Microtargeting DSGVO: Folgen für Werbung auf Facebook

Kategorien: Datenschutz und Marketing

Vier Parteien wurden nach Berichten wegen zielgerichteter Facebook-Werbung beanstandet. Doch Microtargeting und DSGVO betreffen nicht nur Parteien, sondern jede Kampagne, die Zielgruppen nach Interessen wählt.

Gezielte Werbung und ihre Grenzen

Gezielte Werbung (wie die der Bundesregierung auf Facebook !?) gehört zum Alltag in sozialen Netzwerken. Wer eine Anzeige schaltet, wählt Alter, Region und Interessen aus. Die Plattform spielt die Anzeige dann an passende Nutzer aus. Das ist bequem und wirksam. Es wirft aber Fragen auf, sobald Interessen Rückschlüsse auf sehr private Merkmale zulassen.

Microtargeting DSGVO: Die Entscheidung und ihre Begründung

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat vier Parteien den Einsatz von politischem Microtargeting im Bundestagswahlkampf 2021 als rechtswidrig vorgehalten. Es geht um CDU, SPD, Bündnis 90/Die Grünen und Die Linke. Die Behörde sprach Rügen und Verwarnungen aus. Bußgelder wurden demnach nicht verhängt.

Als Auslöser nennen die Berichte Recherchen des ZDF Magazin Royale aus dem Jahr 2021. Die Redaktion hatte mit einer Browser-Erweiterung Daten zu geschalteter Wahlwerbung gesammelt. Auf dieser Grundlage reichte die Datenschutzorganisation noyb im März 2023 Beschwerden im Namen betroffener Personen ein. Die Entscheidungen ergingen laut beck-aktuell am 24. September 2026. Nach Angaben von noyb wurden sie den Beteiligten erst Mitte Oktober zugestellt. Medien berichteten am 21. Oktober 2026.

Inhaltlich soll die Behörde festgestellt haben, dass die Parteien sensible Daten über vermutete politische Interessen von Nutzern verarbeitet haben, um zielgerichtete Wahlwerbung auszuspielen. Dafür habe eine ausreichende Rechtsgrundlage gefehlt, etwa eine ausdrückliche Einwilligung. So geben es die Berichte wieder.

Was belegt ist und was nicht

Eine Pressemitteilung der Behörde war am 23. Oktober 2026 nicht auffindbar. Die Entscheidung ist bisher über Medien und noyb belegt. Die vollständige Begründung ist nach dem Stand der Recherche nicht öffentlich. Unklar sind damit mehrere Punkte:

• auf welche Rechtsgrundlagen sich die Behörde im Einzelnen stützt,
• welche Rolle Meta als Plattform in der Bewertung spielt,
• ob und wie Kundenlisten (Custom Audiences) oder ähnliche Zielgruppen (Lookalikes) bewertet wurden.

Das Verfahren gegen die AfD läuft noch. Weitere Einzelheiten dazu sind nicht gesichert. Zudem bindet die Berliner Entscheidung weder andere Aufsichtsbehörden noch Gerichte. Sie zeigt aber, wie eine Behörde argumentiert, und das ist für jedes Unternehmen mit Social-Media-Werbung ein Warnsignal.

Zielgerichtete Werbung ist beim Microtargeting nach der DSGVO nicht verboten. Streitpunkt ist die Verarbeitung politischer Meinungen und anderer besonders geschützter Angaben. Genau dort setzt die nächste Frage an.

Wann aus Interessen sensible Daten werden

Die Datenschutz-Grundverordnung schützt bestimmte Angaben besonders. Der Fachbegriff lautet besondere Kategorien personenbezogener Daten. Darunter fallen Angaben zu Gesundheit, religiöser oder weltanschaulicher Überzeugung, politischer Meinung, sexueller Orientierung, ethnischer Herkunft und Gewerkschaftszugehörigkeit, außerdem genetische und biometrische Daten. Art. 9 DSGVO verbietet ihre Verarbeitung grundsätzlich und lässt nur enge Ausnahmen zu. Für Werbung kommt in der Praxis meist nur die ausdrückliche Einwilligung in Betracht.

