EU: Strengere Regeln für das Digitale

Foto: Pixabay

Der von der EU-Kommission vorgestellte Entwurf für eine E-Privacy-Verordnung beschreibt, was digitale Dienste künftig in Sachen Datenschutz tun müssen. Sie soll im Mai 2018 in Kraft treten, just zu dem Zeitpunkt, bis zu dem die Europäische Datenschutz-Grundverordnung in den einzelnen Ländern umgesetzt sein muss.

Was die Grundverordnung in groben Zügen vorgibt, füllt die E-Privacy-Verordnung konkret aus: Betroffen sind nicht nur sämtliche Web-Dienste, sondern auch Geräte des „Internets der Dinge“, also Smart-TV-Geräte, digitale Stromzähler, Wearables und ähnliches mehr. Auch Telefonie-ähnliche Internet-Dienste wie Skype und Whatsapp, die bislang von der Regulierung ausgenommen wurden, müssen nun die neuen Vorgaben befolgen. Eine nationale Anpassung soll es nicht mehr geben, weil es sich um eine Verordnung, nicht um eine Richtlinie handelt.

Oberflächlich werden dies Internetnutzer_innen zunächst am allmählichen Verschwinden der Cookie-Banner bemerken: So müssen die Website-Betreiber die Nutzer_innen nicht mehr darüber informieren, wenn sie ein Cookie auf deren Rechner platzieren, das lediglich Konfigurationszwecken dient. Das ist etwa dann der Fall, wenn Shopping-Portale sich frühere Klicks merken, um einen Warenkorb zu befüllen. Auch entfällt die Informationspflicht, wenn Nutzer_innen über ihren Internetbrowser automatisch mit dem Do-Not-Track-Mechanismus signalisieren können, ob sie Cookies des direkt besuchten Anbieters akzeptieren, jedoch Cookies von Drittanbietern blockieren möchten.

Damit räumt die Verordnung technischen Privacy-Lösungen erstmals Vorrang vor juristischen Regelungen wie dem Einholen der Einwilligung der Nutzer_innen ein. Allerdings schwächte die EU-Kommission auf Lobby-Druck die Vorgaben im Vergleich zu einem im Dezember geleakten Vorentwurf deutlich ab.

Bisher hat die Werbeindustrie solche technischen Einstellungen straflos ignoriert. Damit wird künftig Schluss sein – Verstöße gegen die Verordnung können teuer zu stehen kommen: Der Sanktionsrahmen der e-Privacy-Verordnung entspricht nämlich der Datenschutzgrundverordnung. Die Datenschutzaufsichtsbehörden können Strafen in Höhe bis zu 4 Prozent des Jahresgesamtumsatzes eines Unternehmens verhängen.

Strengere Regeln gibt es auch für Kommunikationsdaten, die nur dann genutzt werden dürfen, wenn sie anonymisiert wurden oder die Nutzer_innen ausdrücklich eingewilligt haben. Darunter kann man sich beispielsweise Ortsdaten vorstellen, die Auskunft darüber geben, wo sich ein Smartphone zu einem bestimmten Zeitpunkt befunden hat. Solche Daten wollen derzeit beispielsweise Telekommunikationsanbieter an Betriebe des öffentlichen Nahverkehrs vermarkten, damit diese ihre Fahrpläne optimieren können. Die Datenverarbeiter müssen überdies Metadaten umgehend löschen oder anonymisieren, wenn die Datenübertragung abgeschlossen ist oder die Metadaten für Abrechnungszwecke nicht mehr benötigt werden.

Für GoogleMail und ähnliche Dienste, die auf individuell zugeschnittene Werbeangebote setzen, liegt die Latte künftig noch höher. Denn die EU-Kommission sieht ein hohes Grundrechtsrisiko, wenn Inhalte elektronischer Kommunikation wie Mail- oder Messaging-Nachrichten analysiert werden. Hier müssen die Betreiber vorab die Datenschutz-Aufsichtsbehörden konsultieren, bevor sie die ausdrückliche Einwilligung der Nutzer_innen einholen. Die Konsultation ist keineswegs unverbindlich: Die Anbieter müssen sich an die Empfehlungen der Behörden halten. Nutzer_innen dürfen außerdem jederzeit ihre Einwilligung zurücknehmen, wobei der Anbieter sie daran jedes halbe Jahr erinnern muss.

Die EU-Kommission konnte sich nicht mit allen ihren Vorstellungen gegenüber der Unternehmens- Lobby durchsetzen. So musste sie sogar den Begriff „Privacy by Design“ aus Artikel 10 komplett streichen. Ursprünglich hatte der Artikel von den Software-Herstellern verlangt, ihre jeweilige Software mit den datenschutzfreundlichsten Einstellungen auszuliefern. Nun muss die Software lediglich bei der Installation die Nutzer_innen über die möglichen Privatsphäre-Einstellungen informieren und von ihnen die Einwilligung für die Einstellungen abverlangen. Haben Nutzer_innen ihre Einwilligung bereits erteilt, müssen die Hersteller diesen Vorgang über ein Softwareupdate spätestens bis zum August 2018 nachholen. Da viele Nutzer_innen bei der Installation oftmals den bequemsten und schnellsten Weg wählen, dürfte das den Datenverarbeitern in die Hände spielen.

