Letzte Woche veröffentlichten Vertreter der US-Werbeindustrie Regelungen für eine Selbstregulierung unter dem Titel „Self-Regulation Principles for Online Behavioral Advertising". Damit wollen die Unternehmen, zu denen u.a. Google, Microsoft, Yahoo, Disney und Verizon gehören, einer Regulierung durch die Regierung zuvor kommen. Die Bestimmungen sollen 2010 in Kraft treten und haben kurz nach ihrer Veröffentlichung rasch für aufgeregte Diskussionen gesorgt. Datenschützern gehen die Regelungen nicht weit genug und einige Kommentatoren (Wired / Austrotrabant) sehen sie als vertane Chance an. Die Industrie würde damit geradezu die staatliche Regulierung provozieren, die sie zu verhindern trachtet. Nach einer ersten Durchsicht sehe ich die Regelungen mit zwiespältigen Gefühlen. Es sind durchaus gute Ansätze zu erkennen. So soll die Transparenz beim Sammeln von Daten über das Surf- und Einkaufsverhalten sowie anderen Interessen von Internetnutzern deutlich verbessert werden. Zum einen sollen Nutzer auf den Seiten besser informiert werden, die diese Informationen sammeln, zum anderen auf den Seiten, die darauf aufbauend nutzerbezogene Werbeeinblendungen vornehmen. Wie diese Hinweise genau aussehen werden, ist allerdings noch offen. Sie sollen aber wohl deutlich prominenter angebracht sein als die derzeitigen Links zu den Datenschutzbestimmungen und genauere Erläuterungen darüber enthalten, wie die Daten zu Zwecken der Werbung eingesetzt werden. Angedacht ist etwa ein Link neben den Werbeanzeigen mit dem Text "Why did I get this?” oder “interest-based advertising”, der zu diesen erläuternden Seiten führt.

Ein Hauptkritikpunkt ist allerdings die Frage, ob Nutzer zunächst eine ausdrückliche Einwilligung zu der Sammlung von Daten geben müssen. Vorgesehen ist sie nur bei besonders sensiblen Daten aus dem Finanz- und Gesundheitsbereich, bei letzteren aber wiederum nur in Teilbereichen. Eine Einwilligung zu jeder Datensammlung hält die Werbeindustrie für nicht machbar. Nicht so ganz erschlossen hat sich mir bislang, wie sich die Industrie einen Widerspruch der Nutzer vorstellt. Wenn hier eine einfache Möglichkeit mittels eines "Don't Track Me" Cookies angeboten werden würde, ließe sich rechtspolitisch durchaus mit einer Opt-Out-Lösung leben.

Die Principles regeln den Umgang mit personenbezogenen Daten ("personally identifiable information"). Sie geben aber keine Auskunft darüber, ob dazu auch eine IP-Adresse zu zählen ist. Es gehört aber wohl nicht viel Phantasie zu der Überlegung, dass sie diese selbstverständlich ausgeklammert haben wollen.