Die E-Privacy-Verordnung

Wer im Internet elektronisch kommuniziert, hinterlässt seine Daten und die werden von Online-Anbietern im großen Stil nachverfolgt, ausgewertet und genutzt, um Geld zu verdienen. Dass Daten im Allgemeinen enorm wertvoll sind, erleben wir immer wieder. Ob personalisierte Werbung und Affiliate Marketing, durch Dritthändler generierte Transferdaten auf Plattformen wie Amazon oder politische Kampagnen in Wahlkämpfen – wer die richtigen Daten hat, ist im Vorteil. 

Mit der E-Privacy-Verordnung (EPV) will die EU-Kommission die Privatsphäre von Internetnutzern bei der elektronischen Kommunikation schützen und erhöhen. Viele Nutzer sind sich gar nicht darüber im Klaren, wo sie getrackt werden, wer ihre Metadaten abgreift oder welche persönlichen Daten von Messengerdiensten behalten und ausgewertet werden. Cookies tracken oft ohne Zustimmungen der Nutzer oder sind Voraussetzung für die Nutzung bestimmter Inhalte. Als Ergänzung und Spezifizierung der Datenschutz-Grundverordnung (DSGVO), soll die neue Verordnung daher moderne Regeln für die Kommunikation über Messengerdienste oder E-Mail einführen und regeln, wie Cookies gesetzt werden dürfen.  

Dass ein neues Datenschutzgesetz immer Potenzial für Kontroverse sowie Konflikte zwischen Datenschützern und der Wirtschaft birgt, überrascht erst einmal nicht. Doch die E-Privacy-Verordnung hätte eigentlich am selben Tag wie die DSGVO in Kraft treten sollen – vor zwei Jahren, am 25. Mai 2018. Wegen der Uneinigkeit sieht es heute so aus, als könnte die EPV frühestens 2022 fertig für den Einsatz sein. Was ist passiert? 

Bis 2017 sah es gut für den Zeitplan aus

Mittlerweile provoziert der Satz „Es gibt Neuigkeiten von der E-Privacy-Verordnung“ ein Augenrollen bei Beobachtern und in der OnlinehändlerNews-Redaktion. Zu klein ist der Fortschritt, der seit mittlerweile fast drei Jahren gemacht wurde; zu oft kann man nur über gescheiterte Kompromissversuche berichten. 

Nach einer mehrmonatigen öffentlichen Konsultation zum Vorhaben veröffentlichte die Kommission – die einer Art „EU-Regierung“ ähnelt und als einzige Unions-Institution Initiativrecht hat – ihren ersten Entwurf für die EPV im Januar 2017. Anschließend ging der Entwurf an das Europäische Parlament. Hier wurde mehrere Monate lang kontrovers diskutiert und nach knappen Abstimmungen beschloss das Parlament im Oktober 2017 eine eigene Position zum Entwurf der Kommission. 

From ‘17 ‘til infinity

Für den Beginn der für die Verordnung entscheidenden Trilog-Verhandlungen fehlt bis heute noch die Position des Rates der Europäischen Union. In diesem Rat sitzen die Fachminister der EU-Mitgliedstaaten, die ihre nationalen Interessen vertreten, im Gegensatz zum Parlament, in dem Konflikte entlang der parteipolitischen Linien ausgetragen werden. Das Problem: Seit 2017 können sich die Mitgliedstaaten nicht auf eine gemeinsame Position zur E-Privacy-Verordnung einigen. Und ohne eine Ratsposition keine Trilog-Verhandlungen, kein Kompromiss zwischen den EU-Institutionen, keine E-Privacy-Verordnung und kein modernisierter Datenschutz im Bereich der elektronischen Kommunikation. 

Halbjährlich wechselt der Vorsitz bei allen Sitzungen im Rat der Europäischen Union. So erhält alle sechs Monate ein anderer Mitgliedstaat die Möglichkeit mit einem Vorschlag für eine gemeinsame Position die übrigen nationalen Minister auf seine Seite zu holen. Bislang ohne Erfolg. Die Ratspräsidentschaften aus Estland, Bulgarien, Österreich, Rumänien, Finnland und Kroatien scheiterten. Seit dem 1. Juli 2020 hat Deutschland die Ratspräsidentschaft inne und die Erwartungen sind hoch. 