Fragwürdig ist auch die Entscheidung der Kommission, Ortsdaten, die nicht im Kontext einer Dienstleistung generiert werden, nicht direkt als schützenswerte Metadaten zu sehen. Betroffen sind Anbieter sogenannter Heatmaps, die auf Ortsdaten basieren. Sie dürfen demnach solche Daten ohne Einwilligung der Betroffenen erheben und verarbeiten. Um zu verhindern, dass diese Daten später Personen zugeordnet werden, schreibt die Kommission im Falle eines hohen Grundrechtsrisikos eine Datenschutzfolgeabschätzung vor. Werden die Daten wiederholt erfasst, müssen die Nutzer_innen darüber informiert werden. Auch muss der Datenerfasser darüber aufklären, wie Nutzer_innen die Datensammlung verhindern können. Damit vermeidet die Kommission eine Regelung, die unmittelbar und sofort gelten würde. Angesichts diverser De-Anonymisierungstechniken lässt sich das verbleibende Grundrechtsrisiko nur schwer einschätzen.

Als rechtswidrig wurde bereits der Versuch der Kommission eingestuft, das Blockieren von Adblocker-Nutzern durch Verlagswebsites zu erlauben. Denn eine solche Ausnahmeregelung würde dem Kopplungsverbot der Datenschutzgrundverordnung in Artikel 7 (4) widersprechen. Demnach darf eine verweigerte Einwilligung nicht zu einer allgemeinen Nutzungsblockade führen. Den Verlagen versucht die Kommission ebenfalls in Sachen Direktmarketing entgegen zu kommen. Auch hier ist eine Ausnahmeregelung vorgesehen, wonach E-Mail-Kontaktdaten ohne separate Einwilligung verwendet werden dürfen, wenn es bereits eine „Kundenbeziehung“ zwischen Anbieter und Nutzer gibt. Im Falle einer unerwünschten Newsletter-Flut müssen Kund_innen also selbst jeden Newsletter wieder abbestellen.

 

nach oben

Weitere aktuelle Beiträge

Sicher ist sicher: Eigene Adressen sperren

Journalist*innen sind in den vergangenen Jahren vermehrt zum Ziel rechter Angriffe geworden. Die Zahl tätlicher Übergriffe erreichte 2024 einen Rekordwert, so eine aktuelle Studie des Europäischen Zentrums für Presse- und Medienfreiheit (ECPMF) in Leipzig. Die Autoren benennen die extreme Rechte als strukturell größte Bedrohung für die Pressefreiheit. Einschüchterungen oder sogar körperliche Übergriffe geschehen mitunter direkt an der eigenen Haustür. Den damit verbundenen Eingriff in das Privatleben empfinden Betroffene als besonders belastend.
mehr »

ARD schützt ihre Inhalte vor KI

Die ARD hat ihren Umgang mit Anbietern von KI geändert. Seit Ende Mai dürfen Unternehmen wie etwa Open AI, Perplexity oder Google (Gemini) Inhalte aus den Online-Angeboten der ARD nicht mehr nutzen, um damit ihre KI-Systeme zu trainieren. Das bestätigte der Senderverbund auf Nachfrage. Die ARD hat nun in ihre Webseiten einen sogenannten maschinenlesbaren Nutzungsvorbehalt technisch eingebaut. Damit wird KI-Crawlern signalisiert, dass sie die Inhalte dieser Angebote nicht verwenden dürfen.
mehr »

Rechtes Rauschen im Blätterwald

Ob Neuerscheinungen, Zusammenlegungen, Relaunches oder altgediente rechte Verlage: Was die Periodika der Neuen Rechten, ihrer Parteien, Organisationen oder auch einflussreicher kleinerer Kreise anbetrifft, lässt sich gerade angesichts des rechtspopulistischen Aufschwungs der letzten etwa 20 Jahre viel Bewegung ausmachen.
mehr »

Rechtssicherer Einsatz von KI

Die Bundesländer wollen den Einsatz von Künstlicher Intelligenz (KI) bei der Medienaufsicht rechtssicher machen. Vorgesehen sei, im Medienstaatsvertrag eine gemeinsame Regelung einzufügen, „die einen klaren Rahmen für den bundesweiten Einsatz technischer Hilfsmittel in der Aufsicht schafft“, erklärte NRW-Medienminister Nathanael Liminski (CDU). Zu den Regelungsentwürfen ist am 23. Juni 2025 eine öffentliche Anhörung gestartet worden.
mehr »