Das Ende der Cookie-Ära: Die ePrivacy-Verordnung

Die ePrivacy-Verordnung soll die Regularien der DSGVO konkretisieren: Genauer gesagt handelt es sich dabei um eine europaweite Regelung, die die Privatsphäre der BürgerInnen stärken und den Datenschutz intensiver regulieren soll. Gerade für Kommunikatoren bzw. Marketer ist die Verordnung relevant, da ihre Durchsetzung zu Veränderungen in den Bereichen E-Mail- und Telefon-Marketing, Tracking und Cookies, Maschine-zu-Maschine-Kommunikation und Online-Shopping führt. Welche Bereiche berührt werden, zeigen wir in dieser News.

Die Verordnung löst die bisherige E-Privacy-Richtlinie ab, die der deutsche Gesetzgeber bisher größtenteils im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) umsetzt.

Was beinhaltet die ePrivacy-Verordnung?

Grundsätzlich sieht die ePrivacy-Verordnung vor, dass vor jeder Operation zum Schreiben oder Lesen von Cookies und anderen Trackern die Zustimmung der BenutzerInnen eingeholt werden muss. Dies soll die Privatsphäre schützen bzw. dem Datenschutz dienen und über spezifische Browser-Regelungen erfolgen. Die Einwilligung der Nutzer:innen ist immer dann für eine Datenspeicherung oder einen Datenzugriff nötig, wenn diese zur Verfügungstellung des Dienstes nicht unbedingt erforderlich sind.

Wer ist davon betroffen?

Prinzipiell richten sich die Regularien der ePrivacy-Verordnung an Unternehmen der Digitalwirtschaft, darunter insbesondere an Softwareanbieter, wie beispielsweise von WhatsApp, Skype, Website Betreiber und an alle Werbetreibenden.

Auswirkungen der e-Privacy-Verordnung auf das Marketing

E-Mail-Marketing

Für das E-Mail-Marketing stehen – zumindest in Deutschland – keine Veränderungen an. Dies sieht für andere EU-Länder allerdings anders aus: Wo früher ein Opt-Out, also das Speichern der Daten von Nutzer:innen, ohne aktiven Widerspruch erfolgte, ist nun ein Opt-In, also eine aktive Zustimmung der Nutzer:innen notwendig. Nutzer:innen würden einen Newsletter im Idealfall nur dann erhalten, wenn sie die Anmeldung auch bestätigt haben. Auf diese Weise soll verhindert werden, dass NutzerInnen belanglosem Spam ausgesetzt werden, der für sie uninteressant ist.

Tracking & Cookies

Weitere Maßnahmen zielen auf das Tracking ab. Smartphones, Computer oder sonstige Endgeräte von Nutzer:innen sollen künftig besser geschützt werden. Gemäß ePrivacy-Verordnung 2021 ist die Zustimmung der Endnutzer erforderlich, bevor irgendeine Art von Daten von den Computern oder Smartphones der Nutzer verarbeitet wird. Allerdings wird nicht jede Datenverarbeitung im Zusammenhang mit der Nutzung von Endeinrichtungen einer Einwilligung bedürfen: Technisch notwendige Session-Cookies oder Tools zur Reichweitenmessung sollen auch ohne Einwilligung der Nutzer weiterhin eingesetzt werden dürfen. Des Weiteren sollen Nutzer:innen, wie bereits erwähnt, in Zukunft im Sinne einer Opt-In Lösung für jeden Cookie-Einsatz verpflichtend ihre Zustimmung erteilen. Auch Browser sollen künftig in der vorab festgelegten Einstellung Cookies sperren und diese nur im Ausnahmefall ermöglichen. Dieser ist nur dann gegeben, wenn der Nutzer bewusst die Aktivierung der Cookies zulässt. Dies erfordert Alternativen bei Trackingtechniken jenseits der 3rd Party Cookies.

Webanalyse-Tools

Klassische Webtools wie Google Analytics oder Piwik sind zwar genauso wie Cookies, Fingerprints oder ähnliche Technologien von der ePrivacy Regelung umfasst, allerdings ist die Form dieses Trackings zulässig, solange es zur Besuchermessung durchgeführt wird.

Die Nutzung von Google Analytics bleibt weiterhin möglich, solange Websitebetreibe:innen mit Google einen Vertrag zur Auftragsdatenverarbeitung abgeschlossen haben – nur dann wird das Tracking auch den Websitebetreiber:innen zugeordnet. Da der Abschluss eines Vertrages zumindest in Deutschland Voraussetzung ist, würde sich hierzulande diesbezüglich nichts ändern. Mehr dazu hier.

