ePrivacy-Verordnung: Aktueller Stand

Die ePrivacy-Verordnung (ePVO) sollte eigentlich zusammen mit der DSGVO in Kraft treten – ein Plan, der nicht aufging. Wann wird die ePVO kommen und wie sollen Unternehmen verfahren? Wir zeigen den aktuellen Stand der ePrivacy-Verordnung und erklären, was Sie bedenken sollten.

ePrivacy-Verordnung – was ist das eigentlich?

Nachdem die Datenschutz-Grundverordnung (DSGVO) seit 2018 für große Verwirrung in Unternehmen sorgt, wird auch die ePrivacy-Verordnung skeptisch betrachtet. Doch auch sie soll dazu dienen, Privatpersonen sowie Unternehmen zu schützen. Dabei löst die ePrivacy-Verordnung die E-Privacy-Richtlinie ab. Diese Richtlinie wurde vom deutschen Gesetzgeber bislang größtenteils im Telemediengesetz (TMG) sowie im Telekommunikationsgesetz (TKG) umgesetzt.

Die ePVO ist – wie die DSGVO – europaweit gültig. Bedeutet: Diese EU-Verordnung trifft, sobald sie in Kraft getreten ist, die gesamte Europäische Union. Dem nationalen Gesetzgeber steht es offen, über Öffnungsklauseln in einigen Bereichen eigene Regelungen zu erlassen.

Die ePrivacy-Verordnung soll die DSGVO sinnvoll ergänzen; ihre Inhalte beziehen sich auf Datenschutz innerhalb der elektronischen Kommunikation und Privatsphäre. Insbesondere soll sie die Datenverarbeitung in Unternehmen behandeln. Die EU-Kommission sieht die ePrivacy-Verordnung als unumgänglich an: technische sowie wirtschaftliche Neuentwicklungen innerhalb der EU erfordern viele Neuregelungen.

Über die ePVO wird seit fast 4 Jahren diskutiert

Schon seit April 2016 nehmen sich die EU-Gesetzgeber die ePrivacy-Verordnung vor. Seinerzeit startete die öffentliche Konsultation zum Überarbeiten der ePrivacy-Richtlinie, Anfang August konnte man die Ergebnisse der Konsultationen veröffentlichen. Mit dem 10. Januar 2017 veröffentlichte die EU-Kommission einen ersten Entwurf der ePrivacy-Verordnung. Im Oktober 2017 beschloss das EU-Parlament einen eigenen Entwurf, der – nach weiteren Überarbeitungen – mit dem 05. Dezember durch die EU-Ratspräsidentschaft in Entwurfsfassung veröffentlicht wurde.

Nach erneuten Diskussionen und Optimierungen veröffentlichte die EU-Ratspräsidentschaft am 22.03.2018 eine neue Entwurfsfassung, zu der die Bundesregierung Mitte Juni Stellung nahm. Ein neuer Entwurfstext der Ratspräsidentschaft entstand Mitte Juli 2018, Ende November veröffentlichte die EU-Ratspräsidentschaft einen Fortschrittsbericht. Ein Sachstandspapier folgt Anfang Februar 2019, ein erneuter Fortschrittsbericht im Juni 2019.

Voraussichtlich Mitte 2020 soll der EU-Kommissionsentwurf eine mögliche Neuausrichtung erhalten. Ende 2020 soll der EU-Rat einen gemeinsamen Nenner erreicht haben. Trilog-Verhandlungen (zwischen EU-Parlament, -Kommission und -Rat) wird es nicht vor 2021 geben, ein Inkrafttreten der ePVO nicht vor 2021/22 und die Anwendbarkeit nicht vor 2023/24 zu erwarten (Quelle: Bundesverband digitale Wirtschaft, BVDW).

Wen wird die ePrivacy-Verordnung womit treffen?

Wird die ePrivacy-Verordnung umgesetzt, sind sämtliche Unternehmen betroffen, die ihren Sitz in der EU haben. Die ePVO fasst den Anwendungsbereich sehr weit; nicht nur auf das Verarbeiten von Kommunikationsdaten bezieht sie sich, sondern sie soll anzuwenden sein auf:

• Informationen auf Nutzer-Endgeräten wie Cookies,
• das Bereitstellen von öffentlich zugänglichen Verzeichnissen von Nutzern elektronischer Kommunikation sowie
• das Übermitteln von Direktwerbung durch elektronische Kommunikation.

Sie können es sicher schon erahnen: Die ePrivacy-Verordnung trifft nicht nur konventionelle Telekommunikationsdienste. In den Anwendungsbereich der ePVO sollen auch OTT-I-Dienste („Over-the-top-Dienste aus Kategorie 1″) einschließlich Messenger- und VoIP-Dienste, E-Mail-Dienste sowie M2M-Kommunikationsdienste („Machine-to-Machine„) fallen. Die ePrivacy-VO unterscheidet vier Kategorien von elektronischen Kommunikationsdiensten:

• Internetzugangsdienste,
• nummernbasierte interpersonelle Kommunikationsdienste,
• nummernunabhängige interpersonelle Kommunikationsdienste sowie
• jene Dienste, die komplett oder mehrheitlich aus dem Übertragen von Signalen bestehen.

