ePrivacy-Mythen unter der Lupe: „Eine der schlimmsten Lobby-Kampagnen, die wir je erlebt haben“

Die ePrivacy-Reform ist momentan eines der umkämpftesten netzpolitischen Themen. Mit einer neuen Verordnung sollen der Schutz der Privatsphäre in der vernetzten Gesellschaft und die Vertraulichkeit der digitalen Kommunikation gestärkt werden. Konkret geht es um einfacheren Schutz vor Tracking, um Regeln für die kommerzielle Verwertung Daten durch Telefonanbieter oder Dienste wie WhatsApp und Facetime und um Sicherheitsvorgaben wie Verschlüsselung (die sechs zentralen Punkte im Überblick).

Derzeit ruht das legislative Verfahren, weil sich die Regierungen der EU-Mitgliedstaaten noch nicht auf eine Position einigen konnten. Nachdem die EU-Kommission im Januar einen Entwurf vorgelegt hatte, stimmte das Parlament im Oktober für eine datenschutzfreundliche Verhandlungsposition. Im Gespräch mit Florian Glatzner versuchen wir, die einflussreichsten Mythen aufzudecken, die über die Verordnung gestreut werden.

Florian Glatzner ist Politikwissenschaftler und seit Anfang 2011 beim Verbraucherzentrale Bundesverband (vzbv) tätig. Zuerst arbeitete er dort im Verbraucherinformationsprojekt „Verbraucherrechte in der digitalen Welt“, seit 2015 ist er als Referent im Team Digitales und Medien des vzbv für den Themenbereich Datenschutz zuständig. Glatzner veröffentlichte ein Buch zur Videoüberwachung des öffentlichen Raumes, ist ehrenamtlich zu Datenschutzthemen aktiv und hat auf der letzten Netzpolitik-Konferenz einen Vortrag zur ePrivacy-Verordnung gehalten.

Das Märchen vom Tod des Internets durch Datenschutz

netzpolitik.org: Nachdem das Parlament sich in Sachen ePrivacy zu einem datenschutzfreundlichen Kurs entschlossen hat, haben sich die Anstrengungen der Lobbyisten gegen die Regulierung nochmal verstärkt. In immer schrilleren Tönen warnen sie vor der Verordnung. Inzwischen beschweren sich sogar hochrangige Vertreter der stets um Ausgeglichenheit bemühten EU-Kommission über die Horrorgeschichten der Industrie. Welche Mythen sind dir besonders aufgefallen?

Florian Glatzner: Viel mehr als über einzelne Mythen wundere ich mich über die Aggressivität und die Panikmache, mit der Teile der Wirtschaft versuchen, ihre Interessen durchzusetzen. Auf der einen Seite wird Verfechtern von Datenschutz- und Verbraucherrechten eine emotionale Diskussion mit ideologisch aufgeladenen Argumenten vorgeworfen. Auf der anderen Seite sprechen Werbeverbände vom Ende des Internets, veröffentlichen theatralische Youtube-Clips, in denen suggeriert wird, es würde künftig keine Apps und keine Verlage mehr geben oder illustrieren die ePrivacy-Verordnung in Vorträgen mit dem Bild eines Atompilzes. Kein Wunder, dass viele Beteiligte von einer der schlimmsten Lobby-Kampagnen sprechen, die Brüssel je erlebt hat.

netzpolitik.org: Eines der Hauptargumente gegen die Verordnung lautet, dass sie dem Internet seine ökonomische Grundlage raube: Was manche „kommerzielle Überwachung“ nennen, heißt im Industriesprech „data driven Advertising“. Unbestritten ist dies derzeit die dominante Einnahmequelle für internetbasierte Angebote – von Social-Media-Diensten wie Whatsapp oder Instagram bis zu Nachrichtenseiten. Verleger warnen gar vor dem Ende des freien Journalismus im Netz, weil die Finanzierung ohne datenbasierte Werbung nicht mehr möglich sei.

Florian Glatzner: Das halte ich für ausgesprochen übertrieben. Die ePrivacy-Verordnung würde die derzeitige Rechtslage nur unwesentlich verändern. Schon bisher war nach EU-Recht eine Einwilligung der Nutzer notwendig, wenn Daten auf ihren Endgeräten gespeichert oder von diesen abgerufen wurden. Das ist in Deutschland allerdings bisher nicht richtlinienkonform umgesetzt worden. Die Verordnung würde die bisherigen Regelungen EU-weit vereinheitlichen, konkretisieren und der Datenschutzaufsicht endlich Mittel zur effektiven Durchsetzung des Rechts an die Hand geben.

