Die ePrivacy-Experten sind der Auffassung, dass eine Datenschutz-Folgenabschätzung (DSFA) bei klassischen Modellen der Online-Marketing-Branche, insbesondere bei einer DMP, wohl erforderlich ist.
Diese Einschätzung ergibt sich nicht nur aus der vor Kurzem veröffentlichten DSFA-Blacklist der deutschen Datenschutzbehörden (bspw. der BayLDA), sondern auch aus den Ausführungen der Art. 29 Gruppe.
Man wird zwar die Frage diskutieren können, ob es im Rahmen einer DMP überhaupt zu einer Verarbeitung von personenbezogenen Daten kommt und die Diskussion ist auch noch nicht am Ende, auf der anderen Seite kommt es gerade zu der Erstellung der u. a. in Ziffer 7 der Blacklist erwähnten „umfassenden Profile über Interessen, etc.“ sowie zu den in Ziffer 8 angesprochenen Big Data Analysen und einer damit verbundenen Anreicherung aus Drittquellen. Mit einer sehr hohen Wahrscheinlichkeit dürfte deshalb davon auszugehen sein, dass eine DSFA für einen Betrieb einer DMP erforderlich ist.
Wichtig zu beachten ist:
- Auch wenn die DMP-Dienstleistungen von einem Drittanbieter bezogen werden, muss das Unternehmen (die verantwortliche Stelle) eine eigene DSFA durchführen. Jedoch können die meisten Informationen aus der bestehenden DSFA des Dritten übernommen werden, um die eigene DSFA einzurichten.
- Eine DSFA ist nicht zwingend von Externen durchzuführen. Die „verantwortliche Stelle“ hat hier vielmehr einen Ermessensspielraum, wie sie eine DSFA durchführt.
- Die DSFA für DMPs können auf Basis eines standardisierten Modells entwickelt werden. ePrivacy führt DSFA durch und hat bereits eine Vielzahl von DSFA für unterschiedliche Geschäftsmodelle durchgeführt.
- ePrivacy sind keine Fälle bekannt, in denen eine DSFA im Zusammenhang mit einem CRM-System oder Personaldatenbanken erforderlich gewesen wäre. Das gilt erst dann, wenn diese CRM-Daten beispielsweise mit einer DMP verknüpft werden würden.
Haben Sie Fragen oder benötigen Sie Unterstützung bei der Erstellung einer DSFA? Kontaktieren Sie uns– wir freuen uns jederzeit von Ihnen zu hören!