ePrivacy-Verordnung – was bedeutet sie datenschutzrechtlich für Unternehmen?
Zusammenfassung
Die ePrivacy-Verordnung ist eine Ergänzung der Datenschutz-Grundverordnung (DSGVO). Sie soll nach Inkrafttreten personenbezogene Daten von Internetnutzern und deren Endeinrichtungen wie Smartphones und Computer schützen, indem sie z. B. den Datenabfluss durch Cookies und andere Tracking-Formen einschränkt.
Auf einen Blick
- Die ePrivacy-Verordnung (ePVO) ergänzt die europäische Datenschutz-Grundverordnung (DSGVO).
- Die Verordnung soll personenbezogene Daten in der elektronischen Kommunikation schützen.
- Sie sollte gemeinsam mit der DSGVO im Mai 2018 in Kraft treten – Stand jetzt gilt sie frühestens ab 2021.
- Für Unternehmen kann sie strengere Regulierungen bei Datenschutz, Cookie-Verwendung und Speicherung von Nutzerdaten bedeuten.
- Setzen Unternehmen die Regelungen der ePVO nicht konform um, drohen Bußgelder von bis zu 20 Mio. Euro bzw. von bis zu 4 % des Umsatzes des vergangenen Geschäftsjahres.
- Durch die Unterstützung eines Anwalts für Datenschutz und der frühzeitigen Optimierung nach ePVO können Unternehmen sich absichern.
1. Die ePrivacy-Verordnung im Überblick
Die neue ePrivacy-Verordnung (ePVO) soll den Rechtsrahmen für Online-Datenverarbeitung europaweit vereinheitlichen und personenbezogene Daten wie z. B. Name, Adresse, Einkommen und Gesundheitsdaten eines Nutzers schützen.
Die Verordnung soll die alte ePrivacy-Richtlinie von 2002 ersetzen, da diese nicht mehr den aktuellen Entwicklungen in Wirtschaft, Technik und der Digitalbranche entspricht.
Über die neue ePrivacy-Verordnung verhandeln die EU-Staaten bereits seit 2017. Eigentlich sollte sie gemeinsam mit der DSGVO im Mai 2018 in Kraft treten – doch das verzögert sich immer weiter.
Warum verzögert sich die Verordnung?
Das Gesetzgebungsverfahren zur ePrivacy-Verordnung verzögert sich, weil sich die einzelnen EU-Länder bisher nicht auf einen gemeinsamen Entwurf einigen konnten.
Da die Verordnung unter europäisches Recht fällt, müssen sowohl EU-Kommission als auch Parlament und Rat jeweils einen eigenen Gesetzesvorschlag vorlegen. Die einzelnen Mitgliedstaaten müssen diesen Vorschlag absegnen – was bisher nicht geschehen ist.
Heftige Gegenwehr aus der Wirtschaft führte dazu, dass die EU die ePVO erst einmal außer Kraft setzte.
Was ändert die ePrivacy-Verordnung im Vergleich zur DSGVO?
Grundsätzlich ändert die neue ePrivacy-Verordnung im Vergleich zur DSGVO nichts – denn sie ist kein neues Gesetz, sondern eine Ergänzung der Datenschutz-Grundverordnung.
Die DSGVO sichert Bürgern das Recht auf den Schutz personenbezogener Daten wie z. B. den Schutz von Patientendaten in Form einer konformen DSGVO in Arztpraxen. Die ePrivacy-Verordnung hingegen bezieht sich auf den Schutz personenbezogener Daten in der elektronischen Kommunikation – d. h. sie betrifft Geräte, Browser, Verarbeitungstechniken und Speicherung.
Die ePrivacy-Verordnung ist sozusagen die 2. Stufe. Als eine Art Spezialgesetz hebt die Verordnung einige Regelungen der DSGVO auf.
2. Was regelt die ePrivacy-Verordnung?
Auch wenn die neue ePVO noch nicht in Kraft getreten ist, sind einige wesentliche Änderungen schon jetzt bekannt.
Die wichtigsten Regelungen im Überblick:
- Kopplungsverbot: Das bereits in der DSGVO existierende Kopplungsverbot betrifft auch die ePVO: Webseitenbetreiber dürfen demnach das Bereitstellen bestimmter Inhalte nicht mehr von einer Einwilligung in die Verwendung bestimmter Cookies abhängig machen.
- Tracking: Laut aktuellem Stand sieht der ePVO-Entwurf vor, dass das Online-Tracking von Usern auf Internetseiten – um z. B. deren Kaufverhalten zu analysieren – einer vorherigen Zustimmung bedarf. In Kombination mit dem Kopplungsverbot bedeutet dies, dass Internetseiten auch dann funktionieren müssen, wenn User Trackingmaßnahmen ablehnen.
