über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation)

Zusammenfassung

Die e-Datenschutz-Richtlinie (2002/58/EG) enthält Vorschriften zum Schutz der Privatsphäre im Sektor der elektronischen Kommunikation. Sie soll – im Einklang mit dem in Artikel 7 der EU-Grundrechtecharta verankerten Grundrecht auf Achtung des Privat- und Familienlebens – dafür sorgen, dass die Vertraulichkeit der Kommunikation gewahrt bleibt.

Nach der e-Datenschutz-Richtlinie sind die Betreiber elektronischer Kommunikationsdienste (z. B. Internetzugang und Telefonieren über Fest- und Mobilfunknetze) verpflichtet,

(1)geeignete Maßnahmen zu ergreifen, um die Sicherheit der elektronischen Kommunikationsdienste zu gewährleisten (Einzelziel);

(2)die Vertraulichkeit der Kommunikation und der damit verbundenen Verkehrsdaten in öffentlichen Netzen zu wahren (Einzelziel).

Außerdem gewährleistet die Richtlinie den Schutz der Nutzer und Teilnehmer elektronischer Kommunikationsdienste vor unerbetener Kommunikation.

2015 hielt es die Kommission für notwendig, die Vorschriften der e-Datenschutz-Richtlinie daraufhin zu überprüfen, ob sie ihre wichtigsten Ziele erreicht haben, insbesondere die Gewährleistung eines angemessenen Schutzes der Privatsphäre und der Vertraulichkeit der Kommunikation in der EU, und ob diese Vorschriften angesichts des rechtlichen und technischen Umfelds nach wie vor ihrem Zweck gerecht werden. Im Zuge des Programms zur Gewährleistung der Effizienz und Leistungsfähigkeit der Rechtsetzung (REFIT) wurde die Richtlinie entsprechend den Leitlinien für eine bessere Rechtsetzung anhand der folgenden Indikatoren bewertet: Wirksamkeit, Effizienz, Relevanz, Kohärenz und EU-Mehrwert. Die Kommission untersuchte die Vorschriften auch im Hinblick darauf, inwieweit Spielraum für Vereinfachungen bestand, ohne die Ziele der e-Datenschutz-Richtlinie zu untergraben.

Die Evaluierung erstreckte sich auf die gesamte EU und auf die Jahre 2009 bis 2016. Die Auswertung stützte sich auf Erkenntnisse aus einer öffentlichen Konsultation, eine Eurobarometer-Erhebung, strukturierte Dialoge, externe Studien, Monitoring-Berichte, Strategiepapiere der Kommission und sonstige relevante Unterlagen. Solide Wirtschaftsdaten, auf die sich diese Bewertung hätte stützen können, waren kaum vorhanden. Auch gibt es keine Statistiken oder sonstigen quantitativen Daten über die Kosten der Einhaltung der e-Datenschutz-Richtlinie, oder solche Daten werden von den Rechtspersonen, die den Verpflichtungen der Richtlinie unterliegen, nicht veröffentlicht. Daher konnte sich die Evaluierung zur Untermauerung der Ergebnisse nur auf die vorstehend genannten Quellen stützen.

Ergebnisse

Die Bestimmungen der Richtlinie sind mit Blick auf das Ziel, die Privatsphäre und die Vertraulichkeit der Kommunikation zu schützen nach wie vor gültig, doch einige ihrer Vorschriften sind angesichts des technischen Fortschritts und der Marktentwicklung sowie aufgrund von Änderungen des Rechtsrahmens nicht länger zielführend. Dies gilt auch für die Vorschriften über die Meldung von Verletzungen der Sicherheit personenbezogener Daten, die sich vollständig in der im April 2016 erlassenen Datenschutz-Grundverordnung wiederfinden und die damit überflüssig geworden sind. Hinsichtlich der Vertraulichkeit der Kommunikation haben die Vorschriften ihre Ziele mit Blick auf die Betreiber elektronischer Kommunikationsdienste erreicht, konnten aber Bürgern, die Over-the-top-Dienste (z. B. VoIP-Telefonie oder Sofortnachrichtendienste („Instant-Messaging“)) nutzen, keinen angemessenen Schutz bieten, da die Richtlinie für diese Dienste nicht gilt. Durch diese regulatorische Asymmetrie hatten Betreiber elektronischer Kommunikationsdienste gegenüber diesen neuen Marktteilnehmern einen Wettbewerbsnachteil. Auch führte sie dazu, dass je nach verwendetem Kommunikationsmittel ein unterschiedlich hohes Schutzniveau bestand.

