App Tracking Transparency-Framework von Apple – Mehr Datenschutz unter iOS 14.5?

App Tracking Transparency-Framework von Apple – Mehr Datenschutz unter iOS 14.5?

Nicht nur Websites, sondern auch mobile Apps nutzen Tracking. Die so gewonnenen Daten werden zur Spezifizierung von Werbung genutzt und dazu mit Werbenetzwerken ausgetauscht. Sie nutzen dazu die per Werkseinstellung für sie einsehbare Werbe-ID des mobilen Endgerätes, auch Advertising Identifier (IDFA) genannt.

Unter dem neuen iOS 14.5 Update von Apple gibt es hier eine Neuerung: Der Nutzer kann das App-Tracking über eine Meldung des Betriebssystems beim Öffnen einer App selbst erlauben oder ablehnen. Laut eigener Aussage will Apple damit die Daten der Nutzer schützen.

Wie dies datenschutz- und kartellrechtlich zu bewerten ist, wird im Folgenden dargestellt.

Datenschutzrecht

Beim Tracking wird über einen längeren Zeitraum durch unterschiedliche Verfahren die Identifikation eines Nutzers ermöglicht. Durch diesen Vorgang werden personenbezogene Daten verarbeitet, was immer eine rechtliche Grundlage braucht.

Zunächst ist an eine Einwilligung zu denken. Da Tracking nicht nur über die Werbe-ID, sondern auch über Cookies stattfinden kann, können die rechtlichen Überlegungen zu Cookies ebenso herangezogen werden: Wenn auf das Endgerät des Nutzers zugegriffen wird, sind nicht nur die DSGVO, sondern auch das Telemedien-Gesetz und die ePrivacy-Richtlinie einschlägig. Demnach ist nur eine Einwilligung als rechtliche Grundlage denkbar, die nach dem BGH (Planet49-Entscheidung von Mai 2020) in einem Opt-in Verfahren einzuholen ist, soweit es sich um Datenerhebung zu Werbe-, Marktforschungs- oder Profiling-Zwecken handelt. Die Einwilligung ist auch entsprechend Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, eindeutig, informiert und widerruflich einzuholen.

Eine Einwilligung muss jede App, die den Nutzer tracken will also sowieso einholen. Durch das AppTrackingTransparency-Framework (ATT) von Appel, wird dies nur noch mehr erzwungen, was vom Datenschutz aus betrachtet erst einmal positiv zu bewerten ist. So lobt auch der Bundesverband der Verbraucherzentralen die Strategie von Apple.

Kartell- und Wettbewerbsrecht

Kritiker halten dem Lob allerdings entgegen, dass Apple mit dem ATT lediglich eigene Geschäftsziele verfolge: Gerade kostenlose Apps, die sich durch Werbung innerhalb der App finanzieren, hätten weniger Einnahmen, sodass sie nicht mehr kostenlos bleiben könnten. Werden kostenpflichtige Apps im Apple Store angeboten, verdient Apple daran aber wieder mit. Hier ist ein wirtschaftliches Eigeninteresse von Apple nicht unwahrscheinlich.

Zudem wurden von Spitzenverbänden der Internet- Medien- und Werbewirtschaft Ende April bereits Beschwerden gegen Apple beim Bundeskartellamt eingereicht. Sie rügen, dass Apple mit der Verwendung vom ATT seine Marktmacht missbrauche. Die neuen Datenschutzvorkehrungen seien kartellrechtlich betrachtet unfairer Wettbewerb, da der Werbewirtschaf der Zugriff auf wettbewerbsrelevante Daten erschwert wird und das auf unzulässige Weise. Dies widerspreche den neuen Vorschriften des Gesetzes gegen Wettbewerbsbeschränkungen (GWB). Gestützt auf dieses könnte das Bundeskartellamt effektiver gegen Missbrauchsverhalten von marktbeherrschenden Plattformen vorgehen.

Zusammengefasst:

Wie der Streit im Bereich des Wettbewerbs- und Kartellrechts ausgeht und entsprechend das Bild von Apples neuer Strategie prägt, bleibt abzuwarten.

Bis dahin ist das Vorgehen aus datenschutzrechtlichen Gesichtspunkten zunächst zu begrüßen, auch wenn einige App-Betreiber dies nicht so sehen werden.

