MEEDIA

MarTech

Das IAB Europe hat Klage gegen die [Entscheidung der belgischen Datenschutzbehörde APD in Sachen Cookie-Banner eingereicht](/article/datenschutz-ist-das-transparency-consent-framework-am-ende-98a6014b824442db5199ed7b5c11050d "/article/datenschutz-ist-das-transparency-consent-framework-am-ende-98a6014b824442db5199ed7b5c11050d"). Am 2. Februar hatte die APD entschieden, dass die bisherige Praxis der Einwilligung so nicht mit der DSGVO in Einklang zu bringen ist. Einerseits sei die Aufklärung der Nutzer in den Consent-Bannern ungenügend und intransparent, andererseits enthalte die Mechanik einen Unique Identifier, der für sich genommen bereits ein personenbezogenes Datum darstellt. Für die Bildung dieses Identifiers (TC-String) werde aber weder eine Einwilligung eingeholt, noch gibt es einen verantwortlichen Datenschutzbeauftragten, der im Zweifelsfall haftet.

Die Rolle dieses Datenschutzbeauftragten könnte doch das IAB einnehmen, meinen die belgischen Datenschützer. Sie stufen das IAB als „Joint Controller“ ein, also als zusätzlichen Auftragsdatenverarbeiter im Sinne der DSGVO.

[Mit selten gehörter Schärfe, wehrt sich das IAB](https://iabeurope.eu/all-news/iab-europe-to-appeal-belgian-data-protection-authority-ruling/ "Stellungnahme des IAB") gegen diese Einschätzung. Man habe das Framework in enger Zusammenarbeit mit den Behörden erstellt. Die Aufgabe des IAB könne nicht sein, Haftung für die gesamte Branche zu übernehmen. Die Entscheidung hätte zwangsläufig abschreckende Wirkung auf jede Initiative, die sich bemühe, Branchenstandards zu entwickeln. Die Intention der Gesetzgeber bei der Verabschiedung der DSGVO sei eben nicht gewesen, die personalisierte Werbung zu verbieten, sondern in einen rechtssicheren Raum zu führen und die Verbraucherrechte zu stärken.

„Der Milliardenmarkt der Online-Werbung in Europa droht zu kollabieren.“ [Der Nachrichtendienst des Heiseverlags](https://www.heise.de/news/Cookie-Banner-IAB-Europe-klagt-gegen-Datenschutz-Entscheidung-6447152.html "Meldung des Heiseverlags") zeichnet ein düsteres Bild in Sachen Datenschutz gegen Onlinewerbung. Der Verlag, der bekanntermaßen ein schwieriges Verhältnis zur digitalen Werbebranche hat, schießt dann doch weit über das Ziel hinaus. Er formuliert eine Überdramatisierung, wie es sich das IAB Europe selbst kaum getraut hätte.

Fakt ist: Die belgische Entscheidung betrifft im Moment nur OpenRTB (Real-time Bidding). Personenbezogenes Targeting auf der Grundlage von First Party Data bleibt davon ebenso unberührt, wie jede andere Form der Daten-Werbung, die nicht mit Personenbezug arbeitet. Natürlich haben die Publisher längst eine Alternativlösung für den Teil der User in Peto, die keine Einwilligungserklärung „unterschreiben“. Der so genannte non-consented Traffic ist ja keineswegs wertlos.

Für Publisher gibt es im Wesentlichen zwei Szenarien: Im weniger dramatischen Fall ist das Consent-Banner anzupassen. Hier profitieren natürlich nun die Unternehmen, die seit Sommer 2020 (Einführung der TCF 2) eine CMP (Consent Management Platform) einsetzen. Vermutlich wird es auch darauf hinauslaufen, dass man sogar neue Consents von den Nutzern einholen muss, von denen man bereits eine Einwilligung hat.

![Vogue Banner](https://wp.meedia.de/wp-content/uploads/2022/02/vogue_banner-1024x557.jpg)
*Cookie-Banner, wie hier bei Vogue.de, könnten illegal sein, meint die belgischen Datenschutzaufsicht - Foto: Screenshot*

Das wesentlich dramatischere Szenario wäre, wenn die bisherige Praxis des Einholens der Einwilligungserklärung grundsätzlich gegen die DSGVO verstößt. Dann müssen Publisher und Advertiser ihre bisher gesammelten Daten löschen und von vorne anfangen.

Für ziemlich viel Unruhe in der Branche sorgt die Tatsache, dass die Beschwerdeführer aktuell versuchen, große Marken einzuschüchtern, wie der Heiseverlag berichtet. In einem Brief hat man Marken wie Procter&Gamble, Unilever oder Ford aufgefordert, die personenbezogenen Daten zu löschen, ansonsten drohe eine Schadenersatzforderung. Und die kann bekanntlich bei DSGVO-Verletzungen bis zu vier Prozent vom Jahresumsatz betragen.

Das IAB Europe kritisiert dieses Verhalten scharf. Die APD hat dem IAB eine Nachbesserungsfrist von zwei Monaten eingeräumt. Innerhalb dieser Frist ist einen Plan vorzulegen, wie man das Problem lösen will. Zumindest innerhalb dieser Frist – also bis Anfang April – ist es aber unwahrscheinlich, dass gegen Einzelmarken Strafen ausgesprochen werden. Dennoch sollten sich Marken und Publisher dringend mit ihrem CMP-Provider in Verbindung setzen.

IAB klagt gegen die belgischen Datenschützer