- Datenspeicherung & -verarbeitung: Die Nutzung von Analyse-Tools wie Google Analytics ist nur zulässig, wenn der Nutzer ausdrücklich darin einwilligt. Das Sammeln von Informationen darüber, welche Geräte Nutzer verwenden, ist Betreibern von Webseiten untersagt.
- Recht auf „Vergessenwerden“: Der Nutzer erhält mit der neuen ePVO das Recht, eine bereits erteilte Einwilligung in die Verwendung seiner Daten alle 6 Monate widerrufen zu können. Unternehmen müssen Datenbanken daher so anlegen, dass sich auch einzelne Einträge entfernen lassen. Das gilt auch für Backups.
- Cookies: Die Nutzung und Speicherung von personenbezogenen Cookies soll für den User einfacher auf Webseiten erkennbar sein. Die Verwendung dieser Cookies bedarf ebenfalls einer vorherigen Zustimmung durch den Nutzer.
- Privatsphäre-Einstellungen: Browser-Anbieter und E-Mail-Provider müssen nach Anforderungen der ePrivacy-Verordnung die Einstellungen der Privatsphäre überarbeiten. Browser müssen deswegen für den Nutzer leichter zugänglich sein. Außerdem sind unbefugte Eingriffe von außen technisch nicht mehr möglich.
- Direkt-Werbung: Direktwerbung gegenüber Privatpersonen z. B. durch Werbeanrufe wird durch die ePVO zu einer „unerbetenen Kommunikation“ erklärt. Dies gilt auch dann, wenn die Person zuvor ein Produkt eines Unternehmens gekauft hat. Sie muss jederzeit die Möglichkeit haben, zukünftiger Werbung des Unternehmens zu widersprechen.
- Unterdrückung von Rufnummern: User sollen mit der neuen ePVO ihre Rufnummer einfach und kostenlos unterdrücken können. Dies ist in der Praxis zwar bereits der Fall – die Regelung umfasst aber auch, dass Anbieter Telefonnummern nur dann in öffentliche Telefonbücher aufnehmen dürfen, wenn sie sich zuvor die Zustimmung des Inhabers eingeholt haben bzw. wenn dieser der Verwendung nicht widerspricht.
Sie haben Fragen zur neuen ePrivacy-Verordnung? advocado findet für Sie den passenden Anwalt. Er kontaktiert Sie für eine kostenlose Ersteinschätzung zu Ihrem Anliegen. Jetzt Ersteinschätzung erhalten.
3. Was bedeutet das neue EU-Recht für Ihr Unternehmen?
Die Vorgaben der DSGVO werden von der ePrivacy-Verordnung vor allem bezüglich der Verwendung und Speicherung von Cookies, dem Datenschutz in Messengern und Direkt-Marketing konkretisiert.
Verwendung & Speicherung von Cookies
Eine der bedeutendsten Änderungen sieht die neue ePrivacy-Verordnung in Bezug auf die Verwendung personenbezogener Cookies vor. Bisher öffnet sich dazu auf Webseiten ein Kästchen, das die User zur Zustimmung der Verwendung von Cookies auffordert.
Die EU-Kommission will dieses Zustimmungsverfahren ändern – denn die meisten Internetnutzer sind sich nicht im Klaren, was genau sie tun, wenn sie das Kästchen anklicken. Nutzer sollen in Zukunft nur noch einmalig der Verwendung von Cookies zustimmen – wenn sie den Browser öffnen.
Die derzeit gängigen Cookie-Banner auf Webseiten reichen nach der neuen ePVO nicht mehr aus – denn die Zustimmung zur Speicherung und Nutzung von Cookies muss frei und aktiv geschehen. Wie das genau aussehen soll, ist bislang offen.
Ausgenommen von der vorherigen Einverständniserklärung sind Cookies, die technisch zwingend erforderlich sind. Auch die Inhalte ausgefüllter Formulare sowie von Online-Warenkörben dürfen weiterhin ohne Einwilligung gespeichert werden. Ebenfalls ausgenommen sind Cookies, die rein analytischen Zwecken dienen.
Datenschutz von Messenger-Diensten
Die ePrivacy-Verordnung sieht neben neuen Regelungen zur Verwendung und Speicherung von personenbezogenen Daten die Ausweitung des Datenschutzes auf u. a. folgende Kommunikationsdienste vor.:
- Messenger-Dienste (WhatsApp, Telegram)
- Videotelefonie (Skype)
- Webmail-Dienste (GMX, Gmail)
Die Anbieter sind dazu verpflichtet, die Kommunikation ihrer Endnutzer nach dem neuesten Stand der Technik zu verschlüsseln, um sie vor fremdem Zugriff zu schützen. Das Nutzungsverhalten dürfen die Dienste nur dann analysieren, wenn sie sich ein klares Einverständnis einholen.
Direkt-Marketing
Auch für das Direkt-Marketing sieht die neue ePrivacy-Verordnung eine vorherige Zustimmung der Nutzer vor. Ohne Einwilligung des Users wäre somit direktes Werben von Kunden durch Werbeanrufe oder E-Mails unzulässig.
