ePrivacy-Verordnung: Für viele Geschäftsmodelle wird es eng

Noch ist die DSGVO mit all ihren Nachwehen nicht richtig verdaut, da kommt bereits das nächste Schreckgespenst auf die Interaktiv-Branche zu: Mit der ePrivacy-Verordnung (ePV) wird die europäische Kommission die Regeln in Sachen Datenschutz noch einmal deutlich anziehen. Die Bedenken in der Branche sind massiv. Sollte sich die Kommission mit ihren Vorschlägen durchsetzen, drohe ein Rückfall in die "kommunikative Steinzeit", befürchtet Syzygy   -Chef Lars Lehne in einer Kolumne für die Wirtschaftszeitung Bilanz. Für die Digitalwirtschaft sei ein "wirtschaftliches Erdbeben" zu befürchten und für die Internetnutzer ein "deutlich eingeschränkteres, statisches Angebot".

Anlass für das düstere Szenario ist insbesondere der strengere Umgang, den die EU in der Verordnung für jede Form der Datenverarbeitung einfordern will. So würde in Zukunft jede Form von Tracking-Cookies ohne eine explizite Einwilligung der Nutzer verboten sein, aber auch die Verarbeitung von Userdaten, etwa um ein Angebot zu personalisieren. Die programmatische Werbewirtschaft wäre ebenso betroffen wie eine einfache Merkzettelfunktion im Onlineshop.

Andererseits: Gefühlt war die freie Funktionsweise des Internets in den vergangenen Jahren schon drei Mal in Gefahr, meist weil ein sogenanntes "Cookie-Verbot" drohte. Ein genauer Blick auf die Inhalte der Verordnung tut daher gut.

Was ist der Grund für die ePrivacy-Verordnung?

Die ePrivacy-Verordnung spezifiziert die Europäische Datenschutzgrundverordnung (EU-DSGVO) im Hinblick auf Vorgaben für datenschutzfreundliche Software-Technik. Sie soll die bisherige ePrivacy-Richtlinie (2002/58/EG) und die Cookie-Richtlinie (2009/136/EG) ablösen. Ursprünglich sollte die ePrivacy-Verordnung gemeinsam mit der EU-DSGVO in Kraft treten, der Prozess hat sich jedoch verzögert.

Im Gegensatz zu einer Richtlinie gilt eine Verordnung unmittelbar, muss also nicht in nationales Recht umgesetzt werden. Die ePrivacy-Initiative hat daher auch den Sinn, die bislang unterschiedlichen Regelungen innerhalb der EU zu vereinheitlichen. So ist bislang in Deutschland der Einsatz von Cookies wegen des Telemediengesetzes auch ohne aktive Zustimmung des Nutzers erlaubt. Andere Mitgliedsstaaten (etwa Spanien, Österreich, Belgien, Bulgarien, Dänemark) fordern eine aktive Einverständniserklärung, wieder andere geben nur eine Empfehlung ab (Frankreich, Schweden) oder haben vereinfachte Sonderregeln (etwa Italien, Ungarn). Diese nationalen Unterschiede sollen beseitigt werden.

Was regelt die Verordnung konkret?

Die ePrivacy-Verordnung sieht Neuregelungen zum Schutz der Verbraucher und ihrer Daten vor. So sollen beispielsweise Regeln für den Umgang mit Cookies vereinfacht und die Datensicherheit für Kommunikationsdienste (Facebook, WhatsApp) ausgeweitet werden. Ziel ist es, europaweit die Vertraulichkeit in der elektronischen Kommunikation sicherzustellen und den Umgang mit personenbezogenen Daten im Onlinebereich zu regeln.

Konkret bedeutet dies:

• Gemäß der neuen ePrivacy-Verordnung muss für jede Form der Verarbeitung von Userdaten eine Zustimmung des Benutzers vorliegen. Dies gilt nur dann nicht, wenn die Datenverarbeitung zwingend notwendig ist, um den bestimmungsgemäßen Gebrauch der Website sicherzustellen. Beispielsweise um eine Warenkorbfunktion zu ermöglichen, Formulareingaben zu speichern oder Website-Traffic zu analysieren.
  
