EuGH konkretisiert den Begriff der „personenbezogenen Daten“

ESV-Redaktion Recht

EuGH: Anhand der in den sogenannten TC-Strings enthaltenen personenbezogenen Daten können Nutzerprofile erstellt werden – ein Symbolbild (Foto: anillya / stock.adobe.com)

Sind kodierte Nutzerpräferenzen im Internet personenbezogene Daten im Sinne der DSGVO? Zu dieser Frage hat sich der EuGH kürzlich geäußert.

Ausgangspunkt des Verfahrens war ein Bußgeldbescheid, den die belgische Datenschutzbehörde gegen den Verband IAB Europe verhängt hatte. IAB Europe hatte eine als „Transparency and Consent String“ (TC-String) bezeichnete Technik entwickelt, die Internetnutzerpräferenzen in einem aus einer Kombination von Buchstaben und Zeichen bestehenden String kodiert und dann mit Werbeunternehmen teilt, damit diese auf das Profil des Nutzers abgestimmte Werbung anzeigen können.

Werden der TC-String und ein auf dem Gerät des Nutzers gespeichertes Cookie miteinander kombiniert, können sie der IP-Adresse dieses Nutzers zugeordnet werden.

Nach Ansicht der belgischen Datenschutzbehörde ist der TC-String ein personenbezogenes Datum im Sinne der DSGVO; ferner ist IAB Europe demnach als Verantwortlicher aufgetreten, ohne die Vorschriften der DSGVO vollständig einzuhalten.

IAB Europe hat den Bußgeldbescheid angefochten und sich an den Appellationshof Brüssel gewendet, der dem EuGH die Fragen als Vorabentscheidungsersuchen vorlegte.

Der kostenlose Newsletter Recht – Hier können Sie sich anmelden!

Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps.

EuGH: TC-String enthält Informationen über einen identifizierbaren Nutzer und ist somit ein personenbezogenes Datum im Sinne der DSGVO

Der Gerichtshof entschied im Sinne der belgischen Datenschutzbehörde. Folgende Überlegungen lagen dem Urteil zu Grunde:

Personenbezogene Daten: Die Richter argumentierten, dass anhand der in einem TC-String enthaltenen Informationen ein Nutzerprofil erstellt und die betreffende Person identifiziert werden können, wenn sie einer Kennung wie insbesondere der IP-Adresse des Geräts des Nutzers zugeordnet werden. Daher seien sie rechtlich als personenbezogene Daten gemäß Artikel 4 Nummer 1 DSGVO zu bewerten, so der EuGH weiter.

Gemeinsam Verantwortlicher: Darüber hinaus ist IAB Europe dem EuGH zufolge als gemeinsam Verantwortlicher im Sinne von Artikel 4 Nummer 7 in Verbindung mit Artikel 26 Absatz 1 DSGVO anzusehen. Demnach scheit der Verband bei der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String auf die Verarbeitungen personenbezogener Daten Einfluss zu nehmen und sowohl die Zwecke dieser Verarbeitungen als auch die ihnen zugrunde liegenden Mittel festzulegen. Allerdings ist IAB Europe für Datenverarbeitungen, die nach der Speicherung der Einwilligungspräferenzen der Nutzer in einem TC-String erfolgen, nur dann als verantwortlich anzusehen, wenn nachgewiesen werden kann, dass der Verband Einfluss auf die Festlegung der Zwecke und Modalitäten dieser Weiterverarbeitungen ausgeübt hat, fügte der EuGH hinzu. Diese Tatsachen muss das vorlegende Gericht nun aufklären.

Quelle: Urteil des EuGH vom 07.03.2024

It’s a match

Plattform-Governance und Recht

Ob Online-Marktplätze, Vermittlungsplattformen, Suchmaschinen, persönliche Assistenten: Internetbasierte Technologien haben auf unser Leben großen Einfluss. Getrieben durch Plattformmodelle, die sich dabei an allen möglichen Stellen wiederfinden, gilt es jetzt, die vielseitig entstehenden rechtlichen Praxisfragen für Plattformbetreiber und -nutzer anzugehen, die sich v.a. beim Einsatz von Künstlicher Intelligenz ergeben.

Herausforderung Künstliche Intelligenz

Das Expertenteam um Kim Manuel Künstner und Sebastian Louven gibt Ihnen einen prägnanten Ein- und Überblick:

ökonomische Grundlagen im Zusammenhang mit Plattformgeschäftsmodellen

regulatorische und vertragsrechtliche Aspekte, Fragen zum Datenschutz, zurutomatisierten Beratungsdienstleistung oder dem Einsatz von Zahlungsdiensten

weitere Schlüsselfelder wie drängende Probleme im Immaterialgüterrecht, zu Meinungsfreiheit oder auch strafrechtlichen Fragen

Eine einzigartige Orientierungshilfe, die Ihnen ein rasant wachsendes juristisches Arbeits- und Beratungsgebiet mit viel Praxisbezug nahebringt.

Verlagsprogramm

Weitere Nachrichten aus dem Bereich Recht

Im Wortlaut: Artikel 26 Absatz 1 DSGVO

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

(ESV/cw)