Aktuelle Situation: Wann kommt die ePrivacy-Verordnung?
Dass die ePrivacy-Verordnung kommt, daran besteht kein Zweifel – ebenso wie an der Tatsache, dass sie den Online-Werbemarkt gravierend verändert: Da es zukünftig nicht mehr erlaubt ist, Daten ohne Opt-in zu sammeln, wird es noch schwieriger, die eigene Zielgruppe zu definieren und digital zu erreichen.
28. März 2018
Mit der ePrivacy-Verordnung (ePVO) ist der Schutz personenbezogener Daten in der elektronischen Kommunikationzuregeln. Das hat wesentliche Änderungen für die Internet-Branche zur Folge: Wer zukünftig Cookies setzen will, um detaillierte Nutzerprofile zu erstellen, braucht nach dem vom Rat der Europäischen Union vorgelegten und diskutierten Entwurf zukünftig das ausdrückliche Einverständnis des Nutzers, sofern das Cookie nicht zwingend technisch notwendig ist, um den angefragten Service bereitzustellen. Nach den aktuellen Entwürfen wird es Unternehmen nicht mehr erlaubt sein, Daten von oder über ein Endgerät ohne Opt-ins für kommerzielle Zwecke zu erheben, zu speichern und zu verarbeiten.
Auch nicht-personenbezogene und Metadaten sind betroffen
Dabei umfasst die ePVO auch den Umgang mit nicht-personenbezogenen Informationen und Metadaten. Unternehmen dürfen sie nicht mehr ohne Einwilligung erheben und verarbeiten, sofern dies nicht notwendig ist, um die vom Nutzer angefragten Dienste unmittelbar zu erfüllen. Zudem erwägt man, auch die Machine-to-Machine-Kommunikation zu regeln, auch wenn dabei Menschen außen vor sind.
Zeitplan lässt sich nicht einhalten
Aufgrund etlicher inhaltlicher Unklarheiten wird es kaum möglich sein, den ambitionierten Zeitplan einzuhalten. Ursprünglich sollte die ePrivacy-Verordnung gemeinsam mit der Datenschutzgrundverordnung (DSGVO) in Kraft treten. Die aktuelle Prognose, die ePVO werde frühestens Ende 2018, eher Anfang 2019 oder noch später in Kraft treten, ist deshalb realistisch. Doch was passiert, wenn die ePVO nicht am 25. Mai 2018 in Kraft tritt? Gilt ausschließlich die DSGVO? Oder gilt das Telemediengesetz (TMG) weiterhin? Diese Unterscheidung ist wichtig. Je nachdem, welches Gesetz Anwendung findet, braucht es eine Einwilligung für die Datenerhebung und -speicherung – oder vielleicht nicht. Im Falle des TMG würden eine Information und ein Opt-out genügen, mit der DSGVO hingegen bräuchte es, abhängig vom Umfang der Datenverarbeitung, eventuell sogar zusätzlich ein vorheriges ausdrückliches Opt-in.
Ist das deutsche Telemediengesetz europarechtswidrig?
„Man könnte sogar die These aufstellen, das deutsche Telemediengesetz sei europarechtswidrig, weil es die Cookie-Richtlinie nicht komplett umsetzt“ erklärt Dr. Jana Moser, Juristin und Expertin für Digitalisierung und Datenschutz. „Anders als die Cookie-Richtlinie 2009/136/EG sieht das TMG nur ein Opt-out vor. In fast allen anderen EU-Mitgliedsstaaten gilt das Opt-in-Prinzip.“ Sollte es erforderlich sein, wegen der DSGVO nicht nur das Bundesdatenschutzgesetz (BDSG), sondern auch weitere nationale Datenschutzvorschriften anzupassen, könnte auch eine Änderung des TMG nötig sein. Dann ließe sich die EU-Cookie-Richtlinie mit der Notwendigkeit eines Opt-ins richtig umsetzen. Dass eine Einwilligung aufgrund der Cookie-Richtlinie erforderlich und deshalb das TMG anzupassen ist, entspricht den Auffassungen der deutschen Datenschutzaufsichtsbehörden, die sich hierzu bereits im November 2010 im Rahmen des Düsseldorfer Kreises geäußert haben. Sollte es bis zum Erlass der ePVO nicht dazu kommen, ist für Moser die wahrscheinlichste Option: „Die Cookie-Richtlinie und die ePrivacy-Richtlinie gelten erst einmal fort. Gleiches gilt für das TMG, sofern es nicht geändert wird. Allerdings ist davon auszugehen, dass man das aktuelle Recht in Deutschland EU-konform auslegen wird. Dann wäre ein vorheriges Opt-in die Voraussetzung für ein seiten- und plattformübergreifendes Tracking.“
Änderungen jetzt in Angriff nehmen
Ganz egal, welches nationale Gesetz oder welche europäische Verordnung ab Ende Mai gilt: Werbetreibende sind gut beraten, die nötigen Maßnahmen jetzt einzuleiten. Ist das noch nicht geschehen, gilt es keine weitere Zeit zu verlieren. „Für ein seitenübergreifendes Tracking und die Auswertung der so erhobenen personenbezogenen Daten brauchen Werbetreibende zukünftig ein rechtssicheres Opt-in“, fährt Moser fort. Um das sicherzustellen, empfiehlt es sich, das jeweilige Geschäftsmodell anzupassen, etwa indem Websitebetreiber für jegliche Aktivitäten immer eine Registrierung mit freiwilliger Einwilligung anbieten, die sie gegebenenfalls inzentivieren. In der Praxis werde das jedoch vielen Unternehmen alleine nicht gelingen, erklärt Moser. Dennoch kommen sie am Opt-in nicht vorbei. „Da schon jetzt viele Unternehmen eine aktive Einwilligung für Tracking und ähnliche Datenverarbeitungen einholen, fallen diejenigen, die es nicht tun, schnell negativ auf. Damit wird das Opt-in für Tracking auch ohne gültige ePrivacy-Verordnung faktisch zum Marktstandard.“