Entscheidend ist dabei ein weiter Blick. Es genügt nicht, dass jemand ausdrücklich angibt, krank oder gläubig zu sein. Der Europäische Gerichtshof legt den Begriff weit aus. Im Urteil vom 1. August 2022 (C-184/20) ging es um Angaben, aus denen sich nur indirekt auf ein sensibles Merkmal schließen lässt. Auch solche Rückschlüsse können unter den besonderen Schutz fallen.

Im Urteil vom 4. Juli 2023 (C-252/21) betraf der Fall Meta und das Bundeskartellamt. Der Gerichtshof hielt fest, dass schon der Aufruf von Seiten oder Apps mit sensiblem Bezug, verknüpft mit dem Nutzerkonto, eine Verarbeitung besonderer Kategorien sein kann. Zudem sind solche Daten nicht schon deshalb „offensichtlich öffentlich gemacht“, weil Nutzer eine Seite aufrufen. Diese Ausnahme ist eng auszulegen.

Im Urteil vom 4. Oktober 2024 (C-446/21) ging es um Schrems und Meta. Eine öffentliche Äußerung zur sexuellen Orientierung erlaubt nicht, weitere Daten dazu für Werbung zu nutzen. Auch bei Werbung gilt die Datenminimierung.

Ein Maßstab für die Praxis

Aus dieser Linie lässt sich eine Faustregel ableiten. Nicht das Etikett eines Zielgruppenmerkmals entscheidet, sondern Zweck und Rückschluss. Ein Interesse wie „Laufen“ sagt kaum etwas Sensibles aus. Ein Interesse an einer Aufklärungsseite zu einer bestimmten Erkrankung liegt näher an Gesundheit. Das Interesse an einer Partei oder einer Glaubensgemeinschaft liegt näher an politischer oder religiöser Haltung als das Interesse an „Nachrichten“. Je enger der Bezug, desto eher ist von einem sensiblen Datum auszugehen.

Gefährlich sind außerdem Stellvertreter-Merkmale, im Englischen Proxy Targeting. Dabei wird nicht die sensible Kategorie selbst gewählt, sondern ein Ersatz. noyb berichtet, Parteien hätten im Wahlkampf zur Bundestagswahl 2025 mit solchen Ersatzmerkmalen gearbeitet, etwa mit dem Interesse an Bands, die in einem politischen Spektrum beliebt sind. Wer so vorgeht, löst das Problem nicht. Es kommt auf den Rückschluss an, den die Auswahl ermöglichen soll.

Wie solche Rückschlüsse entstehen, zeigt auch der Beitrag zu personenbezogenen Daten: Informationen, die sich mit anderen verknüpfen lassen, sind schneller personenbezogen, als viele annehmen.

Werbung auf Facebook: Wie sich die Verantwortung mit Meta teilt

Wer auf Facebook oder Instagram wirbt, handelt nicht allein. Die Plattform wertet Daten aus, bildet Zielgruppen und spielt die Anzeige aus. Rechtlich ist dafür der Begriff der gemeinsamen Verantwortlichkeit zentral. Er ist in Art. 26 DSGVO geregelt. Gemeinsam verantwortlich sind danach Stellen, die gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. Sie müssen ihre Pflichten in einer Vereinbarung festlegen.

Der Europäische Gerichtshof hat das schon früh auf soziale Netzwerke angewandt. Im Fanpage-Fall (C-210/16, Urteil vom 5. Juni 2018) sah er den Betreiber einer Fanpage als mitverantwortlich, weil er mit der Auswahl der Zielgruppe und der Konfiguration an Zweck und Mitteln beteiligt ist. Im Fall des Like-Buttons (C-40/17, Urteil vom 29. Juli 2019) beschränkte er die Verantwortung auf die Phasen, die der Betreiber tatsächlich mitbestimmt.