Im Oktober 2019 entschied sich, dass auch solche Messenger unter den Anwendungsbereich der ePrivacy-Verordnung fallen, die als Zusatzfunktion in einem anderen Dienst integriert sind, wie etwa der Facebook-Messenger innerhalb des Netzwerkes.

In der M2M-Kommunikation existiert eine Differenzierung: Von der ePrivacy-Verordnung erfasst werden Übertragungsdienste zur Bereitstellung von M2M-Diensten. Sind Dienste der M2M-Kommunikation hingegen auf Applikationsebene angesiedelt, fallen sie – nach jetzigem Stand – nicht in den Anwendungsbereich der ePVO.

Marktortprinzip: Die ePrivacy-VO trifft auch Sie

Wie schon für die DSGVO gilt auch für die ePVO das sogenannte Marktortprinzip. Bedeutet: In den Anwendungsbereich der ePrivacy-Verordnung fallen alle Unternehmen, die in der EU elektronische Kommunikationsdienste anbieten. Die reine Zugänglichkeit einer Webpräsenz oder einer Kontaktmöglichkeit meint das Marktortprinzip nicht.

Ist ein Unternehmen nicht innerhalb der EU niedergelassen, so gilt es, einen schriftlichen Vertreter innerhalb der Union zu benennen. Dieser Schritt entfällt, wenn die unter die Verordnung fallenden Tätigkeiten ausschließlich gelegentlich stattfinden und keine Risiken für die Rechte der Nutzer bestehen.

Streng genommen bedeutet das Marktortprinzip, dass die ePVO bereits dann anwendbar ist, wenn ein Diensteanbieter Personen innerhalb der EU beobachtet. Somit schließt die ePrivacy-Verordnung auch oder insbesondere Webtracking-Technologien ein, darunter Cookies sowie Social Media-Plugins.

Weitere Inhalte der ePrivacy-Verordnung

Wie eingangs erwähnt, geht es in der ePVO nicht nur um das Verarbeiten von Kommunikationsdaten, die beim Bereitstellen und bei der Nutzung öffentlich zugänglicher, elektronischer Kommunikationsdienste anfallen, sondern auch um das Verarbeiten von Informationen, die sich auf Endgeräte der Endnutzer beziehen oder von diesen Endgeräten verarbeitet werden (z. B. Cookies).

Weiter ist das In-Umlauf-Bringen von Software betroffen, die eine elektronische Kommunikation erst möglich macht. Das können Browser, aber auch Apps sein. Geregelt wird zudem das Bereitstellen öffentlich zugänglicher Verzeichnisse von Nutzern elektronischer Kommunikation sowie das Übermitteln von Direktwerbung an den Endnutzer über die elektronische Kommunikation.

Sehr kontrovers diskutiert werden die Regelungen zum Tracking, etwa der Einsatz von Cookies zu Werbezwecken. Targeting und Tracking von Nutzern sollen mit der ePrivacy-Verordnung nur noch nach Einwilligung der Betroffenen zulässig sein, gänzlich unabhängig davon, ob es sich um Third-Party-Cookies oder um anbietereigene handelt. Mindestens genauso intensiv ist die Diskussion um Tracking-Walls: Sie sperren Nutzer, die ein Tracking ihres Nutzerverhaltens ablehnen, aus. Das EU-Parlament würde solche Tracking-Walls am liebsten gänzlich verbieten. Die Bundesregierung sieht dies anders und setzt sich nach wie vor für deren Zulassung ein.

ePrivacy-Verordnung: Verstöße werden teuer

Verstöße gegen die ePrivacy-Verordnung sollen genauso geahndet werden wie Verstöße gegen die DSGVO: Je nach Art des Verstoßes können Bußgelder in Höhe von 20 Millionen Euro bzw. 4 % des weltweiten Jahresumsatzes fällig werden.

ePrivacy-VO sorgt für Rechtsunsicherheit

Es ist kaum zu erwarten, dass neue Trilog-Verhandlungen noch vor 2021 beginnen. Bis die ePVO tatsächlich kommt, vergehen sicher noch einige Jahre. Ausruhen können sich Unternehmen nicht: Das Nebeneinander jetzt schon bestehender Vorschriften (DSGVO, TMG oder TKG), allgemeine sowie bereichsspezifische Datenschutzvorschriften, zum Teil auf europäischer, zum Teil auf nationaler Ebene, führen bei vielen Unternehmen zu Rechtsunsicherheit – vor allem beim Thema Cookies. Informationen dazu und zum Tracking allgemein finden Sie in unserem Beitrag „Cookies & Co.: Tracking Ihrer Seitenbesucher – eine heikle Gratwanderung“. Selbstverständlich halten wir Sie auch zur ePrivacy-Verordnung auf dem Laufenden und berichten, sobald es Neuigkeiten gibt.