EuGH: Personalisierte Werbung unter Einsatz eines „Transparency and Consent Strings“ (TC-String) fällt unter DSGVO, da TC-String ein „personenbezogenes Datum“ wegen der enthaltenen Informationen

So werden zwar Informationen nicht direkt mit dem Bezug zu einer natürlichen Person erhoben, aber es erfolgt eine Identifizierbarkeit im Sinne des Art. 4 Nr.1 DSGVO. So das Gericht in seinem Urteil vom 7. März 2024 (Az.  C-604/22) im Rahmen eines Vorabentscheidungsersuchens eines belgischen Gerichts in Bezug auf die Vorgehensweise eines Unternehmens, dass Werbekunden entsprechende Dienstleistungen unter Nutzung de TC-String anbietet und mit einem Bußgeld wegen einer Verletzung der DSGVO belegt worden war.

Das Gericht führt zur Bejahung der Eigenschaft von personenbezogenen Daten in den Entscheidungsgründen unter anderem aus:

„…Folglich stellt ein TC‑String ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO dar. Insoweit ist es unerheblich, dass eine solche Branchenorganisation ohne einen Beitrag von außen, den sie verlangen kann, weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch den TC‑String mit anderen Kennungen, wie insbesondere der IP‑Adresse des Geräts eines Nutzers, kombinieren kann.

Nach alledem ist auf die erste Frage zu antworten, dass Art. 4 Nr. 1 DSGVO dahin auszulegen ist, dass eine aus einer Kombination von Buchstaben und Zeichen bestehende Zeichenfolge wie der TC‑String, die die Präferenzen eines Internetnutzers oder Nutzers einer Anwendung in Bezug auf dessen Einwilligung in die Verarbeitung der ihn betreffenden personenbezogenen Daten durch Anbieter von Websites oder Anwendungen sowie durch Datenbroker und Werbeplattformen enthält, ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt, soweit sie, wenn sie mit vertretbarem Aufwand einer Kennung wie insbesondere der IP‑Adresse des Geräts dieses Nutzers zugeordnet werden kann, es erlaubt, die betreffende Person zu identifizieren. Unter diesen Umständen schließt der Umstand, dass eine Branchenorganisation, die im Besitz dieser Zeichenfolge ist, ohne einen Beitrag von außen weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch diese Zeichenfolge mit anderen Elementen kombinieren kann, nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum im Sinne dieser Bestimmung darstellt…“