Seit dem 25. Mai 2018 gilt europaweit die EU-Datenschutzgrundverordnung (DSGVO). Im Rahmen der europäischen Strategie für einen digitalen Binnenmarkt (sog. DBM-Strategie) sollte am gleichen Datum auch die Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (ePrivacy-Verordnung) in Kraft treten. Das Gesetzgebungsverfahren verzögert sich jedoch auf Grund einiger, strittiger Punkte.

Der folgende Beitrag stellt den aktuellen Stand und einen Ausblick auf relevante Regelungen und das weitere Gesetzgebungsverfahren dar. (Dieser Beitrag ist um die aktuelle Entwicklung rund um die ePrivacy-Verordnung aktualisiert worden)

Update (02. Juni 2020)

Aktueller Stand der Gesetzgebung

Zwischenzeitlich hat das Gesetzgebungsverfahren zur ePrivacy-Verordnung verschiedene Updates erhalten. Bereits im vergangenen Jahr scheiterten die Anpassungsvorschläge aus Finnland an den Einwänden einiger Mitgliedsstaaten. Die Trilogverhandlungen wurden daraufhin nicht mehr durchgeführt. Während der kroatischen Ratspräsidentschaft im ersten Halbjahr 2020 wurde ein neuer Entwurf erarbeitet mit erneuten Anpassungen. Nun wird es in den nächsten Monaten und Jahren darum gehen, diesen Entwurf zu diskutieren und ggf. im Rahmen des Gesetzgebungsverfahrens zu finalisieren.

Erwartet wird, dass die weitere Abstimmung erst nach der Evaluierung der DSGVO, die ebenfalls in diesem Jahr stattfinden wird, vorgenommen wird. Entsprechend scheint die Aufnahme der Trilogverhandlungen frühestens im nächsten Jahr realistisch. Somit dürfte eine Finalisierung und damit ein Inkrafttreten der ePrivacy-Verordnung nicht vor Ende 2021, eher 2022 vonstatten gehen. Sofern der Gesetzgeber eine zweijährige Frist zur Anwendung setzte, wären die Regelungen der Verordnung somit erst im Jahr 2024 einzuhalten.

Dieser Zeitplan kann jedoch auch durch weitere Ereignisse noch weiter durcheinander gebracht werden. Zum einen ist die Situation rund um Corona in Europa weiterhin bestimmendes Thema. Desweiteren beginnt am 01. Juli die Ratspräsidentschaft für Deutschland. Es gibt bereits Vermutungen, dass die Priorisierungen nicht auf für die Digitalwirtschaft relevanten Regelungen (worunter die ePrivacy-Verordnung zweifelsohne fällt) liegen.

Die größten Diskussionspunkte bieten der Umgang mit Tracking-Technologien. Einige der Mitgliedsstaaten drängen auf eine restrikitvere „Einwilligungspolitik“, die dazu führen würde, dass nur mit engen Einwilligungen Maßnahmen wie z.B. das „Re-targeting“ möglich wären. Die betroffenen Wirtschaftszweige wirken jedoch seit Jahren auf Ausnahmen hin, sodass insbesondere Marketingmaßnahmen nicht beschnitten werden.

Ausblick für den weiteren Verlauf

Trotz dieser – sicherlich ungünstigen – zeitlichen Verschiebung, gilt es als ausgemacht, dass es künftig Regelungen geben wird, die sich spezifisch um Fragen der Digitalwirtschaft drehen. Darunter werden auch Fragen um das Setzen von Cookies, dem Tracking von Nutzern und auch den Umgang mich technischen (Meta-)Daten beantwortet werden. Entsprechend sollten sich Webseitenbetreiber sowie alle Unternehmen, die digital unterwegs sind, mit diesen Entwicklungen beschäftigen und diese Fragen aufmerksam beobachten. Auch die DSGVO schien vor ihrer Finalisierung schon „vor dem Ende“. Schließlich gelang dem Gesetzgeber jedoch, sich auf eine Fassung zu einigen. Wir erwarten eine ähnliche Entwicklung bei der ePrivacy-Verordnung.

Ziel der ePrivacy-Verordnung

Die ePrivacy-Verordnung soll die DSGVO um konkrete Regelungen im Bereich der digitalen Datenverarbeitung ergänzen. Außerdem zielt auch diese Verordnung auf die Sicherstellung eines funktionierenden Binnenmarktes ab. Für die Datenverarbeitung Verantwortliche soll sich auf diese Weise ein (noch um einige Spezialgesetze zu ergänzendes) vollständiges Regelungsbild bieten. Sie wird somit die datenschutzrechtlichen Regelungen u.a. im Telemediengesetz (TMG) und Telekommunikationsgesetz (TKG) ersetzen.

