agenturen aber nicht — wer synthetische Inhalte in großem Umfang produziert, muss die dafür erforderlichen technischen und organisatorischen Prozesse jetzt entwickeln, nicht erst kurz vor Ablauf der Frist.

Inhaltlich gilt: Eine generelle Pflicht, jeden KI-generierten Text oder jedes KI-generierte Bild als solches zu kennzeichnen, existiert nicht. Die KI-Verordnung verpflichtet Betreiber von KI-Systemen, die Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, diese zu kennzeichnen, wenn die Inhalte tatsächlich existierende Personen, Orte oder Ereignisse täuschend echt darstellen — also bei sogenannten Deepfakes. Die Definition ist dabei enger als der Begriff im allgemeinen Sprachgebrauch. Generische KI-generierte Illustrationen, Stockbilder ohne erkennbaren Personenbezug oder abstrakte Datenvisualisierungen sind davon in aller Regel nicht erfasst, könnten es aber bei bestimmten Gestaltungen sein. Zur Wahrheit gehört auch, dass die Definition vermutlich erst durch die noch ausstehenden Orientierungshilfen der EU-Kommission geschärft werden wird.

Besondere Relevanz für Kampagneninhalte mit Personendarstellungen

Für die Werbe- und Mediabranche ist ein Szenario besonders relevant: der Einsatz von KI zur Erstellung täuschend echter Darstellungen von Personen — etwa für Kampagnenmotive, Testimonials oder bewegte Werbeinhalte. Wer solche Inhalte erzeugt und einsetzt, könnte ab August 2026 zur Kennzeichnung verpflichtet sein und sollte die Vorbereitung darauf nicht auf die lange Bank schieben. Es wird hierauf die Details ankommen.

Wettbewerbsrechtliche Grenzen

Unabhängig von der KI-VO gilt wettbewerbsrechtlich bereits heute: Nach dem UWG kann eine Irreführung durch Unterlassen vorliegen, wenn gegenüber Verbrauchern oder Geschäftspartnern der Eindruck erweckt wird, bestimmte Inhalte seien von Menschen erstellt worden, obwohl dies nicht der Fall ist und weitere Voraussetzungen erfüllt sind. Je mehr die Authentizität oder Individualität eines Inhalts im Vordergrund der Kommunikation steht — ein Bereich, in dem Werbeagenturen täglich arbeiten — desto eher kann der unerwähnte KI-Einsatz wettbewerbsrechtlich problematisch sein.

Fazit und Handlungsempfehlung

Für Unternehmen der Werbe-, Media- und Onlinebranche verdichtet sich der rechtliche Handlungsbedarf auf einige klar benennbare Punkte: Auftragsverarbeitungsverträge mit allen KI-Anbietern abschließen oder überprüfen, EU-Serverstandorte und vertraglichen Ausschluss von Trainingszwecken sicherstellen, eine zentrale datenschutzkonforme KI-Infrastruktur aufbauen, interne Nutzungsrichtlinien einführen, bestehende Kunden-AVV auf KI-Tauglichkeit prüfen, AGB und Werkverträge um Regelungen zu KI-generierten Inhalten ergänzen, und — mit Blick auf August 2026 — ein konkretes Konzept für die Kennzeichnung synthetischer Inhalte entwickeln.

Wer diese Punkte jetzt strukturiert angeht, ist nicht nur rechtlich auf der sicheren Seite, sondern schafft auch intern eine Grundlage, auf der KI-Werkzeuge effizient, verantwortungsvoll und mit echtem Mehrwert eingesetzt werden können. Für eine individuelle Beratung und Prüfung der eigenen Vertragsunterlagen stehen wir zur Verfügung.

Contextual Targeting ohne personenbezogene Daten – warum die DSGVO häufig gar nicht greift

Geschrieben am von Dr. Frank Eickmeier

Im Online-Marketing wird Targeting regelmäßig reflexartig mit hochen Datenschutz-Anforderungen gleichgesetzt. Insbesondere im Programmatic Advertising dominiert die Annahme, dass bei jeder Form der Werbeaussteuerung zwangsläufig personenbezogene Daten verarbeitet werden und damit die DSGVO anwendbar ist. Diese Sichtweise greift jedoch zu kurz.

