Ursprünglich sollte die E-Privacy-Verordnung, die den Rechtsrahmen für Datenverarbeitung im Onlinebereich europaweit vereinheitlichen soll, schon seit Mai 2018 Geltung haben. Doch der Zeitpunkt verschob sich nach hinten. Jetzt wurde ein neuer Entwurf vorgestellt. Was danach im Bereich Cookies noch erlaubt ist, wann Einwilligungen Pflicht sind und was im Marketingbereich zu beachten ist, erfahrt ihr hier im Überblick.

Ein zentraler Punkt der neuen Verordnung wird die Frage sein, wie mit Cookies umzugehen ist sowie wann und auf welche Weise sie eingesetzt werden dürfen. Der neue Entwurf berücksichtigt dabei auch die Interessen der Website-Betreiber. Zunächst einmal können Unternehmen mit dem Entwurf auf mehr Rechtsgrundlagen für die Cookie-Nutzung zurückgreifen, als das bisher der Fall ist. Beispielsweise soll man Cookies auch verwenden dürfen, wenn sie erforderlich sind, um „die Sicherheit eines Dienstes der Informationsgesellschaft“ zu gewährleisten. Und ähnlich wie in der zurzeit geltenden E-Privacy-Richtlinie sollen Cookies, die für die Erbringung von Diensten erforderlich sind und die der Website-Besucher auf eigenen Wunsch in Anspruch nimmt, zulässig sein. Ebenfalls kann der Inhalt ausgefüllter Formulare oder von Onlinewarenkörben weiterhin ohne Einwilligung gespeichert werden.

Das Tracking von Nutzern ist mit Sicherheit eine der umstrittensten Anwendungen im Bereich der E-Privacy-Verordnung. Der Entwurf erkennt dabei das Geschäftsmodell kostenloser Online-Angebote an. So können etwa Tracking-Cookies auf Websites, die überwiegend durch Werbung finanziert werden, im Sinne der Verordnung erforderlich sein. Für Unternehmen aber wichtig: Der Entwurf hebt im Zusammenhang mit Tracking die Informationspflichten noch einmal hervor. Also muss über Einsatz und Zweck der Tracking-Cookies in präziser und verständlicher Sprache informiert werden. Zudem sollten Nutzer den Einsatz „akzeptieren“. Was diese Anforderungen im Einzelnen für Voraussetzungen hat, dürfte sich erst im Laufe der Zeit herausstellen. Jedenfalls ist anzunehmen, dass die Voraussetzungen nicht so detailliert wie bei der Einwilligung zu verstehen sind oder dass ein aktives Handeln nicht erforderlich ist.

Dennoch bleibt es dabei: In vielen Fällen ist eine Einwilligung weiterhin notwendig. Und wenn die Daten, die die Cookies erfassen, für Werbezwecke verarbeitet werden, sind häufig mehrere Akteure im Spiel. Neben dem Nutzer und dem Website-Betreiber ist das oft ein Werbenetzwerk oder ein soziales Netzwerk, das die erhobenen Daten weiterverwertet. Dann stellt sich die Frage, wer dafür verantwortlich ist, dass eine Einwilligung eingeholt wird. Der Entwurf hat eine einfache Antwort darauf und sieht sowohl Betreiber der Internetseite als auch das Werbenetzwerk in der Pflicht. Auch wenn man die Einholung der Einwilligung durch andere Stellen durchführen lassen kann, sollte jedes Unternehmen für sich darauf achten, dass beim Thema Einwilligung gesetzeskonform vorgegangen wird.

