E-Privacy-Verordnung

Am 10. Januar 2017 hat die EU-Kommission den offiziellen Entwurf der neuen E-Privacy-Verordnung veröffentlicht. Diese wird wohl ab 25. Mai 2018 zusammen mit der EU-Datenschutz-Grundverordnung (DSGVO) in Kraft treten und die bisherige E-Privacy-Richtlinie (RL 2002/58/EG) und die sogenannte Cookie-Richtlinie (RL 2009/136/EG) ablösen. Die Verordnung gilt in der gesamten EU unmittelbar und verbindlich, ausserdem für Unternehmen, die aus dem Nicht-EU-Ausland Daten in der EU erheben (etwa per Cookies oder Tracking). Von den Neuregelungen betroffen sind nicht nur alle Anbieter elektronischer Kommunikationsdienste, sondern auch Over-the-top-Anbieter wie Facebook, Skype oder WhatsApp.

Die Neuregelung verschärft aus deutscher Sicht unter anderem die Anforderungen an die Verwendung von Cookies. Reichte bislang mehr oder weniger ein Opt-out von Cookies, muss künftig der Nutzer ausdrücklich in die Verwendung einwilligen. Ausnahmen sollen nur gelten, wenn ein Eingriff in die Privatsphäre des Users nicht oder nur in geringfügigem Mass zu befürchten ist. Dies soll etwa bei Cookies der Fall sein, die für die Nutzung eines ausdrücklich verlangten technischen Dienstes zwingend notwendig sind (zum Beispiel Speichern von Waren im Warenkorb). Die Einwilligung bedarf keiner bestimmten Form, muss jedoch nachweisbar dokumentiert und jederzeit durch den Nutzer widerrufbar sein.

Zwar hebt die Kommission in diesem Zusammenhang die Schlüsselrolle des Browsers und dort getroffener Voreinstellungen hervor. Da die DSGVO jedoch vorsieht, dass die Einwilligung frei, spezifisch (für welches Cookie konkret) und informiert erfolgen muss, kann allein eine allgemeine Browsereinstellung nicht die Lösung sein. Ebenso genügen die bisher von vielen Unternehmen implementierten Cookie-Banner nicht mehr, um einen rechtmässigen Einsatz zu gewährleisten.

Aufgrund der uneinheitlichen Rechtslage in der EU war eine Neuregelung in diesem Bereich zwar notwendig, die Umsetzung durch die EU-Kommission wird jedoch von zahlreichen EU-Datenschützern bemängelt, da sie zu eng geraten sei und hinter der allgemeinen Datenschutzverordnung zurückbleibe. Für Unternehmen besteht dennoch dringender Handlungsbedarf, gerade mit Blick auf die potenziellen Bussgelder (bis zu 20 Millionen Euro beziehungsweise vier Prozent des globalen Jahresumsatzes des vorangegangenen Geschäftsjahrs).