Darüber hinaus hatte die Werbeindustrie jahrelang die Gelegenheit, wirksame Selbstverpflichtungen einzurichten. Diese sind allerdings – wie im Falle von Do-Not-Track – gescheitert. Der Prozess läuft seit 2007, alle Browser unterstützen den Standard, von der Industrie wird er aber nicht anerkannt. Auf der DNT-Liste sind gerade einmal 21 Unternehmen eingetragen, Google, Facebook, Yahoo etc. fehlen. Andere „Selbstverpflichtungen“ sind wirkungslos, oder kennt irgendjemand das AdChoice-Symbol? Angesichts dessen ist es doch nicht verwunderlich, dass die EU-Kommission und das EU-Parlament diese Unzulänglichkeiten nun in Form einer Verordnung beseitigen wollen.

Online-Werbung wird weder verboten noch verhindert

netzpolitik.org: Ein besonderer Dorn im Auge der Tracking- und Werbeindustrie ist der Plan, dass Do-Not-Track quasi rechtsverbindlich werden soll. Nutzer würden Unternehmen mit einer einfachen Einstellung in ihrem Browser oder Smartphone-Betriebssystem signalisieren können, dass von ihnen keine personenbezogenen Daten für Tracking gespeichert und ihr Verhalten nicht aufgezeichnet werden soll. In Kombination mit einer Pflicht zu datenschutzfreundlichen Voreinstellungen würde das vermutlich wirklich dazu führen, dass deutlich weniger Menschen als heute Werbung akzeptieren würden, die auf Basis ihres Datenprofils auf sie zugeschnitten wurde.

Florian Glatzner: Zuerst einmal: Eine Umfrage der EU-Kommission zeigt eindeutig, dass sich die Verbraucher datenschutzfreundliche Voreinstellungen wünschen. Bei dieser Eurobarometer-Erhebung hatten sich neunzig Prozent der deutschen Internetnutzer für solche Voreinstellungen in ihren Webbrowsern ausgesprochen. Gleichzeitig zeigt die Studie auch, dass besonders ältere Menschen, Menschen mit niedriger Bildung sowie Menschen, die das Internet wenig verwenden, seltener Änderungen in den Datenschutzeinstellungen ihrer Software vornehmen. Datenschutzfreundliche Voreinstellungen schützen also in erster Linie diese besonders vulnerablen Verbrauchergruppen.

Zur Frage: Das ist vermutlich richtig. Aber um es klarzustellen: Werbung wird nicht verboten. Ebenso wenig Werbung, die auf personenbezogenen Daten basiert. Es bliebe weiterhin möglich, Werbung zu schalten, und auch weiterhin möglich, um eine Einwilligung für das Tracking zu bitten. Was aufhören würde, wäre das Umgehen des Nutzerwillens. Der Markt müsste sich dann eben auf die neuen Rahmenbedingungen einstellen.

Einige Firmen zeigen bereits, dass es Alternativen zu Werbung gibt, die auf Privacy-invasivem Tracking beruhen. Der Anti-Adblock-Spezialist Pagefair, die europäischen werbefinanzierten Suchmaschinen Qwant und Startpage oder das Berliner Unternehmen Contentpass werben explizit damit. Bislang gehen die meisten Innovationen in der Online-Werbung aber eben nicht in eine verbraucherfreundliche Richtung, sondern zu Lasten der Nutzer.

netzpolitik.org: Wie funktionieren solche Werbemodelle?

Florian Glatzner: Qwant arbeitet mit kontextbezogener Werbung, die entsprechend der Suchergebnisse angezeigt wird. Startpage macht das ähnlich und nutzt gesponsorte Links, die allerdings nicht individuell auf das Nutzerverhalten zugeschnitten sind. Pagefair entwickelt ein System, mit dem auf Basis bisheriger Strukturen die Daten von tatsächlich einwilligenden Nutzern vermarktet werden können, die Daten der anderen Nutzer jedoch geschützt sind. Und Contentpass möchte ein angebotsübergreifendes Abomodell auf den Markt bringen.

Ob diese Modelle der Weisheit letzter Schluss sind, kann ich nicht beurteilen. Aber sie zeigen, dass es auch Gegenentwürfe gibt. In den letzten Jahren ging in dem Markt alle Innovation in Richtung der Werbekunden und nicht in Richtung der Verbraucher. Mit einer starken ePrivacy-Verordnung wird die Innovation wieder in eine verbraucherfreundliche Richtung gelenkt. Der Markt wird Lösungen auf die geänderten Rahmenbedingungen finden. Dies stellt meiner Meinung nach auch eine Chance für innovative europäische Unternehmen dar.

netzpolitik.org: Die ePrivacy-Verordnung bedeutet also nicht das Ende von werbefinanzierten Inhalten im Internet?