• Selbiges gilt für Cookies. Sie dürfen nur noch dann ohne Zustimmung eingelesen werden, wenn sie keine Auswirkungen auf die Privatsphäre des Nutzers haben oder zum bestimmungsgemäßen Gebrauch der Website notwendig sind.
  
• Cookies, welche die Privatsphäre der User betreffen und beispielsweise für die Wiedererkennung der Nutzer eingesetzt werden (Retargeting), bedürfen dagegen künftig der ausdrücklichen Zustimmung durch den Nutzer.
  
• Um einer Inflation von Zustimmungs-Bannern vorzubeugen, die auf jeder Website um Zustimmung betteln, sollen die Browservoreinstellungen verpflichtend werden. Dort getroffene "Do not Track"- und Privatsphäre-Einstellungen sind vom Anbieter zu beachten. Der Browser wird zu einer Art Freigabe-Management-System. Allerdings wurde dieser Passus zuletzt entschärft.
  
• Jeder Browser muss einen Do-Not-Track-Mechanismus enthalten und muss in der Lage sein, Cookies von direkt besuchten Websites zu akzeptieren, jedoch Cookies von Drittanbietern ("Third Party Cookies") blockieren zu können.
  
• Im Gegenzug dürfen die derzeit allgegenwärtigen (und weitgehend nutzlosen) Hinweis-Banner für Cookies entfallen.

Wie sieht der Zeitplan aus?

Ursprünglich sollte die ePV zeitgleich mit der DSGVO eingeführt werden, derzeit befindet sie sich jedoch noch in der Abstimmungsphase zwischen EU-Kommission, -Ministerrat und Europaparlament. Geplant war diese Verzögerung nicht. Aktuell rechnet der Branchenverband BVDW damit, dass der EU-Ministerrat sich bis zum Sommer 2018 zu einer gemeinsamen Haltung durchringen wird. Den Rest des Jahres dürfte der sogenannte Trilog in Anspruch nehmen, die Abstimmungen mit den anderen Stakeholdern. Frühestens 2019 könnte die ePV dann beschlossen werden - und nach einer Übergangsfrist von zwei Jahren 2021 in Kraft treten.



Ob der Zeitplan hält, ist schwer zu sagen und hängt davon ab, wie schnell sich die Mitgliedsstaaten im EU-Rat auf einen gemeinsamen Text verständigen. Erst dann könnten Rat, Parlament und Kommission in die Trilog-Verhandlungen treten. Für Verzögerungen könnten zudem die Parlamentswahlen im Mai 2019 sorgen, schätzt BVDW  -Justiziar Michael Neuber . "Zwar bleiben Gesetzesinitiativen grundsätzlich erhalten. Wenn sich das Parlament im Frühjahr 2019 mit neuen Mehrheiten zusammensetzt, kann es aber sein, dass der alte Parlamentsbeschluss wieder verworfen wird", weiß der Rechtsexperte. Eine genaue Prognose ist kaum möglich. Denn: "Ebenso kann aber auch alles ganz schnell gehen. Wenn sich die Mitgliedsstaaten im Rat bis Ende des Jahres auf einen gemeinsamen Standpunkt einigen, könnte die ePrivacy-Verordnung vielleicht auch im Mai fertig sein. Derzeit sieht das aber nicht so aus."

Tiefgreifende Folgen für die Digitalwirtschaft

Direkt betroffen sind zunächst einmal alle Geschäftsprozesse, die Userdaten verarbeiten - und damit eigentlich alle. Damit zielt die Verordnung absichtlich sehr weit - zu weit. Die Zahl der Dienste, die von der ePrivacy-Verordnung betroffen sind dürfte fraglos weit größer sein, als die Zahl der Dienste, durch die sich Nutzer in ihrer Privatsphäre verletzt sehen. Insofern sind die Klagen der Wirtschaftsverbände nachvollziehbar. Andererseits: Wirklich bedroht sind natürlich nur die Geschäftsmodelle, die Daten einsammeln und verarbeiten, ohne dass die Nutzer sich dessen bewusst wären oder ohne dass sie dies wollen. Einem Wetter-Dienst werden wohl auch in Zukunft die meisten Nutzer den Zugriff auf den lokalen Standort erlauben. Dieses Prinzip sind die meisten Nutzer von ihren Smartphones schon gewohnt.

