Datenschutz und Datenrecht: die Regeln hinter Targeted Ads und Personalisierung

# Datenschutz und Datenrecht: die Regeln hinter Targeted Ads und Personalisierung

Eine 14-Jährige registriert sich bei einer Streaming-Plattform, schaut drei Horrorfilme, und am nächsten Morgen bietet der Ad-Partner der Plattform auf ihr Profil, um ihr Make-up-Werbung auszuliefern. Diese eine Kette, Registrierung, Wiedergabeverlauf, Ad-Auktion, berührt mindestens drei große Datenschutzregime gleichzeitig. Das falsch zu machen ist kein theoretisches Risiko: 2019 verhängte die FTC gegen Google und YouTube eine Strafe von 170 Millionen Dollar, weil sie Daten von Kindern ohne elterliche Zustimmung erhoben hatten, damals eine der höchsten Datenschutzstrafen in der Geschichte der USA. Diese Lektion zeigt, was Compliance-Teams tatsächlich aufbauen, um nicht die Nächsten zu sein.

Warum Medienunternehmen der Nullpunkt des Datenschutzrechts sind

Medien- und Entertainment-Geschäfte laufen konstruktionsbedingt mit personenbezogenen Daten. Recommendation Engines (die Algorithmen, die entscheiden, was Netflix oder Spotify Ihnen als Nächstes zeigt) brauchen Wiedergabe- und Hörverlauf. Ad Networks (Systeme, die Werbetreibende mit Zielgruppen zusammenbringen, etwa die von Google oder The Trade Desk) brauchen Verhaltensprofile. Beide hängen an Daten, die Regulierer inzwischen standardmäßig als sensibel behandeln.

Drei Regime dominieren das Feld, auf das ein Compliance-Team abbilden muss:

• GDPR (General Data Protection Regulation, DSGVO): das umfassende Datenschutzgesetz der EU, in Kraft seit 2018.
• CCPA/CPRA (California Consumer Privacy Act, geändert durch den California Privacy Rights Act): Kaliforniens Datenschutzgesetz auf Staatsebene, das einflussreichste in den USA.
• COPPA (Children's Online Privacy Protection Act): das US-Bundesgesetz zur Datenerhebung bei Kindern unter 13 Jahren, durchgesetzt von der FTC (Federal Trade Commission).

GDPR: Consent als Standardhaltung

Die GDPR gilt für jedes Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet, unabhängig davon, wo das Unternehmen seinen Sitz hat. Durchgesetzt wird sie von nationalen Datenschutzbehörden (DPAs), locker koordiniert über den Europäischen Datenschutzausschuss.

Für eine Recommendation Engine erzwingt die GDPR zwei strukturelle Entscheidungen:

1. Rechtsgrundlage für die Verarbeitung. Unternehmen müssen eine Rechtfertigung nach Artikel 6 wählen, meist „Consent“ oder „berechtigtes Interesse“. Personalisierung auf Basis abgeleiteter Merkmale (Stimmung, politische Neigung, gesundheitsnahe Sehgewohnheiten) braucht in der Regel ausdrückliche Zustimmung und nicht nur berechtigtes Interesse, weil daraus sensible Inferenzen entstehen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen.

2. Datenminimierung. Nur erheben, was die Personalisierung wirklich braucht. Eine Musik-App kann das Auslesen von Kontaktlisten für ein Empfehlungsfeature, das sie nicht nutzt, nicht rechtfertigen.

Die GDPR gewährt Personen außerdem das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit, dazu das Recht auf Widerspruch gegen Profiling für Direktmarketing (Artikel 21). Ein Abonnent kann von Netflix verlangen, in allgemeiner Form zu erklären, warum ein Algorithmus ein bestimmtes Genre empfohlen hat, und kann werbebasiertem Profiling vollständig widersprechen.

Bußgelder sind so konstruiert, dass sie in der Größenordnung wehtun: bis zu 20 Millionen Euro oder 4 % des globalen Jahresumsatzes, je nachdem, was höher ist. Meta traf einige der höchsten Strafen unter der GDPR, darunter ein Bußgeld von 1,2 Milliarden Euro der irischen Data Protection Commission 2023 wegen Datentransfers aus der EU in die USA, laut den öffentlichen Entscheidungen der irischen DPC.

