Gezielte Werbung und Profilerstellung vor Gericht

Im Zeitalter des digitalen Marketings sind zielgerichtete Werbung und Nutzerprofilierung zu wichtigen Werkzeugen für Plattformen, Verlage und Werbetreibende geworden. Diese datengesteuerten Techniken stehen jedoch unter intensiver rechtlicher Beobachtung, insbesondere im Rahmen der Datenschutz-Grundverordnung (DSGVO) und der ePrivacy-Richtlinie. Europäische Gerichte und Datenschutzbehörden (DSB) prüfen zunehmend die Rechtmäßigkeit, Transparenz und die Einwilligungsmechanismen hinter verhaltensbezogener Werbung, wobei Urteile mit erheblichen Auswirkungen auf das Ad-Tech-Ökosystem getroffen werden.

Dieser Artikel untersucht aufsehenerregende Fallstudien und Vollstreckungsmassnahmen in der gesamten EU und konzentriert sich darauf, wie die Profilerstellung für Werbezwecke nach Datenschutzgesetzen angefochten wurde – und welche Lehren Plattformen und Vermarkter daraus ziehen sollten.

1. CNIL v Google (Frankreich, 2020): Cookie-Einwilligung und Tracking

Im Jahr 2020 verhängte die französische Datenschutzbehörde (CNIL) eine Geldstrafe von 100 Millionen Euro gegen Google, weil das Unternehmen auf seinen französischen Domains Werbe-Cookies ohne vorherige Zustimmung der Nutzer platziert hatte. Die Cookies ermöglichten das Tracking für personalisierte Anzeigen, wurden aber aktiviert, bevor die Nutzer eine sinnvolle Wahl getroffen hatten.

Schlüsselthemen:

• Fehlende gültige Einwilligung gemäß der ePrivacy-Richtlinie.
• Die Nutzer wurden nicht ausreichend über den Zweck von Cookies oder die Ablehnung von Cookies informiert.
• Das bereitgestellte Cookie-Banner bot nur eine "Akzeptieren"-Option, ohne eine gleichwertige "Ablehnen"-Option.

Rechtsgrundlagen:

• ePrivacy-Richtlinie (2002/58/EG) in der in französischem Recht umgesetzten Fassung.
• Artikel 5 Absatz 3 der ePrivacy-Richtlinie verlangt eine vorherige Einwilligung, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder auf diese zugegriffen werden.

Ergebnis:
Google wurde mit einer Geldstrafe belegt und hat in der Folge seine Einwilligungsbanner aktualisiert, um granulare Auswahlmöglichkeiten und symmetrische Optionen für die Annahme und Ablehnung anzubieten.

Lektion:
Die Einwilligung für Profiling und zielgerichtete Werbung muss freiwillig, spezifisch, informiert und eindeutig erfolgen und entsprechend umgesetzt werden vorher jegliches Tracking beginnt.

2. Bundeskartellamt v Meta (Deutschland, laufend): Kombination von Daten über verschiedene Dienste hinweg

Das Bundeskartellamt hat ein Verfahren gegen Meta (ehemals Facebook) eingeleitet, weil das Unternehmen Nutzerdaten von Facebook, Instagram, WhatsApp und Webseiten Dritter ohne entsprechende Einwilligung zusammenführt.

Wichtige juristische Wendung:
Obwohl der Fall seinen Ursprung im Wettbewerbsrecht hat, stützte sich die Behörde stark auf Verstöße gegen die DSGVO und argumentierte, dass Metas Versäumnis, eine gültige Einwilligung einzuholen, dem Unternehmen einen unfairen Vorteil auf dem Werbemarkt verschafft habe.

Gerichtliche Entwicklungen:

• Der deutsche Bundesgerichtshof bestätigte die Entscheidung der Aufsichtsbehörde, die Datenverarbeitungspraktiken einzuschränken.
• Der EuGH wurde um eine Vorabentscheidung zur Klärung der Überschneidung von Datenschutz- und Wettbewerbsrecht gebeten (Rechtssache C-252/21, anhängig seit 2025).

Rechtliche Fragen:

• Ob die Kombination von Daten aus verschiedenen Diensten ohne Zustimmung eine Verletzung darstellt Artikel 6 und 9 DSGVO.
• Ob dem Benutzer eine echte Wahl angeboten wird oder nur erzwungen in Akzeptanz durch gebündelte Dienstleistungen.

Lektion:
Profiling basierend auf Cross-Plattform-Daten muss sein gestützt auf eine gültige Rechtsgrundlage, normalerweise Opt-in-Einwilligungund darf kein Bedingung für die Nutzung des Kerndienstes.