Reines Contextual Targeting kann – bei entsprechender technischer Ausgestaltung – vollständig außerhalb des Anwendungsbereichs der DSGVO liegen. Dieser Beitrag zeigt, unter welchen Voraussetzungen das der Fall ist und welche Konsequenzen sich daraus auch für branchenübliche Standards wie das IAB Transparency & Consent Framework sowie für zukünftige Regulierungsvorhaben ergeben.

Ausgangspunkt: Die DSGVO setzt personenbezogene Daten voraus

Die DSGVO ist kein allgemeines „Internetregulierungsrecht“. Sie findet ausschließlich Anwendung, wenn personenbezogene Daten verarbeitet werden (Art. 2 Abs. 1 DSGVO).

Der zentrale Prüfungsmaßstab lautet daher nicht sofort, ob eine Verarbeitung „zulässig“ ist, sondern erst einmal, ob überhaupt personenbezogene Daten vorliegen.

Personenbezogen sind Daten nur dann, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Erforderlich ist stets ein Bezug zu einer konkreten Person – sei es unmittelbar oder mittelbar.

Rein sachbezogene Informationen, etwa über Inhalte von Webseiten, fallen nicht darunter.

Was ist Contextual Targeting im rechtlichen Sinne?

Beim Contextual Targeting wird Werbung ausschließlich anhand des Umfelds ausgespielt, in dem sie erscheint. Maßgeblich sind also Inhalte, nicht Nutzer.

Typischerweise werden dabei folgende Elemente analysiert:
– Themen und Keywords einer Seite
– semantische Strukturen
– Taxonomien und Kategorien
– Sentiment oder Tonalität

Diese Informationen werden zu Kontextsegmenten verdichtet, die als Entscheidungsgrundlage für die Werbeausspielung dienen.

Entscheidend ist: Diese Daten beziehen sich auf Inhalte, nicht auf Personen.

Wann Contextual Targeting tatsächlich „DSGVO-frei“ ist

Ob Contextual Targeting datenschutzrechtlich relevant ist, hängt ausschließlich von der konkreten technischen Umsetzung ab.

Ein Modell fällt nur dann vollständig aus der DSGVO heraus, wenn konsequent auf jeglichen Personenbezug verzichtet wird. Das setzt insbesondere voraus:

– keine Verarbeitung von IP-Adressen, auch nicht temporär
– keine Nutzung von Cookies, Device IDs oder vergleichbaren Identifikatoren
– keine Wiedererkennung von Nutzern über mehrere Interaktionen hinweg
– keine Bildung von Nutzerprofilen, auch nicht pseudonym
– keine Verknüpfung mit anderen Datenquellen
– keine Möglichkeit der Re-Identifizierung

Sind diese Voraussetzungen erfüllt, werden ausschließlich inhaltsbezogene Daten verarbeitet. Ein Personenbezug fehlt vollständig.

Warum „Context IDs“ keine personenbezogenen Daten sind

In der Praxis werden häufig sogenannte Context IDs oder Segment-IDs verwendet. Diese stehen für bestimmte Inhaltskategorien oder Umfelder.

Rechtlich entscheidend ist, worauf sich diese IDs beziehen:

– Beziehen sie sich auf Nutzer oder Geräte, liegt personenbezogene Verarbeitung vor.
– Beziehen sie sich ausschließlich auf Inhalte oder Platzierungen, fehlt der Personenbezug.

Context IDs, die lediglich beschreiben, dass sich eine Anzeige etwa im Umfeld „Sport“, „Finanzen“ oder „Reisen“ befindet, enthalten keinerlei Information über eine natürliche Person.

Auch wenn solche Segmente im Auktionsprozess genutzt werden, bleibt die Verarbeitung rein sachbezogen.

Warum auch keine mittelbare Identifizierbarkeit vorliegt

Häufig wird argumentiert, ein Personenbezug könne bereits deshalb vorliegen, weil irgendwo in der Wertschöpfungskette personenbezogene Daten existieren. Diese Argumentation überzeugt nicht. Maßgeblich ist, ob die konkret verarbeiteten Daten eine Identifizierung ermöglichen oder zumindest einen Anknüpfungspunkt dafür bieten. Fehlen jegliche Identifier und erfolgt keine Verknüpfung mit Dritt-Daten, besteht auch keine theoretische Re-Identifizierbarkeit. Die bloße Einbettung in ein Ad-Tech-Ökosystem reicht nicht aus, um einen Personenbezug zu begründen.

