Die EU-Kommission hat ihren Vorschlag für eine Verordnung über Privatsphäre und elektronische Kommunikation (E-Privacy VO) veröffentlicht. Diese Verordnung soll die Datenschutzgrundverordnung (DSGVO) komplementieren und die bisherige E-Privacy Richtlinie ersetzen.
Bei einer ersten Durchsicht sind uns folgende wesentliche Neuerungen aufgefallen:
Art 2 - 4 Ausweitung des sachlichen auf Anwendungsbereichs und neue Begriffsbestimmungen: Neben den Begriffsbestimmungen der DSG-VO werden auch jene des Entwurfs zum europäischen Kodex für die elektronische Kommunikation übernommen (zB. elektronischer Kommunikationsdienst, nummernbasierter bzw. -unabhängiger Dienst, zwischenmenschliche Kommunikation) sowie auch neue Definitionen zu elektronischen Kommunikationsdaten, -inhalten sowie –metadaten aufgenommen, um somit auch OTT und Machine to machine Dienste zu erfassen;
Art 6 - Bestimmungen zur zulässigen Verarbeitung von Kommunikationsdaten (Art 6): Der Punkt wurde nun in Bestimmungen zur Verarbeitung von Kommunikationsdaten, -metadaten und -inhaltsdaten aufgeteilt. Metadaten müssen umgehend gelöscht oder anonymisiert werden, wenn die Datenübertragung abgeschlossen ist oder die Metadaten für Abrechnungszwecke nicht mehr benötigt werden (ähnlich den bisherigen Bestimmungen zu Verkehrsdaten) . Für die Verarbeitung von Inhaltsdaten wird die Latte sehr hoch gelegt, da die Kommission großes Potential für Grundrechtsverletzungen sieht. So muss Verarbeitung von Inhaltsdaten aller Nutzer nunmehr bereits vorab die Einwilligung der Datenschutz-Aufsichtsbehörde eingeholt werden, noch bevor sie hierfür die ausdrückliche Einwilligung der Nutzer einholen.
Art 9 - Einwilligungsvoraussetzungen/Cookies: Die Zustimmungsvoraussetzungen der DSGVO werden übernommen. Zu Cookies: Für die Speicherung von Konfigurationscookies ist nunmehr keine Einwilligung notwendig. Darunter fallen etwa Cookies einer Webseite die lediglich dazu dienen, die Besucheranzahl zu ermitteln oder Cookies die für das Befüllen eines Warenkorbes auf Online Plattformen zuständig sind. Für die Speicherung von tracking cookies gibt es hingegen verschärfte Regeln: Hierzu muss der Nutzer ausdrücklich zustimmen. Zusätzlich verweist Abs. 2 leg cit. auf die Nutzung entsprechender Voreinstellungen im Webbrowser, dadurch sollen die meisten cookie-banner überflüssig werden.
Art 15 - Aufnahme von Daten in Online-Verzeichnisse: Muss von allen natürlichen Personen vorab eingeholt werden (opt in) und die kostenfreie Möglichkeit zur Korrektur oder Löschung gegeben werden. Zudem muss Information über die vorhandenen Suchfunktion gegeben werden. Juristische Personen sollen die Möglichkeit erhalten, der Aufnahme von auf sie bezogenen Daten zu widersprechen (opt out), bzw diese zu korregieren oder zu löschen.
Art 16 - Direktmarketing: Ausnahmeregelung wonach die Verwendung von E-Mail-Kontaktdaten ohne weitere Einwilligung erlaubt, wenn es bereits eine "Kundenbeziehung" zwischen Anbieter und Nutzer gibt. Hierfür ist eine Opt-Out-Regelung vorgesehen. Ansonsten ist eine Einwilligung notwendig.
Die Eckpunkte der ISPA Stellungnahme sind:
• Das Rechtsinstrument der Verordnung wird im Sinne einer europaweiten Harmonisierung des Datenschutzstandards begrüßt;
• Die in dem Entwurf enthaltenen Verweise auf die Richtlinie über den europäischen Kodex für die elektronische Kommunikation (ECC) als ein noch nicht in Kraft getretenes Rechtsinstrument erschweren Analyse und Vorbereitung;
• Der sachliche Anwendungsbereich muss klarer formuliert werden;
• Die Ausweitung des Anwendungsbereichs auf juristische Personen entspricht nicht der Harmonisierung und ist nicht nachvollziehbar;
• Die Voraussetzungen zur Datenverarbeitung sollen der DSGVO folgen;
• In die Öffnungsklausel in Art 11 soll eine Bestimmung zur Speicherung von Vorratsdaten aufgenommen werden um der Rechtsprechung des EuGH Rechnung zu tragen;
• Eine alle sechs Monate notwendige Erinnerungsverpflichtung schafft eine unverhältnismäßige Belastung für Unternehmen;
• Die eingeschränkte Möglichkeit zu Direktmarketing benachteiligt Telekom-Betreiber unverhältnismäßig;
• Der Betrieb von Online-Verzeichnissen wird geradezu verunmöglicht;
• Die vorgesehenen Pönalen sind überschießend und für klein- und mittelgroße Unternehmen existenzbedrohend;
• Der Zeitpunkt des In-Kraft-Tretens sollte auch eine entsprechende Umsetzungsfrist für Unternehmen berücksichtigen;