Der von der EU-Kommission vorgestellte Entwurf für eine E-Privacy-Verordnung beschreibt, was digitale Dienste künftig in Sachen Datenschutz tun müssen. Sie soll im Mai 2018 in Kraft treten, just zu dem Zeitpunkt, bis zu dem die Europäische Datenschutz-Grundverordnung in den einzelnen Ländern umgesetzt sein muss.
Was die Grundverordnung in groben Zügen vorgibt, füllt die E-Privacy-Verordnung konkret aus: Betroffen sind nicht nur sämtliche Web-Dienste, sondern auch Geräte des „Internets der Dinge“, also Smart-TV-Geräte, digitale Stromzähler, Wearables und ähnliches mehr. Auch Telefonie-ähnliche Internet-Dienste wie Skype und Whatsapp, die bislang von der Regulierung ausgenommen wurden, müssen nun die neuen Vorgaben befolgen. Eine nationale Anpassung soll es nicht mehr geben, weil es sich um eine Verordnung, nicht um eine Richtlinie handelt.
Oberflächlich werden dies Internetnutzer_innen zunächst am allmählichen Verschwinden der Cookie-Banner bemerken: So müssen die Website-Betreiber die Nutzer_innen nicht mehr darüber informieren, wenn sie ein Cookie auf deren Rechner platzieren, das lediglich Konfigurationszwecken dient. Das ist etwa dann der Fall, wenn Shopping-Portale sich frühere Klicks merken, um einen Warenkorb zu befüllen. Auch entfällt die Informationspflicht, wenn Nutzer_innen über ihren Internetbrowser automatisch mit dem Do-Not-Track-Mechanismus signalisieren können, ob sie Cookies des direkt besuchten Anbieters akzeptieren, jedoch Cookies von Drittanbietern blockieren möchten.
Damit räumt die Verordnung technischen Privacy-Lösungen erstmals Vorrang vor juristischen Regelungen wie dem Einholen der Einwilligung der Nutzer_innen ein. Allerdings schwächte die EU-Kommission auf Lobby-Druck die Vorgaben im Vergleich zu einem im Dezember geleakten Vorentwurf deutlich ab.
Bisher hat die Werbeindustrie solche technischen Einstellungen straflos ignoriert. Damit wird künftig Schluss sein – Verstöße gegen die Verordnung können teuer zu stehen kommen: Der Sanktionsrahmen der e-Privacy-Verordnung entspricht nämlich der Datenschutzgrundverordnung. Die Datenschutzaufsichtsbehörden können Strafen in Höhe bis zu 4 Prozent des Jahresgesamtumsatzes eines Unternehmens verhängen.
Strengere Regeln gibt es auch für Kommunikationsdaten, die nur dann genutzt werden dürfen, wenn sie anonymisiert wurden oder die Nutzer_innen ausdrücklich eingewilligt haben. Darunter kann man sich beispielsweise Ortsdaten vorstellen, die Auskunft darüber geben, wo sich ein Smartphone zu einem bestimmten Zeitpunkt befunden hat. Solche Daten wollen derzeit beispielsweise Telekommunikationsanbieter an Betriebe des öffentlichen Nahverkehrs vermarkten, damit diese ihre Fahrpläne optimieren können. Die Datenverarbeiter müssen überdies Metadaten umgehend löschen oder anonymisieren, wenn die Datenübertragung abgeschlossen ist oder die Metadaten für Abrechnungszwecke nicht mehr benötigt werden.
Für GoogleMail und ähnliche Dienste, die auf individuell zugeschnittene Werbeangebote setzen, liegt die Latte künftig noch höher. Denn die EU-Kommission sieht ein hohes Grundrechtsrisiko, wenn Inhalte elektronischer Kommunikation wie Mail- oder Messaging-Nachrichten analysiert werden. Hier müssen die Betreiber vorab die Datenschutz-Aufsichtsbehörden konsultieren, bevor sie die ausdrückliche Einwilligung der Nutzer_innen einholen. Die Konsultation ist keineswegs unverbindlich: Die Anbieter müssen sich an die Empfehlungen der Behörden halten. Nutzer_innen dürfen außerdem jederzeit ihre Einwilligung zurücknehmen, wobei der Anbieter sie daran jedes halbe Jahr erinnern muss.
Die EU-Kommission konnte sich nicht mit allen ihren Vorstellungen gegenüber der Unternehmens- Lobby durchsetzen. So musste sie sogar den Begriff „Privacy by Design“ aus Artikel 10 komplett streichen. Ursprünglich hatte der Artikel von den Software-Herstellern verlangt, ihre jeweilige Software mit den datenschutzfreundlichsten Einstellungen auszuliefern. Nun muss die Software lediglich bei der Installation die Nutzer_innen über die möglichen Privatsphäre-Einstellungen informieren und von ihnen die Einwilligung für die Einstellungen abverlangen. Haben Nutzer_innen ihre Einwilligung bereits erteilt, müssen die Hersteller diesen Vorgang über ein Softwareupdate spätestens bis zum August 2018 nachholen. Da viele Nutzer_innen bei der Installation oftmals den bequemsten und schnellsten Weg wählen, dürfte das den Datenverarbeitern in die Hände spielen.
Fragwürdig ist auch die Entscheidung der Kommission, Ortsdaten, die nicht im Kontext einer Dienstleistung generiert werden, nicht direkt als schützenswerte Metadaten zu sehen. Betroffen sind Anbieter sogenannter Heatmaps, die auf Ortsdaten basieren. Sie dürfen demnach solche Daten ohne Einwilligung der Betroffenen erheben und verarbeiten. Um zu verhindern, dass diese Daten später Personen zugeordnet werden, schreibt die Kommission im Falle eines hohen Grundrechtsrisikos eine Datenschutzfolgeabschätzung vor. Werden die Daten wiederholt erfasst, müssen die Nutzer_innen darüber informiert werden. Auch muss der Datenerfasser darüber aufklären, wie Nutzer_innen die Datensammlung verhindern können. Damit vermeidet die Kommission eine Regelung, die unmittelbar und sofort gelten würde. Angesichts diverser De-Anonymisierungstechniken lässt sich das verbleibende Grundrechtsrisiko nur schwer einschätzen.
Als rechtswidrig wurde bereits der Versuch der Kommission eingestuft, das Blockieren von Adblocker-Nutzern durch Verlagswebsites zu erlauben. Denn eine solche Ausnahmeregelung würde dem Kopplungsverbot der Datenschutzgrundverordnung in Artikel 7 (4) widersprechen. Demnach darf eine verweigerte Einwilligung nicht zu einer allgemeinen Nutzungsblockade führen. Den Verlagen versucht die Kommission ebenfalls in Sachen Direktmarketing entgegen zu kommen. Auch hier ist eine Ausnahmeregelung vorgesehen, wonach E-Mail-Kontaktdaten ohne separate Einwilligung verwendet werden dürfen, wenn es bereits eine „Kundenbeziehung“ zwischen Anbieter und Nutzer gibt. Im Falle einer unerwünschten Newsletter-Flut müssen Kund_innen also selbst jeden Newsletter wieder abbestellen.