Abgrenzung zu verhaltensbasiertem Targeting

Die rechtliche Bewertung wird klarer, wenn man Contextual Targeting vom klassischen Behavioral Targeting abgrenzt.

Während verhaltensbasiertes Targeting typischerweise auf folgenden Elementen beruht:
– Tracking über Cookies oder IDs,
– Wiedererkennung von Nutzern,
– Profilbildung über Zeit,
– geräteübergreifende Zuordnung,

fehlen all diese Elemente beim reinen Contextual Targeting vollständig.

Die Werbeentscheidung erfolgt nicht „wegen“ einer Person, sondern „wegen“ eines Inhalts.

Keine Anwendbarkeit der DSGVO

Fehlt es an personenbezogenen Daten, ist der sachliche Anwendungsbereich der DSGVO nicht eröffnet.

Das hat weitreichende Konsequenzen:
– keine Pflicht zur Rechtsgrundlage (Art. 6 DSGVO)
– keine Informationspflichten (Art. 13, 14 DSGVO)
– keine Betroffenenrechte
– keine Anforderungen an Auftragsverarbeitung oder Joint Controllership

Die datenschutzrechtliche Prüfung endet bereits auf der ersten Stufe.

Keine Einordnung als Vendor im TCF 2.0

Das IAB Transparency & Consent Framework (TCF 2.0) ist ein Branchenstandard zur Verwaltung von Einwilligungen im Programmatic Advertising. Es adressiert ausschließlich Verarbeitungsvorgänge, die personenbezogene Daten betreffen – insbesondere Tracking, Profiling und personalisierte Werbung. Ein „Vendor“ im Sinne des TCF ist daher zwingend ein Akteur, der personenbezogene Daten verarbeitet und hierfür eine Rechtsgrundlage benötigt.

Fehlt es – wie beim strikt umgesetzten Contextual Targeting – an jeder Verarbeitung personenbezogener Daten, entfällt diese Voraussetzung vollständig.

Die Folge ist klar:
– keine Einbindung in Consent-Mechanismen
– keine Verarbeitung von TC Strings
– keine Verpflichtung zur Teilnahme am TCF

Eine Einordnung als Vendor wäre systemwidrig, da das gesamte Framework auf der Existenz personenbezogener Daten aufbaut.

Warum auch zukünftige Regulierung („Digitaler Omnibus“) nichts ändert

Aktuelle regulatorische Entwicklungen auf EU-Ebene zielen darauf ab, bestehende Digitalregeln zu bündeln und zu schärfen. Unter Schlagworten wie „Digitaler Omnibus“ werden insbesondere Anpassungen im Zusammenspiel von DSGVO, ePrivacy, Digital Services Act und weiteren Regelwerken diskutiert.

Diese Initiativen verfolgen vor allem drei Ziele:
– Stärkung von Transparenz und Durchsetzung
– Vereinheitlichung von Pflichten
– Schließung von Regelungslücken bei datengetriebenen Geschäftsmodellen

Entscheidend ist jedoch: Auch zukünftige Regulierung knüpft weiterhin an bekannte Tatbestände an.

Insbesondere bleiben zentrale Anknüpfungspunkte:
– personenbezogene Daten
– Zugriff auf Endgeräte
– personalisierte Beeinflussung von Nutzern
– Plattformverantwortlichkeit

Ein Modell, das bewusst auf all diese Elemente verzichtet, bleibt strukturell außerhalb dieses Regelungsregimes. Weder die Bündelung bestehender Vorschriften noch deren Verschärfung führt dazu, dass rein sachbezogene Datenverarbeitungen plötzlich erfasst werden.

Fazit

Contextual Targeting ist nicht per se „datenschutzfrei“ – kann es aber sein.

