Werbenetzwerke, Adtech- und Analyseanbieter

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Regulation (EU) 2022/2065 — DSA advertising transparency
• Regulation (EU) 2019/1150 for platform intermediation

Wer muss benennen

Adtech-Anbieter, Analyseanbieter und SDK-Betreiber, die außerhalb der Union ansässig sind und Daten über Personen in der Union verarbeiten. Die meisten sind für ihre eigenen Zwecke Verantwortliche, auch wenn Verleger sie als Auftragsverarbeiter bezeichnen, und diese Bestimmung entscheidet, wer einen Vertreter benötigt und wer die Verantwortung trägt.

Schwellen und Ausnahmen

Kein Schwellenwert. Die Verarbeitung pseudonymer Identifikatoren in großem Umfang ist genau das großflächige Monitoring, das Artikel 3(2) anspricht, und die Ausnahme gemäß Artikel 27(2) kann nicht angewendet werden.

Was auf das Etikett gehört

Transparenz gegenüber Verlegern und Nutzern: die Identität des Vertreters in der Datenschutzerklärung, die Zwecke und die Rechtsgrundlagen, die Aufbewahrungsfristen und die Liste der Anbieter. Nach dem DSA muss Werbung als solche erkennbar sein, wobei der Werbetreibende genannt und die Hauptprofilierungsparameter offengelegt werden.

Marktplatz-Felder

Verleger verlangen vertragliche Klarheit über den Status als Verantwortlicher oder Auftragsverarbeiter, und Consent-Management-Plattformen werden keine Anbieter integrieren, die die erforderlichen Offenlegungen nicht bereitstellen können. Die Durchsetzung gegen das Echtzeitgebotsökosystem erfolgt sowohl durch Regulierungsbehörden als auch durch Rechtsstreitigkeiten.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, die jeden Datenfluss abbilden. Die Bezeichnung gemäß Artikel 27. Analyse der Rechtsgrundlage pro Zweck, da die von einem Verleger eingeholte Einwilligung tatsächlich Ihre Zwecke abdecken und an Sie übermittelt werden muss. Datenschutz-Folgenabschätzung. Standardvertragsklauseln und Übertragungsfolgenabschätzungen. Gemeinsame Verantwortlichkeiten gemäß Artikel 26, wo die Verantwortlichkeiten mit Verlegern geteilt werden.

Normen und Prüfungen

Nicht anwendbar, aber die Verkehrsanalysen sind der Beginn der Durchsetzung: Regulierungsbehörden und NGOs prüfen, ob Identifikatoren vor der Einwilligung übermittelt werden und ob das Einwilligungssignal mit der tatsächlichen Verarbeitung übereinstimmt.

Sprachanforderungen

Transparenzinformationen in der Sprache der Nutzer, deren Daten verarbeitet werden.

Ab wann es gilt

Der Vertreter muss vor Beginn der Verarbeitung benannt werden. Die Einwilligung muss jeder Lese- oder Schreiboperation auf dem Gerät vorausgehen, und eine Gebotsanfrage, die einen Identifikator vor der Einwilligung enthält, stellt bereits einen Verstoß dar.

Aufbewahrungsfristen

Aufzeichnungen für die Dauer der Verarbeitung. Die Aufbewahrung von Gebotsanfragedaten ist ein wiederkehrender Befund, da Daten, die über die Auktion hinaus für Analysen aufbewahrt werden, selten eine dokumentierte Grundlage haben.

Was bei Verstößen passiert

Bis zu 20 Millionen € oder 4 % des Umsatzes für unrechtmäßige Verarbeitung und 10 Millionen € oder 2 % für den fehlenden Vertreter. Nationale ePrivacy-Strafen werden separat verhängt und erfordern keinen Nachweis eines Schadens. Dieser Sektor hat einige der größten und systematischsten Durchsetzungsentscheidungen in der Union hervorgebracht.

Wer kontrolliert

Datenschutzbehörden in der gesamten Union, da ein Verantwortlicher ohne Niederlassung in der EU keine federführende Behörde hat, sowie Verbraucher-schutzbehörden für dunkle Muster in Einwilligungsoberflächen.

Wo die Grenze verläuft

Die Frage des Verantwortlichen und Auftragsverarbeiters ist entscheidend und kann nicht allein durch die Formulierung im Vertrag geklärt werden: Ein Anbieter, der Zwecke wie Zielgruppenbildung oder Modelltraining bestimmt, ist ein Verantwortlicher, unabhängig davon, wie die Vereinbarung betitelt ist. Inferenz aus besonderen Kategorien — Gesundheit, Sexualität, politische Ansichten —, die aus dem Surfverhalten abgeleitet werden, ziehen Verpflichtungen gemäß Artikel 9 nach sich, die die Einwilligung für Werbung nicht erfüllt.

Häufige Fragen

Unser Verleger holt die Einwilligung ein — reicht das für uns aus?

Nur wenn die Einwilligung tatsächlich Ihre Zwecke abdeckt, Sie benennt und vor der Verarbeitung an Sie übermittelt wird. Sich auf das allgemeine Banner eines Verlegers zu verlassen, hat sich in der Durchsetzung wiederholt als unzureichend erwiesen.

Sind pseudonyme Identifikatoren personenbezogene Daten?

Ja. Cookie-IDs, Werbe-IDs und gehashte E-Mails identifizieren Personen im Sinne der DSGVO, und sie als anonym zu behandeln, ist der häufigste strukturelle Fehler in diesem Sektor.