Die Leitlinien 8/2020 des Europäischen Datenschutzausschusses übertragen das auf die Ansprache von Nutzern sozialer Medien. Danach können Plattform und Werbetreibender (der „Targeter“) gemeinsam verantwortlich sein, soweit es um das Ausspielen an eine Zielgruppe geht. Für Schritte davor oder danach gilt das nicht automatisch.

Was beim Werbenden bleibt

Aus der gemeinsamen Verantwortung folgt zweierlei. Meta ist nicht der alleinige Verantwortliche, an den sich jede Frage abgeben lässt. Und die Vereinbarung der Plattform ersetzt keine eigene Prüfung. Beim Werbenden bleiben insbesondere:

• die Wahl einer tragfähigen Rechtsgrundlage für das eigene Targeting,
• die Information der Betroffenen, etwa in der Datenschutzerklärung,
• die Dokumentation der Entscheidungen,
• bei umfangreicher Profilbildung oder sensiblen Bezügen die Prüfung einer Datenschutz-Folgenabschätzung.

Zur Einordnung des Datenflusses zu Meta gibt es auf dem Blog Hintergründe zu Meta und zum Tracking.

Welche Zielgruppen heikel sind und welche unkritisch bleiben

Aus Praxissicht lohnt eine einfache Ordnung nach Rückschlusskraft. Sie ist eine Orientierung und kein Rechtsgutachten. Der Einzelfall kann abweichen.

Unkritisch sind in der Regel Alter, Region und Sprache sowie produktbezogene Interessen ohne Bezug zu sensiblen Kategorien. Auch die Platzierung im passenden Umfeld, etwa neben einem Artikel zum Thema, braucht keine Profilbildung.

Genau zu prüfen sind Interessen mit möglichem Rückschluss, etwa Gesundheitsthemen, Weltanschauung, Organisationen oder Medien mit klarer Ausrichtung. Dazu zählen auch Kundenlisten und ähnliche Zielgruppen. Bei Custom Audiences ist zweierlei zu klären: ob für den Upload der Liste eine wirksame Einwilligung vorliegt und ob schon die Zugehörigkeit zur Liste etwas Sensibles verrät, etwa bei Patienten oder Mitgliedern. Auch das Remarketing nach dem Besuch sensibler Unterseiten gehört in diese Gruppe.

Heikel sind gezielte Ansprachen nach vermuteter Gesundheit, Religion, politischer Haltung, sexueller Orientierung oder Herkunft. Ebenso heikel sind Listen aus sensiblen Kontexten ohne ausdrückliche Einwilligung.

Meta hat Detailed-Targeting-Optionen zu Gesundheit, Herkunft, politischer Zugehörigkeit, Religion und sexueller Orientierung nach eigener Ankündigung ab Januar 2022 gestrichen. Das senkt das Risiko, beseitigt es aber nicht. Die Plattform bildet Zielgruppen weiter aus Verhalten und Signalen, und automatisierte Zielgruppen können Rückschlüsse enthalten. Der aktuelle Funktionsumfang der Werbetools ist vor jedem Kampagnenstart in der Oberfläche selbst zu prüfen.

Checkliste für zulässige Zielgruppen in Werbekampagnen

Die folgende Liste lässt sich von Marketing, Geschäftsführung und Datenschutz gemeinsam abarbeiten.