Entscheidend ist eine konsequent personenbezogenheitsfreie Architektur. Sobald auf Identifier, Tracking und Nutzerbezug vollständig verzichtet wird, handelt es sich nicht mehr um eine Verarbeitung personenbezogener Daten.

Die Konsequenz ist grundlegend: Die DSGVO ist dann nicht anwendbar.

Darauf aufbauende Systeme wie das TCF greifen ebenfalls nicht. Und auch zukünftige regulatorische Entwicklungen ändern an dieser Einordnung nichts.

Für die Praxis bedeutet das: Wer Contextual Targeting technisch sauber umsetzt, kann sich bewusst außerhalb der datenschutzrechtlichen Regulatorik positionieren – nicht durch Gestaltung der Rechtsgrundlage, sondern durch Vermeidung ihres Anwendungsbereichs.

EU-US Data Privacy Framework: EU-Kommission veröffentlicht Angemessenheitsbeschluss für Datentransfers in die USA

Geschrieben am von Dr. Frank Eickmeier

Die Europäische Kommission hat heute den lange erwarteten Angemessenheitsbeschluss für die neue EU-US-Datenschutzvereinbarung („EU-US Data Privacy Framework“) veröffentlicht. Der Beschluss stellt fest, dass die Vereinigten Staaten nunmehr ein angemessenes Schutzniveau – vergleichbar mit dem der Europäischen Union – für personenbezogene Daten gewährleisten, die auf der Grundlage des neuen Rahmens aus der EU an US-Unternehmen übermittelt werden. Auf der Grundlage des neuen Angemessenheitsbeschlusses können personenbezogene Daten also „gefahrlos“ aus der EU an US-Unternehmen, die an dem neuen Programm teilnehmen, übermittelt werden, ohne dass zusätzliche Datenschutzvorkehrungen getroffen werden müssen.

Welche Maßnahmen sieht die neue Vereinbarung vor?

Die jetzt geltende Vereinbarung zwischen der EU und den USA führt neue verbindliche Vorgaben ein, um die vom Europäischen Gerichtshof im berühmten „Schrems II“-Urteil geäußerten Bedenken auszuräumen, einschließlich einer Beschränkung der Zugriffrechte von US-Geheimdiensten auf EU-Daten auf das „notwendige und verhältnismäßige“ Maß und sogar der Einrichtung eines unabhängigen Datenschutzüberprüfungs-„Gerichts“ (DPRC), zu dem EU-Bürger Zugang haben. Das neue Programm sieht erhebliche Verbesserungen gegenüber dem alten Mechanismus vor, der unter dem so genannten „Privacy Shield“-Programm galt. Stellt das DPRC beispielsweise fest, dass Daten unter Verstoß gegen die neuen Vorgaben erhoben wurden, kann es die Löschung der Daten anordnen.

Der neue EU-US-Datenschutzrahmen soll so einen sicheren Austausch für Daten von EU-Bürgern gewährleisten und Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bieten. Hintergrund der Entscheidung der EU-Kommission war eine Vereinbarung mit der US-Regierung, die darauf aufbauend wesentliche neue Verwaltungsvorschriften zum Schutz personenbezogener Daten von EU-Bürgern erlassen.

EU-Bürger können bestimmte Rechtsbehelfe in Anspruch nehmen, wenn ihre Daten von US-Unternehmen rechtswidrig verarbeitet werden. Darüber hinaus sehen die neuen Regelungen auf US-Seite eine Reihe von Garantien gegen den ungehemmten Zugriff von US-Behörden auf Daten vor, die auf der Grundlage des Programms übermittelt werden, insbesondere für Zwecke der Strafverfolgung und der nationalen Sicherheit. Der Zugang zu den Daten soll auf das Maß beschränkt werden, das zum Schutz der nationalen Sicherheit notwendig und verhältnismäßig ist.

Wie geht es jetzt weiter?

US-Unternehmen können dem Programm nun beitreten, indem sie sich gegenüber der US-Regierung verpflichten, eine Reihe bestimmter Datenschutzregeln einzuhalten, darunter zum Beispiel die Verpflichtung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind, und eine Kontinuität des entsprechenden Schutzes zu gewährleisten, wenn personenbezogene Daten wiederum an Dritte weitergegeben werden. Es ist davon auszugehen, dass die großen Anbieter wie Google und Facebook zu den ersten Unternehmen gehören, die in das Register der US-Regierung aufgenommen werden und dass über die nächsten Monate nach und nach alle relevanten Dienstleister folgen werden.

