Rechtsunsicherheit bei Cookies: EU warnt vor Verzögerung von ePrivacy-Verordnung
Die geplante EU-Verordnung zum Schutz von Nutzern vor ungewolltem Tracking tritt vermutlich anderthalb Jahre später in Kraft als geplant. Das Bundeswirtschaftsministerium teilte auf Anfrage von Golem.de mit, dass sich die EU-Mitgliedstaaten wohl erst im Frühjahr auf eine Verhandlungsposition zur sogenannten ePrivacy-Verordnung einigen werden. Nach Abschluss der sogenannten Trilog-Verhandlungen im Laufe des kommenden Jahres und einer möglichen Übergangsfrist von zwölf Monaten müsste die Verordnung dann erst Ende 2019 angewendet werden.
Ursprünglich war geplant, dass die ePrivacy-Verordnung zusammen mit der Datenschutzgrundverordnung im Mai 2018 in Kraft tritt. Das Europaparlament beschloss Ende Oktober 2017 seine Verhandlungsposition. Diese ist deutlich nutzerfreundlicher als der Entwurf, der im Januar dieses Jahres von der EU-Kommission vorgelegt worden war. Doch der sogenannte Ministerrat, in dem die 28 Mitgliedstaaten vertreten sind, verhandelt noch über eine gemeinsame Position für den Trilog. Unter der aktuellen estnischen Ratspräsidentschaft wird dies bis Ende des Jahres nicht mehr gelingen.
Schärfere Regeln statt ePrivacy-Vorgaben
Obwohl gerade aus der IT-Wirtschaft derzeit viel Widerstand gegen die Pläne kommt, könnte eine weitere Verzögerung oder gar Blockade gerade für Unternehmen zu einem Problem werden. Davor warnen zumindest der Kabinettschef von EU-Kommissionspräsident Jean-Claude Juncker, Martin Selmayr, sowie der Europaabgeordnete und Datenschutzexperte Jan Philipp Albrecht (Grüne). Auf einer Veranstaltung der Europäischen Akademie für Informationsfreiheit und Datenschutz (EAID) am Donnerstag in Berlin sagte Selmayr: "Dann gilt erstmal überall die Datenschutzgrundverordnung. Für diejenigen, die irgendwelche speziellen Regelungen aus industriepolitischen Gründen sich wünschen oder aus bürgerrechtlichen Gründen sich erhoffen, ist das schlecht."
Nach Ansicht Selmayrs trifft dies vor allem für Deutschland zu, da hier die ePrivacy-Richtlinie der EU nicht korrekt umgesetzt worden sei und daher in der Übergangsphase nicht angewandt werden dürfe. "Das wäre für die Rechtssicherheit wahrscheinlich nicht der beste Zustand", sagte Selmayr. Er verwies zudem darauf, dass in bestimmten Bereichen die ePrivacy-Verordnung nicht immer der Datenschutzgrundverordnung vorgehen werde. Dies treffe nur dann zu, wenn beide das gleiche Ziel verfolgten.
Verlage sehen Geschäftsmodell gefährdet
Nach Ansicht der Verlegerverbände BDZV und VDZ können die Pläne "dramatische Auswirkungen auf die Finanzierung von professionellem Journalismus in der digitalen Welt" haben. Die vom Parlament gewünschten Regelungen gefährdeten die Datenverarbeitung unter Verwendung von Cookies und ähnlichen Techniken für viele Zwecke wie "Messung der Nutzungen und Nutzungsabläufe zwecks Anpassung des Angebots, Reichweitenmessung, Datenerhebung für Bezahlangebote, Kundenkommunikation und Werbung, Datenspeicherung für den Zweck der Betrugsprävention und der Sicherung der Integrität der Dienste".
Inwieweit dies tatsächlich zutrifft, ist aber unklar. So schränkt der vom Europaparlament beschlossene Entwurf(öffnet im neuen Fenster) in Artikel 8 die Möglichkeiten zur Setzung von Cookies und anderen Trackingtools ohne Nutzerzustimmung ein. Allerdings sind beispielsweise Reichweitenmessungen weiterhin erlaubt, unter anderem durch Provider, in deren Auftrag oder durch Webanalyse-Agenturen in öffentlichem Interesse oder für wissenschaftliche Zwecke.
