Nach der Datenschutz-Grundverordnung (DSGVO) steht mit der E-Privacy-Verordnung (ePV, englisch: eprivacy regulation) eine weitere, europäische Gesetzesänderung vor der Tür. Manche Konsequenzen für den Online-Handel sind schon seit einiger Zeit absehbar. Obschon das Gesetzgebungsverfahren ins Stocken geraten ist und die Zeitschiene bereits mehrfach angepasst wurde, ist es daher sinnvoll, dass Sie sich mit den Inhalten des Gesetzentwurfs der E-Privacy-Verordnung vertraut machen.
Was ist die E-Privacy-Verordnung?
Im Titel „Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation)“ steckt zweierlei: Zum einen zielt die Verordnung auf die Grundrechte Datenschutz und Privatsphäre ab und ergänzt die DSGVO als Spezialgesetz hinsichtlich digitaler Kommunikationswege. Zum anderen löst sie eine europäische Richtlinie ab. Daher wird sie deren deutsche Umsetzung in Telemediengesetz (TMG), Telekommunikationsgesetz (TKG) und Gesetz gegen den unlauteren Wettbewerb (UWG) ersetzen.
Anders als die bisherige E-Privacy Richtlinie und die Cookie-Richtlinie aus dem Jahr 2009 wird die eprivacy regulation als Verordnung unmittelbar in allen EU-Mitgliedsstaaten anwendbar sein. Eine Umsetzung in nationale Gesetze ist also nicht erforderlich. Was das zu schützende Gut angeht, ist sie umfassender als die DSGVO angelegt: Sie geht über die Verarbeitung von personenbezogenen Daten hinaus und soll neben natürlichen Personen zusätzlich juristische Personen betreffen. Damit werden beispielsweise Geschäftsgeheimnisse abgedeckt. Gelten soll sie zudem unabhängig davon, ob die Leistung entgeltlich oder kostenlos angeboten wird. Daher ist sie nicht nur für Shop-Betreiber, sondern auch für Blogger von Interesse. Ausnahmen für kleinere beziehungsweise mittelgroße Unternehmen sind nicht geplant.
Wann tritt die E-Privacy-Verordnung in Kraft?
Der Entwurf für den Nachfolger der E-Privacy Richtlinie entstammt einer Initiative der EU-Kommission aus dem Jahr 2017. An sich sollte sie bereits im Mai 2018 gemeinsam mit der DSGVO Wirksamkeit entfaltet haben. Das Gesetzgebungsverfahren und damit die endgültige Entscheidung bezüglich Inhalten dauert jedoch über das Jahr 2018 hinaus an. Trilog-Verhandlungen (Interinstitutionelle Verhandlungen zwischen den Legislativorganen der europäischen Union) des finalen Entwurfs sind erst nach den Europawahlen im Mai 2019 zu erwarten. Mit einer Anwendbarkeit vor 2022 ist nicht zu rechnen.
E-Privacy: Das ändert sich
Da der Rahmen für Bußgelder voraussichtlich analog zu den Regelungen der DSGVO bei bis zu vier Prozent des weltweiten Jahresumsatzes angesetzt wird, lohnt es sich für Sie, die kommenden Gesetzesänderungen im Blick zu behalten. Auszugehen ist von Neuerungen in folgenden Themenbereichen:
• Cookies: Der Einsatz von Cookies soll auf das für die Nutzung einer Internetseite erforderliche Maß begrenzt werden. Zudem wird die explizite Einwilligung (und deren Dokumentation) unerlässlich sein.
• Tracking: Für die Verwendung von Metadaten zur Erstellung von Nutzerprofilen wird eine separate Zustimmung gefordert. Dies betrifft auch Bewegungsprofile: Tracking via WLAN oder Bluetooth soll einzig für statistische Zwecke erlaubt sein.
• Einwilligung: Anders als in der DSGVO ist im Entwurf der Verordnung die freiwillige und informierte Zustimmung als alleinige Rechtsgrundlage vorgesehen.
• Kopplungsverbot: Analog zur Intention der DSGVO soll die Provokation einer Einwilligung über Umwege nicht gestattet sein. Betreffen kann das die Zustimmung als Voraussetzung für die Inanspruchnahme eines Dienstes. Dieses Thema zählt zu den strittigen im Verhandlungsprozess.