Online-Shopping

Benutzer:innendaten dürfen im Hinblick auf das Online-Shopping nicht mehr für Werbezwecke genutzt werden. Des Weiteren müssen Nutzer:innen zukünftig informiert werden, welche Daten zu welchem Zweck aufgenommen werden. Eine Zustimmung, die versteckt in den AGBs ist, soll nicht mehr möglich sein oder an andere Texte gekoppelt werden.

Maschine-zu-Maschine-Kommunikation

Darüber hinaus soll ebenfalls die Maschine-zu-Maschine-Kommunikation eingeschränkt werden. Hier sind vor allem „Over-The-Top-Dienste der Kategorie 1“ wie beispielsweise die Messenger- und VoIP-Dienste WhatsApp, Skype, und E-Mail-Dienste betroffen. Konkret dürfen Geräte wie Smartphones nur noch persönliche Daten übermitteln, wenn die Nutzer:innen zugestimmt haben. Dies bezieht sich insbesondere auf die Übertragung von GPS-Daten. Außerdem verlangt Artikel 8 Abs. 2b der ePrivacy-Verordnung, dass eine Hinweispflicht gemäß Artikel 13 DSGVO bei jeder Maschine-zu-Maschine-Kommunikation erfolgen muss. Dabei darf es sich nicht nur um einen Hinweis auf die Möglichkeiten zur Minimierung, sondern auch zur Beendigung der Erhebung von personenbezogenen Daten handeln.

Ende-zu-Ende-Verschlüsselung

Die ePrivacy-Verordnung soll sich künftig nicht mehr nur auf das Abgreifen persönlicher Daten durch Unternehmen beschränken. Auch das Eingreifen von staatlicher Seite wird in Zukunft in Bezug auf Chats stärker reglementiert. Die Regierung erhält auf diese Weise nur noch einen eingeschränkten Zugang: Die Datenübertragung soll vollständig im Sinne einer Ende-zu-Ende-Verschlüsselung geschützt werden. Auch die Einrichtung von sogenannten Backdoors, also Hintertüren, die die Hersteller einbauen, um Regierungen einen Zugang zu gewähren, wären laut ePrivacy-Verordnung illegal.

Telefonmarketing

An dieser Stelle bewegt sich die ePrivacy-Verordnung vom Internet weg: Neben dem E-Mail-Marketing wird auch das Telefonmarketing stärker reglementiert. So sollen Anrufe zu Werbezwecken in Zukunft nur noch dann erlaubt sein, wenn Anrufende ihre Nummer offenbaren oder einen verbindlichen Code verwenden, um zu signalisieren, dass es sich um einen Werbeanruf handelt.

Wann kommt die ePrivacy-Regulation?

Seit April 2016 wird über die ePrivacy-Verordnung diskutiert, allerdings ist man bislang zu keinem verbindlichen Ergebnis gekommen. Ein erster Entwurf wurde bereits im Januar 2017 veröffentlicht. Seitdem hat sich der Start der ePrivacy-Verordnung allerdings immer wieder verschoben, bis sie sogar kurz vor dem Aus stand. Der Grund: Es gab Differenzen zwischen den EU-Staaten, beispielsweise über Regeln bezüglich des Nutzer-Trackings, Cookies und den Umgang mit Verbindungs- sowie Standortinformationen. 2021 hängt die ePrivacy-Verordnung immer noch in der Schwebe – allerdings hat die portugiesische Ratspräsidentschaft kurz nach ihrem Amtsantritt im Januar 2021 einen Neuentwurf der ePrivacy-Verordnung vorgelegt, der durch den EU-Rat beschlossen wurde. Falls dieser Entwurf alle EU-Gremien passieren und in eine Verordnung umgesetzt werden sollte, dauert es allerdings immer noch, bis die Verordnung in Kraft tritt. Derzeit gibt es kein finales Datum.

Kritik

Die ePrivacy-Verordnung wird vor allem wegen negativer Auswirkung auf die Finanzierung der Online-Medien kritisiert, da diese aufgrund ihrer Abhängigkeit von Werbeeinblendungen als gefährdet eingestuft werden. Weiter wird von einer Überforderung der Nutzer:innen ausgegangen: Anders als vorher vermutet man, dass für jede einzelne Übertragung eine spezifische Zustimmung gegeben werden muss. Des Weiteren gibt es Widersprüche zur DSVGO-Verordnung, weshalb die Möglichkeit besteht, dass die neue Verordnung keine Klarheit hinsichtlich des Datenschutzes bietet, sondern es eher zur Rechtsunsicherheit führt. Wann die Verordnung letztendlich in Kraft treten wird, bleibt abzuwarten. Fest steht auf jeden Fall, dass sie zu massiven Einschränkungen innerhalb des Trackings führen wird.

Angesichts der ePrivacy-Verordnung glauben wir, dass guter Content, der organischen Traffic bekommt, weil er Mehrwerte liefert, immer wichtiger wird. Wir unterstützen Sie gerne bei Ihrer Content Creation!