Tracking durch Drittanbieter wird verboten
Zudem werden in Erwägungsgrund 21 der Verordnung ausdrücklich Ausnahmen genannt, die Cookies ohne Zustimmung erlauben, beispielsweise für das Ausfüllen von Formularen. Darüber hinaus heißt es: "Solche Verfahren können, sofern sie mit geeigneten Datenschutzvorkehrungen einhergehen, auch ein legitimes und nützliches Hilfsmittel sein, um beispielsweise den Webdatenverkehr zu einer Webseite zu messen."
Einem Bericht des Fachmagazins Werben & Verkaufen zufolge(öffnet im neuen Fenster) behauptet hingegen die AGOF-Geschäftsführerin Claudia Dubrau: "Sollte die ePrivacy-Verordnung in der jetzigen Form Realität werden, wird der gesamte digitale Markt nachhaltig geschädigt werden – auch etablierte und unabhängige Forschung wie die der AGOF und damit die digitale Währung an sich."
Verlage sehen Vorteile für Google und Facebook
Allerdings trifft es zu, dass das webseitenübergreifende Tracking durch Drittanbieter erschwert werden soll. So heißt es in Erwägungsgrund 23: "Deshalb müssen Anbieter von Software, die elektronische Kommunikation ermöglicht (wie etwa Browser, Betriebssysteme und Kommunikationsanwendungen) (...), so konfigurieren, dass die Privatsphäre in der Voreinstellung geschützt ist und dass die domänenübergreifende Verfolgung und Speicherung von Daten auf der Endeinrichtung durch Dritte in der Voreinstellung untersagt ist. Zudem sind die Anbieter dieser Software verpflichtet, ausreichend detaillierte Einstellungsmöglichkeiten bereitzustellen, damit für jede einzelne Zweckkategorie die Einwilligung erteilt werden kann."
Doch genau davor fürchten sich verschiedene europäische Medien und warnen, dass US-Konzerne wie Google oder Facebook dadurch bevorzugt würden. Es könne "unglaublich schwierig" werden, die Browser-Einstellungen für einzelne Angebote zu ändern und Cookies zuzulassen, hieß es in einem offenen Brief vom Mai dieses Jahres(öffnet im neuen Fenster). Es sei Medien damit unmöglich, Lesern personalisierte Inhalte und Marketing oder relevante Werbung anzubieten.
Selmayr: Keine Angst vor der Einwilligung
Selmayr versuchte die Kritik der Medien dadurch zu erklären, dass es diesen gerade in Deutschland durch intensive Lobbyarbeit gelungen sei, viele Ausnahmeregelungen im Datenschutz durchzusetzen. Diese seien nun durch die EU-Verordnungen gefährdet, obwohl auf der anderen Seite das gewünschte Ziel erreicht worden sei, den großen IT-Konzernen die gleichen Standards aufzuerlegen. "Habt doch keine Angst vor der Einwilligung", sagte Selmayr und fügte hinzu: "Niemand hindert euch daran, auch noch mal zielgerichtete Werbung zu schicken. Ihr müsst nur einmal noch mal fragen." Wenn europäische Unternehmen das vertrauensvoll machten, hätten sie sogar einen Wettbewerbsvorteil gegenüber solchen, die dies mit missbräuchlichen Praktiken versuchten. Allerdings ist eigentlich das Ziel der ePrivacy-Verordnung gewesen, eine Datenverarbeitung ohne ständige Einwilligungen der Nutzer zu ermöglichen.
Die Deutsche Telekom findet zumindest gut, dass die beiden Verordnungen nun viele inhaltliche Themen europaweit klar regelten. Ebenfalls sei zu begrüßen, dass sogenannte Over-the-Top-Anbieter wie Whatsapp oder Skype nun ebenfalls die Vorgaben erfüllen müssten, sagte der Datenschutzbeauftragte des Unternehmens, Claus-Dieter Ulmer, auf der EAID-Diskussion.
