{"id":2440,"date":"2025-07-25T16:47:19","date_gmt":"2025-07-25T14:47:19","guid":{"rendered":"https:\/\/blog.eprivacy.eu\/?p=2440"},"modified":"2025-07-25T16:47:19","modified_gmt":"2025-07-25T14:47:19","slug":"berliner-dsb-vor-ort-pruefung-eines-online-daten-brokers","status":"publish","type":"post","link":"https:\/\/blog.eprivacy.eu\/?p=2440&lang=de","title":{"rendered":"Berliner DSB: Vor-Ort-Pr\u00fcfung eines Online-Daten-Brokers"},"content":{"rendered":"\n<p>Die Berliner Beauftragte f\u00fcr Datenschutz und Informationsfreiheit hat in ihrem&nbsp;<a href=\"https:\/\/t5baa4d95.emailsys1a.net\/c\/107\/8469598\/4207\/0\/20698348\/695\/551760\/0a9596c3b4.html\">T\u00e4tigkeitsbericht 2024<\/a>&nbsp;\u00fcber eine Vor-Ort-Pr\u00fcfung eines Berliner Unternehmens, das im Bereich der Onlinewerbung als Datenh\u00e4ndler t\u00e4tig ist, geschrieben.<br><br><strong>Keine oder unwirksame Einwilligungen<\/strong><br>F\u00fcr den Berliner DSB war aus den des Unternehmens vorgelegten Unterlagen erkennbar, dass entweder keine Einwilligungen vorlagen oder diese nicht den gesetzlichen Anforderungen entsprachen. Das Unternehmen betreibe keine eigenen Apps, sondern beziehe die personenbezogenen Daten von verschiedenen Datenlieferanten, die wiederum \u00fcber eigene Apps oder \u00fcber Dritte an die Daten gelangen. Die Verantwortung f\u00fcr die Einholung der Einwilligung werde dabei auf die urspr\u00fcnglichen Datensammler ausgelagert. Zwar h\u00e4tte das Unternehmen in einigen F\u00e4llen bei besonders schwerwiegenden M\u00e4ngeln die Zusammenarbeit beendet, jedoch best\u00fcnden auch weiterhin Kooperationen mit Anbietern, bei denen nachweislich Datenschutzverst\u00f6\u00dfe vorlagen.<br><br><strong>Einwilligung nach TCF nicht ausreichend transparent oder verst\u00e4ndlich<\/strong><br>Die verwendeten Einwilligungstexte orientierten sich am \u201eTransparency &amp; Consent Framework\u201c (TCF) des IAB Europe, das der Standardisierung von Einwilligungsprozessen im Bereich Programmatic Advertising dient. Folgende Punkte wurden dabei kritisiert:&nbsp;<\/p>\n\n\n\n<ul><li>die unverst\u00e4ndliche und inhaltsleere Menge an Informationen, die den Betroffenen pr\u00e4sentiert wurde<\/li><li>unzureichende Beschreibung der Zwecke und Datenverarbeitungen<\/li><li>die tats\u00e4chliche Datenverarbeitung ging in einigen F\u00e4llen \u00fcber den erkl\u00e4rten Inhalt der Einwilligung hinaus<\/li><li>die M\u00f6glichkeiten zur Ablehnung der Einwilligung war h\u00e4ufig versteckt, erschwert oder an essenzielle Funktionen gekoppelt<\/li><li>Datenschutzerkl\u00e4rungen und Einwilligungstexte waren lediglich in Fremdsprachen verf\u00fcgbar<\/li><li>ein Nachweis \u00fcber die tats\u00e4chliche Erteilung der Einwilligung fehlte, das Unternehmen hatte lediglich eine abstrakte Pr\u00fcfung des Einwilligungsvorgangs vorgenommen<\/li><li>es fehlte oftmals der Nachweis, dass bei verweigerter Einwilligung tats\u00e4chlich keine Daten\u00fcbertragung stattgefunden hat, was zu rechtswidrigem Tracking f\u00fchrt.<\/li><\/ul>\n\n\n\n<p><strong>Zweifelhafte Datenqualit\u00e4t<\/strong><br>Dar\u00fcber hinaus hat der Berliner DSB stichprobenartig die Qualit\u00e4t der aggregierten Trackingdaten gepr\u00fcft und hat dabei festgestellt, dass diese eine Vielzahl von Widerspr\u00fcchen zeigten. Einzelne NutzerInnen wurden bspw. gleichzeitig unterschiedliche Alters- oder Einkommensklassen zugewiesen.<br><br><strong>Verantwortung trotz fehlendem Endkundenzugang<\/strong><br>Der Fall verdeutlicht exemplarisch die Herausforderungen im Bereich des datenschutzkonformen Trackings und Profilings. Auch Unternehmen, die nicht direkt mit den betroffenen Personen in Kontakt stehen, bleiben vollumf\u00e4nglich verantwortlich f\u00fcr die Rechtm\u00e4\u00dfigkeit der Datenverarbeitung. Dazu z\u00e4hlt insbesondere der belastbare Nachweis einer wirksamen Einwilligung und einer transparenten Information der betroffenen Personen.<br>Die blo\u00dfe Berufung auf Einwilligungstexte reicht nicht aus, wenn diese weder verst\u00e4ndlich noch zweckdienlich sind, insbesondere dann, wenn hunderte Unternehmen beteiligt sind, die Datenfl\u00fcsse hochkomplex und f\u00fcr Betroffene nicht nachvollziehbar sind.<br><br><strong>Empfehlung: Einwilligungsprozesse \u00fcberpr\u00fcfen<\/strong><br>Die Vor-Ort-Pr\u00fcfung vom Berliner DSB sollten alle Verantwortlichen zum Anlass nehmen, ihre eigenen Einwilligungsprozesse zu \u00fcberpr\u00fcfen:&nbsp;<\/p>\n\n\n\n<ul><li>Sind die Einwilligungstexte klar verst\u00e4ndlich?<\/li><li>Sind alle Zwecke und Datenverarbeitung eindeutig benannt?<\/li><li>K\u00f6nnen Ablehnungen wirksam und einfach vorgenommen werden?<\/li><li>L\u00e4sst sich der gesamte Prozess zuverl\u00e4ssig dokumentieren und individuelle Einwilligungserkl\u00e4rungen nachweisen?<\/li><\/ul>\n\n\n\n<p>Als Datenschutzbeauftragte stehen wir Ihnen gerne beratend zur Seite, wenn Sie Ihre Verfahren \u00fcberpr\u00fcfen oder datenschutzkonform weiterentwickeln m\u00f6chten.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die Berliner Beauftragte f\u00fcr Datenschutz und Informationsfreiheit hat in ihrem&nbsp;T\u00e4tigkeitsbericht 2024&nbsp;\u00fcber eine Vor-Ort-Pr\u00fcfung eines Berliner Unternehmens, das im Bereich der Onlinewerbung als<\/p>\n<p class=\"link-more\"><a class=\"myButt \" href=\"https:\/\/blog.eprivacy.eu\/?p=2440&#038;lang=de\">Read More<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[10],"tags":[],"_links":{"self":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2440"}],"collection":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2440"}],"version-history":[{"count":1,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2440\/revisions"}],"predecessor-version":[{"id":2441,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2440\/revisions\/2441"}],"wp:attachment":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2440"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2440"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2440"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}