CCPA/CPRA: Opt-out statt Opt-in

Kaliforniens Ansatz unterscheidet sich strukturell von der GDPR. Statt vorab Zustimmung zu verlangen, gibt CCPA (verstärkt durch CPRA 2023) Verbrauchern das Recht auf Opt-out beim „Verkauf oder Teilen“ ihrer personenbezogenen Daten, eine Kategorie, die weit genug ausgelegt wird, um den größten Teil verhaltensbasierter Werbung zu erfassen.

Deshalb zeigt heute nahezu jede US-Medienseite einen Link „Do Not Sell or Share My Personal Information“, oft umgesetzt als standardisiertes Signal namens Global Privacy Control (GPC), das Browser automatisch senden, um Seiten mitzuteilen, das Teilen von Daten zu stoppen.

CPRA hat einen eigenen Regulierer geschaffen, die California Privacy Protection Agency (CPPA), die erste US-Behörde, die speziell für Datenschutz-Enforcement aufgebaut wurde. Zusätzlich kam eine Kategorie „sensitive personal information“ hinzu (präzise Geolokalisierung, sexuelle Orientierung usw.), die ein ausdrückliches Opt-in zur Nutzungsbeschränkung erfordert, näher an der strengeren Haltung der GDPR.

Andere Bundesstaaten sind mit eigenen Gesetzen gefolgt (Virginias VCDPA, Colorados CPACPACost Per Acquisition: die Gesamtkosten, um einen Kunden oder eine Conversion zu erzeugen, berechnet als Gesamtausgaben geteilt durch die Anzahl der Acquisitions.Vollständige Definition ansehen → und weitere), jedes mit leicht abweichenden Schwellen, weshalb Compliance-Teams typischerweise auf den strengsten gemeinsamen Nenner hin bauen, statt fünfzig staatsspezifische Flows zu pflegen.

COPPA: die klare Linie bei Minderjährigen

COPPA ist enger, aber strenger: Es gilt für jeden Onlinedienst, der sich an Kinder unter 13 richtet oder der tatsächliche Kenntnis davon hat, dass ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → Daten von einem Kind unter 13 erhebt. Durchgesetzt wird es von der FTC, und Verstöße kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Zivilstrafen pro Verstoß auslösen, die periodisch angepasst werden (nach den letzten Inflationsanpassungen der FTC kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Strafen über 50.000 Dollar pro Verstoß liegen, und Unternehmen mit Millionen kindlicher Nutzer kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Gesamtsummen im dreistelligen Millionenbereich treffen).

Für Ad Networks und Streaming-Plattformen erzwingt COPPA konkrete Engineering-Entscheidungen:

• Age Gating. Dienste, die wahrscheinlich Kinder anziehen (Kids-Content-Hubs, Kataloge mit vielen Zeichentrickinhalten), müssen beim Signup das Alter erfragen und Nutzer unter 13 in ein eingeschränktes Erlebnis leiten.
• Überprüfbare elterliche Zustimmung. Bevor personenbezogene Daten eines Kindes erhoben werden, braucht die Plattform einen Mechanismus, Kreditkartenverifizierung, unterschriebene Einverständniserklärungen oder wissensbasierte Verifizierung, um zu bestätigen, dass ein Elternteil dies autorisiert hat.
• Keine verhaltensbasierte Werbung an bekannte Kinder. Genau das war das Versagen im YouTube-Fall: Kanäle, die klar auf Kinder ausgerichtet waren, wurden weiterhin für Ad-Targeting profiliert.

Das praktische Ergebnis: YouTube verlangt heute von Creators, Inhalte als „made for kids“ zu markieren, was personalisierte Werbung und Kommentare für diese Inhalte automatisch deaktiviert, eine direkte strukturelle Reaktion auf den FTC-Settlement, dokumentiert auf der Fallseite der FTC.

