E-Privacy-Verordnung: Medien sollen Tracking-Erlaubnis bekommen
Im jahrelangen Streit über einen besseren Tracking-Schutz für EU-Bürger könnte es zu harten Verhandlungen zwischen den EU-Mitgliedstaaten und dem Europaparlament kommen. Neuen Vorschlägen der finnischen Ratspräsidentschaft zufolge könnten die im Ministerrat vertretenen EU-Staaten die Pläne von EU-Kommission und Abgeordneten zur E-Privacy-Verordnung deutlich abschwächen. So heißt es in einem aktuellen Verhandlungsvorschlag (PDF(öffnet im neuen Fenster)), dass journalistische Angebote, die teilweise oder komplett durch Werbung finanziert sind, die Daten von Nutzern ohne deren explizite Zustimmung verarbeiten dürfen.
Die Verordnung hatte ursprünglich zum Ziel, den Umgang mit Cookies zu vereinfachen. Nach dem Willen des Europaparlaments sollte der Browser so voreingestellt sein, dass Tracking nur bei gewissen Ausnahmen wie zum Zweck der Reichweitenmessung zulässig ist. Damit Nutzer nicht zum Akzeptieren von Cookies gezwungen werden können, findet sich in einem eigenen Absatz 1a von Artikel 8 des Parlamentsentwurfs ein ausdrückliches Kopplungsverbot.
Ausnahme für journalistische Angebote
Da inzwischen Daten- und Verbraucherschützer verstärkt gegen Anbieter vorgehen, die Tools wie Google Analytics ohne Zustimmung der Nutzer verwenden, dürfte der Druck auf die EU-Staaten gestiegen sein, eine solche Praxis über den Weg der E-Privacy-Verordnung wieder zuzulassen. Denn Werbeindustrie und Medien befürchten, dass die Werbeeinnahmen drastisch sinken könnten, wenn die Nutzer nicht mehr getrackt werden wollen und es dadurch schwieriger wird, gezielte Werbung auf Basis des Surfverhaltens und anderer Daten ausspielen zu können.
Die finnische Ratspräsidentschaft schlägt daher eine besondere Ausnahme für Informationsdienste wie journalistische Angebote vor. Bei diesen könne "die Nutzung der Verarbeitungs- und Speichermöglichkeiten von Endgeräten und das Sammeln von Informationen von Endgeräten der Endnutzer erforderlich sein", wenn die Angebote "ganz oder überwiegend durch Werbung finanziert werden", heißt es nun in Erwägungsgrund 21. Voraussetzung dafür ist lediglich, dass der Nutzer "klare, präzise und benutzerfreundliche Informationen über die Zwecke von Cookies oder ähnlichen Techniken erhält und diese Verwendung akzeptiert". Ein entsprechender allgemeiner Vorschlag vom Juli 2019 (PDF(öffnet im neuen Fenster)) wurde damit noch einmal ergänzt.
Ganze Artikel gestrichen
Ein solches "Akzeptieren" wird nicht näher definiert und könnte beispielsweise durch einen einfachen OK-Button umgesetzt werden, wie er sich heute vielfach in Cookie-Bannern findet. Das unterscheidet sich von einer expliziten Zustimmung, wie sie derzeit von den deutschen Datenschutzbehörden auf Basis der EU-Datenschutzgrundverordnung (DSGVO) gefordert wird. Die Akzeptanz könnte möglicherweise schon dadurch vermutet werden, dass der Nutzer nach dem Hinweis weiter das Angebot nutzt. Der Europäische Gerichtshof (EuGH) hatte kürzlich auf Basis der bestehenden Cookie-Richtlinie eine solche Praxis für unzulässig erklärt.
Konsequent haben die Mitgliedstaaten in den vergangenen Jahren aus dem Vorschlag der EU-Kommission damit fast sämtliche Punkte eliminiert, die dem Nutzer ein möglichst einfaches Zustimmungsmanagement verschaffen sollen. So wird Artikel 10, der einen Do-not-track-Mechanismus gegenüber Drittanbietern bei Browsern vorschreibt, komplett gestrichen. Auch Artikel 9, der die rechtlichen Vorgaben für eine wirksame Zustimmung präzisiert, soll nach dem Willen der Mitgliedstaaten entfallen.
