Seit Montagabend kursiert im Netz der erste Leak eines Vorschlags der EU-Kommission für die Reform der ePrivacy-Richtlinie. Sie regelt bislang als Ergänzung zur EU-Datenschutzrichtlinie, welche Pflichten Anbieter von Kommunikationsdiensten für den Schutz von Privatsphäre und Vertraulichkeit der Kommunikation haben. Politico hat eine nicht-finale Fassung von Ende November [PDF] öffentlich gemacht, die tiefe Einblicke erlaubt, welche Regeln der federführenden Generaldirektion Kommunikationsnetze, Inhalte und Technologien unter Kommissar Günther Oettinger vorschweben.
Mehr zur Funktion der ePrivacy-Richtlinie und zu den umstrittenen Punkten der Reform finden sich in unserem Überblicksartikel und im 12np-Talk „Reform der ePrivacy-Richtlinie: Die nächste EU-Lobbyschlacht um unsere Privatsphäre“.
Verbindlichere Regeln mit größerer Reichweite
In vielen Punkten nimmt der Entwurf Bezug auf die ab Mai 2018 anzuwendende Datenschutzgrundverordnung (DSGVO) und ergänzt bzw. konkretisiert diese. Wenig überraschend ist, dass die Kommission vorschlägt, aus der Richtlinie eine Verordnung zu machen, so dass ihre Vorgaben in den Mitgliedsstaaten auch ohne nationale Umsetzungsgesetze gelten. Das dadurch erhoffte höhere Maß an Verbindlichkeit und Einheitlichkeit entspricht den Forderungen von Aufsichtsbehörden, NGOs und Bürgern – und auch die Internetindustrie kann damit leben, selbst wenn es ihr noch lieber gewesen wäre, wenn die ePrivacy-Regeln gleich ganz entsorgt worden wären.
Wie erwartet will die Kommission zudem die Reichweite der Regeln auf die sogenannten over-the-top-Dienste (OTT-Dienste) ausweiten, also auf internetbasierte Kommunikationsdienste wie Messenger, E-Mail, Direktnachrichten in Sozialen Netzwerken oder Internettelefonie. Bislang waren primär klassische Telekommunikationsdienste wie Telefonie und SMS von den Regeln erfasst. Das dürfte unter anderem Google gar nicht passen, weil die von Verbraucherschützern schon lange kritisierte Praxis, die Inhalte von GMail-Postfächern automatisch für Werbezwecke zu analysieren, dann klar verboten wäre.
Bemerkenswert ist, dass zudem auch die machine-to-machine-Kommunikation des sogenannten „Internet der Dinge“ umfasst werden soll, sofern dort personenbezogene Daten anfallen. Die Kommission will darüber hinaus – wie schon bei der DSGVO – klarstellen, dass die Regeln für jegliche Verarbeitung personenbezogener Daten europäischer Endnutzer von Kommunikationsdiensten gilt, auch wenn die Datenverarbeitung außerhalb der EU vorgenommen wird.
Kein besonderer Schutz für Kommunikationsmetadaten
Zentraler Streitpunkt bei der ePrivacy-Reform sind die Themen Tracking, Profiling und Werbung. Die bisherigen Vorgaben der Richtlinie waren in weiten Teilen wenig effektiv, die Kommission formuliert aber nun den Anspruch, mit der neuen Verordnung klare Regeln für „den Schutz des Privatlebens und der Kommunikation bei der Verarbeitung personenbezogener Daten in Zusammenhang mit dem Angebot und der Nutzung elektronischer Kommunikation“ vorzugeben. Als zweites Ziel der Reform benannte die Kommission immer wieder die Schaffung gleicher Marktbedingungen in der Big-Data-Wirtschaft.
Dass beide Ziele nicht immer gut miteinander harmonsieren, zeigt sich zum Beispiel in Artikel 6: Anders als von NGOs und Datenschützern gefordert, sollen Kommunikationsmetadaten weiterhin nicht besonders geschützt werden. Nach dem Willen der Kommission (Art. 6 Abs. 1.e) sollen Anbieter von Kommunikationsdiensten die Metadaten ihrer Kunden auch weiter für sogenannte „Mehrwerdienste“ (wie zum Beispiel Werbung) verarbeiten dürfen, wenn die Kunden ihre Zustimmung geben. In Erwägungsgrund (21) heißt es dazu:
Providing more leeway to providers of electronic communications services to process metadata may foster a data market and encourage innovation in the Union.
