Compliance-Risikobewertung
Eine Compliance-Risikobewertung ist ein systematischer Prozess, den Organisationen nutzen, um potenzielle rechtliche, regulatorische und ethische Risiken im Zusammenhang mit ihren Aktivitäten zu identifizieren, zu bewerten und zu priorisieren, insbesondere in Bereichen wie Transparenz und Targeting politischer Werbung. Sie hilft Organisationen zu verstehen, wo sie möglicherweise rechtliche Verpflichtungen gemäß Vorschriften wie der TTPA (Verordnung 2024/900) nicht erfüllen könnten und welche Folgen diese Verstöße haben könnten. Diese Bewertung bildet die Grundlage für die Entwicklung wirksamer Compliance-Management-Systeme und Risikominderungsstrategien.
Rechtsgrundlage
Obwohl die Verordnung 2024/900 keine Compliance-Risikobewertung ausdrücklich vorschreibt, verlangt Artikel 19, dass zuständige Behörden die Einhaltung überwachen und geeignete Maßnahmen ergreifen. Organisationen, die Risikobewertungen durchführen, entsprechen den Sorgfaltspflichten der Verordnung und der Anforderung von Artikel 8 Absatz 1, dass Sponsoren und Anbieter politischer Werbedienstleistungen „die notwendigen Maßnahmen ergreifen, um die in dieser Verordnung festgelegten Verpflichtungen einzuhalten".
„Sponsoren und Anbieter politischer Werbedienstleistungen ergreifen die notwendigen Maßnahmen, um die in dieser Verordnung festgelegten Verpflichtungen einzuhalten."
— Artikel 8 Absatz 1, Verordnung 2024/900
Der umfassendere Compliance-Management-Rahmen, auf den in EU-Compliance-Standards Bezug genommen wird, hebt die Risikobewertung als Kernelement jedes Compliance-Programms hervor.
Warum es wichtig ist
Compliance-Risikobewertungen sind wichtig, weil die Regulierung politischer Werbung im Rahmen der TTPA erhebliche Verpflichtungen für mehrere Akteure schafft – Sponsoren, Herausgeber, Anbieter und Plattformen. Ohne zu verstehen, wo Risiken liegen, können Organisationen Verstöße nicht wirksam verhindern, die zu erheblichen Verwaltungsgeldbußen oder Reputationsschäden führen könnten.
Für Anbieter politischer Werbedienstleistungen, insbesondere Online-Plattformen und Werbetechnologie-Unternehmen, helfen Risikobewertungen, Schwachstellen bei Transparenzhinweisen, Aufzeichnungssystemen, Targeting-Praktiken und Beschränkungen für Sponsoren aus Drittstaaten zu identifizieren. Diese Bewertungen sollten sowohl die Wahrscheinlichkeit als auch die potenzielle Auswirkung von Nichteinhaltung in verschiedenen operativen Bereichen untersuchen.
Organisationen, die gründliche Compliance-Risikobewertungen durchführen, können Ressourcen effektiv priorisieren und sich auf Hochrisikobereiche wie die Verarbeitung personenbezogener Daten für Targeting, die Überprüfung von Sponsoren während der Vorwahlperioden und Kennzeichnungsanforderungen konzentrieren. Dieser proaktive Ansatz verringert die Wahrscheinlichkeit von Durchsetzungsmaßnahmen und zeigt gutgläubige Bemühungen zur Einhaltung der Verordnung.
Kernpunkte
- Identifiziert Schwachstellen: Hebt spezifische Bereiche hervor, in denen politische Werbeaktivitäten möglicherweise die TTPA-Anforderungen an Transparenz, Targeting oder Aufzeichnungspflichten nicht erfüllen
- Priorisiert Ressourcen: Hilft Organisationen, Compliance-Bemühungen auf Aktivitäten mit dem höchsten Risiko zu konzentrieren, wie Targeting-Techniken unter Verwendung personenbezogener Daten oder Sponsor-Überprüfungsprozesse
- Informiert Minderungsmaßnahmen: Bewertungsergebnisse informieren direkt darüber, welche Richtlinien, Verfahren und Kontrollen implementiert oder verstärkt werden müssen
- Fortlaufender Prozess: Risikobewertungen sollten regelmäßig durchgeführt werden, insbesondere wenn sich Vorschriften ändern, neue Dienste eingeführt werden oder Wahlen bevorstehen
- Vielschichtiger Umfang: Sollte operative Risiken (technische Fehler), rechtliche Risiken (Regelverstöße) und Reputationsrisiken (Vertrauensschäden) abdecken
- Dokumentierte Nachweise: Eine formale Risikobewertung liefert Nachweise für die gebotene Sorgfalt, sollten Regulierungsbehörden Compliance-Praktiken untersuchen
Compliance-Risikobewertung vs. Datenschutz-Folgenabschätzung
Obwohl beide systematische Risikobewertungsinstrumente sind, dienen sie unterschiedlichen Zwecken und rechtlichen Rahmenbedingungen. Eine Compliance-Risikobewertung untersucht umfassend die Fähigkeit einer Organisation, alle geltenden rechtlichen und regulatorischen Verpflichtungen zu erfüllen, einschließlich jener im Rahmen der TTPA, des Wettbewerbsrechts, des Verbraucherschutzrechts und interner Richtlinien.
Eine Datenschutz-Folgenabschätzung (DSFA), die gemäß Artikel 35 der DSGVO erforderlich ist, bewertet speziell Risiken für die Rechte und Freiheiten von Einzelpersonen, die sich aus der Verarbeitung personenbezogener Daten ergeben, insbesondere bei Hochrisikoverarbeitungen. Im Rahmen der TTPA lösen Targeting- und Anzeigenauslieferungstechniken unter Verwendung personenbezogener Daten DSGVO-Verpflichtungen aus, was bedeutet, dass eine DSFA neben einer umfassenderen Compliance-Risikobewertung erforderlich sein kann.
In der Praxis benötigen Organisationen, die politische Werbedienstleistungen anbieten, oft beides: eine DSFA zur Bewertung von Datenschutzrisiken aus Targeting-Techniken und eine Compliance-Risikobewertung zur Bewertung aller TTPA-Verpflichtungen einschließlich Transparenzhinweisen, Sponsor-Überprüfung und Aufzeichnungspflichten.