Neben der EU-Datenschutzgrundverordnung (DSGVO), die seit Mai 2018 in allen Mitgliedsstaaten verbindlich gilt, fristet die ePrivacy-Verordnung in der Öffentlichkeit bislang eher ein Schattendasein. Dabei soll sie als Konkretisierung zur DSGVO, ein sogenanntes lex specialis, für verbindliche Regelungen für den Bereich der digitalen Kommunikation sorgen. Doch wie schon bei der DSGVO prallen wirtschaftsfreundliche und datenschutzfreundliche Positionen aufeinander. Wir erklären, was hinter der ePrivacy-Verordnung steckt, was der Stand der Debatte ist und welche Auswirkung sie auf Unternehmen und Bürger haben könnte.
Darum geht es bei der ePrivacy-Verordnung
Egal ob über Instant-Messenger, E-Mail oder VoIP – Dauerkommunikation charakterisiert vernetzte, moderne Gesellschaften. Dieser Tatsache tragen sowohl die Grundrechtecharta der EU als auch die Rechtsprechung des Europäischen Gerichtshofs Rechnung, indem sie der privaten Kommunikation ein besonders hohes Schutzniveau zusprechen. Um private Kommunikation vor unbefugten Zugriffen zu schützen, verabschiedete der europäische Gesetzgeber 2002 die ePrivacy-Richtlinie. 2009 wurde das Regelwerk durch die sogenannte Cookie-Richtlinie ergänzt, die uns seither in Form von Cookie-Bannern auf Webseiten begleitet. Dass mit dem Inkrafttreten der DSGVO auch die ePrivacy-Richtlinie angepasst werden sollte, ist angesichts der fast zehn Jahre alten Rechtsvorschriften der Richtlinien naheliegend.
Denn: Die gegenwärtige Richtlinie bezieht sich auf die private Kommunikation über Telekommunikationsunternehmen, gilt aber nicht für sogenannte Over-the-Top-Dienste (OTT) wie Instant Messenger, VoIP oder webbasierte Mailanbieter. Das heißt: Durch die Rechtslücke verbietet die gegenwärtige Richtlinie es Anbietern von OTT-Diensten wie WhatsApp oder Skype nicht explizit, private Nachrichten abzufangen und/oder zu lesen. Aber nicht nur diese Lücke soll geschlossen werden; die Transformation der Richtlinie zu einer unmittelbar geltenden Verordnung wäre außerdem ein weiterer Baustein hin zu europaweiten, einheitlichen Wettbewerbsbedingungen im Digitalbereich – einem sogenannten Level-Playing-Field.
Darum liegt die ePrivacy-Verordnung gerade auf Eis
Aber bisher ist die neue ePrivacy-Verordnung noch nicht in Kraft, mehr noch: Seit der österreichischen Übernahme der Ratspräsidentschaft im Sommer 2018 liegt die Verordnung auf Eis, da die österreichischen Vorschläge zu Zerwürfnissen im Europäischen Rat geführt haben. So legte die Delegation einen Verhandlungsvorschlag vor, „der aber das Gesetz in Kernpunkten aushöhlt“, wie Ingo Dachwitz bei Netzpolitik.org schreibt, und datenschutzfreundliche Positionen verwässere, wie es vom Verbraucherzentrale Bundesverband heißt. Obwohl Parlament und Kommission bereits ihre Verhandlungsentwürfe vorgelegt haben, scheint eine Einigung vor 2020 derzeit – vor allem mit Blick auf die im Mai 2019 stattfindenden Wahlen zum Europäischen Parlament – sehr unwahrscheinlich. Das wiederum birgt die Gefahr, dass die Verordnung bereits vor einem möglichen Inkrafttreten schon wieder veraltet sein könnte. Denn gerade in der digitalen Welt ist Veränderung Standard – und neben den aktuell vorgeschlagenen Eckpfeilern könnten neue benötigt werden.
Das sind die Eckpfeiler der Entwürfe zur ePrivacy-Verordnung
In den bisherigen Entwürfen der ePrivacy-Verordnung von EU-Kommission und EU-Parlament lassen sich drei Eckpfeiler identifizieren, die das Recht auf Vertraulichkeit der privaten (digitalen) Kommunikation genauer regeln sollen. Wie schon bei der DSGVO drohen Unternehmen für Verstöße gegen die Verordnung drastische Geldstrafen.