Immerhin: Die Kommission gestattet hier nicht, dass eine Verarbeitung von Metadaten auch auf Grundlage einer Abwägung zwischen dem „berechtigten Interesse“ (aka Geschäftsmodell) des Unternehmens und den Grundrechten des Betroffenen geschieht, wie dies die DSGVO in Art. 6 möglich macht. Mobilfunkanbieter dürften das gleich bleiben des Schutzniveaus trotzdem als Aufforderung verstehen, ihre zögerlichen Schritte zur Monetarisierung der Metadaten ihrer Kunden nun zu beschleunigen.
Das hier kein besserer Schutz vorgesehen ist, ist besonders deshalb schade, weil die Kommission in Erwägungsgrund (2) selbst betont, wie hoch die Aussagekraft und Sensibilität von Kommunikationsmetadaten ist:
In addition to the content of communications electronic communication metadata, which includes, the websites visited, one’s geographical location, the time, data and duration when an individual made a call, etc, may also expose very sensitive and personal information, allowing precise conclcusions to be drawn regarding the private lives of the persons, such as their social relationships, their habits and activities of everyday life, their interests, tastes etc.
Direktmarketing per Mail weiter ohne Einwilligung möglich
Auch in Sachen Direktmarketing (Art. 16) scheut sich die Kommission vor einer klaren Einschränkung der bisherigen Praxis. Zwar soll dieses grundsätzlich nur nach Opt-In erlaubt sein – für Direktmarketing via E-Mail entfällt diese strikte Vorschrift aber, sofern bereits ein Kundenverhältnis besteht. Dann nämlich sollen sich Kunden erst bewusst gegen die unaufgeforderten Nachrichten entscheiden und den Unternehmen Bescheid geben müssen (Opt-Out). Das heißt konkret: Unternehmen, bei denen ich einmal Pizza oder Schuhe bestellt habe, können solange weiter mit targeted-advertising-Mails auf mich zielen, bis ich es ihnen explizit untersage.
Licht und Schatten beim Third-Party-Tracking
Deutliche Fortschritte könnten die Vorschläge der Kommission beim Schutz vor Third-Party-Tracking beim Websurfing bringen. Im entsprechenden Artikel 8 Abs. 1 wird nun eine Formulierung verwendet, die sich nicht mehr nur auf Cookies beziehen lässt, sondern deutlich auch andere Tracking-Instrumente wie etwa Fingerprinting-Methoden umfasst. Diese sollen verboten sein – es sei denn, Nutzer geben ihr Einverständnis. Klargestellt wird, dass der Einsatz von First-Party-Cookies, die für die Funktion der Seite oder das Ausfüllen von Formularen notwendig sind, kein Einverständnis vorraussetzen. Die Kommission folgt damit einer Empfehlung der Artikel-29-Datenschutzgruppe [PDF], die den Ermüdungserscheinungen beim Wegklicken von Cookie-Info-Boxen entgegenwirken soll.
Kritisch wird es jedoch in Abs. 2 des gleichen Artikels, der die Vorgaben für das Sammeln und Verwerten von Daten regeln soll, die anfallen, wenn Geräte sich mit anderen Geräten oder Netzwerken verbinden. Dies kann für die Datenpraxis bei „Internet of Things“-Geräten relevant werden. Wie Erwägungsgrund (29) klarstellt, zielt es primär jedoch erstmal auf die zunehmende Praxis ab, Kunden in Geschäften anhand der Informationen zu tracken, die ihre Smartphones bei der Suche nach WLAN- oder Bluetooth-Signalen mitsenden:
Wireless and cellular telepfone standards similarly involve the broadcasting of active signals containing unique identifiers such as MAC adress , the IMEI (International Mobile Station Equipment Identity), the IMSI (International Mobile Subscriber Identity), etc. A single wireless base station (i.e. a transmitter and receiver), such as wireless access point, has a specific range within such information may be captured. Service providers have emerged who offer tracking services based on the scanning equipment related information with diverse functionalities, including people counting, providing data on the number of people waiting in line, ascertaining the number of people in a specific area, etc. This information may be used for more intrusive purposes, such as to send commercial messages to users as they enter, for example stores, with personalized offers.
