Alles über die ePrivacy-Verordnung

Die ePrivacy-Verordnung ist auf dem Vormarsch: 2019 soll sie in Kraft treten – und einiges im digitalen Marketing verändern. Ihr fragt euch, was euch als Publisher damit erwartet? Und wie ihr die neuen Richtlinien fehlerfrei einhaltet? Wir beantworten die wichtigsten Fragen.

Was hat es mit der ePrivacy-Verordnung auf sich?

Wie ihr wisst, regelt die ePrivacy-Richtlinie bereits seit 2002, wie Netzanbieter mit Daten umgehen. Diese sorgt dafür, dass Provider etliche Informationen – zum Beispiel von Telefonaten und E-Mails – vertraulich behandeln. In 2018 kam die Datenschutz-Grundverordnung (DSGVO) hinzu, die reglementierte, wie personenbezogene Daten zu nutzen sind. Nun erweitert die neue ePrivacy-Verordnung (ePrivacy-VO oder einfach EPVO) die bisherigen Vorschriften um einen ganzen Satz an Regeln. Damit wird sie den Datenschutz vereinheitlichen.

ePrivacy vs. DSGVO: Was ist was?

Die EPVO ist sozusagen die nächste Stufe der DSGVO. Doch wo genau liegt eigentlich der Unterschied zwischen der bisher wirkenden DSGVO und der kommenden ePrivacy-VO? Das ist einfacher als gedacht – und klar definiert:

Die DSGVO schützt Daten natürlicher Personen. Sie verpflichtet Webseitenbetreiber, ihre Besucher verständlich darüber zu informieren, dass sie Daten erheben und verwerten. Diesen Prozess müssen User vorher einwilligen, erst dann können Publisher Tracking-Verfahren inkl. Cookies einsetzten – also die Online-Aktivitäten der Besucher verfolgen.

Die ePrivacy-Verordnung soll die personenbezogenen Daten explizit in der elektronischen Kommunikation vor Datenmissbrauch schützen. Damit ist es nicht genug: Seit der Cookie-Richtlinie von 2009 zählen hierzu auch Surfen, Shoppen und Spielen.

An vielen Stellen überschneiden sich die beiden Verordnungen. Die DSGVO ist dabei als grundlegende Basis zu verstehen und die EPVO präzisiert die DSGVO als Spezialgesetz. Das heißt: Die DSGVO greift erst dann, wenn die EPVO vollzogen ist – und personenbezogene Daten vorliegen. Die EPVO ersetzt außerdem die ePrivacy-Richtlinie von 2002. Die beiden Datenschutz-Säulen ergänzen sich also und erhöhen die Sicherheit für die Nutzer.

Was regelt die ePrivacy-Verordnung konkret?

Aber: Was bedeutet das nun für Publisher? In erster Linie verschärft die EPVO die Regeln für Cookies und etwaige Tracking-Verfahren. Das bedeutet: Der alleinige Hinweis aufs Cookies-Setzen reicht rechtlich zukünftig nicht mehr aus. Die Inhalte der geplanten Verordnung sind zwar noch nicht final festgelegt. Ihr könnt aber von folgenden neuen Bestimmungen der ePrivacy-VO ausgehen:

1. „Privacy by Default“: Datenschutzfreundliche Voreinstellungen werden zum Standard – und sollen vor allem die weniger technikaffinen User schützen.

2. „Opt-in-Regelung“ Pflicht: In Zukunft dürft ihr Cookies erst dann setzen, wenn eure Besucher dem Prozess explizit zustimmen. Den Einsatz von Cookies können sie dann nicht mehr über entsprechende Browsereinstellung verhindern.

3. „Recht auf Vergessenwerden“: Alle sechs Monate dürfen die User erneut entscheiden, ob sie euch weiterhin ihre Einwilligung geben – oder nicht. Dafür müsst ihr eure Datenbanken so anlegen, dass jeder Datensatz daraus gezielt entfernt werden kann – auch aus Backups.

4. „Backdoors“: Ihr als Publisher sollt den sogenannten „Handel mit Hintertüren“ verhindern, indem ihr Daten nach dem aktuellsten Stand der Technik sichert – und so eure User vor unbefugtem Zugriff von außen schützt.

5. Schutz vor Tracking: Dafür werden umfassende Browsereinstellungen Pflicht. Die Ausgangssituation: Manche Programme nutzt der User zwar nicht aktiv, sie tracken aber sein Surfverhalten. So entstehen unwissentlich Bewegungsprofile. DAS wird illegal!

6. Transparenzpflicht: Habt ihr in Zukunft Anfragen von staatlichen Strafverfolgern, müsst ihr alle Dokumentationen und Daten offenlegen.

7. „Unerbetene Kommunikation“: Dazu zählt in erster Linie elektronische Direktwerbung, der Nutzer gemäß EPVO widersprechen können.

Wann kommt die ePrivacy?

Angedacht war ursprünglich, dass die EPVO gleichzeitig mit der DSGVO im Mai 2018 in Kraft tritt. Doch das Gesetzgebungsverfahren hat sich verzögert – durch den „Kampf“ unterschiedlicher Interessen: der des Datenschutzes und der Wirtschaft.

ePrivacy-Verordnung: aktueller Stand

Bis Mitte August 2018 konnten die EU-Mitgliedsstaaten zum ersten Entwurf Stellung nehmen. Die Verhandlungen laufen auf Hochtouren, so dass die ePrivacy-Verordnung frühestens Mitte 2019 in Kraft treten könnte. Mit Betonung auf „könnte“.

Atmet an der Stelle gelöst aus! Sollte es soweit sein, wird es auf jeden Fall eine Übergangsfrist geben. Deutschland hat bereits großzügig ein zweijähriges Zeitfenster vorgeschlagen. Ihr werdet also etwas Zeit haben, um euch Gedanken über mögliche Konsequenzen und nötige Schritte zu machen.

Tipp: Bereitet euch auf die neue Datenschutz-Ära frühzeitig vor und holt euch am besten Rat bei einem Profi. Denn: Diese haben bereits erfolgreiche Lösungen parat – zum Beispiel die sogenannten Consent Management Tools.

Damit seid ihr für alle neuen Gesetzgebungen bestens gewappnet – und erfüllt die komplexen DGSVO-Richtlinien sowie die der kommenden ePrivacy-VO.

Wie ihr seht: Das letzte Wort ist noch nicht gefallen. Es gilt, sich weiterhin zu informieren und abzuwarten!