Das Exekutivorgan der Europäischen Union steht vor einem peinlichen Datenschutzskandal, nachdem am Freitag bestätigt wurde, dass eine Werbekampagne der Kommission auf X (ehemals Twitter) gegen die Datenschutzvorschriften der EU verstößt.
Die Feststellung der EU-Aufsichtsbehörde, des Europäischen Datenschutzbeauftragten (EDSB), bezieht sich auf eine Mikrotargeting-Werbekampagne, die die Kommission bereits im Herbst 2023 auf X durchgeführt hat und bei der sensible Daten (politische Ansichten) von Bürgern zu Mikrotargeting-Anzeigen verarbeitet wurden.
Ziel der Werbekampagne war es, die Meinung zu einem umstrittenen EU-Gesetzgebungsvorschlag zu beeinflussen, der Messaging-Apps dazu zwingen sollte, die Kommunikation von Menschen auf CSAM (Materialien zum sexuellen Missbrauch von Kindern) zu scannen. Kritiker warnen davor, dass der EU-Plan eine Reihe demokratischer Rechte gefährdet, eine Ende-zu-Ende-Verschlüsselung gefährdet und selbst rechtlich unsicher ist. Aber die Kommission hat trotzdem weitergemacht und einige Reputationsschäden erlitten. Und jetzt diese große Ohrfeige.
Die Feststellung, dass die EU gegen ihre eigenen Datenschutzvorschriften verstoßen hat, folgt auf eine Beschwerde einer regionalen gemeinnützigen Organisation für Datenschutzrechte vom November 2023 noyb. In ihrer Beschwerde gegen die Generaldirektion für Migration und Inneres der Kommission warf sie der Abteilung „rechtswidriges Micro-Targeting“ vor. Laut noyb bestätigen die Feststellungen des EU-Datenbeauftragten, dass die EU rechtswidrig gehandelt hat – obwohl der EDSB nur einen Verweis (keine Geldstrafe) ausgesprochen hat.
In einer Pressemitteilung, in der der Ausgang der Beschwerde bekannt gegeben wurde, schrieb Felix Mikolasch, Datenschutzanwalt der gemeinnützigen Organisation: „Seit Cambridge Analytica ist klar, dass gezielte Werbung die Demokratie beeinflussen kann.“ Die Verwendung politischer Präferenzen für Anzeigen ist eindeutig illegal. Dennoch verlassen sich viele politische Akteure darauf und Online-Plattformen ergreifen kaum Maßnahmen. Daher begrüßen wir die Entscheidung des EDSB.“
In der Beschwerde von noyb wurde hervorgehoben, dass die Werbekampagne der Kommission zu #Qatargate, Brexit, Marine Le Pen, Alternative für Deutschland, Vox, Christian, Christenphobie oder Giorgia Meloni.
Solche Schlüsselwörter können mit Personen in Verbindung gebracht werden, die bestimmte (rechte) politische Ansichten vertreten – wodurch die Verarbeitung stellvertretend für politische Ansichten erfolgt, die gemäß den EU-Datenschutzgesetzen als sensible Daten (oder Daten einer besonderen Kategorie) eingestuft werden. Der rechtliche Standard des Blocks für die rechtmäßige Verarbeitung sensibler personenbezogener Daten erfordert die vorherige Einholung der ausdrücklichen Zustimmung der Menschen – was die Kommission nicht getan hat.
Die EU teilte Tech zuvor mit, dass die Werbekampagne „im Rahmen eines Rahmenvertrags mit einem Auftragnehmer konzipiert und umgesetzt wurde“. Außerdem hieß es, der Vertrag mit dem Auftragnehmer enthalte „Datenschutzgarantien“, die darauf abzielten, die Einhaltung der einschlägigen Vorschriften sicherzustellen. Es wurde argumentiert, dass X die Kampagne angenommen habe und „von ihm erwartet werden könne, dass er sie gemäß den Allgemeinen Geschäftsbedingungen der Plattform und den geltenden Bestimmungen umsetze“. Rechtsvorschriften, insbesondere der DSGVO [General Data Protection Regulation]“.