Mit weiteren Ergänzungen soll im Grunde das Gegenteil davon erreicht werden.
Ausdrückliche Erlaubnis für Drittanbieter
Während EU-Kommission und Parlament das Tracking durch Drittanbieter einschränken wollten, sehen die Mitgliedstaaten nun in Artikel 8 eine ausdrückliche Erlaubnis für Firmen wie Google oder Facebook vor. Demnach dürfen nicht nur die Anbieter selbst "ohne Zustimmung der Nutzer" Daten erheben, sofern das "für die Messung des Webpublikums nötig" ist. Dies soll künftig auch Drittanbietern möglich sein, wenn diese als Auftragsverarbeiter oder gemeinsam Verantwortliche die Daten für die Informationsdienste erheben.
Deutlich ergänzt wird in dem Vorschlag zudem der Artikel 6, der den Providern Vorgaben zur Nutzung von Metadaten und Kommunikationsinhalten macht. So sollen Provider die Metadaten unter bestimmten Bedingungen auch für Zwecke verwenden dürfen, für die sie nicht ursprünglich erhoben wurden. Allerdings sollen diese Daten nur in anonymisierter Form an Dritte weitergegeben werden dürfen. Zudem sollen Kunden die Möglichkeit haben, der Nutzung zu widersprechen. Die E-Privacy-Verordnung soll den Mitgliedstaaten die Möglichkeit offenlassen, für Ermittlungszwecke Daten auf Vorrat zu speichern (Erwägungsgrund 26).
Ausnahmen für IoT-Geräte
Ein neuer Artikel 6d macht zudem Vorgaben, unter welchen Bedingungen Provider die Inhaltsdaten ihrer Nutzer nach kinderpornografischem Material durchsuchen dürfen. Demnach ist Suche nur erlaubt, wenn es von dem Material Hash-Werte gibt und die Inhalte unmittelbar nach dem Vergleich gelöscht werden, wenn keine Übereinstimmung gefunden wurde.
Neue Formulierungen enthält der Vorschlag für Geräte aus dem Internet der Dinge (IoT). Hier war befürchtet worden(öffnet im neuen Fenster), dass die erforderliche Zustimmung für eine Datenverarbeitung die Nutzung von IoT-Geräten wie Sensoren, Thermostaten, Strommessern oder vernetzten Autos erschweren würde. So soll die Zustimmung nicht erforderlich sein, wenn die Datenverarbeitung für die Nutzung des Dienstes erforderlich ist (Erwägungsgrund 21 und 25).
Schwierige Verhandlungen zu erwarten
Netzpolitik.org berichtet(öffnet im neuen Fenster) unter Berufung auf Diplomaten mehrerer Mitgliedstaaten, dass eine Einigung kurz bevorstehe. Nach Angaben der finnischen Ratspräsidentschaft(öffnet im neuen Fenster) könnten auf einem Treffen auf Expertenebene (Coreper) in dieser Woche noch weitere Fragen geklärt werden. Die Ratsposition könnte laut Netzpolitik.org dann auf einem Ministerratstreffen am 3. Dezember formell beschlossen werden.
Dann könnten nach jahrelanger Verzögerung die sogenannten Trilog-Verhandlungen zwischen EU-Kommission, Parlament und Ministerrat beginnen. Sollte der aktuelle Vorschlag beschlossen werden, dürften die Verhandlungen schwierig werden. Allerdings ist unklar, ob und wie das neu gewählte Parlament und die teilweise neu besetzte Kommission zu ihren früheren Positionen stehen.
Nachtrag vom 19. November 2019, 10:39 Uhr
Wir haben im vierten Absatz ergänzt, dass schon in einem Vorschlag vom Juli 2019 die Webseitenanalyse für anzeigenbasierte Webseiten erwähnt wurde.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.