Was Compliance-Teams tatsächlich bauen

Zieht man die juristische Sprache ab, laufen die drei Regime auf ähnliche Engineering-Artefakte zu:

• Consent Management Platforms (CMPs): die Cookie-Banner und Präferenzzentren, die protokollieren, wozu ein Nutzer zugestimmt hat, mit Zeitstempel, auditierbar und an eine Rechtsgrundlage gebunden.
• Data Mapping und Inventare: eine laufende Aufzeichnung, welche personenbezogenen Daten erhoben werden, wohin sie fließen (auch zu Ad Exchanges) und wie lange sie aufbewahrt werden.
• Age-Assurance-Schichten: Signup-Flows, die Nutzer nach Altersband segmentieren, bevor irgendeine Personalisierungslogik läuft.
• Verarbeitung von Opt-out-Signalen: automatisierte Pipelines, die GPC-Signale oder Account-Einstellungen lesen und die Datenweitergabe an Ad-Partner nahezu in Echtzeit unterdrücken.

Eine vereinfachte Version dessen, wie ein Consent-Check aussehen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte, bevor ein Ad Request ausgelöst wird:

def can_target_ad(user):
    if user.age_band == "under_13":
        return False  # COPPA: keine verhaltensbasierte Werbung an bekannte Kinder
    if user.region == "EU" and not user.has_marketing_consent:
        return False  # GDPR: Consent erforderlich
    if user.region == "CA" and user.opted_out_of_sale:
        return False  # CCPA/CPRA: Opt-out respektieren
    return True

Das ist absichtlich vereinfacht, spiegelt aber die echte Logik: Region und Alter bestimmen, welche Regel greift, und das System fällt auf Einschränkung zurück, wenn Signale fehlen oder sich widersprechen.

Wo die drei Gesetze Friktion erzeugen

Sie passen nicht sauber zusammen. Die GDPR unterstellt standardmäßig Opt-in, CCPA unterstellt Opt-out. COPPA interessiert nur das Alter, nicht die Geografie. Eine globale Plattform betreibt am Ende parallele Compliance-Logik: ein EU-Nutzer sieht eine Consent-Wall, bevor irgendein Tracking startet, ein kalifornischer Nutzer sieht einen passiven Opt-out-Link, und jeder Nutzer, der irgendwo als Kind markiert ist, sieht überhaupt keine verhaltensbasierte Werbung, unabhängig von der Region.

Deshalb werden „Personalisierung“ und „Werbung“ intern oft getrennt. Viele Plattformen nutzen First-Party-Daten (was Sie in ihrem eigenen Dienst geschaut haben) für Empfehlungen auf einer breiteren Grundlage von berechtigtem Interesse oder Produktnotwendigkeit, während sie Third-Party-Ad-Targeting hinter strengerem, separatem Consent abschotten, weil Regulierer und Gerichte die beiden Nutzungen im Risiko sehr unterschiedlich behandeln.

Wichtigste Erkenntnisse

• Die GDPR verlangt Opt-in-Consent für die meiste Personalisierung und Ad-Targeting in der EU, gedeckt durch Bußgelder bis zu 4 % des globalen Umsatzes; das Enforcement läuft über nationale DPAs.
• CCPA/CPRA gibt US-Verbrauchern ein Opt-out-Recht, keine Zustimmungspflicht, durchgesetzt von Kaliforniens eigener CPPA, während andere Bundesstaaten ähnliche, aber nicht identische Frameworks übernehmen.
• COPPA zieht eine harte Linie bei 13 Jahren: keine verhaltensbasierte Werbung und keine Datenerhebung ohne Zustimmung bei bekannten Kindern, durchgesetzt von der FTC mit Strafen pro Verstoß, die bei großen Plattformen in den dreistelligen Millionenbereich skalieren.
• Compliance in der Praxis heißt, Consent Management Platforms, Dateninventare und Age-Gating-Logik zu bauen, die Nutzer je nach Region und Alter in unterschiedliche Datenverarbeitungspfade leiten, nicht eine einzige globale Policy.
• Personalisierung (First-Party-Empfehlungen) und Werbung (Third-Party-Targeting) werden zunehmend als rechtlich unterschiedliche Aktivitäten behandelt, die separaten Consent und separate Datenverarbeitungslogik erfordern.