Diese immer wichtiger werdende Form des Offline-Tracking soll zukünftig dann erlaubt sein, wenn eine öffentlich wahrnehmbare Information darüber angezeigt wird, unter welchen Bedingungen und zu welchem Zweck das Tracking stattfindet, wer dafür verantwortlich ist und welche Maßnahmen Nutzer ergreifen können, um das Tracking zu beschränken. Wenn die Daten für Werbung genutzt werden, sollen Nutzer nach dem Willen der Kommission zudem explizit widersprechen müssen, um dies zu unterbinden (Opt-Out).
Die aus Sicherheitsgründen zusätzlich vorgesehene Pseudonymisierung der Daten entsprechend Art. 32 der DSGVO ist in Anbetracht der Leichtigkeit, mit denen Pseudonymisierungen rückgängig gemacht werden können, ein schwacher Trost.
Einwilligung zu Webtracking: Neue Chance für „Do not Track“
Die Einwilligung zur Datenverarbeitung behält auch nach dem Reformvorschlag der Kommission ihre entscheidende Rolle für die Rechtmäßigkeit einer Datenverarbeitung. Hier ist bislang vorgesehen, dass die Regeln der Datenschutzgrundverordnung gelten, die eine freiwillige und nachweisbare Einwilligung vorsehen. In Erwägungsgrund (22) heißt es dazu:
The provision of electronic communication services shall not be made conditional upon obtaining the end-user’s consent to the processing of their electronic communications metadata; whether end-user’s consent is freely given, shall be assessed on a case by case basis; relevant aspects to determine whether the end-user has a genuine or free choice; shall include whether similar services are available at affordable prices […].
Entscheidend wird also nach wie vor sein, wie eine freiwillige Zustimmung interpretiert und wie die Einhaltung dieser Regel durchgesetzt wird. Schon bislang sieht die Richtlinie vor, dass Einwilligungen zur Datenerhebung und -verarbeitung freiwillig gemacht werden. Während in Deutschland aufgrund der mangelnden Durchsetzung dieser Regeln aber „Walled Gardens“ an der Tagesordnung sind und man viele Webseiten nur nutzen kann, wenn man dem Einsatz von Tracking-Cookies zustimmt, sorgt die französische Datenschutzaufsicht durch regelmäßige Kontrollen und Strafen dafür, dass man auf französischen Webseiten eine echte Wahl hat.
Mit dem Verweis auf die Einwilligungsvorraussetzungen der Datenschutzgrundverordnung stellt die Kommission zudem klar, dass das dort vorgesehene Koppelungsverbot auch explizit für den Bereich der elektronischen Kommunikation gelten soll. Das Innenministerium in Deutschland will dieses Prinzip jedoch gerade aufweichen.
Eine besondere Neuerung des Kommissionsvorschlags ist, dass auch entsprechende Einstellungen in der genutzten Software grundsätzlich Einwilligung und Widerspruch zum Third-Party-Tracking signalisieren soll. Der von Tracking-Firmen bislang ignorierten Do-Not-Track-Funktion im Browser würde also endlich eine Bedeutung zukommen. Gerade in Kombination mit einer wirksamen Durchsetzung der neuen in Artikel 10 vorgesehenen Regeln für „Privacy by Design“ könnten sich daraus dann tatsächlich Fortschritte für den Schutz der Privatsphäre ergeben. Dieser Artikel sieht nämlich vor, dass Geräte und Software (z. B. Browser) so ausgeliefert werden sollen, dass ihre Einstellungen Tracking durch Drittparteien von Beginn an unterbinden.
Offene Türen für eine Ausweitung der Vorratsdatenspeicherung
Aus grundrechtlicher Perspektive klar enttäuschend an dem Kommissionentwurf ist das, was er ausspart – nämlich die Themen Vorratsdatenspeicherung (VDS) und Verschlüsselung.
Artikel 11, der die Ausnahmen der Vorschriften zu Integrität und Vertraulichkeit elektronischer Kommunikation im Namen der nationalen Sicherheit und der Strafverfolgung regeln soll, enthält anders als in der aktuellen Richtlinie zwar keine explizite Öffnungsklausel für Vorratsdatenspeicherungen von Kommunikationsmetadaten mehr. Er verzichtet aber auch darauf, nationale Vorratsdatenspeicherungen im Einklang mit der Rechtsprechung des Europäischen Gerichtshofes (EuGH) auszuschließen. Wie aus dem beiliegenden Begründungstext (Ziffer 1.3) hervorgeht, soll so Neutralität in dieser Frage gewahrt werden – Mitgliedsstaaten können selbst über nationale VDS bestimmen.
