Agenda 2016: Was uns im neuen Jahr bewegen wird

Die digitale Agenda 2015 war reich an Themen. Safe Harbor, Datenvorratsspeicherung, Netzneutralität - "2015 war ein Jahr voller Überraschungen", fasst Oliver Süme , Vorstand für Politik und Recht im Internet-Verband Eco    zusammen. "Digitalpolitisch hat sich Einiges bewegt, allerdings nicht unbedingt immer in die richtige Richtung."

Auch 2016 stehen eine ganze Reihe von Änderungen und Entscheidungen an, die Einfluss auf die Branche haben. Viele Änderungen betreffen insbesondere den Handel, Verbraucher- und Wettbewerbsrecht sowie die Harmonsierung des Handels innerhalb der EU. Die mit Abstand größten und einschneidensten Änderungen werden jedoch im Bereich Datenschutz und Privacy erwartet. Insbesondere das Urteil des EuGH zum Safe-Harbor-Abkommen wird seine Schatten vorauswerfen. iBusiness hat analysiert, welche Themen 2016 regulatorisch auf der Agenda stehen - und worauf Sie sich einstellen müssen.

1. Safe Harbor

Das ist der Stand:

Safe Harbor - darum geht es:

15 Jahre lang wurde der Datenaustausch zwischen Europa und den USA durch das sogenannte Safe-Harbor-Abkommen geregelt. Der Vereinbarung zufolge durften US-Unternehmen Daten europäischer Bürger verarbeiten, wenn sie zuvor erklären, vergleichbare Standards einzuhalten, wie sie in der EU festgelegt sind. Die US-Unternehmen galten so als "sicherer Hafen", obwohl die Datenschutzregeln in den USA generell nicht den EU-Ansprüchen genügten. Mit diesem Persilschein ist es nun vorbei.

Anfang Oktober 2015 hat der Europäische Gerichtshof das Safe-Harbor-Abkommen gekippt. Grund: Die US-Regierung räumt sich weitreichenden Zugriff auf die Daten von US-Unternehmen ein und unterliegt selbst nicht dem Safe-Harbor-Abkommen. Folglich können die beteiligten US-Unternehmen keine mit EU-Recht vereinbare Datenverarbeitung sicherstellen.

Die Folgen sind weitreichend: Ob Shop-Systeme, Marketing-Anwendung, CRM-Dienst, Newsletter-Software, Payment-Service, Analytics-Lösung oder ausgelagerter Webspace -unzählige deutsche Unternehmen nutzen Cloud-Dienste aus den USA und sind daher auf einen Datenaustausch angewiesen.

So geht es 2016 weiter:
Europäische Datenschützer fordern von den USA einen besseren Datenschutz. Die Frist für eine Einigung läuft bis Ende Januar 2016. Sollte bis dahin keine Lösung gefunden werden, behalten sich die EU-Datenhüter vor, "alle notwendigen und angemessenen Maßnahmen" zu ergreifen. Dies können auch "koordinierte Durchsetzungsmaßnahmen" sein.

Es gilt als unwahrscheinlich, dass die Frist gehalten wird. Nach Ansicht vieler Datenschützer kann eine Verbesserung gar nicht ohne weiteres zwischen EU-Kommission und US-Behörden verhandelt werden, da zuerst die Gesetzeslage in den USA geändert werden müsste.

Das müssen Sie tun / Das können Sie erwarten:
Auf keinen Fall sollten Sie neue Dienste in Anspruch nehmen, die sich auf das Safe-Harbor-Abkommen berufen. Auch alle bestehenden Dienstleistungen sollten Sie rechtssicher gestalten. Dazu gibt es mehrere Möglichkeiten:

• Alle Betroffenen (also etwa auch die Besucher einer Website) stimmen zu, dass ihre Daten in den USA verarbeitet werden. Facebook- oder Google-Nutzer stimmen dem - wie auch alle anderen Nutzer großer US-Services - bei der Anmeldung automatisch zu.
  
