Microtargeting im Wahlkampf: Vier Parteien, eine Rüge – und drei Jahre Verzug

Berlin, 21. Oktober – Die Entscheidung ist unspektakulär formuliert und politisch trotzdem ein Ereignis. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat gegenüber CDU, SPD, Bündnis 90/Die Grünen und der Linken Rügen ausgesprochen, weil die Parteien im Bundestagswahlkampf 2021 Wahlwerbung nach Nutzerprofilen ausgespielt haben. Nach Angaben aus dem Umfeld des Verfahrens datieren die Bescheide vom 24. September 2026 und wurden am 21. Oktober bekannt; zuerst berichtete die „Bild“-Zeitung, die dpa-Meldung wurde anschließend von mehreren Häusern übernommen.

Auslöser war keine Anzeige einer Behörde, sondern eine Fernsehsendung. Das „ZDF Magazin Royale“ hatte im September 2021 mit einer Browser-Erweiterung sichtbar gemacht, welche politische Werbung einzelne Nutzer auf Facebook zu sehen bekamen. Auf dieser Grundlage reichte die Datenschutzorganisation noyb im März 2023 Beschwerden ein – gegen mehrere Parteien, darunter CDU, SPD, Grüne, Linke und AfD; ein Verfahren gegen die ÖDP landete wegen des Sitzes der Partei bei der bayerischen Aufsicht. Der Vorwurf war überall derselbe: Die Parteien hätten Werbung auf Gruppen zugeschnitten, die sie anhand von Daten als politisch interessiert eingestuft hatten.

Was die Behörde rechtlich annimmt

Der Kern der Rüge ist eine Einordnung, die viele Wahlkampfpraktiken im Nachhinein zu Datenschutzverstößen macht. Wer Anzeigen an ein Publikum ausspielt, das nach vermuteten politischen Ansichten gebildet wurde, verarbeitet Daten, die zu den besonders geschützten Kategorien gehören. Politische Meinungen sind nach der Datenschutz-Grundverordnung nicht irgendein Merkmal, sondern ein Umstand, für dessen Verarbeitung die Verordnung eine eigene, sehr hohe Hürde aufstellt: Sie ist grundsätzlich untersagt und nur in engen Ausnahmen erlaubt. Eine wirksame Einwilligung der Betroffenen lag nach Auffassung der Aufsicht nicht vor – die Betroffenen wussten nicht, dass sie Zielgruppe einer politischen Anzeige waren, und konnten deshalb auch nicht einschätzen, worin sie einwilligen.

Bemerkenswert ist, dass die Behörde sich mit einer Rüge begnügt. Sie ordnet keine Unterlassung an und verhängt kein Bußgeld. Das hat einen praktischen Grund: Die Kampagne ist vorbei, die Werbekonten sind geschlossen, ein Unterlassungsbescheid liefe ins Leere. Es hat aber auch einen rechtlichen Grund: Die Rüge ist das mildeste Instrument der Aufsicht, und ihre Wirkung ist eher dokumentarisch als sanktionierend. Wer wissen will, ob politisches Microtargeting teuer wird, erfährt es aus diesen Bescheiden nicht.

Der AfD-Fall und die Vorfrage

Vier Verfahren sind damit abgeschlossen, eines nicht. Der Fall der AfD ist seit Jahren offen – und zwar nicht, weil die Sachfrage kompliziert wäre, sondern weil über eine Vorfrage gestritten wurde. Die Aufsichtsbehörde wollte Auskunft über die verwendeten Zielgruppen und stieß auf Widerstand; der Streit darüber, wie weit die Ermittlungsbefugnisse der Datenschutzaufsicht reichen, ging durch die Instanzen. Solche Verfahren entscheiden am Ende oft nicht über den Datenschutz, sondern über die Reichweite von Auskunftspflichten. Für die betroffene Partei ist das ein Aufschub, für die Aufsicht ein Betriebsunfall.

Die zeitliche Dimension ist der eigentliche Befund. Zwischen der Veröffentlichung im September 2021, den Beschwerden im März 2023 und den Bescheiden im September 2026 liegen fünf Jahre. In dieser Zeit fand eine weitere Bundestagswahl statt, in der dieselben Instrumente erneut zur Verfügung standen. noyb hat den Vorgang entsprechend kommentiert: Die Aufsicht habe mehr als drei Jahre gebraucht, und in der Zwischenzeit habe es eine weitere Wahl gegeben. Das ist keine Polemik, sondern eine Beschreibung der Wirkungslücke: Eine Aufsicht, die nach fünf Jahren feststellt, dass ein Wahlkampf rechtswidrig war, beeinflusst den nächsten Wahlkampf nicht.

Warum die Praxis trotzdem weiterging

Der Grund für die Fortsetzung der Praxis liegt in der Rechtslage selbst. Das Datenschutzrecht kennt keine spezielle Regel für politische Werbung; es kennt nur die allgemeinen Kategorien – besondere Datenarten, Einwilligung, Rechtsgrundlage. Ob eine Zielgruppenbildung nach „politischem Interesse“ zulässig ist, hängt deshalb an der Frage, ob man aus dem Verhalten auf eine Meinung schließt. Wer eine Zeitung mit bestimmter Ausrichtung liest, hat damit noch keine politische Meinung geäußert. Genau dieser Schluss vom Verhalten auf die Überzeugung ist aber das Geschäftsmodell der Werbewirtschaft – und im Wahlkampf das der Parteien.

Auf europäischer Ebene hat sich in dieser Frage zuletzt einiges bewegt: Eine eigene Verordnung regelt inzwischen Transparenz und Targeting politischer Werbung und zieht die Grenze bei sensiblen Daten deutlich schärfer. Für die deutschen Verfahren ist das nur begrenzt hilfreich, weil sie den Wahlkampf 2021 betreffen. Für die nächste Wahl ist es der relevantere Maßstab – und zwar unabhängig davon, wie der AfD-Fall ausgeht.

Was daraus folgt

Drei Punkte lassen sich festhalten. Erstens: Die Rügen sind ein Präzedenzfall ohne Sanktion. Sie stellen fest, dass politisches Microtargeting gegen die DSGVO verstieß, und sie belegen, dass die Aufsicht es ernst meint – sie belegen aber nicht, dass es teuer wird. Zweitens: Die Verfahrensdauer ist das eigentliche Vollzugsproblem. Datenschutzaufsicht im Wahlkampf müsste schneller sein als der Wahlkampf; fünf Jahre sind strukturell zu lang. Drittens: Die Parteien haben ihre Praxis nach 2021 nicht wegen der Aufsicht eingestellt, sondern weil sich die Plattformbedingungen geändert haben.

Für die Betroffenen bleibt ein Anspruch auf Auskunft, den kaum jemand geltend macht, und ein Wissen darüber, dass sie Zielgruppe waren – das die Sendung von 2021 öffentlich gemacht hat. Für die politische Debatte bleibt die unangenehme Frage, ob eine Demokratie Wahlwerbung nach Persönlichkeitsprofilen überhaupt zulassen will. Diese Frage ist keine datenschutzrechtliche, sondern eine politische. Die Bescheide vom September haben sie nicht beantwortet.