1. Zweck der Kampagne und Zielgruppenkriterien schriftlich festhalten. Nur so ist später nachvollziehbar, was gewollt war.
2. Jedes Kriterium auf Rückschluss prüfen. Würde die Zugehörigkeit etwas über Gesundheit, Glauben, politische Haltung, Sexualleben, Herkunft oder Gewerkschaft verraten?
3. Breite, nicht sensible Kriterien bevorzugen. Stellvertreter-Merkmale sind keine Umgehung.
4. Das Angebot selbst bewerten. Bei Bezug zu Gesundheit, Religion oder Politik ist das Risiko höher, dann sind Einwilligung oder Kontextwerbung statt Profil zu erwägen.
5. Eigene Kundenlisten nur mit dokumentierter, informierter Einwilligung hochladen. Hashing ersetzt sie nicht.
6. Die Vereinbarung zur gemeinsamen Verantwortlichkeit mit Meta prüfen und eigene Pflichten zuordnen, etwa Information und Anfragen von Betroffenen.
7. Bei Lookalike-Zielgruppen die Ausgangsliste prüfen und keine Listen aus sensiblen Bereichen verwenden.
8. Beim Pixel keine Ereignisse zu sensiblen Unterseiten wie Beratung, Diagnose oder Glaubensgemeinschaft an die Plattform senden.
9. Eine Datenschutz-Folgenabschätzung prüfen, wenn umfangreich Profile gebildet werden oder sensible Bezüge bestehen, und die Entscheidung dokumentieren.
10. Agenturen und Dienstleister vertraglich einbinden, einen Freigabeprozess vor dem Start einführen und Zielgruppenoptionen regelmäßig stichprobenartig prüfen.

Zum Punkt Pixel hilft ein Blick auf die eigene Website. Welche Dienste beim Aufruf geladen werden und ob die Datenschutzerklärung das abbildet, zeigt der DSGVO Website Check. Zur Frage, wann Tools eine Einwilligung brauchen, gibt es außerdem eine Checkliste für Webseiten-Tools. Die Anforderungen an eine wirksame Einwilligung beschreibt zudem Erwägungsgrund 32 der DSGVO.

Politische Werbung: Sonderregeln und was daraus für andere folgt

Für politische Online-Werbung gelten seit dem 10. Oktober 2025 zusätzliche Regeln. Die EU-Verordnung 2024/900 regelt Transparenz und Targeting politischer Werbung. Nach den Hinweisen der Berliner Behörde ist gezieltes politisches Online-Targeting mit personenbezogenen Daten nur unter engen Bedingungen zulässig: Die Daten müssen direkt bei den Betroffenen erhoben sein, es braucht eine ausdrückliche Einwilligung, und Profiling mit sensiblen Daten ist ausgeschlossen.

Meta hat nach Presseberichten politische und gesellschaftliche Themenwerbung in der EU eingestellt. Eine Primärquelle dazu wurde nicht gefunden, die Angabe steht daher unter Vorbehalt. Für Unternehmen und Verbände mit politischen Botschaften, etwa bei Lobbyarbeit oder Kampagnen zu gesellschaftlichen Themen, kann das relevant sein. Parteien und Unternehmen sind nicht gleichzusetzen, die Rechtsfragen zu Art. 9 DSGVO, Rechtsgrundlage und Verantwortlichkeit sind jedoch dieselben. Die Folgen im Einzelfall können abweichen.

Fazit und nächste Schritte

Sinnvoll ist zunächst eine Bestandsaufnahme: Welche Kampagnen laufen, welche Zielgruppenlisten wurden hochgeladen, und wer hat sie freigegeben? Danach sind Zuständigkeiten festzulegen, auch gegenüber Agenturen. Wo Zielgruppen sensible Rückschlüsse zulassen, ist die Auswahl zu ändern oder eine Einwilligung zu belegen.

Beobachtenswert bleibt, ob die Berliner Behörde eine Begründung oder Pressemitteilung nachreicht und wie das Verfahren gegen die AfD endet. Beides hat Konsequenzen und kann das Bild schärfen.

Für den eigenen Webauftritt lohnt ebenfalls ein Blick auf die Sicherheit der eingebundenen Skripte. Dafür bieten die automatisierten Web Security Checks eine Möglichkeit zur ersten Einschätzung. Wer Interessen auswählt, sollte stets fragen, was die Auswahl über die angesprochenen Personen verrät.