Direkt betroffen

Wirklich schwer wird es dagegen für diese Geschäftsmodelle:

• Programmatic Advertising
  
• Retargeting
  
• Personalisierung zu Marketingzwecken
  
• Location Based Services

Allerdings sind dies Geschäftsmodelle, die tatsächlich von einer Mehrzahl der Onlinenutzer als unangenehm, intransparent und übergriffig erlebt werden. Es handelt sich schlicht um die Geschäftsmodelle, die von den EU-Datenschützern gezielt ins Visier genommen wurden und von der ePV getroffen werden sollen. Alle Formen des Datadriven Advertising - insbesondere wenn diese 3rd-Party-Cookies einsetzen, werden in Zukunft wohl um die Zustimmung der User ringen müssen und müssen mit erheblichen Verlusten rechnen.

Mittelbar betroffen

Mittelbar betroffen sind auch alle Dienste, die sich durch die Verwendung solcher Werbemodelle finanzieren. Journalistische Angebote, aber auch Software-Angebote wie Apps oder Dienstleistungen wie Preisvergleichsdienste oder Kleinanzeigenportale steht damit ein schmerzhafter Wandel bevor. Sie müssen sich darauf einstellen, dass ein Großteil ihrer Werbeeinnahmen wegbricht. Entsprechend verstimmt sind die Verlegerverbände, die einen wirtschaftlichen Schaden in Höhe von 300 Millionen Euro befürchten. Allerdings bieten sich auch Chancen. Die Publisher stehen ohnehin vor der Herausforderung, mit rapide wachsenden Adblocker-Zahlen umzugehen und beklagen die Kostenloskultur und den Preisverfall im Onlinemarketing.

Publisher können daher von einer Renaissance der klassischen Mediaplanung profitieren, wenn den Marketern viele Möglichkeiten des Programmatic Advertising nicht mehr offen stehen. Außerdem erhalten sie einen weiteren Hebel, um Paid-Content-Modelle zu etablieren. Sie können Inhalte kostenlos, gegen eine weitreichende Zustimmung zur Datenverarbeitung anbieten. Und ein kostenpflichtiges Modell anbieten, das darauf verzichtet.

Allerdings ist der BVDW skeptisch, dass sich solche Modelle durchsetzen. BVDW-Justiziar Neuber glaubt eher, dass "vor allem große beziehungsweise bekannte und reichweitenstarke Anbieter und Netzwerke profitieren." Da diese über eine Vielzahl von registrierten Nutzern verfügen, von denen leicht eine Zustimmung zu erhalten ist, können sie ihr Geschäftsmodell beinahe unverändert beibehalten. Die Chancen für deutsche Marktteilnehmer sind daher minimal - im Gegenteil: "der Marktzutritt wird schwieriger", meint Neuber.

Indirekt betroffen

Nicht unbedingt bequem ist die Herangehensweise für alle anderen Anbieter von Webangeboten. Derzeit wird bei der ePV der restriktive Kurs der Legalausnahme gewählt. Motto: Was nicht ausdrücklich erlaubt ist, ist verboten. Dies führt dazu, dass so hitzig über die genauen Formulierungen verhandelt wird. Natürlich ist es nicht Intention der EU, einen Webshop an seinem Betrieb zu hindern. Warenkorb-, Merkzettel-, Formular-, Statistik- und Analyticsfunktionen etc. sind ausdrücklich ausgenommen. Wie verhält es sich allerdings, wenn der Webshop sein Angebot personalisieren möchte? Vermutlich wird es sich dabei ebenso um eine zustimmungspflichtige Datenverarbeitung handeln wie bei der gespeicherten Suche im Immobilienportal.