Auswirkungen auf die Werbewirtschaft

Die Einführung des App Tracking Transparency-Frameworks hat die digitale Werbelandschaft grundlegend verändert. Studien zeigen, dass nur etwa 20 bis 25 Prozent der iOS-Nutzer dem Tracking aktiv zustimmen, wenn sie gefragt werden. Das bedeutet, dass Werbetreibende bei der Mehrheit der Apple-Nutzer keine personalisierte Werbung mehr ausspielen können.

Für App-Entwickler, die ihr Geschäftsmodell auf werbefinanzierte Inhalte aufgebaut haben, hat dies massive finanzielle Auswirkungen. Ohne die IDFA (Identifier for Advertisers) lassen sich Werbekampagnen deutlich schwerer messen und optimieren. Die Folge sind sinkende Werbeeinnahmen und ein Umdenken in der gesamten Branche.

Große Plattformen wie Meta (ehemals Facebook) haben öffentlich erklärt, dass ATT sie jährlich Milliarden an Werbeeinnahmen kostet. Kleinere App-Entwickler trifft es proportional sogar noch härter, da sie weniger Möglichkeiten haben, auf alternative Einnahmequellen umzustellen.

Alternative Tracking-Methoden und ihre datenschutzrechtliche Bewertung

Als Reaktion auf die Einschränkungen durch ATT haben Unternehmen begonnen, nach alternativen Methoden zur Nutzerverfolgung zu suchen. Diese sind aus datenschutzrechtlicher Sicht jedoch nicht weniger problematisch:

• Fingerprinting: Beim sogenannten Device-Fingerprinting werden verschiedene technische Merkmale eines Gerätes wie Bildschirmauflösung, installierte Schriftarten oder Browser-Version kombiniert, um einen eindeutigen digitalen Fingerabdruck zu erstellen. Diese Methode verstößt nach Auffassung der meisten Datenschutzbehörden gegen die DSGVO, da sie eine Einwilligung erfordert, die in der Praxis regelmäßig nicht eingeholt wird.
• Probabilistisches Tracking: Hierbei werden statistische Modelle verwendet, um Nutzer anhand von Wahrscheinlichkeiten zu identifizieren. Auch diese Methode verarbeitet personenbezogene Daten und bedarf einer Rechtsgrundlage.
• Kontextbezogene Werbung: Eine datenschutzfreundliche Alternative ist die kontextbezogene Werbung, bei der Anzeigen basierend auf dem Inhalt der gerade besuchten Seite oder genutzten App ausgespielt werden, ohne das Nutzerverhalten zu verfolgen. Diese Methode erlebt durch ATT eine Renaissance.
• Apples eigenes Werbesystem (SKAdNetwork): Apple bietet mit dem SKAdNetwork eine eigene Lösung für die Werbe-Attribution an, die aggregierte Daten liefert, ohne einzelne Nutzer zu identifizieren. Kritiker bemängeln jedoch, dass Apple hierdurch eine Doppelrolle als Plattformbetreiber und Werbeanbieter einnimmt.

Die ePrivacy-Verordnung als nächster Schritt

Während ATT eine herstellerseitige Lösung darstellt, arbeitet die Europäische Union mit der geplanten ePrivacy-Verordnung an einem umfassenden regulatorischen Rahmen für den Datenschutz in der elektronischen Kommunikation. Diese soll die bestehende ePrivacy-Richtlinie von 2002 ablösen und unter anderem einheitliche Regelungen für Cookies, Tracking und elektronische Kommunikation schaffen.

Die ePrivacy-Verordnung würde als direkt geltendes EU-Recht in allen Mitgliedstaaten ohne Umsetzung anwendbar sein und könnte die Regeln für App-Tracking noch einmal deutlich verschärfen. Insbesondere die Frage, ob Nutzer in ein Tracking einwilligen müssen oder ob auch andere Rechtsgrundlagen in Betracht kommen, wird kontrovers diskutiert.