Florian Glatzner: Die Frage ist ja nicht, ob wir das eine oder das andere Modell wollen. Ich denke, in Zukunft wird es einen Mix aus personenbezogener Werbung auf Basis einer Einwilligung, nicht-personenbezogener Werbung, Freemium- und Abomodellen sowie anderen Finanzierungsweisen geben müssen.

Es ist sogar zu vermuten, dass die Daten von Nutzern, die künftig tatsächlich freiwillig einwilligen, zu weitaus besseren Konditionen vermarktet werden können als bisher, da die Einwilligung wieder einen größeren Wert erhält. Außerdem könnte die Bereitschaft der Verbraucher steigen, ihre Daten abzugeben, wenn sie wieder mehr Vertrauen in die datenverarbeitende Wirtschaft haben können. Wir erleben in Sachen Daten ja seit Jahren eine regelrechte Wildwest-Stimmung – viele Tracker machen, was sie wollen, weil sie die Mittel dazu haben. Wie gesagt: Die Branche hat ihre Chance verpasst, sich selbst zu mehr Rücksicht und Fairness zu verpflichten. Geschäftsmodelle, die darauf basieren, den Nutzerwillen zu umgehen, sind keine gute Grundlage für eine nachhaltige Wirtschaft.

Weshalb Google und Facebook am Ende nicht die Gewinner sind

netzpolitik.org: Das klassische Gegenargument lautet an dieser Stelle, dass die Menschen die Dienste ja freiwillig nutzen.

Florian Glatzner: Die Nutzung moderner Kommunikationsmittel und vieler Dienste der Informationsgesellschaft ist heutzutage notwendig für eine Teilhabe am gesellschaftlichen Diskurs. Tracking im Internet und auf dem Smartphone lässt sich aber kaum umgehen. Das Fraunhofer SIT hat beispielsweise 1.600 Webseiten untersucht und über 600 verschiedene Tracker gefunden. Die Top-3-Tracker waren auf 994, 780 und 474 Seiten eingebunden. Die Top-3-Seiten hatten jeweils über 70 verschiedene Tracker, die Top-25 hatten alle über 50 Tracker eingebunden.

Das Fraunhofer SIT hat 2014 auch die 400 populärsten Apps aus er Rubrik Utilities aus dem App Store von Apple auf das Enthaltensein von Tracking-Technologien untersucht. In 72 Prozent dieser Apps wurden Tracking-Frameworks entdeckt, teilweise sogar 12 verschiedene Frameworks. Nutzer werden selbst dann getrackt, wenn sie für Dienste bezahlen. Insofern ist derzeit fast die einzige Möglichkeit, sich dem Tracking zu entziehen, keine modernen Kommunikationsmittel zu nutzen und auf Teilhabe am sozialen Leben und der politischen Willensbildung zu verzichten.

netzpolitik.org: Schauen wird mal weiter auf die Narrative, mit denen in Sachen ePrivacy Politik gemacht wird. Ein beliebtes Argument lautet, dass sie Datenriesen wie Facebook, Google und Amazon aus den USA bevorzugen würde, weil diese sich dank der Vertragsbeziehung mit ihren Nutzern eine Generalerlaubnis zum Tracking abholen würden. Solange Nutzer bei ihnen eingeloggt sind, während diese im Netz unterwegs sind, könnten sie ihr Verhalten weiter beobachten. Nachrichtenwebseiten und ähnliche Dienste ohne Log-In müssten ohne Generalerlaubnis auskommen, wären im Tracking-Business also benachteiligt.

Florian Glatzner: Die Praxis der großen Plattformen ist natürlich ein Problem. Als Argument gegen die ePrivacy-Verordnung läuft es trotzdem ins Leere. Einerseits bleibt Werbung grundsätzlich ja weiter möglich. Werbetreibende werden nicht plötzlich darauf verzichten, Werbung auf allen Online-Angeboten von journalistischen Medien oder Privatsendern zu schalten. Dafür ist das Werbeumfeld dort zu attraktiv.