• Dienstleister und Kunde schließen einen individuellen Vertrag, der ein angemessenes Datenschutzniveau garantiert.
  
• Der Dienstleister unterwirft sich vertraglich einem EU-Standardvertrag, der entsprechendes Datenschutz-Niveau zusichert.
  
• Der Dienstleister hat seinen Sitz innerhalb der EU oder einem Drittland, das von der EU als sicher eingestuft wird (etwa: Schweiz, Kanada, Israel). Dies gilt allerdings nicht, wenn von außerhalb auf die Daten zugegriffen werden kann - wovon aufgrund der bisherigen US-Rechtsprechung auszugehen ist.

2. EU-Datenschutzverordnung

Das ist der Stand:

Datenschutz-Grundverordnung - darum geht es:

Die Datenschutz-Grundverordnung soll innerhalb der Europäischen Union für einheitliche Regeln für die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen EU-weit sorgen. Dadurch sollen einerseits personenbezogene Daten geschützt, andererseits der freie Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleistet werden. Sie soll auch für Unternehmen gelten, die ihren Sitz außerhalb der Europäischen Union haben, sich mit ihren Angeboten aber an EU-Bürger wenden.

Seit 2012 wird über die EU-Datenschutz-Grundverordnung debattiert. Ende 2015 einigten sich Rat, Europäisches Parlament und Europäische Kommission auf eine gemeinsame Fassung, über die nun das Plenum voraussichtlich im Frühjahr 2016 abstimmt. Die Verordnung wird die aus dem Jahr 1995 stammende Datenschutzrichtlinie 95/46/EG ersetzen.

Wesentliche Neuerungen sind das sogenannte "Recht auf Vergessenwerden" und das "Recht auf Datenportabilität". Letzteres soll sicherstellen, dass etwa persönliche Daten aus einem sozialen Netzwerk in ein anderes übertragen werden können. Betroffen davon wären unter anderem US-amerikanische Unternehmen wie Facebook und Google.

Aber auch für europäische Unternehmen ändert sich einiges. So sollen Jugendliche bis zu 16 Jahren je nach Mitgliedsstaat die Einwilligung ihrer Eltern benötigen, wenn sie sich bei einem Internetdienst anmelden wollen. Außerdem werden zahlreiche neue Dokumentations-, Melde- und Genehmigungspflichten eingeführt, die einen hohen bürokratischen Aufwand für die Unternehmen bedeuten. So müssen Datenverarbeiter in Zukunft rund 30 unterschiedliche Pflichten erfüllen, von der Pflicht zur Benachrichtigung bei Berichtigung, Löschung und Verarbeitungsbeschränkung bis zur Vornahme von Datenschutzfolgenabschätzungen.

So geht es 2016 weiter:
Voraussichtlich im März oder April 2016 wird über die Verordnung im Plenum des Parlaments abgestimmt werden. Aber auch dann wird es noch nicht konkret. Nach Inkrafttreten haben die Mitgliedsstaaten noch eine Übergangsfrist von zwei Jahren. Die Verordnung tritt voraussichtlich erst im Jahr 2018 in Kraft.

Das müssen Sie tun / Das können Sie erwarten:
Im Gegensatz zur bisherigen Richtlinie muss die neue Verordnung nicht in nationales Recht umgesetzt werden, sie wird unmittelbar in allen EU-Mitgliedsstaaten gelten. Den Mitgliedsstaaten wird es daher nicht möglich sein, den von der Verordnung festgeschriebenen Datenschutz durch nationale Regelungen abzuschwächen oder zu verstärken.

• Durchführungsbestimmungen werden allerdings national festgelegt, sodass sich der bürokratische Aufwand in den einzelnen Ländern unterscheiden kann. Verbände wie der Bitkom   oder BVDW   drängen auf Vereinfachungen. Es ist aber absehbar, dass auf Unternehmen in den nächsten zwei Jahren enorme Kosten beispielsweise für die Umstellung von IT-Systemen, Dokumentationen und Schnittstellen zukommen.
  
