Der Europäische Datenschutzausschuss (EDSA) teilt in seiner Stellungnahme 8/2020 vom 13. April 2021 seine Einschätzung zur rechtskonformen Durchführung von zielgerichteter Werbung mit und spricht klare Worte zur Rechtmäßigkeit und zur Verantwortlichkeit von Social Media Anbietern und Werbetreibenden.

Zielgerichtete Werbung ist das Erfolgsprodukt von Social Media Anbietern. Werbetreibende können auf den jeweiligen Plattformen Werbeschaltungen platzieren. Social Media Anbieter liefern im Gegenzug detaillierte Analysen über Reichweiten, Klickraten, Conversions und dergleichen, mittels derer der Erfolg der Werbeschaltung gemessen wird. Möchte ein Schuhgeschäft seine neue Winterkollektion an Männer im Raum Wien zwischen 30-45 Jahren richten, kann es hierfür konkrete Parameter auswählen. Social Media Anbieter zeigen die Werbeschaltung jenen ihrer Nutzer, die in die gewünschte Zielgruppe fallen. In weiterer Folge wird deren Reaktion auf die Werbung gemessen. Jeder Klick der Nutzer wird gespeichert und analysiert. Der Europäische Datenschutzausschuss (EDSA) beschäftigt sich in seiner Stellungnahme 8/2020 vom 13. April 2021 nun mit der Frage, wer die Verantwortung für die damit verbundene Datenverarbeitung trägt und unter welchen Voraussetzungen diese zulässig ist.

Social Media Anbieter befanden sich in der Praxis bevorzugt als Auftragsverarbeiter und schoben dadurch die Verantwortung auf die Werbetreibenden. Diese sahen sich jedoch ebenfalls nicht als für die Datenverarbeitung verantwortlich, weil sie lediglich aggregierte Statistiken erhalten und über keinen Zugriff auf die tatsächlich verarbeiteten personenbezogenen Daten verfügen.

Der EDSA beurteilt in seiner Stellungnahme nun beide Parteien als gemeinsame Verantwortliche. Ausschlaggebend dafür ist, dass Social Media Anbieter und Werbetreibende gemeinsam Zweck und Mittel der Datenverarbeitung festlegen. Durch Vorgabe einer Zielgruppe, basierend auf ausgewählten Kriterien (wie z.B. Alter, Geschlecht, Interessen usw) ist der Werbetreibende unabhängig davon, ob er Zugriff auf die konkreten personenbezogenen Verbraucherdaten erhält, jedenfalls als gemeinsamer Verantwortlicher zu qualifizieren. Nutzer können ihre Rechte folglich gegen beide Parteien geltend machen.

Je nach Ausmaß der Datenverarbeitung, die mit der zielgerichteten Werbeschaltung verbunden ist, erachtet der EDSA eine Einwilligung der Nutzer für notwendig. Dies jedenfalls, wenn aufdringliches Profiling betrieben wird oder Nutzer in etwa mittels Cookies über mehrere Websites oder Geräte getrackt werden. Gleiches gilt, wenn sensible Datenkategorien für Werbezwecke verarbeitet werden. Eine Einwilligung muss jedenfalls den hohen Maßstäben der DSGVO entsprechen und freiwillig und ohne Zwang erfolgen. Eine verpflichtende Zustimmung bezeichnet der EDSA als unzulässig.  

Bei weniger intensiven Datenverarbeitungen kann die Anzeige von zielgerichteten Werbeschaltungen, nach sorgfältigem Abwägen der Interessen, auch ohne Einwilligung legitim sein. In diesen Fällen haben Verbraucher jedoch ein Widerspruchsrecht. Klare Worte spricht der EDSA zum Argument, zielgerichtete Werbung wäre ein Teil der vertraglich geschuldeten Dienstleistung. Dies lehnt er grundsätzlich ab.

Im Ergebnis sind laut dem EDSA Datenverarbeitung für Zwecke von zielgerichteter Werbung gegen den Willen von Verbrauchern unzulässig. Umso intensiver und umfangreicher die Datenverarbeitung ist, umso notwendiger erscheint eine Einwilligung. Weiters können laut dem EDSA Verbraucher ihre Rechte sowohl gegenüber Social Media Anbietern als auch Werbetreibenden geltend machen.

Europäischer Datenschutzausschuss, Stellungnahme 8/2021 zu zielgerichteter Werbung auf Social Media Plattformen angenommen am 13. April 2021.