Europäische Unternehmen müssen dann nur prüfen, ob ihre Anbieter bereits dem neuen Programm unterfallen und einen entsprechenden Hinweis in ihre Datenschutzerklärung aufnehmen. Mehr ist dann tatsächlich nicht zu tun.

Wird die neue Regelung Bestand haben?

Das Funktionieren der neuen Vereinbarung soll in regelmäßigen Abständen von der Europäischen Kommission zusammen mit Vertretern der europäischen Datenschutzbehörden und der zuständigen US-Behörden überprüft werden. Die erste Überprüfung wird innerhalb eines Jahres nach Inkrafttreten des Angemessenheitsbeschlusses stattfinden, um zu überprüfen, ob alle relevanten Elemente vollständig in den US-Rechtsrahmen umgesetzt wurden und in der Praxis wirksam funktionieren.

Es ist jedoch davon auszugehen, dass europäische Datenschutz-Aktivisten gegen die Entscheidung der EU-Kommission gerichtlich vorgehen werden – allen voran der Österreicher Max Schrems, der bereits zweimal einen Angemessenheitsbeschluss für die USA zu Fall gebracht hat. Das neue Data Privacy Framework ist aus Sicht seiner Organisation im Wesentlichen nur eine Kopie des gescheiterten Privacy-Shields, das wichtige der zuvor kritisierten Punkte vermissen lässt. Das letzte Wort hat dann wiederum der Europäische Gerichtshof. Echte Sicherheit besteht also erst nach einem entsprechenden Urteil, also in etwa zwei bis drei Jahren.

Was bedeutet die ePrivacy-Verordnung genau für die Onlinebranche ?

Geschrieben am von Dr. Frank Eickmeier

Bereits am 10. Januar 2017 hat die EU-Kommission Ihren ersten offiziellen Entwurf der neuen ePrivacy Verordnung vorgestellt (Az: 2017/003 (COD). Es handelte sich um den Vorschlag für eine Verordnung des europäischen Parlamentes und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2008/58/EG (sog. ePrivacy Richtlinie, nachfolgend auch: „ePV“). Gem. Ziffer 1.2. dieses Entwurfes dient der Vorschlag als „lex specialis“ zur DSGVO dar und soll diese im Hinblick auf die elektronischen Kommunikationsdaten, die als personenbezogene Daten einzustufen sind, präzisieren und ergänzen. Alle Fragen der Verarbeitung personenbezogener Daten, die in diesem Vorschlag nicht spezifisch geregelt sind, sollen weiterhin von der Datenschutzgrundverordnung (DSGVO), die bekanntlich ab Mai diesen Jahres gilt,  erfasst werden. Dieser Entwurf der geplanten ePrivacy Verordnung wurde dem EU-Parlament und dem EU-Rat zugestellt.

Im EU-Parlament war der federführende EU-Ausschuss der sog. LIBE-Ausschuss. Nach langen Verhandlungen hat am 19. Oktober 2017 der LIBE-Ausschuss über den Entwurf für eine Verordnung über den Schutz der Privatsphäre im Internet, also über die ePrivacy Verordnung, abgestimmt (Protokoll der Plenarsitzung, Az: A8-0324/2017). Parallel dazu hat sich auch der EU-Rat in einer Arbeitsgruppe mit dem Verordnungsentwurf beschäftigt. Die Mitgliedsstaaten waren aufgefordert, ihre Stellungnahmen bis zum 14.08.2017 dorthin zu übersenden.  Der abgestimmte Entwurfstext des LIBE-Ausschusses wurde am 26.10.2017 zur Überraschung der Onlinebranche quasi unverändert durch das EU-Parlament angenommen (A8-0324/2017).

Mit diesem Ergebnis erfolgte zugleich das Mandat, das für den nächsten Verfahrensschritt nötig ist, für die Verhandlungen des Europäischen Parlaments mit dem Rat der Europäischen Union. 2018 dann sollen die sogenannten Trilog-Verhandlungen abgeschlossen sein und die Verordnung in Kraft treten. Ob die Kommission ihr angepeiltes Ziel, den Mai, als Datum halten kann, ist aber höchst unklar.

