Künftig soll es in der EU weniger Cookie-Banner geben – aber nicht zu wenige, geht es nach den EU-Mitgliedstaaten. Zudem sollen personenbezogene Daten einfacher verwendet dürfen, um damit Künstliche Intelligenz zu trainieren.
Das sind zwei der Punkte, auf die sich die EU-Länder in den Verhandlungen zum Daten-Omnibus geeinigt (PDF) haben, wie gestern die irische Ratspräsidentschaft verkündete. Mit dieser Position wird der EU-Rat in die Trilog-Verhandlungen ziehen, sobald sich das EU-Parlament ebenfalls auf eine gemeinsame Position verständigt hat. Dies soll im Februar der Fall sein.
Mit dem Gesetzespaket will die EU-Kommission die Nutzung von Daten vereinfachen, Regeln entschlacken und überlappende Gesetze harmonisieren. Während die Deregulierungsagenda der Kommission bei der Wirtschaft auf offene Ohren gestoßen ist, kritisierten Gewerkschaften, Verbraucherschutzorganisationen und zahlreiche zivilgesellschaftliche Gruppen sie als „größten Rückschritt für digitale Grundrechte“.
Cookie-Revolution bleibt aus
Nur ein Punkt wurde in der Zivilgesellschaft positiv aufgenommen: So hatte die EU-Kommission vorgeschlagen, die Cookie-Flut spürbar einzuschränken. Demnach sollen Websites und andere Online-Dienste die Auswahl von Nutzer:innen respektieren, ob sie diese tracken dürfen oder nicht. Dieses Häkchen könnten die Nutzer:innen an einer zentralen Stelle aktivieren, etwa in ihrem Browser, und würden sich hiermit regelmäßig wiederkehrende Cookie-Abfragen vieler Websites für mindestens ein halbes Jahr ersparen.
Diesen Ansatz lehnt der EU-Rat jetzt jedoch ab. Stattdessen wollen die Länder die bislang geltenden Regeln der ePrivacy-Richtlinie beibehalten, dafür aber die Liste der Zwecke erweitern, bei denen die Zustimmung der Nutzer:innen entfallen würde. Keine Zustimmung wäre etwa dann nötig, wenn ein Cookie für die Erbringung einer Dienstleistung, für die Reichweitenmessung oder zur Gewährleistung der Sicherheit des Endgeräts der Nutzer:innen erforderlich ist, führt der Rat aus. Damit würden wohl einige Cookie-Banner verschwinden, allerdings zum Preis einer teils einfacheren Verfolgung von Nutzer:innen im Netz.
Gegen den Vorschlag der Kommission hatten sich Länder wie Deutschland und Frankreich gestellt, sie warnen vor möglichen negativen Folgen für die europäische Wirtschaft. Dass sie sich durchsetzen würden, hatte sich bereits im Sommer abgezeichnet. Ganz zufrieden sind sie dennoch nicht. Regierungskreisen zufolge hat sich Deutschland, das gemeinsam mit Österreich und Estland gegen die Rats-Position gestimmt hat, unter anderem eine Folgenabschätzung im Vorfeld gewünscht. Darin hätte die Kommission ermitteln sollen, wie sich die Änderung auswirken würde.
Gesperrt hatte sich Deutschland zudem gegen den Plan des Rats, Nutzer:innen nach einer erteilten Cookie-Zustimmung oder ‑Ablehnung vier Monate lang nicht mehr erneut zu fragen. Aus deutscher Sicht sind drei Monate genug. Außerdem schlug die Bundesregierung Ausnahmen vor, damit Online-Dienste bereits vor dem Ablauf der Frist erneut um Erlaubnis zum Tracking fragen dürfen.
KI-Training mit sensiblen Daten
Umstritten in den Rats-Verhandlungen war auch der Umgang mit personenbezogenen Daten. Hierbei war die Kommission mit dem Vorschlag angetreten, die derzeit geltende Definition zu ändern und pseudonymisierte Daten künftig vom Geltungsbereich der Datenschutz-Grundverordnung (DSGVO) auszunehmen. Dies soll KI-Unternehmen erleichtern, potenziell sensible Daten von Nutzer:innen ohne Erlaubnis oder Einwilligung für das Training ihrer KI-Systeme zu verwenden.