Regelung zu den Bedingungen der Datenverarbeitung
Erstens wird geregelt, unter welchen Bedingungen Telekommunikationsunternehmen und OTT-Dienste Kommunikationsdaten verarbeiten dürfen. Die Entwürfe der EU-Kommission und des EU-Parlaments erweitern dabei den Begriff der Kommunikationsdaten von reinen Inhaltsdaten um Metadaten wie Standortdaten oder die Anzahl getätigter Anrufe vom Gerät. Diese dürfen laut der bisherigen Entwürfe nur dann verarbeitet werden, wenn der Nutzer eingewilligt hat oder die Verarbeitung für den Kommunikationsakt notwendig ist. Auf Kommunikationsinhalte darf nur zugegriffen werden, wenn eine Einwilligung des Nutzers vorliegt.
Nutzer müssen zustimmen können
Zweitens beinhalten sowohl der Entwurf der EU-Kommission als auch der des EU-Parlaments eine Zustimmungspflicht zur Erfassung von Informationen, die auf den Endgeräten der Nutzer gespeichert sind – die altbekannten Cookies. Die Cookie-basierte Zielgruppenansprache oder Device-Fingerprinting würde damit generell zustimmungspflichtig. Zusätzlich gilt – so beide Entwürfe – das aus der DSGVO bekannte Kopplungsverbot. Kein Nutzer darf also vom Zugang zu einem Angebot ausgeschlossen werden, weil er keine Zustimmung zum Tracking erteilt hat. Sogenannte Cookie-Walls und das Setzen von Third-Party-Cookies verbieten beiden Entwürfe generell.
Tracking nur, wenn der Nutzer will
Drittens definieren die bisherigen Entwürfe der Verordnung das Prinzip „Privacy-by-Default“. Gemäß Artikel 10 des Kommissionsentwurfs sind datenschutzfreundliche Standardeinstellungen für etwa Browser verpflichtend vorgesehen. Tracking oder die Setzung von Cookies soll also nicht wie bisher im Browser deaktiviert werden müssen, sondern Bedarf der expliziten Aktivierung des Trackings durch den User. Diese Passage ist allerdings hochumstritten und wurde im Entwurf der österreichischen Ratspräsidentschaft ersatzlos gestrichen.
Das könnte die ePrivacy-Verordnung für Unternehmen bedeuten
Gerade in der Werbe- und Verlagsbranche läuten bei diesen Vorschlägen zur ePrivacy-Verordnung die Alarmglocken, Springer CEO Matthias Döpfner nannte die Planungen zur Verordnung gar die „Taliban-Variante des Datenschutzes“. Auch in einer vom Branchenverband Bitkom in Auftrag gegebenen Studie gaben 40 % der befragten Unternehmen an, dass durch die Verordnung der europäische Online-Werbemarkt einbrechen könnte. Der Grund dafür: Bisher ist der Bereich des Online-Trackings zu Werbezwecken wenig bis kaum reguliert. Viele Nutzer könnten – so die Befürchtungen der Digitalwirtschaft – ihre Zustimmung verweigern und damit für massive Einbrüche im Bereich der Werbeeinnahmen sorgen. Besonders den werbefinanzierten Journalismus könnte das hart treffen.
Datenschützer betonen die Vorteile der Verordnung für die individuellen Nutzer, die Lücken wie die fehlende Anwendung des Rechtsrahmens auf OTT-Dienste schließen, Online-Tracking regulieren und damit dem Recht auf Privatsphäre mehr Nachdruck verleihen.
Wichtig ist aber auch: Ein einheitliches, europäischen Level-Playing-Field im Digitalbereich könnte europäische Digitalunternehmen stärken und eröffnet damit Chancen zur Emanzipation von den amerikanischen Big-Four. Trotz großer Skepsis hat auch die DSGVO gezeigt, dass europäische Datenschutzgesetze das Potenzial zum globalen Gold-Standard haben.
Titelbild: pexels.com