Zum anderen werden alle Anbieter durch die neuen Regeln gleich behandelt. Auch für die großen Plattformen wird es durch die Datenschutzgrundverordnung und die ePrivacy-Verordnung künftig schwieriger werden, ihren Nutzern eine Einwilligung unterzujubeln. Mit der Datenschutzgrundverordnung wird ein Koppelungsverbot gelten, nach dem Nutzer nicht dazu gezwungen werden dürfen, ihre personenbezogenen Daten preiszugeben, um ein Angebot nutzen zu können. Wenn Facebook oder Google sich rechtlich auf die Einwilligung der Nutzer stützen wollen, müssen sie für unterschiedliche Verarbeitungszwecke auch entsprechend unterschiedliche Einwilligungen einholen.

netzpolitik.org: Können die ePrivacy-Gegner Belege für ihre These von der Stärkung der Log-In-Giganten ins Feld führen?

Florian Glatzner: Verlässliche Belege dafür gibt es bisher nicht. Im Gegensatz dazu kommt eine Studie der einflussreichen US-Rechtsberatung Frankfurt Kurnit Klein + Selz über den Einfluss der ePrivacy-Regulierung auf Facebook und Google etwa zu dem Schluss, dass auch diese ihre Modelle weitreichend anpassen und teilweise aufgeben müssen.

Die Bedenken hinsichtlich der Marktmacht einiger Plattformen teile ich grundsätzlich. Allerdings sollte man nicht versuchen, dieser Marktmacht zu begegnen, indem man Datenschutzregelungen einführt oder nicht einführt. Dafür gibt es das Kartell- und Wettbewerbsrecht.

Das Ende der Reichweitenmessung im Internet?

netzpolitik.org: Ein anderes Narrativ ist, dass die ePrivacy-Verordnung maßlos über das Ziel hinausschieße. So lautet ein Szenario, das manche Akteure zeichnen, dass sie das Ende der Internet-Reichweitenforschung bedeuten würde. Im Online-Marketing werden diese Zahlen über Webseitennutzung unter anderem genutzt, um Preise für Werbung festzulegen. Nicht mal simple Nutzungsstatistiken könnten mehr erhoben werden, lautet eine Behauptung – Medien- und Onlinefirmen wären komplett blind.

Florian Glatzner: Auch das ist falsch und irreführend. Das Parlament hat in seiner Fassung explizite Ausnahmen für das Zählen von Besucherströmen beschlossen. Statistische Messungen – auch der Bewegungen auf Webseiten – wären möglich, ohne das Einverständnis der Nutzer einzuholen. Gegenüber der heutigen Rechtslage, die leider nie entsprechend durchgesetzt wurde, ist das sogar eine Erweiterung der Möglichkeiten für Webseitenbetreiber. Lediglich das Erstellen von Profilen und die Verknüpfung mit personenbezogenen Daten sollen ohne Einwilligung der Nutzer verboten sein.

netzpolitik.org: Ein anderer Vorwurf lautet, dass mit der ePrivacy-Verordnung von Nutzern gewünschte datenbasierte Dienste, beispielsweise Spam-Filter oder automatische Übersetzungen in Mailprogrammen, unmöglich gemacht würden. Auch Innovationen wie Sprachverarbeitungsprogramme, die Gesprochenes für Gehörlose unkompliziert in Schrift übertragen, wären nicht mehr ohne weiteres möglich.

Florian Glatzner: Auch das stimmt so nicht. Im Parlamentsentwurf gibt es klare Ausnahmen für Dienste, die der Nutzer explizit anfordert und lediglich für seine individuellen Zwecke verwendet. Diese Kommunikationsdaten der Nutzer dürfen von den Unternehmen nur dann verwendet werden, um diese angeforderten Dienste zu erbringen, aber ohne eine spezifische Einwilligung nicht darüber hinaus.

Strengere Regeln auch für Whatsapp

netzpolitik.org: Worüber wenig gesprochen wird, ist die Tatsache, dass es europäischen Telekommunikationsunternehmen wie der Telekom oder Vodafone mit der ePrivacy-Verordnung etwas leichter gemacht werden soll, auch am Datengold mitzuverdienen. Wie bewertest du diese Veränderung?

Florian Glatzner: Ich sehe es kritisch, dass die Möglichkeiten der Verarbeitung von Kommunikationsmetadaten durch Telekommunikationsanbieter ausgeweitet werden sollen. Dies war bisher auf Dienste beschränkt, die einen Mehrwert für die Betroffenen geboten haben. Nun wäre die Verarbeitung zu jedem Zweck möglich, zu dem der Betroffene einwilligt.