Wesentliche Inhalte des Entwurfs des LIBE-Ausschusses:

Die für die Onlinemarketingbranche wesentlichen Inhalte sind folgende:

  1. Die neue Definition des Begriffs „Direktvermarktung“ in Art. 4 Abs. 3 f stellt klar, dass hierin auch Onlinewerbung enthalten ist, die als Direktmarketing-Kommunikation verstanden wird.
  2. Cookies dürfen ohne ausdrückliche Einwilligung nur noch verarbeitet werden, wenn sie „streng erforderlich“ oder zwingend technisch notwendig sind um einen Dienst zu erbringen (Art. 8 Abs. 1 a, 2).
  3. Die Verwendung von „Cookie-Walls“ soll verhindert werden. Eine damit erzwungene Einwilligung soll unwirksam sein. Das mehrfache Bitten zur Zustimmung wird als missbräuchlich angesehen. Um solche missbräuchlichen Anfragen zu verhindern, sollen Nutzer Diensteanbieter beauftragen können, sich an ihre ablehnende Entscheidung zu erinnern und durch technische Spezifikationen, die die Nichtzustimmung signalisieren, sicherstellen. Dies könnte zum Beispiel „Dont ask me again“- Schaltfläche sein um auszuschließen, dass ein Diensteanbieter von Zeit zu Zeit nachfragt, ob die Nichtzustimmung nach wie vor gilt.
  4. Es muss vielmehr im Falle der Ablehnung des Einsatzes von Cookies die alternative Möglichkeit gegeben werden, das jeweilige Angebot auch ohne den Einsatz von Cookies nutzen zu können (Art. 9 Abs. 2).
  5. Der Einsatz von Cookies ist zulässig, wenn der Nutzer seine Einwilligung erteilt hat. Die neue Formulierung besagt aber jetzt, dass die Einwilligung für spezifische Zwecke gegeben werden muss und dass die Einwilligung keine Bedingung für den Zugang zu dem Service war.
  6. Der Entwurf sieht vor, dass Nutzer bei erstmaliger Installation des Browsers (oder bei einem neuen Update) „einstellen“ müssen, ob sie Cookies und wenn ja, welche Art von Cookies sie zulassen. Da 90 % der Nutzer eine restriktive Einstellung wählen werden, also insbesondere keine Third-Party Cookies zulassen werden, „schließt die Verordnung das Endgerät faktisch ab“ (so der VPRT). Die Verordnung sieht keinen Automatismus vor, der bei nachträglicher Einwilligung des Nutzers den Browser wieder aufschließt.
  7. Untersagt ist damit faktisch insbesondere das domainübergreifende Tracking und die Speicherung von Informationen über das Endgerät durch Dritte.
  8. Retargetingmodelle werden faktisch kaum noch umsetzbar.
  9. Erteilte Einwilligungen müssen jederzeit widerrufen werden können. Zudem muss in regelmäßigen Abständen von sechs Monaten an diese Möglichkeit erinnert werden.
  10. Cookies sind nur noch in Ausnahmen zulässig, nämlich (Art. 8 I): a) sie sind für den alleinigen Zweck der Durchführung eines elektronischen Kommunikationsvorgangs über ein elektronisches Kommunikationsnetz nötig oder b) der Endnutzer hat seine Einwilligung nach Maßgabe von Art. 9 gegeben (und damit – sehr unwahrscheinlich –  faktisch über den Browser) oder c) sie sind für die Bereitstellung eines vom Endnutzer gewünschten Dienstes der Informationsgesellschaft nötig oder d) sie sind für die Messung des Webpublikums nötig, sofern der Betreiber des vom Endnutzer gewünschten Dienstes der Informationsgesellschaft diese Messung durchführt oder sie sind für die Sicherheit und Integrität des Dienstes erforderlich (…)

Nach Art. 10 muss zukünftig bei der Installation eines Browsers der Endnutzer über die Einstellungsmöglichkeiten zur Privatsphäre informiert werden und zudem muss zukünftig zur Fortsetzung der Installation vom Endnutzer die Einwilligung zu einer Einstellung verlangt werden.