Telekom fordert gleiche Regeln für Standortdaten
Allerdings würden für gleiche Daten nicht immer die gleichen Regeln gelten, sagte Ulmer. Ein Beispiel seien die von Firmen wie Google erhobenen GPS-Daten der Android-Nutzer, die anders als die Standortdaten der Provider nicht von der Datenschutzgrundverordnung betroffen seien. "Das halte ich für abstrus", sagte Ulmer und verwies auf die in dieser Woche bekanntgewordene Praxis von Google, sogar ohne GPS eine genaue Standortangabe der Nutzer zu erhalten.
Zudem stört sich die Telekom daran, dass nach der ePrivacy-Verordnung eine Weiterverarbeitung von Daten nur anonym oder mit Zustimmung des Nutzers möglich ist. Die Datenschutzgrundverordnung biete hingegen mehr Möglichkeiten, je nach Interessenabwägung zwischen Nutzer und Anbieter. Laut Ulmer ist jedoch nicht möglich, immer nur mit anonymen Daten zu arbeiten, um bestimmte Abläufe nachvollziehen zu können. Zudem sei gerade für große Unternehmen wie die Telekom eine Übergangsfrist von einem Jahr sinnvoll, um die Prozesse umstellen zu können.
"Unternehmen haben Hosen gestrichen voll"
Der Grünen-Politiker Albrecht appellierte an alle Beteiligten, die Verhandlungen "sehr ernst zu nehmen". Sollte es bis Mai 2018 nicht zu einer Einigung zwischen Parlament und Mitgliedsstaaten kommen, werde dies "erhebliche Konsequenzen" und eine "große Rechtsunsicherheit" zur Folge haben. Sollte die Datenschutzgrundverordnung dann anstelle der ePrivacy-Richtlinie angewendet werden müssen, stürze das "viele Verarbeiter in eine völlig andere Situation".
Was besonders problematisch ist: Von Mai 2018 gelten dann die hohen Bußgelder für Datenschutzverstöße, die vier Prozent des Gesamtumsatzes betragen können. Nach Ansicht Ulmers haben die betroffenen Unternehmen angesichts der hohen Sanktionsdrohungen "die Hosen gestrichen voll". Diese Drohung habe "einen unheimlichen Motivationscharakter". Daher könne man davon ausgehen, dass in Zukunft mehr Unternehmen die Datenschutzanforderungen erfüllten.
Verordnung kommt auf jeden Fall
Die Möglichkeit, dass die ePrivacy-Verordnung am Ende ganz scheitern wird, schloss Selmayr am Donnerstag aus. "Vielleicht ein bisschen später, vielleicht etwas früher, aber sie wird in Kraft treten." Dafür gebe es Mehrheiten im Parlament und in den Mitgliedsstaaten. Von einer Verzögerung würden weder Verbraucher noch Firmen profitieren, weil dann verschiedene Regelungen nebeneinander gelten würden, von denen sich am Ende die Datenschutzgrundverordnung durchsetzen werde. Zudem seien viele Inhalte der ePrivacy-Verordnung durchaus wirtschaftsfreundlich. Diese Botschaft scheint in der deutschen Wirtschaft jedoch noch nicht angekommen zu sein.
Nachtrag vom 24. November 2017, 18:03 Uhr
Die AGOF teilte auf Anfrage von Golem.de mit, dass aus Artikel 8 der geplanten Verordnung nicht eindeutig hervorgehe, was eine Webanalyse-Agentur sei und wann diese im öffentlichen Interesse handele. Hier müsse klar festgestellt werden, dass Marktforschung im öffentlichen Interesse erfolge und damit von der Ausnahmeregelung umfasst sei.
Mit Blick auf das Tracking durch Drittanbieter hält es die AGOF für unrealistisch zu glauben, dass ein Nutzer "die Notwendigkeit einer Reichweitenmessung für den gesamten Online-Markt überblicken wird". Es sei vielmehr davon auszugehen, dass der Nutzer einer ersten Intuition folgend alle Drittanbieter sperren werde. Damit würde diese Standardeinstellung die Privilegierung aus Artikel 8 ins Leere laufen lassen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.