Kundenlisten und Custom Audiences datenschutzgerecht nutzen

Was ist das?

Vereinfacht läuft es so ab:

1. Sie stellen eine Liste mit Kontaktdaten Ihrer Kundinnen und Kunden zusammen.
2. Die Daten werden vor der Übermittlung gehasht. Aus einer E-Mail-Adresse wird eine lange, feste Zeichenkette.²
3. Meta vergleicht diese Zeichenketten mit den ebenso umgewandelten Daten seiner Nutzerkonten. Das nennt man Abgleich (Matching).²³
4. Nach dem Abgleich löscht Meta die übermittelten Daten. Übrig bleibt eine Zielgruppe aus den gefundenen Konten.¹²
5. Meta zeigt Ihnen nicht, welche Personen in der Zielgruppe sind, und gibt sie nicht an andere Werbetreibende weiter.¹

Was eine Kundenliste für Ihre Werbung leisten kann, erklärt Kundenliste als Zielgruppe hochladen.

Warum ist das wichtig?

Kundenlisten gehören zu den wertvollsten Zielgruppen, weil sie aus echten Kundenbeziehungen stammen. Gerade deshalb ist das Vertrauen Ihrer Kunden im Spiel. Mit dem Hochladen sichern Sie Meta zu, dass Sie eine rechtmäßige Grundlage für die Weitergabe haben.¹ Das Bayerische Landesamt für Datenschutzaufsicht hat die Nutzung ohne Einwilligung beanstandet, das Verwaltungsgericht Bayreuth hat das 2018 im Eilverfahren bestätigt.⁶

Worauf es ankommt

Hashing ist keine Anonymisierung

Die DSGVO nennt das Pseudonymisierung: Die Daten lassen sich mit Zusatzwissen wieder einer Person zuordnen und bleiben deshalb personenbezogen.⁴ Die Artikel-29-Datenschutzgruppe, Vorgängerin des EDSA, stellte klar, dass sich Hashwerte zurückverfolgen lassen, wenn man die möglichen Eingaben kennt.⁵ Genau das passiert beim Abgleich.² Das VG Bayreuth wertete das Hochladen deshalb als Übermittlung personenbezogener Daten.⁶

Wer ist verantwortlich?

In allen Varianten gilt: Sie sind für die Kundendaten verantwortlich und brauchen eine Rechtsgrundlage für die Weitergabe.¹

Welche Rechtsgrundlage?

• Einwilligung: Das BayLDA hält eine vorherige informierte Einwilligung für erforderlich. Das VG Bayreuth folgte dem.⁶
• Berechtigtes Interesse: Der EDSA hält es nur in einem engen Fall für denkbar: Die Kundin wurde bei der Erhebung über Werbung in sozialen Medien informiert, es geht um ähnliche Leistungen wie die bereits genutzten, und sie konnte von Anfang an widersprechen. Wer Adressen von Personen nutzt, die sich bewusst gegen einen Vertrag entschieden haben, kann sich darauf nicht berufen.⁷
• Profilbildung: Die DSK geht davon aus, dass bei Profilen mit Daten aus sozialen Netzwerken die Interessen der Betroffenen in der Regel überwiegen.⁸

Die vorsichtigste Lösung ist eine ausdrückliche Einwilligung, die Werbung auf Facebook und Instagram konkret nennt.

Informieren und Widersprüche umsetzen

Informieren Sie Ihre Kunden bei der Erhebung, dass und wofür Sie Daten an Meta weitergeben. Auf das Widerspruchsrecht gegen Direktwerbung müssen Sie spätestens bei der ersten Kommunikation ausdrücklich hinweisen.⁴ Nach einem Widerspruch dürfen Sie die Daten nicht mehr für Werbung nutzen.⁴ Meta verlangt, dass Sie die Person dann auch aus der Zielgruppe entfernen.¹

Was Meta außerdem verlangt

Keine Daten von Kindern unter 13 Jahren, keine sensiblen Daten wie Gesundheits- oder Finanzinformationen, auch nicht im Namen der Zielgruppe. Zielgruppen dürfen nicht verkauft oder übertragen werden. Agenturen, die Listen im Auftrag hochladen, sichern zu, dazu berechtigt zu sein.¹

Typische Fehler

• „Wir hashen doch, also ist es anonym.“ Gehashte E-Mail-Adressen bleiben personenbezogen.⁵⁶
• Alle jemals gesammelten Adressen hochladen, auch von Interessenten, die nie Kunde wurden. Diese Konstellation hält der EDSA nicht für gedeckt.⁷
• Widersprüche nur im Newsletter-System umsetzen und die Zielgruppe bei Meta vergessen.¹
• Sensible Begriffe im Namen der Zielgruppe, etwa „Diabetiker Kunden“.¹
• Agentur lädt Listen ohne schriftliche Regelung mit dem Kunden hoch.¹

Wichtig

Fachbegriffe

• Custom Audience aus einer Kundenliste: Zielgruppe, die Meta aus Ihren übermittelten Kundendaten bildet.
• Hashing: Einweg-Umwandlung von Daten in eine feste Zeichenkette.
• Pseudonymisierung: Daten sind ohne Zusatzwissen keiner Person zuordenbar, bleiben aber personenbezogen.
• Anonymisierung: Personenbezug ist dauerhaft aufgehoben. Dann gilt die DSGVO nicht mehr.
• Abgleich (Matching): Vergleich Ihrer gehashten Daten mit denen der Meta-Nutzerkonten.
• Auftragsverarbeiter: Dienstleister, der Daten nur nach Ihrer Weisung verarbeitet.
• Widerspruch: Recht, der Nutzung von Daten für Direktwerbung jederzeit zu widersprechen.

Typische Nutzerfragen

• Darf ich die E-Mail-Adressen meiner Newsletter-Abonnenten zu Meta hochladen?
• Brauche ich für Custom Audiences eine Einwilligung?
• Ist Hashing datenschutzkonform?
• Was mache ich, wenn ein Kunde der Werbung widerspricht?
• Ist Meta bei Kundenlisten mein Auftragsverarbeiter?
• Darf meine Agentur unsere Kundenliste hochladen?