De facto hieße das aber: Die bestehende Ausnahmeregelungen, die Vorratsdatenspeicherungen offenbar auch ohne explizite Öffnungsklausel ermöglichen, bleiben bestehen – und durch die Ausweitung der Verordnung auf OTT-Dienste, gelten die Ausnahmen plötzlich auch für diese. Überwachungsverfechter wie der deutsche Innenminister Thomas de Maizière dürften das als explizite Einladung verstehen, ihre Forderung umzusetzen, die VDS endlich auch auf Messenger auszuweiten.
Das ist umso wahrscheinlicher, als dass Abs. 2 desselben Artikels Anbieter elektronischer Kommunikationsdienste verpflichteen soll, interne Verfahren für die Beantwortung von staatlichen Anfragen auf Herausgabe von Nutzungsdaten zu etablieren.
Kein Rückenwind für Ende-zu-Ende-Verschlüsselung
Auch in Sachen Ende-zu-Ende-Verschlüsselung bleibt der Entwurf der Kommission hinter den Erwartungen zurück. Wie dem beiliegenden Begründungstext (Ziffer 3.2) zu entnehmen ist, haben ganze 90 Prozent der 27 000 im Sommer dazu befragten Europäer der Aussage zugestimmt, dass sie die Möglichkeit haben wollen, ihre Nachrichten und Anrufe so zu verschlüsseln, dass sie nur vom Empfänger gelesen werden können. Progressiv wäre es deshalb gewesen, Anbieter dazu zu verpflichten, Ende-zu-Ende-Verschlüsselung einzusetzen oder zumindest anzubieten.
In den Text hat es in Erwägungsgrund (42) dann aber nur die schwache Anregung geschafft, dass Anbieter elektronischer Kommunikationsdienste ihre Kunden über die Möglichkeit eigener Schutzmaßnahmen informieren sollten („should inform“), etwa den Einsatz von Verschlüsselungstechnologie. Dass es nicht noch schlimmer kam und etwa eine explizite Vorschrift von Verschlüsselungs-Backdoors eingefügt wurde, ist laut Brüsseler Kreisen wohl auch dem Einsatz der Industrie zu verdanken, die sich (so wie Datenschutzbehörden und NGOs auch) gegen solche Vorgaben ausgesprochen hat. Wir dürfen gespannt sein, ob die Forderung vieler Innenminister und „Sicherheitspolitiker“ es während der gerade stattfindenden Ressortabstimmung noch in den Vorschlag schafft.
EU-Kommission bleibt sich treu
Spätestens am 11. Januar wissen wir mehr, denn dann stellt die Kommission ihren Entwurf offiziell vor. Der Leak zeigt aber, dass sie ihrem selbst gesteckt Ziel eines effektiven Schutzes des Privatlebens und der Kommunikation der Menschen in Europa nur bedingt gerecht wird. Ihr zweites Ziel aber, für die europäische Digitalwirtschaft ein „Level Playing Field“ zu schaffen, würde die Verordnung umso mehr erreichen.
Die bislang weniger stark regulierten OTT-Diensteanbieter, größtenteils US-Firmen, müssten sich künftig an mehr und an klarere Regeln bei der Datenverwertung halten. Gerade im Bereich Webtracking, von Googles E-Mail-Analysen bis Third-Party-Tracking mittels Cookies und Fingerprinting, könnten tatsächlich klare Grenzen gezogen werden – auch wenn viel davon abhängen würde, wie die Einwilligungsvorgaben im Detail interpretiert und durchgesetzt würden. Die europäischen Mobilfunkanbieter aber würden die Vorschläge der Kommission vermutlich als klares Signal verstehen, ihren Metadatenschatz endlich offensiver zu monetarisieren. Und das junge Feld des Offfline-Tracking bliebe mit schwachen Vorgaben offen für hungrige Start-Ups aus Europa. Das Feld der staatlichen Überwachung hingegen würde nicht angetastet und weiter dem Überwachungswillen der Mitgliedsstaaten überlassen werden.
Ob das alles am Ende wirklich so kommt, hängt natürlich davon ab, wie der politische Prozess weitergeht. Ende Januar kommen der Rat und das Parlament ins Spiel. Mal wieder lasten die Hoffnungen auf ein Mehr an Grundrechten und einen effektiven Schutz des Privatlebens auf letzterem.