Auf der anderen Seite ist es natürlich sehr gut, dass nun auch andere Anbieter von elektronischen Kommunikationsdiensten die Metadaten der Nutzer nur mit deren Einwilligung verarbeiten dürfen. Sprich: Die neuen Regelungen gelten auch für Over-The-Top-Kommunikationsanbieter. Dies sind Kommunikationsdienste, die allein über das Internet angeboten werden, etwa Internettelefonie oder Instant Messaging.

netzpolitik.org: In den Debatten zur ePrivacy-Verordnung wird von manchen auch eine Grundsatzfrage des Datenschutzes verhandelt. Um informationelle Selbstbestimmung zu ermöglichen, setzt die ePrivacy-Verordnung primär auf das Instrument der informierten Einwilligung als Voraussetzung für Datenerhebungen und -verarbeitungen. Kritiker argumentieren unter anderem, dass es eine Illusion sei, dass Menschen alle ihre Datenflüsse kontrollieren könnten, sollten sie nur immer artig um Erlaubnis gebeten werden. Dies schiebe die Verantwortung für Grenzziehungen auf das Individuum ab, anstatt eine gesellschaftliche Debatte darüber zu führen, was möglich sein soll. Beim Auto sei es den Einzelnen ja schließlich auch nicht erlaubt, selbst zu entscheiden, ob sie einen Sicherheitsgurt anlegen.

Florian Glatzner: Ich halte die Einwilligung grundsätzlich auch nicht für der Weisheit letzter Schluss. Klare Regeln sind oftmals angebrachter. Teilweise wird das ja auch in der Verordnung aufgegriffen, wenn Ausnahmen von der Einwilligung mit entsprechenden Schutzmaßnahmen formuliert werden.

Gleichzeitig waren viele andere Alternativen, die zur informierten Einwilligung auf dem Tisch lagen, am Ende eben nicht die klaren Grenzziehungen, sondern die Öffnung der Schleusen durch extrem vage Formulierungen. So wollten die Konservativen im EU-Parlament durchsetzen, dass eine „weitere Verarbeitung“ von bereits erhobenen Daten ohne weitere Voraussetzungen möglich ist. Eine andere debattierte Alternative wäre es gewesen, bestimmte Datenverarbeitungen zuzulassen, wenn Unternehmen ein „legitimes Interesse“ daran geltend machen können.

Politische Realitäten

netzpolitik.org: Der Druck auf die Gesetzgeber ist enorm. Neben klassischen Tracking- und Werbefirmen hat sich inzwischen ein breites Bündnis der Medienbranche gegen die ePrivacy-Verordnung gestellt. Dazu gehören nicht mehr nur Presseverlage und deren Branchenverbände, sondern auch das Privatfernsehen und die Arbeitsgemeinschaft Online-Forschung. Meinst du, dass die Bundesregierung und das zuständige Wirtschaftsministerium diesem Druck standhalten können beziehungsweise dies überhaupt wollen?

Florian Glatzner: Ich hoffe es. Bisher ist es allerdings so, dass die Bundesregierung im Rat noch keine Positionen vertritt. Das bedeutet, dass die Regelungen zwischen den verschiedenen Ministerien sehr umstritten sein müssen. Ich habe zwar den Eindruck, dass die Ministerien sich nicht von den Lobbyisten auf der Nase herumtanzen lassen wollen, allerdings scheinen sie den Argumenten der Wirtschaft auch nicht abgeneigt zu sein. Das ist ja auch prinzipiell nicht verkehrt, allerdings schon etwas bitter, wenn es sich dabei weitgehend um Mythen handelt. Auch finde ich es bedenklich, wenn beispielsweise das zuständige Wirtschaftsministerium mit Studien Politik macht, deren Methodik jegliche Neutralität vermissen lässt.

netzpolitik.org: Zum Abschluss: Was muss passieren, damit die Verordnung wie geplant im Mai nächstes Jahres in Kraft treten kann?

Florian Glatzner: Das wird nicht passieren. Im EU-Rat wird es zum Ende dieses Jahres lediglich einen Fortschrittsbericht geben. Die kommende bulgarische Ratspräsidentschaft hat bereits angekündigt, eine allgemeine Ausrichtung bis Juni 2018 anzustreben. Anschließend müssen noch die Trilog-Verhandlungen zwischen EU-Parlament, EU-Rat und der EU-Kommission geführt werden. Derzeit ist auch eine Übergangsfrist von einem Jahr vorgesehen, so dass die Verordnung voraussichtlich im zweiten Halbjahr 2019 in Kraft treten könnte.

netzpolitik.org: Vielen Dank für das Gespräch!