E-Privacy-Verordnung: Die große Ratlosigkeit beim Nutzertracking
Die Einigung über die geplante E-Privacy-Verordnung in der EU könnte sich um weitere Jahre verzögern. Nachdem die EU-Mitgliedstaaten in der vergangenen Woche einen Kompromissvorschlag der finnischen EU-Ratspräsidentschaft abgelehnt haben, ist unklar, ob im kommenden Jahr unter den Ratspräsidentschaften Kroatiens und Deutschlands eine gemeinsame Position gefunden werden kann. Auch ein völliges Scheitern der Pläne steht nun im Raum. Daher bleibt auf absehbare Zeit unklar, wie Webseitenbetreiber mit den Daten ihrer Nutzer umgehen dürfen und welche Einwilligungen sie dazu einholen müssen.
Das Problem: Während manche Staaten die Datenschutzvorgaben in dem Vorschlag als zu weitgehend ablehnten, hielten andere den Schutz der Nutzer vor Tracking für zu stark aufgeweicht. Es scheint sehr schwierig zu sein, diese entgegengesetzten Positionen auf einen gemeinsamen Nenner zu bringen. Daher votierten in der vergangenen Woche(öffnet im neuen Fenster) in einem Treffen auf Expertenebene (Coreper) von den 27 EU-Mitgliedstaaten 14 gegen den finnischen Vorschlag. Es gab neun Ja-Stimmen und eine Enthaltung. Drei Staaten äußerten sich überhaupt nicht. Deutschland soll ebenfalls mit Nein gestimmt haben.
Intention der Verordnung schon aufgeweicht
Der Kompromissvorschlag Finnlands hatte die ursprüngliche Intention der Verordnung schon stark abgeschwächt. So sollten Webseitenbetreiber, die ihr Angebot vor allem über Online-Werbung finanzieren, die Daten von Nutzern ohne deren explizite Zustimmung verarbeiten dürfen. Zudem sollen Provider die Metadaten ihrer Nutzer unter bestimmten Bedingungen auch für Zwecke verwenden dürfen, für die sie nicht ursprünglich erhoben wurden.
Zwar hätte es nach einem erfolgreichen Votum noch einige Zeit gedauert, bis die Verordnung nach den Trilogverhandlungen mit EU-Kommission und Europaparlament tatsächlich beschlossen und in Kraft getreten wäre. Dennoch zeigen sich mehrere Datenschutzexperten nun ratlos, wie Anbieter angesichts der aktuellen Rechtslage mit Nutzertracking und Einwilligungen umgehen sollen. Denn neben der 2018 in Kraft getretenen EU-Datenschutzgrundverordnung (DSGVO) gilt eigentlich noch die Cookie-Richtlinie von 2002, die aber in Deutschland nie richtig umgesetzt wurde.
Gerichtliche Klärung erforderlich
So schreibt der Jurist Nicolas Hermann auf Datenschutzbeauftragter-info.de(öffnet im neuen Fenster): "So gerne Berater wie Anwälte derzeit eine konkrete Handlungsempfehlung geben würden: Eine seriöse und belastbare Antwort auf die Frage 'Was nun?' gibt es derzeit nicht." Der Rechtsanwalt Olaf Koglin vom Axel-Springer-Verlag ist der Ansicht(öffnet im neuen Fenster): "Was ist nun wahr? Die einzig seriöse anwaltliche Auskunft ist: Das weiß man nicht. Man kann es nie ganz richtig, aber auch nie vollkommen falsch machen."
Zwar haben die deutschen Datenschutzbehörden inzwischen dargelegt, wie ihrer Ansicht nach ein DSGVO-konformes Nutzertracking gestaltet werden könnte. Doch für Hermann sind diese Vorschläge lediglich "Ansichten". Ob diese richtig oder falsch seien, "wird sich vorerst nur gerichtlich klären lassen". Selbst der Einsatz sogenannter Consent-Manager sei nicht immer eine sichere Lösung, denn Anbieter müssten damit rechnen", dass die damit eingeholten Einwilligungen nach den Anforderungen der Aufsichtsbehörden aufgrund fehlender Transparenz wohl zumindest angreifbar, wenn nicht gar unwirksam sein dürften".
