E-Privacy Verordnung
Eine endgültige Fassung der Verordnung soll 2019 fertiggestellt werden. Im Jahr 2020 kann sie dann frühestens in Kraft treten und 2022 zur Anwendung kommen. Durch Verhandlungen der Verordnung mit der EU-Kommission und dem EU-Parlament sind jedoch Verzögerungen möglich. Gemäß des derzeitigen Entwurfs liegt die Hauptaufgabe darin: "(…) das Vertrauen in digitale Dienste und deren Sicherheit zu erhöhen".1 Um das zu erreichen, wird die Verordnung die DSGVO gerade im Bereich der internetbasierten Kommunikationsdienste (VOIP, Instant-Messaging, E-Mail) spezifizieren und besondere Auswirkungen auf Website-Cookies haben. Hier erfahrt ihr, was sich in der Digitalwirtschaft durch die Verordnung ändern wird.
Hinweis: Bei allen Bezeichnungen, die auf Personen bezogen sind (wie z. B. Nutzer), meint die gewählte Formulierung beide Geschlechter, auch wenn hier aus Gründen der Erhaltung der im Gesetzestext verwendeten Begriffe, das generische Maskulinum Verwendung findet.
Nicht viel Neues bei den Anforderungen für die werbliche Ansprache
Die Regelungen zur werblichen Ansprache gelten für alle werblichen Kontaktaufnahmen von Unternehmen mit Verbrauchern durch elektronische Kommunikationsmittel (Telefon, E-Mail, Messengerdienste). Hier ändert sich für deutsche Unternehmen zunächst wenig. Das UWG (Gesetz gegen den unlauteren Wettbewerb) deckt den Großteil der in Europa vereinheitlichten Gesetzgebung schon jetzt ab. Änderungen sind nur im Detail zu erwarten.
Was ist in Zukunft bei Cookies zu beachten?
Wirklich interessant wird die E-Privacy-Verordnung bei den Cookies. Die zu erwartenden Änderungen beinhalten nicht nur zusätzliche Auflagen für Unternehmen, sondern bieten auch die Chance eines noch sicheren Internets für die Nutzer*innen. So könnte sich die allgemeine Diskussion um Cookie-Banner dadurch erübrigen, dass eine Voreinstellung der zu akzeptierenden Cookies bereits im Browser vorgenommen wird. Kritischer zu betrachten ist die vorgesehene Regulierung von Cookies: Seitenbetreiber dürften mit Inkrafttreten der Verordnung Cookies nur dann ungefragt verwenden, wenn diese für wichtige Funktionen der Website notwendig sind. Die aktuelle Lösung, die Cookies mit Opt-out-Funktion zu deaktivieren (über ein Banner wird derzeit auf die Datenschutzerklärung verwiesen), wird dann unzulässig. Auf vielen amerikanischen Seiten sind Cookie-Banner schon jetzt etabliert. Erst nach Auswahl der akzeptierten Cookies ist der Zutritt zur Seite möglich. In Zukunft müssten Nutzern dann auch bei uns – vor dem tatsächlichen Besuch der Webseite – eine Möglichkeit zum Widerspruch gegen die Datenverarbeitung durch Cookies angezeigt werden. Es sei denn, im Browser wäre dies schon durch die Grundeinstellung erledigt.
In den Artikeln 8 Absatz 1 und Absatz 2 wird der Schutz der Daten von Nutzern durch die Endnutzer (das verarbeitende Unternehmen) geregelt. Absatz 1 regelt hier, dass grundsätzlich keine Datenerhebung durch "Endeinrichtungen" (wie Telefon und Fax) oder sonstige Geräte, die dazu geeignet sind Information zu erheben, zulässig sind. Hierbei ist auch noch einmal ein besonderes Augenmerk auf den Begriff "Informationen" zu richten, da dieser sich von den in der DSGVO genutzten "Daten" unterscheidet. Unter Informationen werden voraussichtlich jegliche Informationen und nicht nur Daten mit Personenbezug (die durch die DSGVO geschützt werden) verstanden.
Hierfür liegen aktuell gemäß des Gesetzesentwurfes folgende Ausnahmetatbestände vor:
a) Die Information ist für den alleinigen Zweck der Durchführung eines elektronischen
Kommunikationsvorgangs über ein elektronisches Kommunikationsnetz nötig
oder
b) der Endnutzer hat seine Einwilligung gegeben oder
c) sie ist für die Bereitstellung eines vom Endnutzer gewünschten Dienstes der
Informationsgesellschaft nötig oder
d) sie ist für die Messung des Webpublikums nötig, sofern der Betreiber des vom
Endnutzer gewünschten Dienstes der Informationsgesellschaft diese Messung
durchführt.
Also kein Webtracking mehr?
Abmildernd ist hier aber anzumerken, dass nur Cookies, die die Privatsphäre der Nutzer*innen betreffen, nicht mehr automatisch gesetzt werden dürfen. Das Tracking wird teilweise unter diese Regelung fallen. So ist ein reines Auswerten von Besucherzahlen der Website aktuell nicht als Eingriff in die Privatsphäre zu werten. Zudem findet eine Privilegierung des Trackings durch Dienste wie Google Analytics oder Piwik PRO laut Art. 8 Abs. 1 lit. d des Entwurfes statt, wenn diese auf eigenen Webservern laufen. Um die Privilegierung hier noch einmal etwas zu verdeutlichen: Das verbreitete Analysetool Piwik PRO wird auf eigenen Servern betrieben. Dagegen wird das Tracking durch Analytics mit Abschluss eines Vertrages zur Auftragsverarbeitung – für den DSGVO konformen Einsatz von Google Analytics notwendig – nach aktuellem Stand wie auf eigenen Servern betrieben behandelt. Dennoch könnte eine grundsätzliche Deaktivierung dieser Tracking-Cookies durch eine Browser Voreinstellung stattfinden, was die digitale Werbewirtschaft vor große Herausforderungen stellen wird. Diese betreffen dann vor allem die Optimierung der Werbeaktivitäten und die so wichtige Auswertung und Nachvollziehbarkeit von Nutzerinteraktionen.
Fazit
Die Einführung der E-Privacy-Verordnung – zu welchem Zeitpunkt sie auch in Kraft treten mag – wird eine beträchtliche Auswirkung auf das Online-Marketing haben. Erst der finale Entwurf wird Klarheit darüber schaffen, wie die Änderungen im Tracking-Bereich genau aussehen. Die potenzielle Beseitigung von Cookie-Bannern würde aber eine willkommene Vereinfachung für Webseitenbetreiber und somit für die Nutzbarkeit von Websites darstellen. Wir halten euch in diesem Blog auf dem Laufenden und eure Websites selbstverständlich rechtlich immer auf dem aktuellen Stand. Zudem ist auf allen bei uns gehosteten Websites das inwendo Toolkit installiert, welches wir stetig um Funktionen erweitern, die den aktuellen rechtlichen Anforderungen entsprechen.