3. NOYB-Beschwerden gegen das TCF des IAB Europe (EU-weit): Überprüfung von Real-Time Bidding

Die Non-Profit-Organisation NOYB (None of Your Business) hat mehrere Beschwerden gegen das Transparency and Consent Framework (TCF) des IAB Europe eingereicht, das weit verbreitet im Real-Time-Bidding (RTB) für zielgerichtete Werbung eingesetzt wird.

Hauptvorwürfe:

• Das TCF konnte nicht bereitstellen echte, informierte Zustimmung.
• Profiling unter RTB, bei dem Nutzerdaten in Echtzeit mit Hunderten von Anbietern geteilt werden, oft ohne Wissen der Nutzer.
• Das Framework wurde als geeignet erachtet nicht konform mit den DSGVO-Prinzipien der Datenminimierung, Zweckbindung und Rechtsgrundlage.

Entscheidung der belgischen Datenschutzbehörde (2022):

• IAB Europe für schuldig befunden als gemeinsamer Controller zur Datenverarbeitung im TCF.
• Signifikante Änderungen am Einwilligungsmechanismus und an den Praktiken der gemeinsamen Datennutzung angeordnet.

Ergebnis:
IAB Europe war verpflichtet zu Gestalten Sie den TCF neu, stärkere Schutzmaßnahmen einführen und die nachgelagerte Datennutzung durch Anbieter besser kontrollieren.

Lektion:
Einwilligungsrahmenwerke, die für programmatische Werbung verwendet werden, müssen nicht nur DSGVO-Standards, aber stellen Sie auch sicher durchsetzungsfähige Governance entlang der Ad-Tech-Kette.

4. Fall Planet49 (EuGH, C-673/17): Voreingestellte Kästchen und die Gültigkeit der Einwilligung

Die Planet49 Fall vor dem Gerichtshof der Europäischen Union (EuGH) untersucht, ob vorangekreuzte Kästchen eine gültige Einwilligung für Cookies darstellt, die in Werbespielen und verhaltensbezogener Werbung verwendet werden.

EuGH-Urteil:

• Die Zustimmung muss aktiv, was bedeutet, dass vorausgewählte Kästchen nicht ausreichen.
• Die Dauer und Zugriff durch Dritte von Cookies muss dem Nutzer im Voraus mitgeteilt werden.

Rechtliche Auswirkungen:

• Bestätigt, dass beides DSGVO und ePrivacy require positive diskriminierung und klare Offenlegung für rechtmäßige Profilerstellung.

Lektion:
Plattformen müssen Einwilligungs-Interfaces entwerfen, die sicherstellen klares Benutzer-Engagement, keine passive oder stillschweigende Übereinkunft.

Wichtige Erkenntnisse für Plattformen und Ad-Tech-Betreiber

Einverständnis ist zentral – und muss granular, informiert und widerrufbar sein.
Profiling für zielgerichtete Werbung erfordert eine gültige Rechtsgrundlage, typischerweise Artikel 6(1)(a) DSGVO.
Transparenz muss umfassend sein: wer die Daten verarbeitet, für welche Zwecke und wie lange.
Gemeinsame Verantwortlichkeit kann gelten – Plattformen und Werbepartner können die Verantwortung für die Einhaltung der DSGVO teilen.
Einwilligungsrahmen (z. B. CMPs, TCFs) müssen über alle Empfänger von Nutzerdaten hinweg überprüfbar und durchsetzbar sein.

Vorausschau: Die Rolle der ePrivacy-Verordnung und des DSA

Da die Durchsetzung der DSGVO immer intensiver wird, wird die Zukunft der Profiling-Regulierung auch von Folgendem geprägt sein:

• Die lange verzögerte ePrivacy-Verordnung, die die Einwilligungsregeln in der gesamten EU standardisieren könnte.
• Das Gesetz über digitale Dienste (DSA) führt Verpflichtungen zur Transparenz von Online-Werbung und Empfehlungssystemen ein – insbesondere für sehr große Online-Plattformen (VLOPs).

Zusammen werden diese Rahmenwerke die gezielten Werbemodelle erheblich beeinflussen, insbesondere solche, die auf Echtzeitgebote, Datenhandel oder undurchsichtige Personalisierung angewiesen sind.

Schlussfolgerung

Profiling und zielgerichtete Werbung sind in der EU-Datenschutzgesetzgebung keine Grauzonen mehr. Die Gerichte und Aufsichtsbehörden setzen klare Grenzen für die Nutzung, Weitergabe und Monetarisierung von Nutzerdaten – insbesondere im Hinblick auf Behavioral Targeting. Plattformen und Ad-Tech-Anbieter, die sich nicht an die DSGVO- und ePrivacy-Standards halten, sind wachsenden rechtlichen, finanziellen und Reputationsrisiken ausgesetzt.