Warum eine neue Verordnung? 

Die elektronische Kommunikation über Websites, E-Mails oder Messenger ist bisher nicht Gegenstand expliziter Datenschutzgesetze geworden – im Gegensatz beispielsweise zur SMS oder Telefonaten. Dafür ist das bisherige Regelwerk von 2002, die E-Privacy-Richtlinie, zu alt und die technologische Entwicklung zu schnell. Dazu kommt, dass die E-Privacy-Richtlinie in vielen EU-Mitgliedsländern auf unterschiedliche Art und Weise umgesetzt wurde. Gerade in Deutschland ist die Umsetzung der Richtlinie im Telemediengesetz mehr als umstritten. Eine Verordnung würde im Gegensatz dazu einheitliche Regeln in allen EU-Staaten schaffen. 

„Deutschland und das federführende CDU-Wirtschaftsministerium haben sich im Rat lange Zeit nicht gerade als Vorreiter für neue, moderne Regeln zum Schutz der elektronischen Kommunikation hervorgetan“, sagt Birgit Sippel (SPD), die für die EPV die federführende Berichterstatterin im Europaparlament ist. Sie fordert, dass der Rat die Verordnung nicht weiter verzögert, was für Grundrechtsschutz und Rechtssicherheit für die Wirtschaft katastrophal wäre. „Denn aktuell gelten, basierend auf der derzeit gültigen E-Privacy-Richtlinie, 27 verschiedene nationale Gesetze – ein europäischer Flickenteppich.”

Mehr Privatsphäre für Internetuser 

Bei der elektronischen Kommunikation fallen vielfältige Metadaten an, etwa beim Chatten oder Telefonieren über Messengerdienste oder bei E-Mail-Diensten. Die persönlichen Daten der Nutzer sollen geschützt werden. Und auch beim Tracking von Internetnutzern durch Webseitenbetreiber soll die Privatsphäre der Nutzer verbessert werden. So soll in der EPV geklärt werden, unter welchen Voraussetzungen das Surfverhalten der Nutzer etwa durch Cookies von Drittanbietern nachverfolgt und ausgewertet werden darf. Voreingestellte Häkchen zur automatischen Zustimmung zum Tracking durch Third-Party-Cookies, wie es derzeit noch oft gemacht wird, sollen verboten werden.

Begehrt sind diese Daten vor allem, weil mit ihnen Geld verdient werden kann. Eine ganze Werbebranche hat sich auf personalisierte Werbung spezialisiert, die anhand von Verhaltensinformationen aus dem Netz ganze Nutzerprofile erstellt, die mit Werbung bespielt werden können. Und daran entfacht sich der große Streit zwischen Datenschutzaktivisten und der Wirtschaft: Dürfen diese Daten einfach so erhoben, analysiert und verkauft werden oder nicht? 

„Die Sammlung und Auswertung von Daten hat ein Ausmaß angenommen, das dringend reguliert und gestoppt werden muss. Es geht am Ende auch nicht nur um Konsum-Werbung, denn die Nachverfolgung und Analyse des Verhaltens im Netz sind auch für Medien und politische Werbung von Interesse, man denke an Cambridge Analytica und andere bekannte Fälle“, erklärt Dr. Patrick Breyer, der für die Piratenpartei im EU-Parlament sitzt und sich selbst als digitalen Freiheitskämpfer bezeichnet. Er befürwortet, dass sich das Europäische Parlament in seiner Position zur EPV für einen Stopp von Tracking im Netz ausgesprochen hat. „Hier braucht es eine Umorientierung, um nicht nur die Privatsphäre, sondern auch unser aller Freiheit und Selbstbestimmtheit zu sichern. Es war gut, dass das Parlament an dieser Stelle schon eine Marschrichtung aufgezeigt hat. Der Rat will diese Position wieder aufweichen, das macht die Verhandlungen so schwierig.“

Die Wirtschaft sorgt sich vor noch mehr Datenschutz

Tatsächlich hat das Europäische Parlament beschlossen, in den Trilog-Verhandlungen eine eher datenschutzfreundliche Position zu vertreten. Der Rat der Europäischen Union ist gespalten. Einige Länder wünschen sich mehr Datenschutz und Schutz der Privatsphäre, die anderen sorgen sich um ihre nationale Wirtschaft und mögliche Auswirkungen. 

