Constantin Jacob, Leiter Recht & Regulierung und Verbandsjustitiar im Customer Service & Call Center Verband Deutschland e. V. (CCV)
Die ePrivacy-Verordnung wird die Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG, auch ePrivacy-Richtlinie genannt) sowie die sogenannte Cookie-Richtlinie (2009/136/EU) ablösen. Ursprünglich sollte sie parallel mit der Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 anwendbar sein. Dies war zeitlich aufgrund unterschiedler Ansichten der EU-Mitgliedstaaten nicht zu halten.
Die ePrivacy-Verordnung zielt auf den Schutz personenbezogener Daten im Bereich der elektronischen Kommunikation, konkret in erster Linie im Internet. Sie dient dem Zweck, die Vertraulichkeit in diesem Bereich sicherzustellen. Neben der ab Mai 2018 europaweit für analoge und digitale Daten geltende DSGVO sollen verschärfte Vorgaben in der elektronischen Kommunikation gelten. Die DSGVO schützt natürliche Personen bei der Verarbeitung personenbezogener Daten. Dagegen hat die ePrivacy-Verordnung den speziellen Schutz des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation im Fokus. Im Gegensatz zur DSGVO regelt die ePrivacy-Verordnung demnach einen speziellen Bereich, in dem personenbezogene Daten geschützt werden.
Die ePrivacy-Verordnung soll damit die Privatsphäre bei der Nutzung elektronischer Kommunikationsdienste wie Websites im Internet unmittelbar EU-einheitlich regeln und würde nationale Regelungen wie z. B. zur Nutzung von Cookies und ähnlichen Technologien ablösen und ersetzen (so auch das TTDSG, das in Deutschland Ende Mai 2021 beschlossen wurde).
Sobald die endgültige Fassung der ePrivacy-Verordnung feststeht, informiert der CCV seine Mitglieder nach Login im unteren Bereich („Wissen“) exklusiv über wesentliche Inhalte.
Zeitlicher Ablauf:
2016
Im April starteten die öffentlichen Konsultationen zur damals zunächst als Richtlinie geplanten Regelung, welche im Juli 2016 ihren Abschluss fanden. EU-Richtlinien bedürfen im Gegensatz zu EU-Verordnungen eines nationalen Umsetzungsakts. Im September 2016 veröffentlichte die EU-Kommission die Ergebnisse der Konsultationen.
2017
Am 10. Januar 2017 stellte die EU-Kommission einen heftig kritisierten Entwurf zu den neuen ePrivacy-Regeln vor. Anders als zunächst geplant sind diese als Verordnung konzipiert und damit – im Gegensatz zu EU-Richtlinien – unmittelbar in den EU-Mitgliedsstaaten anwendbar. Es folgten Änderungsvorschläge der EU-Ausschüsse und im Dezember 2017 jene des EU-Rats.
2018
Im Mai 2018 veröffentlichte der Rat der EU einen neuen Entwurf. Änderungen betrafen z. B. die Cookie-Regelungen. Die Europäische Datenschutzauschusses (EDPB) nahm hierzu Stellung. Im Oktober erfolgte die Veröffentlichung eines weiteren Entwurfs durch den Rat der EU.
2019
Ende November 2019 lehnten die EU-Mitgliedstaaten mehrheitlich einen Kompromissentwurf der finnischen Ratspräsidentschaft ab. Anfang Dezember 2019 stellte die EU-Kommission eine Neuausrichtung der Verhandlungen in Aussicht. Der CCV unterstützt angesichts der festgefahrenen Verhandlungen zur ePrivacy-Verordnung eine entsprechende Neuausrichtung, zumal aktuell die Evaluierung der DSGVO stattfindet, deren Ergebnisse zunächst abgewartet werden sollten. Wann bzw. ob überhaupt die ePrivacy-Verordnung in Kraft tritt, ist ungewiss. Mit einem Inkrafttreten vor 2021 und einer zwingenden Anwendbarkeit vor 2023 ist jedenfalls nicht mehr zu rechnen.