• Absehbar ist außerdem, dass Login-Dienste in gewisser Weise bessergestellt werden. Nutzer sollen häufiger als bisher ein aktives Einverständnis abgeben. Diese Einwilligung kann bei Login-Diensten im Rahmen der Nutzungsbedingungen erfolgen. Für herkömmliche Websites ist dies dagegen schwieriger zu realisieren. Als Krücke ist aber auch eine "aktive Einwilligung durch Weiternutzung" im Gespräch.
  
• Ab 2018 erschließt sich Unternehmen dafür endlich ein großer europäischer Markt mit einem einheitlichen Datenschutzniveau. Das bedeutet langfristig mehr Rechtssicherheit und Einsparpotenziale bei zeitlichen und finanziellen Ressourcen.

3. Störerhaftung (WLAN)

Das ist der Stand:

Störerhaftung - darum geht es:

Im deutschen Recht legt die sogenannte "Störerhaftung" fest, dass nicht nur der derjenige für einen Rechtsverstoß haftet, der ihn begeht, sondern auch der, der davon profitiert. Vertreibt ein Anbieter beispielsweise eine Software, mit der sich illegale Downloads beziehen lassen, so muss er sich für die Urheberrechtsverstöße ebenfalls in Haftung nehmen lassen. Diese Regelung verhindert in Deutschland die Einführung von freien WLANs. Dem Anbieter wird regelmäßig ein wirtschaftliches Interesse am Betrieb des WLANs unterstellt (und sei es nur als Werbung für sein Café). Daher haftet er als Störer, wenn über diesen Zugang beispielsweise Musik, Filme oder Software illegal getauscht wird.

Im Rahmen ihrer digitalen Agenda hat die Bundesregierung selbst aufgegeben, die Verbreitung von öffentlichen WLANs voranzutreiben. Der dazu vorgestellte Gesetzentwurf sieht nun vor, dass geschäftsmäßige WLAN-Anbieter von der Störerhaftung ausgenommen sind, wenn sie zwei Bedingungen erfüllen.

1. Das WLAN muss vor dem "unberechtigten Zugriff" durch Verschlüsselung geschützt werden.
2. Der Nutzer muss vor Zugang zum WLAN erklärt haben, keine Rechtsverletzungen zu begehen.

So geht es 2016 weiter:
Das Gesetz wird von den IT-Verbänden Eco und Bitkom heftig kritisiert, weil erneut eine Passwort-Verschlüsselung und Nutzer-Registrierung nötig ist. Dies widerspricht dem Konzept eines freien Public-WLAN, wie man es aus vielen anderen europäischen Ländern gewohnt ist.

Noch ist das Gesetz nicht beschlossen, weitere Lesungen im Bundestag noch nicht angesetzt. Die Digitale Gesellschaft   vermutet, dass die Bundesregierung noch auf ein ausstehendes Urteil des Europäischen Gerichtshofs warten könnte. Die Chancen für eine bedingungslose Abschaffung der Störerhaftung sehen zur Zeit aber eher schlecht aus.

Das müssen Sie tun / Das können Sie erwarten:
Eine Befragung des Händlerbundes HDE zufolge will rund die Hälfte der lokalen Händler gerne ein WLAN anbieten - sei es, um ihre Attraktivität zu steigern oder um digitale Zusatzservices wie mobiles Bezahlen, iBeacons, oder digitale Coupons anzubieten, auch wenn in der Shopping-Mall kein Mobilfunk-Empfang möglich ist.

Nach dem neuen Telemediendienste-Gesetz müssen Händler aktiv dafür sorgen, dass die Kunden ein kostenloses WLAN nutzen. Dazu können sie etwa mit Gewinnspielen oder Aktionen zur Nutzung auffordern und darauf hoffen, dass die Kunden sich so die Mühe machen, Passwort und Treueerklärung ab- beziehungsweise einzugeben.

