Die unendliche Geschichte der E-Privacy-VO
Als die Europäische Kommission im Entwurf der “Verordnung (…) über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der RL 2002/58/EG” (E-Privacy-VO) vom 10. 1. 2017 das Geltungsdatum synchron zur Datenschutz-Grundverordnung (DSGVO) angab, hielten viele dies für ambitioniert. Als das Europäische Parlament (Martin Sonneborn sei Dank) am 26. 10. 2017 seinen modifizierten Entwurf verabschiedete, schien eine Geltung der E-Privacy-VO zeitnah zur DSGVO jedenfalls nicht ausgeschlossen. Seitdem sind über drei Jahre vergangen, ohne dass es der Rat der Europäischen Union geschafft hat, sich auf einen gemeinsamen Entwurf zu einigen. Die Mitgliedsstaaten sind zum Bremser der Modernisierung des EU-Datenschutzrechts geworden. Zur Erinnerung: Die E-Privacy-VO soll die DSGVO im sensiblen Bereich der elektronischen Kommunikation vervollständigen. Am 4. 11. 2020 legte Deutschland einen Vorschlag für einen Entwurf des Rates (E-Privacy-VO-E [Rat]) vor. Dieser wurde jedoch bereits am 11. 11. 2020 im Rat abgelehnt. Doch was waren die Spezifika und Probleme dieses Entwurfs?
Die E-Privacy-VO soll den Schutz der Rechte und Freiheiten natürlicher Personen und insbesondere deren Recht auf Achtung des Privatlebens und ihrer Kommunikation gewährleisten (s. Art. 1 Abs. 1 E-Privacy-VO-E [Rat], ErwGr. 1). Auch juristische Personen sind hinsichtlich des Schutzes ihrer Kommunikation erfasst (s. Art. 1 a E-Privacy-VO-E [Rat]). Der für die Abgrenzung zur DSGVO bedeutende sachliche Anwendungsbereich umfasst nach Art. 2 Abs. 1 E-Privacy-VO-E (Rat):
die Verarbeitung des Inhalts und der Metadaten elektronischer Kommunikation im Zusammenhang mit der Bereitstellung und Nutzung elektronischer Kommunikationsdienste (lit. a);
Informationen über/aus Endgeräten von Endnutzern (lit. b);
die Bereitstellung öffentlich zugänglicher Verzeichnisse der Nutzer elektronischer Kommunikation (lit. c); und
die Übermittlung von Direktwerbung an Endnutzer mittels elektronischer Kommunikation (lit. d).
Allerdings bestand weiterhin eine Diskrepanz zwischen dem Grundsatz in Art. 5 E-Privacy-VO-E (Rat), wonach elektronische Kommunikationsdaten (d. h. Inhalt und Metadaten) gegenüber jedermann (außer den betroffenen Endnutzern) vertraulich sind, soweit nicht in der E-Privacy-VO anderweitig geregelt, und der Tatsache, dass die wesentlichen Ausnahmetatbestände in Art. 6-6 b E-Privacy-VO-E (Rat) nur für Betreiber elektronischer Kommunikationsnetze und -dienste gelten, nicht jedoch für andere relevante Beteiligte, wie z. B. Anbieter von Diensten der Informationsgesellschaft (also Telemedien wie Webseiten oder Apps). Bedeutet dies, dass das System aus Verbot und Erlaubnis in Art. 5-6 b E-Privacy-VO-E (Rat) ohnehin allein für Betreiber elektronischer Kommunikationsnetze und -dienste gelten soll und Anbieter von Diensten der Informationsgesellschaft diesbezüglich allein der DSGVO unterliegen? Oder ist die Verarbeitung elektronischer Kommunikationsdaten für Anbieter von Diensten der Informationsgesellschaft per se ausgeschlossen? Dies sollte im weiteren Gesetzgebungsverfahren dringend klargestellt werden, um jahrelange gerichtliche Auseinandersetzungen über das Verhältnis zwischen E-Privacy-VO und DSGVO zu vermeiden. In jedem Fall war die Streichung der Interessenabwägung in Art. 6 Abs. 1 lit. e E-Privacy-VO-E (Rat) für den Bereich des Online-Trackings nicht weiter relevant; der Erlaubnistatbestand hätte ohnehin nicht für Betreiber von Webseiten oder Apps gegolten.
Für Betreiber von Webseiten und Apps deutlich relevanter sind die Regelungen in Art. 8 Abs. 1 E-Privacy-VO-E (Rat) zur Nutzung der Verarbeitungs- und Speicherfunktionen von Endgeräten sowie der Erhebung von Informationen aus Endgeräten, da diese Anforderungen – wie auch die Regelungen zu Direktmarketing in Art. 16 E-Privacy-VO-E (Rat) – unstreitig für alle Unternehmen gelten. Was den Einsatz von Cookies, Pixeln und anderen Tracking-Tools betrifft, wollte die E-Privacy-VO-E (Rat) den Art. 5 Abs. 3 E-Privacy-Richtlinie modernisieren, indem in Art. 8 Abs. 1 E-Privacy-VO-E (Rat) auch ausdrücklich Zwecke wie Reichweitenanalyse (lit. d) sowie IT-Sicherheit und Betrugsprävention (lit. da) aufgenommen bzw. beibehalten wurden. Wünschenswert wäre es allerdings, die Zulässigkeit von Tracking-Walls bei Webseiten und die Privilegierung werbefinanzierter journalistischer Angebote verbindlich zu regeln und nicht lediglich in die unverbindlichen Erwägungsgründe (s. ErwGr. 20 f.) aufzunehmen.
RA Jan Spittka, Köln
