Magnite

Magnite ist eine US-amerikanische Supply Side Platform (SSP), über die Publisher (Websites, mobile Apps, CTV-Sender, Audio-Streams) ihr Werbeinventar programmatisch per Real-Time Bidding verkaufen. Sie entstand aus der Fusion von Rubicon Project und Telaria und gehört zu den größten unabhängigen SSPs.

Ja. Da Magnite Identifikatoren auf dem Endgerät setzt und liest und personenbezogene Daten zu Werbezwecken verarbeitet, verlangen Artikel 5(3) der ePrivacy-Richtlinie und Artikel 6(1)(a) DSGVO eine vorherige, freiwillige, spezifische, informierte und eindeutige Einwilligung gemäß Artikel 7 DSGVO. Die Einwilligung muss vor jedem Aufruf von Magnite über eine TCF 2.2-konforme CMP eingeholt werden.

Magnite verarbeitet pseudonyme Identifikatoren (Cookies wie uids, khaos, kuid), IP-Adresse, User Agent, Geräteinformationen, IP-basierte Geolokalisierung, URL und Referrer, Werbe- und Sichtbarkeitssignale sowie Identifikatoren aus Lösungen wie Unified ID 2.0 oder RampID. Im CTV-Umfeld werden zusätzlich Werbe-IDs (IFA) verarbeitet.

Ja. Magnite hat seinen Sitz in den USA und überträgt Daten an US-Infrastruktur sowie an eine globale Kette von Adtech-Vendoren. Die Transfers stützen sich auf Standardvertragsklauseln und gegebenenfalls auf den EU-US Data Privacy Framework. Nach dem Schrems-II-Urteil (EuGH C-311/18) ist ein Transfer Impact Assessment erforderlich.

Identity-Cookies von Magnite haben in der Regel Laufzeiten zwischen mehreren Tagen und 12 Monaten (beispielsweise uids und khaos rund 12 Monate). Bid-Request-Daten werden für kurze Zeiträume zu Abrechnungs- und Anti-Fraud-Zwecken gespeichert. Verantwortliche müssen die Speicherdauer entsprechend den dokumentierten Zwecken und dem Grundsatz der Speicherbegrenzung nach Artikel 5(1)(e) DSGVO konfigurieren.

Hauptrisiken sind die massive Weitergabe personenbezogener Daten in der RTB-Kette, der Kontrollverlust über nachgelagerte Empfänger, US-Transfers unter Schrems II, Profiling im Sinne von Artikel 22 DSGVO, schwierige Wahrnehmung von Betroffenenrechten sowie Probleme bei der Einwilligungsintegritat (Entscheidung der belgischen APD 21/2022 gegen IAB Europe).

Nutzer können ihre Einwilligung jederzeit über die CMP widerrufen, die das Signal an Magnite und nachgelagerte Vendoren weitergibt. Sie können sich auch direkt an Magnite über dessen Datenschutzportal wenden, um Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch auszuuben. Der Publisher bleibt verantwortlich für die Ermoglichung dieser Rechte als gemeinsamer oder unabhängiger Verantwortlicher.

Publisher sollten striktes Consent Gating, eine TCF 2.2-zertifizierte CMP, serverseitiges Bid-Filtering, vertragliche Schutzmaßnahmen mit Magnite und Partnern, ein dokumentiertes Transfer Impact Assessment, eine DSFA, regelmäßige Vendor-List-Reviews, minimale Datenweitergabe und transparente Informationen zur Empfangerkette umsetzen.