Einsatz von Tracking-Tools überdenken
Auch Koglin weist darauf hin: "Wer auf Einwilligungen setzt, muss sich bewusst sein, dass diese nach den Anforderungen der Aufsichtsbehörden praktisch immer unwirksam sind." Das hatte zumindest eine im September 2019 veröffentlichte Studie der Ruhr-Universität Bochum ergeben. Allerdings bedeutet das nicht, dass es überhaupt nicht möglich wäre, DSGVO-konforme Einwilligungen nach den Vorgaben der deutschen Datenschutzbehörden einzuholen. Sie müssten vor allem differenzierter sein als ein einfaches Banner, mit dem sämtliche Cookies akzeptiert werden.
Hermann gibt den Verantwortlichen den Tipp, "den Einsatz von Tracking-Mechaniken und Cookies auf der eigenen Website zumindest zu durchdenken". So sollte analysiert werden, welche Relevanz das Tracking für den Betrieb der Webseite habe. "Oftmals werden Tracking-Lösungen genutzt, aber überhaupt nicht ausgewertet", sagt Hermann.
Netzaktivisten bedauern Entscheidung
Nach dem vorläufigen Scheitern einer europaweiten Einigung hängt nun viel davon ab, wie die nationalen Aufsichtsbehörden auf Basis der DSGVO und der alten Cookie-Richtlinie das Nutzertracking beurteilen. Sollten Anbieter deren Vorgaben ablehnen – wovon auszugehen ist-, müssen am Ende die Gerichte über die richtige Umsetzung des EU-Rechts entscheiden. Dabei sollte möglichst schnell der Europäische Gerichtshof (EuGH) angerufen werden, um die Fragen höchstrichterlich zu klären.
Auch wenn der Ausgang dieser Verfahren offen ist und durchaus den Datenschutz der Nutzer stärken könnte, bedauern Netzaktivisten die Entscheidung vom vergangenen Freitag. Damit habe der Ministerrat eine Haltung eingenommen, "um die Interessen von Online-Tracking-Werbetreibenden zu schützen und die Dominanz von Big Tech sicherzustellen", sagte Diego Naranjo von European Digital Rights(öffnet im neuen Fenster) (EDRi). Er forderte die EU-Kommission auf, den Bürgern zur Seite zu stehen, "indem sie den Vorschlag verteidigt und den Rat auffordert, bis 2020 einen stark überarbeiteten Text vorzulegen".
Kann Deutschland einen Kompromiss finden?
Die Datenschutzorganisation Access Now befürchtet gar(öffnet im neuen Fenster): "Dieses Votum könnte einen monatelangen Stillstand für die E-Privacy-Reform bedeuten, die sogar von der EU-Kommission komplett zurückgezogen werden könnte."
Am ehesten wird noch der deutschen Ratspräsidentschaft im zweiten Halbjahr 2020 zugetraut, Bewegung in die festgefahrenen Verhandlungen zu bringen. Sollte es aber in gut einem Jahr endlich eine gemeinsame Verhandlungsposition der EU-Mitgliedstaaten geben, dürfte es noch einige weitere Jahre dauern, bis die Reform dann in Kraft getreten ist. Während Hermann erst im Jahr 2023 mit einer Endfassung der Verordnung rechnet, hält Koglin es immerhin für möglich, dass sie schon 2023 in Kraft tritt. Vorausgesetzt, die EU-Mitgliedstaaten können sich in den Trilogverhandlungen überhaupt auf einen gemeinsamen Text mit Kommission und Parlament einigen.
Mitgliedstaaten wollten weiter verhandeln
Angesichts der aktuellen Vorlage ist das jedoch nicht ausgemacht. Denn nach Einschätzung von Access Now haben die EU-Mitgliedstaaten aus der Verordnung, die die Rechte der Nutzer im Internet stärken sollte, ein "Überwachungswerkzeug" gemacht. Die Abstimmung vom 22. November 2019 sollte dennoch kein Signal sein, dass eine Reform überhaupt nicht möglich sei. "Stattdessen müssen die Staaten an den Verhandlungstisch zurückkehren und das liefern, was den EU-Bürgern versprochen wurde: einen stärkeren Schutz der Privatsphäre", fordert die Organisation.
Zumindest der erste Punkt der Forderung dürfte erfüllt werden. Die Mitgliedstaaten hätten sich "fast einstimmig" für eine Weiterarbeit an der Verordnung auf Basis des finnischen Vorschlags ausgesprochen, twitterte eine Vertreterin Finnlands(öffnet im neuen Fenster) nach der gescheiterten Abstimmung. Sie wünschte Kroatien schon einmal "viel Glück" mit diesem Thema.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.