Spätzünder ePrivacy-Verordnung: EU-Konsens noch nicht in Sicht

Eigentlich sollte die ePrivacy-Verordnung am 25. Mai 2018 gemeinsam mit der EU-Datenschutzgrundverordnung in Kraft treten. Jetzt wird sie frühestens 2019 kommen. Insbesondere für das Online-Marketing hält sie Neuregelungen bereit.

Die ePrivacy-Verordnung soll die bislang geltende europäische E-Privacy-Richtlinie (2002/58/EG) sowie die Cookie-Richtlinie (2009/136/EG) ersetzen. Inhaltlich knüpft sie an die seit dem 25. Mai 2018 anwendbare DSGVO an und soll als spezielleres Gesetz einen wichtigen Teilbereich der Verarbeitung personenbezogener Daten – die Verarbeitung elektronischer Kommunikationsdaten – regeln.

Dabei wird sie nicht nur auf die Nutzung herkömmlicher Telekommunikationsdienste wie Telefon, E-Mail oder SMS anwendbar sein, sondern auch auf sogenannte „Over-the-Top-Dienste“ wie etwa WhatsApp oder Skype. Inhaltlich betrifft sie die Verarbeitung elektronischer Kommunikationsinhalte und elektronischer Kommunikationsmetadaten.

Für das Online-Marketing stellt der Verordnungsentwurf klar, dass das Tracking und die Profilbildung von Nutzern mit Hilfe von Cookies oder anderen technischen Verfahren nur mit Einwilligung des Nutzers zulässig ist. Cookies, die sich nicht auf die Privatsphäre des Nutzers auswirken, sind weiterhin ohne Einwilligung zulässig. Dies sind beispielsweise Cookies, die zur Erbringung des Dienstes erforderlich sind (etwa die Warenkorbfunktion im Onlineshop), oder Cookies, die der statistischen Analyse der Websitenutzung dienen. Cookies, die dafür eingesetzt werden, den Nutzer wiederzuerkennen, dürfen hingegen nur mit Einwilligung des Nutzers verwendet werden. Die bisherige „opt-out-Lösung“ bei der Erstellung pseudonymer Nutzungsprofile nach § 15 Telemediengesetz (TMG), die bereits jetzt von den deutschen Datenschutz-Aufsichtsbehörden in Frage gestellt wird, findet dann endgültig keine Anwendung mehr.

Zusätzlich zum Einwilligungserfordernis sah Art. 6 des ursprünglichen Verordnungsentwurfs außerdem ein Kopplungsverbot vor: Die Nutzung eines Dienstes sollte nicht von der Einwilligung in den Einsatz von Cookies oder Tracking Tools abhängig gemacht werden dürfen.

Der Entwurf stieß auf massive Kritik, unter anderem weil er die Geschäftsmodelle werbefinanzierter Onlinedienste, die auf der Personalisierung von Werbung fußen, in Gefahr bringt. Die EU-Ratspräsidentschaft hat nun am 26. November 2018 einen Fortschrittsbericht zum Stand der Beratungen veröffentlicht: Daraus geht hervor, dass unter anderem das Kopplungsverbot gelockert werden soll, wobei die Einzelheiten noch streitig sind. Eine im Entwurf vorgesehene Regelung, die Anbieter von Internetzugangs-Software dazu verpflichten sollte, den Endnutzern sogenannte Privacy Settings anzubieten, um Zugriffe auf ihr Endgerät zu verhindern oder zu kontrollieren, soll ganz gestrichen werden. Allerdings zeigt der Bericht auch: Von einem Konsens zur ePrivacy VO sind die EU-Mitgliedstaaten noch weit entfernt.

Bis zum Inkrafttreten der ePrivacy Verordnung ist es noch ein weiter Weg. Bis dahin müssen Unternehmen mit den Unsicherheiten leben, die sich daraus ergeben, dass die ePrivacy-Verordnung auf sich warten lässt und ihre Inhalte noch nicht feststehen. Ratsam ist es in jedem Fall, die Entwicklung zu verfolgen, um für die ePrivacy VO gerüstet zu sein.

Ihre Ansprechpartner sind die Experten der Task-Force Datenschutz. Astrid Luedtke und die anderen Mitglieder der Task-Force Datenschutz sind spezialisiert auf Datenschutzrecht und die anderen, zur Umsetzung wichtigen Rechtsgebiete wie IT- und Wettbewerbsrecht, Arbeitsrecht, Banking und Finance sowie Compliance.