Wenn die EU zur Bedrohung für die Privatsphäre wird, dann bleibt nichts anderes übrig, als die EU konsequent zu bekämpfen und zu Fall zu bringen.
Und nein, ich bin kein verkappter Nationalist.
… oder sie mit langem Atem zu reformieren?
Die EU ist weniger das Problem.
Das Problem in der EU sind 2 Einflussreiche Länder: Deutschland und Frankreich
@netzpolitik.org
Mein RSS- Feed funktioniert nicht mehr. Dafür gibt es jetzt 5 verschiedene. Ich habe euch noch einmal eine Spende zukommen lassen, aber 5 RSS Feeds sind mir dann doch zu viel. Das wird mir alles zu unübersichtlich. Ich wünsche euch für eure Arbeit weiterhin alles Gute. Ich bin dann weg.
Du bist nicht der einzige,d er von Problemen mit unserem RSS-Feed berichtet. Wir konnten das bisher bei uns nicht nachvollziehen (Wir nutzen selbst alle diverse RSS-Reader). Aber wir geben Dein Feedback nochmal an die Technik weiter, damit das Problem gefunden und behoben werden kann. Welchen RSS-Reader nutzt Du denn unter welchem OS?
Welche NGOs bzw. welche Datenschützer fordern denn, dass Kommunikationsmetadaten nach einer Zustimmung durch die Nutzer (!) nicht durch die Anbieter verarbeitet werden dürfen? (Art. 6) Was will man denn mehr als die Zustimmung? Das würde ja bedeuten, dass ich als Nutzer niemals Werbung bekommen darf, selbst wenn ich welche bekommen möchte.
European Digital Rights, Privacy International und Access Now haben zum Beispiel in ihrem gemeinsamen Positionspapier vorgeschlagen, dass Tracking bei gesundheitsbezogenen Angeboten aufgrund der hohen Sensibilität der erhobenen Informationen komplett verboten werden sollte.
Ein weiterer Punkt beim Schutz der Metadaten ist das Thema Anonymisierung, denn wenn diese vorgenommen wurde, dürfen Metadaten auch ohne Einverständnis verarbeitet werden. Welche Standards eine Anonymisierung erfüllen muss bzw. wie überhaupt eine unumkehrbare Anonymisierung aussehen könnte, schreibt die Kommission nämlich nicht. Mehr dazu in dieser Stallungnahme der nationalen Datenschutzbehörden.
Die persönlichen Daten gehören in meinen Augen zur Menschenwürde.
Damit sind auch die Daten unantastbar.
Das soll bedeuten, Nur der Mensch hat das Recht, Daten (ggf eingeschränkt) frei zu geben und zu widerrufen.
Auch das sammeln und auswerten der Daten muss der Mensch freigeben.
Das müsste im GG verankert werden.
Es sind doch schon fast/alle Daten des Menschen digitalisiert/digitalisierbar.
Es fehlt nur noch die Vernetzung aller Daten.
Allein – es feht mir der Glaube, dass Daten geschütz werden.
Für mich nur eine Alibifunktion, denn zu sehr sind Staat und Wirtschaft an unsere Daten interessiert.
https://de.wikipedia.org/wiki/Informationelle_Selbstbestimmung
Die informationelle Selbstbestimmung wird unter GroKo-Verhältnissen nicht zum Grundrecht erhoben werden können, weil die GroKisten persönliche Daten eher als „Rohstoff“ sehen, den man heben und verarbeiten soll, zum Wohle der deutschen IT-Wirtschaft.
Das bedeutet aber nicht, dass man sich damit abfinden sollte!
> nicht zum Grundrecht erhoben werden können
besser: nicht ins Grundgesetz
Na klar dürfen die uns nach Herzenslust ausspionieren. Falls sie es denn könnten. :-)
Wann gibt es die ersten Kurse á la „Wie lebe ich wieder offline“? Zum Glück gehöre ich noch der Generation an, die wirklich komplett ohne digitaler Kommunikation, Internet und ähnlichem aufgewachsen ist. Natürlich kann das nicht wirklich die Lösung sein, sich aus der digitalen Welt zu verabschieden. Zum Teil ist das auch kaum praktikabel. Aber wenn die Mächtigen einen dazu zwingen… Der in der DDR übliche Satz „das will ich dir nicht am Telefon erzählen“ bekommt jedenfalls immer mehr Aktualität.