Stand des Gesetzgebungsverfahrens vor dem Abbruch der Verhandlungen

Nach derzeitigem Stand haben sich die Kommission und das Parlament jeweils auf eine gemeinsame Linie geeinigt. Der Europäische Rat befindet sich noch in eigenen Verhandlungen zu einem eigenen Entwurf bzw. einer gemeinsamen Linie. Sobald diese gefunden wurde, können die „Trilog-Verhandlungen“ starten. Dies ist für Sommer 2019 vorgesehen. Wird diesem zeitlichen Horizont gefolgt, könnte es bis Ende des Jahres 2019 oder Anfang des Jahres 2020 zu einer finalen Fassung und einem Inkrafttreten kommen. Folgt der Gesetzgeber der Systematik des Verfahrens bei der DSGVO wird es auch für die Umsetzung der ePrivacy-Verordnung nach Inkrafttreten eine Umsetzungszeit von zwei Jahren geben.

Relevante Regelungen – weshalb sich Anbieter auch jetzt schon damit auseinandersetzen müssen

Die ePrivacy-Verordnung wird für die tägliche Praxis einige Veränderungen mit sich bringen. Die Datenverarbeitung im Rahmen des Online-Auftritts wird neu evaluiert werden müssen. Ein Einsatz von Tracking-Technologien für die eigene Webseite oder Werbemaßnahmen (z.B. re-targeting) wird komplexer gestaltet. Dies zeigt sich beispielhaft am vorgesehen Art. 8 der Verordnung.

Die Erhebung und Verarbeitung von Daten des Nutzers bzw. des genutzten Endgeräts, die nicht vom Endnutzer selbst vorgenommen wurde, wird zukünftig untersagt, sofern nicht eine der Ausnahmen Anwendung finden (sog. „Verbot mit Erlaubnisvorbehalt – Art. 8 Abs. 1 des Entwurfs der Kommission). Als mögliche Ausnahmen sind hierbei geregelt

  • die Einwilligung des Endnutzers,
  • die Verarbeitung ist ausschließlich für die Durchführung des elektronischen Kommunikationsvorgangs über ein elektronisches Netz erforderlich,
  • die Datenverarbeitung ist für die Konnektivität des Dienstes erforderlich oder
  • die Datenverarbeitung ist für die Messung des Webpublikums erforderlich, sofern die Messung vom Betreiber des Dienstes durchgeführt wird.

Eine mögliche Einwilligung richtet sich dabei nach den Anforderungen der DSGVO. Hervorzuheben ist das Fehlen einer Widerspruchslösung (opt-out), sodass – wenn keine der anderen Ausnahmen Anwendung finden kann – zwingend die Einwilligung einzuholen sein wird. Für das Betreiben von Trackingmaßnahmen, insbesondere für erforderliche Werbemaßnahmen, ist diese Tatsache eine große Herausforderung. Daran ändert zunächst auch die Möglichkeit, die Einwilligung mittels geeigneter Browservoreinstellung einzuholen (Art. 9 Abs. 2 des Entwurfs) erst einmal nicht viel, denn wie genau eine solche Voreinstellung auszusehen hat, wird sich erst nach einigen Jahren herausarbeiten. Für die erfolgreiche Durchführung einer Messung, auch des eigenen Online-Auftritts, ist die Verwendung einer effektiven Technologie jedoch kurzfristig unerlässlich.

Ausblick

Unabhängig vom Zeithorizont lässt sich festhalten: Die ePrivacy-Verordnung wird den Umgang mit der Datenverarbeitung erheblich verändern. Es werden sich neue Technologien bilden müssen, die es dem verantwortlichen Betreiber weiterhin ermöglichen, seine Maßnahmen auf effektive Weise nachvollziehen zu können, ohne das erforderliche Datenschutzniveau herabzusetzen. Diese Abwägung der bestehenden Interessen erscheint schwierig. Sie ist aber lösbar.

Guter Datenschutz schließt den Einsatz bestimmter Technologien (z.B. zum Tracking) nicht aus.

Gerne beraten wir Sie bei der Entwicklung und Implementierung entsprechender Maßnahmen. Eine rechtzeitige Vorbereitung verschafft Ihnen dabei einen Vorteil! Sprechen Sie uns gerne an.

Den aktuellen Entwurf der Kommission zur ePrivacy-Verordnung finden Sie hier: http://ec.europa.eu/newsroom/dae/document.cfm?doc_id=42678