In der Praxis wird es wahrscheinlich nicht einmal besonders schwer sein, diese Zustimmungen zu erhalten. Schließlich wünscht sich der Nutzer diese Dienstleistung sogar. Allerdings droht durch eine Flut an Einverständnis-Aufforderungen ein Abstumpfungsprozess einzutreten. Ähnlich wie die heute allgegenwärtigen Nutzungs-, Lizenz- und Datenschutzbedingungen oder Cookie-Hinweise, werden diese gar nicht mehr wahrgenommen, sondern lediglich abgenickt.

"Sogar aus Nutzersicht ist die Einwilligung daher ein denkbar schlechtes Instrument", erklärt Neuber. "Dadurch können im Zweifel weit mehr personenbezogene Datenerhebungen gerechtfertigt werden als für das Geschäftsmodell oftmals nötig wäre." Die Nutzer werden dann einfach blind oder aber gar nicht mehr zustimmen - primär abhängig von der Tatsache, ob sie einen Dienst kennen oder nicht. Die Folge wäre kontraproduktiv sein.

Gar nicht betroffen

Es gibt aber auch eine Reihe von Geschäftsmodellen, die nur minimal oder gar nicht von der ePV betroffen wäre: Ausgerechnet große Anbieter mit einer Registrierungspflicht - Amazon, Facebook, Google, aber auch heimische E-Mail- und Telekommunikationsanbieter haben einen entscheidenden strategischen Vorteil: Die Nutzer sind es ohnehin gewohnt, sich zu registrieren und anzumelden. Entsprechend einfach ist es für diese Anbieter, eine Zustimmung zu generieren. Zugleich verfügen sie über eigene Ökosysteme, in denen sich Werbeeinspielungen auch vermarkten lassen. Ein beträchtlicher Teil des Geschäfts mit Programmatic Advertising könnte gezwungen sein, sich auf diese Kanäle zu konzentrieren. Zum einen sind Google und Facebook ohnehin schon die dominierenden Player in diesem Geschäft - entsprechend naheliegend ist es für Marketer, diese Angebote zu nutzen. Zum anderen könnte durch die ePV das Angebot an Alternativen deutlich ausgedünnt werden.

In diesem Szenario würde die ePV die Monopolisierungstendenzen im Internet sogar noch verstärken, ohne einen erkennbaren Nutzen für Verbraucher zu stiften. Die Abhängigkeit von großen Tech-Anbietern würde steigen, die "digitale Handelsbilanz" weiter zugunsten der USA verändert und die Konsumenten zu einer Registrierung bei US-Diensten gedrängt.

Kritik: Verschenkte Chance

So sieht daher das Schreckensszenario der Digitalwirtschaft aus: Während die gesamten Branche unter den Lasten der ePrivacy-Verordnung leidet, verpufft der gewünschte positive Effekt in einer Flut von Einverständnis-Anfragen. Gestärkt werden dagegen die ohnehin schon großen Anbieter von Internetdiensten, die kaum Einschränkungen hinnehmen müssen. Verschenkt wird dagegen die Möglichkeit, deren Datenverarbeitungswut zu bremsen. Denn ein vielversprechender Ansatz fehlt in der derzeitigen Verordnung komplett: "Mechanismen wie Datensparsamkeit oder Schutzmaßnahmen wie die Pseudonymisierung werden überhaupt nicht abgebildet" bemerkt Neuber.

Zuletzt kritisierten 15 Branchenverbände aus der Digital- und Werbewirtschaft in einem offenen Brief an die beteiligten Ministerien, dass die Verarbeitung elektronischer nicht-personenbezogener Kommunikations- und Endgerätedaten strengeren Bedingungen unterstellt sei, als die Verarbeitung personenbezogener Daten nach der DSGVO.