Weitere Themen, die 2016 auf der Agenda stehen:

Netzwirtschaft / Datenpolitik
Evaluierung EPrivacy-Richtlinie	Die Europäische Kommission wird 2016 mit der Evaluierung der EPrivacy-Richtlinie beginnen mit dem Ziel, diese Richtlinie zu überarbeiten. Die Richtlinie ist neben den neuen Datenschutzregeln relevant für den gesamten Online-Werbebereich.
IT-Sicherheitsgesetz	Im Juni 2015 wurde das IT-Sicherheitsgesetz verabschiedet, nun geht es an die konkrete Ausgestaltung der Rechtsverordnung. Für die Internetwirtschaft steht die Frage nach dem Anwendungsbereich des Gesetzes im Mittelpunkt. Außerdem muss die Reglung mit der europäischen Cybersicherheits-Richtlinie (NIS Richtlinie) in Einklang gebracht werden. Die Bundesregierung muss nun im Rahmen der Umsetzung in nationales Recht sicherstellen, dass es nicht zu größeren Differenzen mit dem IT-Sicherheitsgesetz kommt.
Einordnung von IP-Adressen	Der EuGH wird 2016 über die Frage der Einordnung von IP-Adressen als personenbezogenes Datum entscheiden. Wichtig für die künftige Frage eines absoluten oder relativen Verständnisses der Personenbezogenheit.
Medien- und TK-Politik
TK-Regulierung	Im November wurde durch das Verwaltungsgericht Köln entschieden, dass der EMail-Dienst "Gmail" ein Telekommunikationsdienst im Sinne des Telekommunikationsgesetzes ist und deswegen bei der Bundesnetzagentur angemeldet werden muss. Das Urteil betrifft die grundsätzliche Frage der regulatorischen Behandlung von Online-Diensten und insbesondere das Verhältnis von TK-Unternehmen und sogenannten Over-the-Top-Diensten (OTT). Die Diskussion wird sich im kommenden Jahr auch auf europäischer Ebene Fortsetzen.
Urheberrecht	Die EU-Kommission strebt an, das Urheberrecht binnenmarktkonformer auszugestalten und an die neuen technologischen Entwicklungen anzupassen. Aus Sicht der Internetwirtschaft ist dabei wünschenswert, dass die Reform nicht mit einer weiteren Verschärfung einhergeht. Vielmehr sollten die Chancen und Potenziale des Internets und der Digitalisierung in den Vordergrund gestellt und genutzt werden. Daher ist ein sachgerechter Ausgleich der Interessen von Urhebern, Kreativen, Rechteverwertern, den Bürgerinnen und Bürgern und den Unternehmen der Internetbranche erforderlich.
Geoblocking / Handelsbeschränkung	Konsultationen der EU-Kommission zum digitalen Binnenmarkt, unter anderem zur Definition der Plattformen und zu Geoblocking.
Bund-Länder-Kommission zur Medienkonvergenz	Parallel dazu finden die Beratungen der Bund-Länder-Kommission zur Medienkonvergenz statt. Hier sind Vorschläge zu erwarten, die ebenfalls Themen wie Plattformregulierung und Intermediäre betreffen.
Internet of things (IoT, Industrie 4.0)
E-Health-Gesetz	Inkrafttreten am 1.1.2016, legt Grundlagen für Nutzung der elektronischen Gesundheitskarte und das digitale Stammdatenmanagement.
Smart-Meter	Gesetz zur Digitalisierung der Energiewende, Verpflichtung zum Einbau von intelligenten Stromzählern (Smart-Metern).
Arbeitsmarkt - und Finanzpolitik
Änderung Arbeitnehmerüberlassungsgesetz	Referentenentwurf des BMAS liegt vor, Einschränkung der Überlassungsmöglichkeiten problematisch.
Anti-Angel-Gesetz	Ansätze zur Besteuerung von Wagniskapital aus Streubesitzbeteiligungen (sog. Anti-Angel-Gesetz) - hier drohen zusätzliche steuerliche Hindernisse für die bessere Finanzierung von Start-ups - etwa durch eine Besteuerung von Veräußerungsgewinnen aus Streubesitz.