EuGH-Urteil: Klare Regeln für personenbezogene Daten im Internet!

Am 26. April 2025 hat der Europäische Gerichtshof (EuGH) ein wegweisendes Urteil gefällt, das die Verarbeitung personenbezogener Daten im Kontext personalisierter Werbung betrifft. Laut LTO präzisierte das Gericht den Begriff „personenbezogene Daten“ sowie den Bereich der Verantwortlichen gemäß der Datenschutz-Grundverordnung (DSGVO). Die Entscheidung beruht auf einem Vorabentscheidungsverfahren eines belgischen Gerichts, das eine Klage des Interactive Advertising Bureau Europe (IAB) behandelte.

Das belgische Gericht hatte zuvor Maßnahmen und Bußgelder gegen das IAB verhängt, weil das Unternehmen gegen Vorschriften der DSGVO verstoßen hatte. Eine der zentralen Feststellungen des EuGH ist, dass vor der Anzeige personalisierter Werbung die Einwilligung der Nutzer:innen zur Datenerhebung und -verarbeitung eingeholt werden muss. Zu den Daten, die erhoben werden dürfen, zählen Informationen wie Standort, Alter, Suchverlauf oder Einkäufe.

Neue Regelungen zur Datenverarbeitung

Das Urteil verdeutlicht die Kriterien, die unter Art. 4 Nr. 1 der DSGVO definiert sind. Demnach sind personenbezogene Daten Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Der EuGH stellte außerdem klar, dass der TC-String, ein technisches Mittel zur Kodierung und Speicherung von Nutzerpräferenzen, als personenbezogenes Datum im Sinne der DSGVO gilt. Damit wird das IAB als gemeinsam Verantwortlicher für die Verarbeitung dieser Daten angesehen, auch wenn es nur dann haftbar gemacht werden kann, wenn nachweislich Einfluss auf deren Weiterverarbeitung genommen wird.

Die DSGVO fordert zudem, dass die Prinzipien von „Zweckbindung“ und „Datenminimierung“ gewahrt bleiben. Daten dürfen ausschließlich für den festgelegten Zweck verarbeitet werden, beispielsweise nicht zur Zusendung von Werbung, wenn sie für den Versand eines Buches erhoben wurden. Die neuen Prinzipien „Privacy by Design“ und „Privacy by Default“ betonen, dass Datenschutz von Anfang an in Technologien und Dienste integriert werden muss.

Rechte der Verbraucher

Die strengeren Vorgaben bezüglich der Einwilligung zur Datenverarbeitung beinhalten, dass diese freiwillig erteilt werden muss. Dazu sind separate Einwilligungen für verschiedene Verarbeitungen notwendig. Eine pauschale Einwilligung ist unzulässig. Verbraucher:innen haben mehrere wesentliche Rechte, die klar in der DSGVO verankert sind. Diese betreffen unter anderem:

• Recht auf Information und Auskunft: Vor der Datenerhebung müssen Nutzer:innen über die Daten und deren Zweck informiert werden.
• Recht auf Berichtigung und Löschung: Konsumenten können die Berichtigung falscher Daten verlangen oder ihr Recht auf „Vergessenwerden“ geltend machen.
• Einwilligung: Eine verständliche und zugängliche Einwilligung für die Datenverarbeitung ist erforderlich.
• Recht auf Widerruf: Die Einwilligung kann jederzeit ohne Angabe von Gründen widerrufen werden.
• Recht auf Widerspruch: Nutzer:innen können dem ungewollten Datenverarbeitungen widersprechen.

Ein verändertes rechtstes Umfeld drängt Unternehmen dazu, ihre Verfahren zur Datenverarbeitung zu überdenken, um den neuen Anforderungen gerecht zu werden. Beachtung wird benötigt für das Marktortprinzip, das vorsieht, dass Unternehmen sich den europäischen Datenschutzbestimmungen anpassen müssen, egal wo sie ansässig sind. Dies beeinflusst die Art und Weise, wie Werbung und Datenmanagement in Europa betrieben werden.

Insgesamt zeigt das Urteil des EuGH, dass der Datenschutz in der EU nicht nur als rechtliche Pflicht, sondern auch als wesentlicher Bestandteil der Nutzererfahrung und Selbstbestimmung wahrgenommen werden muss. Die Entwicklungen im Bereich der datenschutzkonformen Werbung stehen erst am Anfang, und es bleibt abzuwarten, wie Unternehmen und Verbraucher:innen auf diese Herausforderungen reagieren werden.