Vor allem aber kritisieren sie: "Die Erfüllung dieser Bedingungen ist dabei in der klaren Mehrzahl der Fälle praktisch nicht möglich." Betroffen seien alle Sektoren der digitalen Wirtschaft "von digitalen Medien und Services bis hin zu vernetzten Fahrzeugen und intelligenter Fertigung". Im schlimmsten Fall werden diese Unternehmen nicht mehr in der Lage sein, "ihre Produkte und Dienstleistungen unter Verwendung von Daten anzubieten und zu innovieren".

Die Generalkritik entzündet sich daran, dass in der ePrivacy-Verordnung jede Art der Datenverarbeitung einwilligungsbasiert ablaufen muss. "Da waren wir schon mit dem deutschen Telemediengesetz weiter", empört sich BVDW-Experte Neuber. "Eine solche E-Privacy-Verordnung wird nur dann sinnvoll umsetzbar, wenn sich die Gesetzgebung davon distanziert, realitätsferne Legalausnahmen zu formulieren und ansonsten jede Form der Datenverarbeitung auf Einwilligungsbasis zu beschränken".

Neben diesen grundlegenden Änderungswünschen stehen insbesondere diese Punkte in der Kritik:

• "Cookie-Verbot": Der Zugriff auf das Endgerät des Nutzers wird von einer ausdrücklichen Zustimmung des Nutzers abhängig gemacht. Sprich: Cookies - insbesondere 3rd-Party-Cookies - dürfen ohne Erlaubnis nicht mehr ausgelesen werden. Diese sind beispielsweise für das Tracking unerlässlich.
  
• Legalausnahmen: Jeder Nutzer muss der Datenverarbeitung zustimmen. Ausnahmen sind nur in festgelegten Fällen erlaubt. Etwa damit ein Webshop bestimmungsgemäß genutzt werden kann. Die Verbände wünschen sich eine möglichst große Vielzahl von Ausnahmen. Noch lieber wäre es ihnen aber, die Regelung wäre generell weiter gefasst.
  
• Kopplungsverbot: Ursprünglich sollte eine Benachteiligung von Nutzern ausgeschlossen sein, die ihre Zustimmung zu einer Datenverarbeitung verweigern. Hätte bedeutet: Wer Tracking-Cookies verweigert, darf das Online-Angebot genauso lesen, wie ein Nutzer, der der Werbeausspielung zustimmt. Inzwischen sind Ausnahmen vorgesehen: Der Werbeverweigerer dürfte etwa auf Paid-Content-Angebote verwiesen werden, andere Nutzer sehen das Angebot kostenlos. Genaue Ausgestaltung und Formulierung dieser Ausnahmeregelung löst großen Diskussionsbedarf aus.
  
• Browser als Super-Cookie: Ursprünglich sollten Nutzer ihren Privacy-Level im Browser einstellen, für Website-Anbieter sollten diese Einstellungen verpflichtend sein. Hätte bedeutet: Software-Anbieter und Browserhersteller wären Hüter eines "Super-Cookies". Inzwischen ist dieser Passus entschärft.
  
• Software sticht Mensch: Die Browser-Einstellung sollte oberste Priorität besitzen. Sprich: Hätte ein Websitebetreiber einem Nutzer die Einwilligung zur Datenverarbeitung abgetrotzt, dieser besucht die Website aber mit einer restriktiven Browser-Einstellung, wäre die Einwilligung wertlos. Über diesen Punkt wird nach wie vor gestritten.

Auch wenn das Beratungsverfahren noch offen ist und nichts beschlossen ist, scheint es derzeit doch unwahrscheinlich, dass sich die Stoßrichtung noch einmal grundlegend ändern wird. Das bedeutet: In Zukunft wird in den meisten Fällen eine Nutzerzustimmung erforderlich sein, wenn Daten verarbeitet werden. Explizit ausgenommen werden alle wesentlichen Funktionen, die für das reibungslose Funktionieren nötig sind (Statistik, Warenkorb etc.). Rein wirtschaftliche Interessen müssen zurücktreten, im Zweifel wird eher zulasten der Datenverarbeitung entschieden.