Vor allem die Werbung würde durch eine strenge E-Privacy-Verordnung verändert werden. Das betrifft dann die Werbeindustrie sowie Unternehmen, die durch personalisierte Werbung Kunden gewinnen wollen, aber auch Online-Präsenzen, die sich über solche Werbung finanzieren. Zu letzteren gehören besonders Verlage, die kostenlose journalistische Inhalte anbieten und sich über Werbung finanzieren. Sie fürchten den Verlust ihrer Finanzierungsgrundlage. 

Der Zentralverband der deutschen Werbewirtschaft (ZAW) kritisiert die bisherigen Vorschläge für eine Verordnung als unausgereift. Auf seiner Homepage erklärt der ZAW, dass sichergestellt sein muss, „dass bestehende oder vor der Krise geplante Gesetze und Regelungen, die rein regulatorisch hemmende Wirkung entfalten oder die Refinanzierung von Medienangeboten gefährden würden, aussortiert oder durch wachstumsfreundliche Konzepte ersetzt werden. Es bleibt zu hoffen, dass die EU-Kommission diesen Weg wirtschaftspolitischer Vernunft einschlägt und die digitalen Unternehmen in Europa in diesem Sinne unterstützt.“ Man wünscht sich dort also einen kompletten Verzicht oder wenigstens eine drastische Neuausrichtung der E-Privacy-Verordnung. 

Außerdem sieht man die europäische Wirtschaft im Nachteil gegenüber US-amerikanischen Digitalriesen, die nicht über Cookies tracken, sondern die sich die Zustimmung zum Tracking einfach durch den Login geben lassen. „Gute europäische Gesetzgebung kann nicht darin bestehen, ohne Not die marktdominanten Plattformen einseitig zu stärken, ihren Datenreichtum weiter zu mehren und zugleich die digitalen Geschäftsmodelle und Zukunftschancen der klaren Mehrheit der Unternehmen in Europa substantiell zu gefährden“, so Bernd Nauen, Geschäftsführer des ZAW.

Ist der freie Journalismus in Gefahr? 

Eine drastische Einschätzung der Situation liefern auch der Verband Deutscher Zeitschriftenverleger (VDZ) und der Bundesverband Deutscher Zeitungsverleger (BDZV). In einem gemeinsamen Statement von 2017 sehen sie den freien Journalismus bedroht, weil die Finanzierungsmöglichkeiten wegfallen würden. 

„Der Vorschlag bedroht die Geschäftsmodelle und vermutlich sogar die Existenz ungezählter europäischer Internet-Angebote, die auf Datenverarbeitung durch Drittanbieter (Third-Party-Cookies) angewiesen sind“, heißt es dort. Eine VDZ-Studie von 2018 kommt zu dem Schluss, dass Verlagen ein Umsatzverlust von 30 Prozent droht, würden die strikten Privatsphäreregeln für die Medienwelt gelten. 

Deutschland will den Kompromiss erreichen

Der EU-Ministerrat scheint derzeit auf der Seite der Verlage zu stehen. Denn in den letzten Vorschlägen durch die wechselnden EU-Ratspräsidentschaften waren immer Schlupflöcher für werbefinanzierte journalistische Angebote vorgesehen. Auch Deutschland wird wohl diesen Ansatz verfolgen. Anfang Juli veröffentlichte die Bundesregierung ein erstes Diskussionspapier für eine gemeinsame Ratsposition zur EPV. Im September könne man schon über einen Entwurf abstimmen, heißt es aus Regierungskreisen. 

Die Verarbeitung von Daten von Endverbrauchergeräten soll nicht grundsätzlich verboten sein, sondern auch Ausnahmen gelten, etwa für die „Durchführung der Übermittlung einer elektronischen Kommunikation über ein elektronisches Kommunikationsnetz“. Das könnte bedeuten, dass etwa Standort, Uhrzeit, Datum und Dauer eines Anrufs weiterverarbeitet werden dürften. 