Wurde die E-Mail-Adresse des Kunden jedoch DSGVO-konform erlangt, dürfen Unternehmen die Daten für eigene Werbezwecke verwenden. Unklar ist, ob und wie die einzelnen EU-Länder den Zeitraum der personenbezogenen Datenverwendung durch Unternehmen begrenzen können.
Ähnliches gilt für das Telefonmarketing: Die EU-Länder sollen in der ePrivacy-Verordnung bestimmen können, wann telefonische Werbeanrufe zulässig sind – beispielsweise wenn der Anruf durch mitgesendete Vorwahlen oder Symbole eindeutig als Werbeanruf gekennzeichnet ist.
Ein erfahrener advocado Partner-Anwalt für Datenschutzrecht kann Sie in einer kostenlosen Ersteinschätzung über die wichtigsten Regelungen informieren und Ihnen mögliche vorbereitende Maßnahmen zeigen. Jetzt Ersteinschätzung erhalten.
4. Welche Konsequenzen drohen Unternehmen bei Missachtung der ePVO?
Missachten Unternehmen die Regelungen der neuen ePrivacy-Verordnung, drohen Sanktionen. Noch ist nicht sicher, welche Verstöße mit welchen Strafen durch die Aufsichtsbehörden geahndet werden.
Voraussichtlich droht Unternehmen in diesen Fällen eine Strafe:
- Verstoß gegen den Grundsatz der Vertraulichkeit der Kommunikation, indem sensible personenbezogene Daten nicht geschützt werden
- Verarbeitung elektronischer Kommunikationsdaten ohne Genehmigung
- Verstoß gegen die Löschungsfristen der ePrivacy-Verordnung
Unstrittig ist bereits, dass Aufsichtsbehörden hohe Bußgelder von bis zu 20 Millionen Euro verhängen dürfen, wenn sich Unternehmen nicht an die Auflagen der Verordnung halten. Alternativ sehen die aktuellen Entwürfe Geldstrafen von bis zu 4 % des weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres vor.
Um Bußgelder zu vermeiden, müssen Unternehmen die ePrivacy-Verordnung nach Inkrafttreten ordnungsgemäß umsetzen. Schon jetzt kann Ihnen ein Anwalt für Datenschutzrecht wertvolle Hinweise geben, wie Sie den Online-Auftritt Ihres Unternehmens verordnungskonform umsetzen können.
5. So gestalten Sie Ihr Unternehmen datenschutzkonform
Auch wenn es voraussichtlich noch längere Zeit dauert, bis sich die EU-Staaten auf einen Vorschlag zur neuen ePrivacy-Verordnung einigen, können Unternehmen schon jetzt mit der Optimierung ihres Online-Auftritts beginnen. Vermutlich werden die bereits bekannten Vorgaben auch in der finalen Fassung der ePVO zu finden sein.
Angesichts der erheblichen Bußgelder, die beide Verordnungen vorsehen, kann es sinnvoll sein sich rechtzeitig um eine datenschutzkonforme Umsetzung zu kümmern.
Beide Verordnungen und ePrivacy sind komplexe Themen, die für den Laien nicht einfach zu durchdringen sein können. Ein Anwalt kann Sie und Ihr Unternehmen nicht nur bei Fragen zur neuen ePrivacy-Verordnung unterstützen, sondern auch bei der korrekten Umsetzung der DSGVO.
So können Sie Zeit und Kapazitäten sparen und den bürokratischen Aufwand minimieren, wenn es zur tatsächlichen Verabschiedung der ePVO kommt.
Ein Anwalt für Datenschutzrecht kann
- die Datenschutzerklärung Ihrer Webseite überrpüfen.
- die Rechtssicherheit der von Ihnen genutzten Tracking-Methoden bewerten.
- Ihre Cookie-Richtlinien evaluieren.
- je nach Bedarf eine datenschutzrechtskonforme Einwilligung für Cookies und Direktwerbung für Ihre Nutzer entwerfen.
advocado findet für Sie den passenden Anwalt aus einem Netzwerk mit über 500 Partner-Anwälten. Dieser kontaktiert Sie innerhalb von 2 Stunden für eine kostenlose Ersteinschätzung zu Ihren Handlungsoptionen und Erfolgsaussichten.
Anschließend erhalten Sie bei Bedarf ein transparentes Festpreisangebot vom Anwalt. Sie entscheiden dann, ob Sie den Anwalt beauftragen möchten.
Als Teil der juristischen Redaktion von advocado strebt Sophie Suske jeden Tag danach, komplexe Rechtsprobleme des Marken- und Versicherungsrechts für jeden Leser verständlich aufzubereiten. Grundlage ihrer lösungsorientierten Arbeit ist ihr Masterstudium der Sprach- und Kommunikationswissenschaft.