2020
Im ersten Halbjahr hatte Kroatien die EU-Ratspräsidentschaft inne. In dieser Zeit war u. a. die COVID-19-Pandemie ein Schwerpunkt, während weitere Verhandlungen zu ePrivacy-Verordnung in den Hintergrund rückten. Zwar machte Kroatien Änderungsvorschläge und fragte die Positionen der EU-Mitgliedstaaten ab, Weichenstellungen erfolgten jedoch nicht. Im zweiten Halbjahr übernahm Deutschland die EU-Ratspräsidentschaft (Programm als PDF). Kurz danach erfolgten erste Konsultationen. Ziel war es, so weit Einigkeit zwischen den EU-Mitgliedstaaten zu erreichen, dass im weiteren Verlauf die Trilogverhandlungen (Verhandlungen zwischen Europäischer Kommission, Rat der Europäischen Union und Europäischem Parlament) beginnen können. Besonders im Fokus standen die Regelungen zum Schutz der elektronischen Kommunikation (Artikel 6) und zum Schutz der Endgeräte der Endnutzer (Artikel 8). Anfang November veröffentlichte Deutschland seinen ersten Kompromissvorschlag für die ePrivacy-Verordnung. Der Kompromisstext wurde schließlich Mitte November von der Mehrheit der EU-Mitgliedstaaten abgelehnt. Somit brachte auch die deutsche EU-Ratspräsidentschaft – nach den Erfahrungen der letzten Jahre erwartungsgemäß – keinen Durchbruch. Im ersten Halbjahr 2021 wird Portugal die EU-Ratspräsidentschaft übernehmen. Es bleibt abzuwarten, ob in diesem Rahmen abermals der Versuch einer Einigung unternommen wird. Selbst wenn dies der Fall sein sollte und sich zudem die EU-Mitgliedstaaten einigen würden, würde die ePrivacy-Verordnung – eine zweijährige Übergangsfrist analog zur DSGVO einst vorausgesetzt – voraussichtlich nicht vor 2024 zwingend anzuwenden sein. Im zweiten Halbjahr 2021 übernimmt Slowenien die EU-Ratspräsidentschaft.
2021
Im Februar 2021 einigte sich der Europäische Rat überraschend schnell auf den portugiesischen Entwurf (PDF) zur ePrivacy-Verordnung. Dieser enthält vielfältige Ausnahmen von der bisher enthaltenen Einwilligungspflicht für die Nutzung von Cookies und ähnlichen Technologien, die auf Informationen im Endgerät (wie einem Computer oder Smartphone) zugreifen oder diese darauf speichern. Der Entwurf ist damit wesentlich weiter gefasst weit als der strengere deutsche Entwurf aus dem letzten Jahr. So soll auch ohne Einwilligung des Nutzers der Zugriff auf oder die Speicherung von Informationen im Endgerät insbesondere für die Bereitstellung eines elektronischen Kommunikationsdienstes, zur Bereitstellung eines vom Nutzer gewünschten Dienstes (z. B. Vertragserfüllung), zur Zielgruppen-Messung, zu Sicherheitszwecken und zur Verhinderung von Betrug und technischen Fehlern zulässig sein. Vor allem die Ausnahme für die Zielgruppen-Messung ist für viele Werbetreibende von großer Bedeutung. Hierdurch würde der Betrieb von Websites und Apps, die auf Werbeeinnahmen angewiesen sind, deutlich vereinfacht. Der Bundesdatenschutzbeauftragte kritisierte den neuen Entwurf aufgrund der zahlreichen Ausnahmen scharf. Inwieweit der portugiesische Entwurf in der weiteren Entwicklung Bestand haben wird, ist unklar. Er wird nun zunächst gemeinsam mit dem EU-Parlament, das sich strengere Regelungen wünschen dürfte, und der EU-Kommission verhandelt.
Diese Fragestellung sowie weitere Themen werden auch ausführlich in der am 5. April 2022 veröffentlichten CCV-Publikation „Datenschutz- und Wettbewerbsrecht im Kundenservice“ erörtert.
Stand: 6. April 2022