Und auch in Sachen Cookies liest sich das Diskussionspapier der Bundesregierung wirtschaftsfreundlich. Die „legitimen Interessen“ von Verlagen und journalistischen Online-Anbietern sollen berücksichtigt werden, weil sie eine hohe Bedeutung für Redefreiheit und Medienpluralismus bedeuten. Und auch sollen Schutzmaßnahmen für KMU in der Digitalwirtschaft geschaffen werden, die einen Wettbewerbsnachteil hätten, wenn sie keine Drittanbieter-Cookies weiterverwerten dürften.

„Das Surfverhalten von Menschen ist aus meiner Sicht so sensibel, dass ich nicht sehe, wie eine rechtskonforme Umsetzung eines ‚berechtigten Interesses’ hier möglich sein sollte“, kritisiert Europaabgeordnete Birgit Sippel diese Entwicklung. Auch ihr Kollege Patrick Breyer sieht das so: „Um es ganz klar zu sagen, es gibt kein berechtigtes Interesse, die private Internetnutzung auf Schritt und Tritt Recht aufzuzeichnen!“ Auch mit zusätzlicher Einwilligung bewertet er das Tracking sehr kritisch, schließlich „geht es immer um das Profil eines Individuums, das monetisiert werden soll“.

Das Ende von Third-Party-Cookies scheint unausweichlich

Ob durch die E-Privacy-Verordnung oder nicht: In der Branche wird der Abgesang auf die Third-Party-Cookies schon seit Längerem gehalten. Denn das Tracking ohne aktive Einwilligung ist schon lange angezählt. Die deutschen Datenschutzbehörden von Bund und Ländern legen auch schon das bestehende Recht so aus, dass Tracking damit nicht vereinbar ist. Rechtsprechungen vom Europäischen Gerichtshof und dem deutschen Bundesgerichtshof gingen ebenfalls in diese Richtung. Und vor allem bieten fast alle gängigen Browser es schon jetzt an oder wollen einführen, dass sie automatisch das Tracking verhindern.

Muss bei Werbung jetzt umgedacht werden?

Auch wenn die E-Privacy-Verordnung scheitern sollte oder frühestens in einigen Jahren in Kraft treten wird – es lohnt sich schon jetzt, nach Alternativen zum cookie-basierten Tracking zu suchen. Denn spätestens wenn die Browser nicht mehr mitspielen, hilft auch eine wirtschaftsfreundliche Verordnung aus Brüssel nicht mehr groß weiter. 

Die EU-Abgeordneten Breyer und Sippel verweisen auf kontextbasierte Werbung, die für Werbung schaltende Unternehmen eine geeignete Alternative zu tracking-basierter Werbung sei. Tracking sei „weder nachhaltig noch effektiv, schließlich müssen die Unternehmen ihre Einnahmen mit immer mehr Dienstleistern teilen, die ihnen den gläsernen Kunden zwar versprechen, aber nie eine Umsatzgarantie geben“, findet Pirat Breyer. „Unternehmen, die ihre Kunden respektieren, gewinnen langfristig immer, und Respekt funktioniert auch digital, mit der Achtung von Datenschutz und ePrivacy.“  

Ein Wettbewerbsnachteil für bestimmte Unternehmen könne nicht mehr vorliegen, wenn für alle Marktteilnehmer gleiche Regeln gelten würden, erklärt auch Sozialdemokratin Sippel. „Es ist deshalb absolut kein Argument zu sagen, dass Unternehmen weiterhin Menschen ausspionieren müssen, damit sie Gewinn machen können. Es gibt kein Grundrecht auf illegale Geschäftsmodelle oder Gewinnmaximierung. Aber es gibt ein Grundrecht auf Datenschutz und auf den Schutz der Privatsphäre und das gilt auch online.“

Vergleicht man diese Einschätzungen mit den Forderungen der Wirtschaftsverbände und den deutschen Vorschlägen für eine Ratsposition, kann man sich sicher sein: Auch wenn der Ministerrat eine Einigung erreicht, werden in den Trilog-Verhandlungen mit dem Parlament unterschiedliche Vorstellungen aufeinander prallen. Aber bis dahin müssen die EU-Mitgliedstaaten erst einmal unter sich einen Kompromiss finden, was schwer genug werden dürfte.