Mit anderen Worten: Die Kommission hat versucht, X für jegliches rechtswidriges Ad-Targeting verantwortlich zu machen. (Anmerkung: noyb hat eine gesonderte Beschwerde gegen Antwort).
Die Kommission erklärte zuvor auch, dass sie „nicht die Absicht hatte, die Verarbeitung besonderer Kategorien personenbezogener Daten auszulösen“ – und betonte zu diesem Zeitpunkt (Mai 2024), dass eine solche Verarbeitung „nicht hätte stattfinden dürfen“.
Es fügte damals hinzu, dass es Schritte unternommen habe, um sicherzustellen, dass „alle Dienste an die bestehenden Regeln erinnert werden“. Und laut noyb hat der EDSB nur einen Verweis – und keine Geldbuße – ausgesprochen, weil die Kommission die Praxis eingestellt hat. Daher ist es unwahrscheinlich, dass es in naher Zukunft noch mehr umstrittenes Microtargeting in der EU geben wird.
Es gibt jetzt auch ein neues Kollegium von Kommissaren – daher ist Ylva Johansson, die Innenkommissarin, die im Rahmen der letzten Amtszeit, als die beleidigende Werbekampagne durchgeführt wurde, für den CSAM-Vorschlag zuständig war, nicht mehr im Amt, um die Ohrfeige des EDSB entgegenzunehmen .
Während die Kommission zu Beginn dieses Jahres noch fragte, ob im Rahmen der Kampagne sensible Daten verarbeitet wurden, bekräftigt die Entscheidung des EDSB, dass eine solche Verarbeitung sowohl stattgefunden hat als auch rechtswidrig war.
Die Feststellung dürfte Auswirkungen auf die noch offene Beschwerde von Noyb gegen X und andere ähnliche Beschwerden über Microtargeting auf sensible Daten haben. (Und wenn man bedenkt, wie solche Werbetechnologien normalerweise funktionieren, besteht eine höhere Wahrscheinlichkeit, dass diese Art von Beschwerden tatsächlich zu DSGVO-Bußgeldern führen können – wobei die Strafen bis zu 4 % des weltweiten Jahresumsatzes betragen können.)
„Wir haben noch viel mehr Fälle zu politischem Microtargeting in den Mitgliedstaaten“, bemerkte Mikolasch. „Viele politische Parteien praktizieren die gleiche illegale Praxis. Wir hoffen, dass die Entscheidung des EDSB eine Orientierungshilfe für die nationalen Behörden sein wird, die derzeit solche Praktiken untersuchen.“
Wir wandten uns an die Kommission und baten um eine Antwort auf die Entscheidung des EDSB. Sprecherin Patricia Poropat nahm unsere Anfrage zur Kenntnis, hatte jedoch zum Zeitpunkt des Schreibens noch keine Stellungnahme abgegeben.
Wir haben auch Fragen an den EDSB und an die irische Datenschutzkommission gestellt, die Behörde, die wahrscheinlich die Untersuchung des Mikrotargetings von X leiten wird. Und wir werden diesen Bericht aktualisieren, wenn sie antworten.
Für einen Kommentar erreicht, Danny Mekićder Technologe, der ursprünglich die Werbekampagne der Kommission entdeckte und Bedenken hinsichtlich der Verwendung von Mikrotargeting äußerte, begrüßte das „schnelle Vorgehen“ des EDSB und teilte Tech mit, dass er mit dem Ergebnis der Untersuchung zufrieden sei. Allerdings stellte er die Frage, warum „keine weitreichendere Sanktion verhängt wurde“ – und war damit nicht einverstanden Bemerkungen von Johansson nach der Veröffentlichung seines Artikels, in dem sie Bedenken geäußert hatte, als sie behauptete, die Werbekampagne sei „100 %“ legal.
„In diesem Fall wäre angesichts der Aussagen des Kommissars eine umfassendere Untersuchung dieser illegalen, sogenannten ‚Standardpraxis‘ gerechtfertigt“, sagte Mekić und fügte hinzu: „Meiner Meinung nach wäre bereits eine härtere Sanktion erforderlich.“ gerechtfertigt, weil die Europäische Kommission solche wichtigen und fundierten Signale von Experten nicht ernst genommen hat.“
Dieser Bericht wurde mit zusätzlichen Kommentaren aktualisiert