In Verkehr gebrachte Software muss zudem darüber hinaus von Anfang an als Voreinstellung die Möglichkeit bieten zu verhindern, dass Dritte Informationen speichern können. Laut Entwurf muss Software, die den Zugang zum Internet ermöglicht (also Browser), künftig „standardmäßig […] verhindern, dass andere Parteien Informationen über das Endgerät eines Nutzers übertragen oder speichern und Informationen verarbeiten, die bereits auf dem Endgerät gespeichert oder von diesem Gerät gesammelt wurden“. Diese Default-Vorgabe verhindert standardmäßig die Verwendung aller Cookies, es sei denn, dass dies für das Funktionieren eines Online-Service technisch unbedingt erforderlich ist

Es wurde ein neuer Absatz eingeführt, in dem es heißt: „keinem Nutzer darf der Zugang zu Diensten oder Funktionen der Informationsgesellschaft verwehrt werden, unabhängig davon, ob diese Dienste vergütet werden oder nicht, mit der Begründung, dass sie ihre Einwilligung zur Verarbeitung personenbezogener Daten und/oder zur Nutzung der Verarbeitungs- oder Speicherfähigkeit ihrer Endgeräte nicht erteilt haben, die für die Bereitstellung dieser Dienste oder Funktionen nicht erforderlich ist“. Dies würde es nach Ansicht des BVDW den Publishern wohl weiterhin ermöglichen, Benutzer von der Nutzung ihres Dienstes auszuschließen, solange sie den Zugriff auf ihre Website ohne Datenerhebung im Rahmen eines Bezahlmodells ermöglichen.

Die „Ausnahme der Reichweitenmessung“ wurde so geändert, dass sie nicht mehr auf die „Messung von Webpublikum“ beschränkt ist, sondern auch von einer ersten Partei oder im Auftrag der „ersten Partei“ oder einer „Web-Analytics-Agentur im öffentlichen Interesse“ durchgeführt werden kann. Dritten, die Reichweitenmessungen im Auftrag Dritter durchführen, ist es untersagt, Daten mit Daten anderer zu verschmelzen.

Haben Sie weitere Fragen zur ePrivacy Verordnung ? Dann melden Sie sich bei uns, eickmeier@unverzagt.law oder 040 414 00034.

 

Facebook Custom Audiences – doch datenschutzkonform ?

Geschrieben am von Dr. Frank Eickmeier

Die Bayerischen Datenschutzbehörden überprüfen derzeit den Einsatz von Facebook-Custom-Audiences. Zu diesem Zweck versendet das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) derzeit Fragebögen zu Facebook-Custom-Audiences und dessen Verwendung. Dieser Fragebogen erfasst beide derzeit häufig eingesetzten Varianten von Facebook-Custom-Audiences, nämlich der Einsatz von Facebook-Custom-Audiences über die eigenen Kundenlisten (CRM) und der Einsatz von Facebook-Custom-Audiences über die eigene Website (Custom Audiences from your Website).

In seinem Schreiben vertritt das BayLDA die Auffassung, dass der Einsatz von Facebook-Custom-Audiences über die Kundenlisten nur auf der Grundlage einer Einwilligung des Webseitennutzers zulässig ist.

Dagegen ist der Einsatz von Facebook-Custom-Audiences from your Website unter Beachtung der Voraussetzungen des § 15 Abs. 3 TMG zulässig ! Das bedeutet, dass der Verwender in seiner eigenen Datenschutzerklärung über den Einsatz von Facebook-Custom-Audiences in seiner Datenschutzerklärung hinweisen muss und darüber hinaus ein Opt-Out-Verfahren zur Verfügung stellt, mit dem der Nutzer der Nutzung seiner Daten im Rahmen dieses Prozesses widersprechen kann.

Damit schafft das BayLDA immerhin für Facebook-Custom-Audiences from your Website endlich eine datenschutzrechtliche Klarstellung, die sehr erfreulich ist. Wie der Einsatz von Facebook-Custom-Audiences über die eigenen Kundenlisten endgültig durch das BayLDA entschieden wird, bleibt noch abzuwarten.