• Adblocker: Aus Rücksicht auf die wirtschaftlichen Interessen von Inhaltsanbietern sind Spielräume für die Erkennung von Adblocker-Nutzung angedacht.
• Privacy-by-default: Standardmäßig soll die datenschutzfreundlichere Option als Standard in Devices und Software voreingestellt sein, zum Beispiel das Opt-out.
• Verfahrensverzeichnis und Datenschutzerklärung: Bei Änderungen an Datenverarbeitungsverfahren sind Anpassungen an bestehenden Dokumentationen wie dem Verzeichnis der Verarbeitungstätigkeiten gemäß DSGVO unabdingbar. Auch die Überarbeitung der Datenschutzerklärung einer Webseite kann erforderlich werden.
Vorteile der E-Privacy-Verordnung
Aus Verbrauchersicht ist eine Steigerung des Datenschutzniveaus zu begrüßen. Zusätzlich bleibt zu hoffen, dass mit dem Wirksamwerden der ePV die Flut an Cookie-Bannern ein Ende haben wird. Anfang Februar 2019 veröffentlichte die rumänische Ratspräsidentschaft ein neues Diskussionspapier. Es enthält unter anderem Vorschläge zum Umgang überhandnehmenden Einwilligungsabfragen und dem damit verbundenen Verdruss der Nutzer („consent-fatigue“).
Für die Betreiber von Webseiten und Anbieter von Diensten ist Rechtssicherheit ein großer Pluspunkt in Verbindung mit dem Fortschritt im Gesetzgebungsverfahren. Denn die gesetzliche Grundlage für das Nachverfolgen von Nutzeraktivitäten im Internet (Tracking) ist derzeit unter Datenschützern umstritten. Eine bislang nicht abschließend geklärte Frage lautet: Sind die Vorgaben der DSGVO einzuhalten oder ist es ausreichend, den Vorschriften des Telemediengesetzes (TMG) zu genügen? Ein weiterer positiver Aspekt für Unternehmen, die schon heute mit datenschutzfreundlichem Vorgehen glänzen: Mögliche Wettbewerbsnachteile gegenüber Konkurrenten egalisieren sich mit dem neuen Gesetz.
Nachteile der E-Privacy Verordnung
Wie andere Gesetzesänderungen geht die ePV mit Aufwand einher: Anpassungen von Prozessen sind zu planen, umzusetzen und entsprechend zu dokumentieren. Je nach konkreter Ausgestaltung des Gesetzes sind drastischere Konsequenzen, speziell für werbefinanzierte Inhalte, nicht ausgeschlossen. Gerade Messenger-Dienste wie WhatsApp und Kanäle wie Skype oder Facetime stehen im Fokus der ePrivacy-Verordnung. Doch auch für Betreiber von Webseiten und Online-Shops ist die ePV mit Änderungen verbunden. Hier gilt es besonders, die weiteren Entwicklungen des Gesetzgebungsverfahrens im Auge zu behalten.
Auswirkung auf den Online-Handel
Der Verzicht auf Tracking und Targeting kann auch im Online-Handel Umsatzeinbußen verursachen. Die Geschäftsmodelle registrierungsbasierter Dienste oder im Affiliate-Marketing könnten anpassungsbedürftig werden. Insbesondere den Umgang mit E-Mails, Cookies und Werkzeugen zu Analyse und Tracking des Nutzerverhaltens sollten Sie, im Hinblick auf die neue Verordnung, überdenken.
Absehbar ist, dass in einigen Fällen die Rechtsgrundlage der Vertragserfüllung oder des berechtigten Interesses laut DSGVO entfällt. Erforderlich ist dann die (wirksame) Einwilligung der einzelnen Nutzer. Ausnahmen, beispielsweise was die für die Abwicklung eines Kaufvorgangs notwendigen Session-Cookies betrifft, sind angedacht. Möglicherweise wird das auch für statistische Analysen wie die Reichweitenmessung gelten.
Die Zeit, die das Gesetzgebungsverfahren lässt, können Sie nutzen, um den Anpassungsbedarf Ihrer Projekte zu analysieren. Gerade im Umgang mit Cookies und bei Auswertungen zum Nutzerverhalten ist Umsicht angebracht. Es gilt, Möglichkeiten der ePV-konformen Gestaltung zu klären und die Umsetzung zu planen.
