BVDW: Data Clean Rooms требуют четкого определения правовых ролей до начала обработки данных

Data Clean Rooms sind keine Datenschutz-Abkürzung Für einen Advertiser kann ein DCR zunächst schlicht zeigen, wie viele eigene Kunden oder Kundinnen auch bei einem Publisher erreichbar sind. Mit demselben DCR lässt sich später ein Segment für Retargeting bauen oder sogar eine neue Lookalike-Audience modellieren. Der technische Raum bleibt derselbe, doch der Zweck verändert sich erheblich. Und mit ihm verändern sich die datenschutzrechtlichen Anforderungen. Diese rechtliche Abgrenzung ist der Kern eines neuen Whitepapers des Bundesverbands Digitale Wirtschaft (BVDW) zu Data Clean Rooms. Die Autorinnen und Autoren aus Adtech, Vermarktung, Agenturen und Datenschutz untersuchen mehrere typische Anwendungsfälle und machen dabei deutlich, dass es bei DCRs jeweils auf den konkreten Workflow ankommt. Die Bezeichnung der Technologie allein sagt erstaunlich wenig darüber aus, wie eine Datenkooperation rechtlich einzuordnen ist. Ein Match kann vieles bedeuten Nehmen wir den einfachsten Fall. Advertiser und Publisher laden pseudonymisierte Identifier in einen Clean Room und lassen prüfen, wie groß die Überschneidung ihrer Datenbestände ist. Am Ende steht zum Beispiel die Erkenntnis, dass 20 Prozent der eingebrachten User auch beim Publisher vorkommen. Einzelne Personen werden daraus nicht angesprochen. Der BVDW hält für eine solche Potenzialanalyse unter bestimmten Voraussetzungen ein berechtigtes Interesse für denkbar. Auch eine gemeinsame Verantwortlichkeit beider Parteien sieht das Paper hier nicht zwingend. Schon ein paar Schritte weiter sieht die Welt jedoch ganz anders aus. Wird aus dem Match ein Retargeting-Segment, sollen konkrete pseudonymisierte Nutzer:innen später Werbung sehen. Ein Advertiser bringt beispielsweise seine bestehenden Kunden und Kundinnen ein, der Publisher seine erreichbaren Nutzer:innen. Der DCR identifiziert die Überschneidung und bildet daraus ein Segment für die Kampagne. Nach Einschätzung der Autoren wird hierfür in den meisten Fällen eine informierte Einwilligung (also Consent) benötigt. Demand- und Sell-Side werden in diesem Szenario als gemeinsam Verantwortliche eingeordnet. Die spannende Grenze verläuft also irgendwo zwischen „Wie groß ist unser gemeinsames Potenzial?“ und „Diese Personen wollen wir ansprechen.“ Für Media- und Datenteams macht das einen erheblichen Unterschied. Ein Use Case lässt sich nicht sauber planen, wenn erst nach dem technischen Setup darüber gesprochen wird, wofür die Ergebnisse eigentlich genutzt werden dürfen. Beim Lookalike wird aus dem Abgleich ein Modell Noch deutlicher wird das bei Lookalike Audiences. Hier dient die gemeinsame Zielgruppe als Ausgangsmaterial für ein Modell. Merkmale aus dem Datenbestand der Sell-Side – beispielsweise Interessen, besuchte Kategorien, demografische Angaben oder Kaufverhalten – können herangezogen werden, um weitere Nutzer:innen mit ähnlichen Eigenschaften zu identifizieren. Das Modell kann innerhalb des Clean Rooms laufen oder anschließend auf der Infrastruktur der Sell-Side angewendet werden. Spätestens an dieser Stelle reicht die Vorstellung vom DCR als sicherem Datencontainer kaum noch aus. Die Parteien definieren gemeinsam, welche Ausgangszielgruppe verwendet wird, welche Merkmale in die Modellierung einfließen und welches Segment am Ende aktiviert werden soll. Die Experten und Expertinnen vom BVDW sehen hier grundsätzlich eine gemeinsame Verantwortlichkeit von Demand- und Sell-Side. Für das Profiling müsse eine entsprechende Einwilligung vorliegen, je nach Ausgestaltung könne zudem eine sogenannte Datenschutz-Folgenabschätzung erforderlich sein. Für Werbetreibende und Publisher steckt darin eine ziemlich praktische Konsequenz: Der Datenprozess muss am Kampagnenziel ausgerichtet werden. Wenn sie zunächst einfach Daten matchen und erst später über die Nutzung entscheiden, könnten Probleme auftauchen, falls der rechtliche Rahmen diese gar nicht zulässt. Der Data Clean Room ist kein Niemandsland Die Verteilung der Rollen ist für die Media-Praxis deshalb besonders interessant. In vielen DCR-Projekten treffen mindestens drei Parteien aufeinander: Die Demand-Side liefert Kundendaten, die Sell-Side Nutzerdaten sowie Inventar und ein Technologieanbieter betreibt die Clean-Room-Infrastruktur. Eine Agentur kann zusätzlich den Prozess steuern. Nach der überwiegend vertretenen Einordnung bleibt der DCR-Anbieter laut BVDW dabei typischerweise Auftragsverarbeiter. Wo Demand- und Sell-Side gemeinsam über Zweck und Mittel der Verarbeitung bestimmen, brauchen sie dagegen eine Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Darin geht es unter anderem um Informationspflichten, Betroffenenrechte, Zweckbindung, Löschung und die Aufgabenverteilung zwischen den Beteiligten. Auch die Rolle einer Agentur muss abhängig davon bewertet werden, wie viel Entscheidungsspielraum sie im konkreten Setup besitzt. Ganz eindeutig ist die Rechtslage allerdings auch aus Sicht der Autoren und Autorinnen nicht. Eine juristische Unschärfe bleibt bestehen. Denn im Whitepaper beschreiben sie eine abweichende Auffassung, nach der für jeden Beteiligten zunächst geprüft werden müsste, ob pseudonymisierte Daten aus seiner jeweiligen Perspektive überhaupt personenbezogen sind. Gerade bei aggregierten Ergebnissen oder fehlender Möglichkeit zur Re-Identifizierung könnte das zu einer anderen Bewertung der gemeinsamen Verantwortlichkeit führen. Der BVDW empfiehlt deshalb, die Rollenbewertung für jedes Projekt anhand der tatsächlichen Datenflüsse und Re-Identifizierungsmöglichkeiten zu dokumentieren. Das ist vermutlich die wichtigste Botschaft des Papers für die Werbepraxis. Data Clean Rooms können verhindern, dass Unternehmen ihre Rohdaten einfach gegenseitig auf den Tisch legen. Sie können Zugriffe beschränken, Ergebnisse aggregieren und Zweckbindungen technisch unterstützen. Datenschutz entsteht daraus aber erst, wenn Consent, Datenfluss, Nutzung und Verantwortlichkeiten zum konkreten Use Case passen. Und diese Arbeit beginnt, bevor der erste Datensatz gematcht wird.