Geeinigt hat sich der Rat nun darauf, die Definition personenbezogener Daten vordergründig nicht zu ändern. Allerdings will er neue Regeln in Bezug auf Pseudonymisierung einführen, um KI-Training zu erleichern. Dabei helfen soll unter anderem der Europäische Datenschutzausschuss, der technische und juristische Tipps geben soll. Diese sollen gewährleisten, dass Techniken wie Pseudonymisierung und Anonymisierung einheitlich ausgelegt und angewandt werden – und letztlich dafür sorgen, dass einzelne Menschen nicht so leicht identifiziert werden können, wie es üblicherweise bei pseudonymisierten Daten möglich ist.
Außerdem soll das KI-Training mit personenbezogenen Daten auch ohne Pseudonymisierung erlaubt sein, wenn dies im „berechtigten Interesse“ der Unternehmen liegt. Die – durchaus wacklige – Rechtsgrundlage soll weiterhin Artikel 6 der DSGVO bleiben, einschließlich eines Widerspruchsrechts. Zusätzlich schlägt der Rat vor, die Kommission solle im Rahmen eines eigenen Berichts ergründen, ob die Auflagen für kleine und mittlere Betriebe verhältnismäßig sind.
Insgesamt entspricht die Einigung zum Datenschutz jenem Kompromiss, über den netzpolitik.org Anfang Oktober berichtet hatte. Gegen diesen Vorschlag hatten Datenschützer:innen protestiert, die NGO noyb schreibt etwa von „digitaler Enteignung“ europäischer Bürger:innen im Interesse von KI-Unternehmen.
Darüber hinaus will der Rat die DSGVO auch in anderen Punkten schwächen. So soll das Auskunftsrecht entfallen, wenn es sich um „unbegründete oder exzessive Anfragen“ handelt. Wissenschaftlicher Forschung wiederum soll die Verarbeitung personenbezogener Daten einfacher gemacht werden, indem gezielte Ausnahmen von bestimmten Verpflichtungen eingeführt werden.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Schutz von Geschäftsgeheimnissen
Die letzten Verhandlungsrunden drehten sich vor allem um den Data Act. In dem relativ jungen Gesetz geht es darum, insbesondere Daten aus dem Internet of Things (IoT) leichter nutzbar zu machen. Dem können jedoch Geschäftsgeheimnisse der Herstellerfirmen im Weg stehen. Deren Schutz will der Rat stärken: Geschäftsgeheimnisse, die sich womöglich in den Datenflüssen finden lassen, sollten erst dann offengelegt werden müssen, wenn sich alle Beteiligten ausdrücklich zu Vertraulichkeit verpflichtet haben. Ferner sollen Maßnahmen sicherstellen, dass solche Geheimnisse nicht in Länder außerhalb der EU abfließen.
Zugleich soll öffentlichen Einrichtungen, die über Daten des öffentlichen Sektors verfügen, sowie Unternehmen, die diese Daten nutzen wollen, mit schlankeren und EU-weit geltenden Regeln geholfen werden. Allerdings nicht uneingeschränkt: Öffentliche Stellen können sehr großen Unternehmen, sogenannten Gatekeepern, zusätzliche Bedingungen für die Datennutzung auferlegen und höhere Entgelte in Rechnung stellen.
Nach der Reform ist vor der Reform
Auf Anfrage gibt eine Sprecherin des Digitalministeriums an, Deutschland setze sich seit Beginn der Verhandlungen zum Omnibus-Paket für „ambitionierte Anpassungen der europäischen Digitalgesetzgebung“ ein. Ziel sei es, „spürbare Verbesserungen und Vereinfachungen zu erreichen, insbesondere für kleine und mittlere Betriebe und Start-Ups“.
Der von der Ratspräsidentschaft zuletzt vorgelegte Text werde dem Ambitionsanspruch Deutschlands jedoch nicht gerecht, so die Sprecherin: „Rote Linien für uns waren insbesondere der bessere Schutz von Geschäftsgeheimnissen und Vereinfachungen für KMU bei der DSGVO. Wir werden mit aller Kraft weiterhin für unsere Position werben und fordern die EU-Kommission auf, diese im Zuge des anstehenden Digital Fitness Check zu berücksichtigen.“
Besagter Fitness Check soll das Zusammenspiel der verschiedenen EU-Vorschriften und ihre Auswirkungen auf Unternehmen untersuchen, eine öffentliche Konsultation hierfür fand vergangenen Winter statt. Die Omnibus-Gesetzespakete, die noch verhandelt werden oder wie der KI-Omnibus bereits abgeschlossen sind, sollen nur den Auftakt einer weitreichenden Deregulierung bilden.
Schreibe eine Ergänzung!