Cookie-Walls sind deshalb praktisch, weil sie den Besucher einer Website dazu zwingen, sich für oder gegen die Verwendung von Cookies durch den Betreiber zu entscheiden. Sie sind ein vorgeschaltetes Fenster, das erst nach einer Bestätigung die eigentliche Webseite freigibt. Aus Sicht des Datenschutzrechts wird es jedoch dann problematisch, wenn der Zugang zur Seite versperrt bleibt, weil man sich gegen Cookies entscheidet. Damit wird die Freiwilligkeit der Einwilligung zweifelhaft, da man ohne die Einwilligung das Angebot der Website nicht einsehen kann. Der neue Entwurf zur E-Privacy-Verordnung schafft auch in diesem Punkt ein höheres Maß an Rechtssicherheit, indem er klarstellt: Grundsätzlich sind Cookie-Walls erlaubt. Zwar können sie auch weiterhin im Einzelfall unverhältnismäßig und damit unzulässig sein – dazu kommt es allerdings nur in besonderen Fällen, beispielsweise bei Leistungsangeboten von Behörden, für die es kein alternatives Angebot gibt und auf die die Nutzer daher angewiesen sind.

Im Bereich des E-Mail-Marketings behalten Unternehmen die Sicherheit des Bestandskundenprivilegs aus dem UWG. Erlangen Unternehmen Kontaktdaten von Kunden im Rahmen einer Geschäftsbeziehung, können sie diese Daten weiterverwenden, um über elektronische Nachrichten für ähnliche Produkte oder Dienstleistungen zu werben. Eine Besonderheit soll es aber doch geben: Diese Regelung gilt nur, sofern die Kontaktdaten DSGVO-konform erlangt wurden. Unternehmen können daher schon jetzt prüfen, wie sie an die Kontaktdaten ihrer Kunden gekommen sind, die sie für Werbezwecke verwenden. An dieser Stelle soll es zudem eine Öffnungsklausel geben, die es den Mitgliedsstaaten erlaubt, den Zeitraum, in dem Unternehmen ihre Bestandskundendaten zu Werbezwecken verwenden dürfen, zu begrenzen.

Ähnliches gilt zudem für den Bereich des Telefonmarketings. Hier können die EU-Mitgliedsstaaten bestimmen, dass Werbeanrufe nur zulässig sind, wenn mit dem Anruf Vorwahlen oder Symbole mitgesendet werden, die dem Angerufenen anzeigen, dass es sich um einen Werbeanruf handelt. Da der Entwurf im Bereich der Direktwerbung an mehreren Stellen Öffnungsklauseln vorsieht, die den Mitgliedsstaaten den Erlass strengerer Vorgaben freistellen, muss hier teilweise noch weiter abgewartet werden.

Der neue Entwurf zur E-Privacy-Verordnung kann durchaus als pragmatisch im positiven Sinne bezeichnet werden, da er sich an den Gegebenheiten der gegenwärtigen Praxis orientiert. Bestehende rechtliche Regelungen und Institute werden aufgegriffen, auf den neuesten Stand gebracht und schaffen durch die europaweit einheitliche Regelung eine höhere Rechtssicherheit. Unternehmen müssen sich daher nicht völlig umstellen, sondern erhalten teilweise neue Handlungsspielräume, etwa durch die Erweiterung der Rechtsgrundlagen. Pragmatisch ist der Entwurf auch deshalb, weil er an strittigen Stellen Kompromisse zu finden versucht. Das hat zur Folge, dass Unternehmen an manchen Stellen sorgfältiger werden müssen. Insbesondere bei Einwilligungen sollte ganz genau auf die Anforderungen geachtet werden. Auch im Marketingbereich muss die Zulässigkeit ganz genau geprüft werden, wenn es etwa um die Herkunft der Daten geht, die man zu Werbezwecken verwendet. Es ist zu erwarten, dass die Regelungen des Entwurfs sich zumindest teilweise auch in der finalen Fassung der E-Privacy-Verordnung finden werden. Für Unternehmen ist es daher empfehlenswert, sich schon mal auf die neuen Regelungen einzustellen. So lässt sich der Aufwand, wenn die Verordnung verabschiedet wird, minimieren und man ist datenschutzrechtlich von Anfang an auf der sicheren Seite.