Empfehlungen für Unternehmen

Angesichts der sich verändernden Rahmenbedingungen sollten Unternehmen ihre Tracking- und Werbestrategien grundlegend überdenken. Folgende Maßnahmen sind empfehlenswert:

• Überprüfen Sie, ob Ihre App oder Website DSGVO-konform arbeitet und alle erforderlichen Einwilligungen rechtswirksam eingeholt werden.
• Setzen Sie auf datenschutzfreundliche Alternativen wie kontextbezogene Werbung oder aggregierte Analysen.
• Dokumentieren Sie alle Tracking-Maßnahmen im Verarbeitungsverzeichnis und führen Sie bei Bedarf eine Datenschutz-Folgenabschätzung durch.
• Halten Sie Rücksprache mit Ihrem Datenschutzbeauftragten, um sicherzustellen, dass neue Tracking-Methoden den rechtlichen Anforderungen entsprechen.

Die Entwicklung zeigt: Datenschutz ist kein Hindernis für digitales Marketing, sondern eine Chance, das Vertrauen der Nutzer zu gewinnen und langfristig nachhaltigere Geschäftsmodelle zu entwickeln.

Datenschutz-Folgenabschätzung bei Tracking-Maßnahmen

Unternehmen, die umfangreiches Nutzer-Tracking betreiben, sollten eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchführen. Die systematische Überwachung des Nutzerverhaltens über mehrere Apps oder Webseiten hinweg gehört zu den Verarbeitungstätigkeiten, die nach Auffassung der Datenschutzkonferenz (DSK) regelmäßig eine DSFA erfordern.

Die DSFA sollte insbesondere die folgenden Aspekte berücksichtigen: den Umfang und die Art der erhobenen Daten, die Dauer der Speicherung, die Weitergabe an Dritte wie Werbenetzwerke und die möglichen Auswirkungen auf die Privatsphäre der Nutzer. Auf Grundlage der DSFA können dann geeignete Schutzmaßnahmen festgelegt werden, etwa die Minimierung der erhobenen Daten, die Pseudonymisierung oder die Einschränkung der Speicherdauer.

Internationale Perspektive auf App-Tracking

Apples ATT ist nicht die einzige Entwicklung im Bereich des App-Trackings. Google hat mit der „Privacy Sandbox“ für Android ein ähnliches Konzept angekündigt, das die Nutzung der Advertising ID schrittweise einschränken soll. Anders als Apple setzt Google jedoch auf einen längeren Übergangszeitraum und die Entwicklung alternativer, datenschutzfreundlicherer Technologien wie Topics API.

In den USA diskutieren Gesetzgeber zudem über ein bundesweites Datenschutzgesetz, das einheitliche Standards für Online-Tracking schaffen könnte. Der American Data Privacy and Protection Act (ADPPA) könnte, wenn er verabschiedet wird, die fragmentierte Datenschutzlandschaft in den USA vereinheitlichen und auch für europäische Unternehmen Auswirkungen haben, die US-Nutzer adressieren.

Für Unternehmen wird es angesichts dieser Entwicklungen immer wichtiger, ihre Datenverarbeitungspraktiken kontinuierlich an die sich ändernden regulatorischen und technischen Rahmenbedingungen anzupassen. Eine frühzeitige Zusammenarbeit mit dem Datenschutzbeauftragten kann dabei helfen, Risiken zu minimieren und Compliance-Verstöße zu vermeiden.

Fazit: Datenschutz und Innovation müssen kein Widerspruch sein

Die Diskussion um Apples App Tracking Transparency zeigt exemplarisch, dass Datenschutz und wirtschaftliche Interessen in einem Spannungsfeld stehen. Doch dieses Spannungsfeld lässt sich produktiv nutzen. Unternehmen, die den Datenschutz ernst nehmen und transparente Datenverarbeitungspraktiken etablieren, gewinnen langfristig das Vertrauen ihrer Kunden.

Die DSGVO gibt den Rahmen vor, innerhalb dessen Unternehmen innovative und datenschutzkonforme Lösungen entwickeln können. Die Einwilligung der Nutzer als zentrale Rechtsgrundlage für Tracking und personalisierte Werbung stärkt die informationelle Selbstbestimmung und zwingt die Wirtschaft, sich stärker an den Bedürfnissen und Wünschen der Verbraucher zu orientieren.

Unternehmen, die frühzeitig in datenschutzfreundliche Technologien und transparente Kommunikation investieren, werden von dieser Entwicklung profitieren. Eine professionelle datenschutzrechtliche Beratung hilft dabei, die regulatorischen Anforderungen zu erfüllen und gleichzeitig wirtschaftlich erfolgreich zu bleiben.