Insgesamt bildete die Richtlinie also einen angemessenen Rahmen für den Schutz der Privatsphäre und die Vertraulichkeit der Kommunikation in der EU, auch wenn einige Probleme im Hinblick auf die Wirksamkeit auftraten.

Die praktische Anwendung und Durchsetzung der in der Richtlinie festgelegten Grundsätze (d. h. Vertraulichkeit der Kommunikation und der Endeinrichtungen) erwies sich in vielerlei Hinsicht als problematisch. In den meisten Mitgliedstaaten sind verschiedene Behörden für die e-Datenschutz-Richtlinie zuständig, oft mit sich überschneidenden Zuständigkeiten, sodass unklar ist, welcher Stelle die Durchsetzung obliegt. Bei der Evaluierung wurde zudem festgestellt, dass die Anwendung der Einwilligungsvorschriften zur Wahrung der Vertraulichkeit von Endeinrichtungen – häufig als „Cookie-Vorschrift“ bezeichnet und als Handhabe für Privatpersonen gedacht – nur bedingt wirksam war. Die Nutzer sollen Verfolgungs-Cookies („Tracking Cookies“) akzeptieren, ohne dass sie die Bedeutung der komplizierten Formulierungen verstehen, und sind manchmal mit Cookies konfrontiert, denen sie nicht zugestimmt haben. Zudem ergab die Auswertung, dass die Einwilligungsvorschrift einerseits zu umfassend ist, weil sie auch Verfahren einschließt, die gar keine Gefahr für die Privatsphäre darstellen (wie analytische Erstanbieter-Cookies), und andererseits zu eng, weil sie einige Verfolgungstechniken (z. B. Verfolgung von Gerätekennungen), die ohne Zugriff/Speicherung im Gerät auskommen, nicht erfasst. Im Zusammenhang mit der unerbetenen Werbung zeigt allein die Zahl der Beschwerden von Bürgerinnen und Bürgern, dass die Vorschriften möglicherweise nicht zielführend waren.

Hinsichtlich der Effizienz war es zugegebenermaßen schwierig, zuverlässige und repräsentative quantitative Daten zu erhalten. Die konsultierten Interessenträger waren überwiegend nicht in der Lage, die sich aus den Bestimmungen der Richtlinie ergebenden Kosten auch nur schätzungsweise zu beziffern, wie beispielsweise die Kosten für die Anforderung, Sicherheitsmaßnahmen zu ergreifen und Cookie-Banner zur Einholung der Einwilligung einzuführen. Der Begleitstudie zu dieser REFIT-Evaluierung zufolge liegen die Einhaltungskosten anscheinend bei etwa 658 EUR je Unternehmen.

Die Bewertung ergab keine Hinweise auf größere Unstimmigkeiten zwischen der Richtlinie und anderen einschlägigen EU-Rechtsvorschriften, mit denen sie zusammenwirkt. Allerdings wurden einige Überschneidungen, insbesondere mit der Datenschutz-Grundverordnung (etwa bei den Sicherheitsvorschriften) festgestellt. Die Bewertung kam zu dem Schluss, dass die e-Datenschutz-Richtlinie einen EU-Mehrwert erbringt, da sie die Bestimmungen über die Vertraulichkeit der Kommunikation und der Verkehrsdaten harmonisiert, was angesichts des zunehmend transnationalen Markts der elektronischen Kommunikation immer mehr an Bedeutung gewinnt.

Schließlich zeigt die Bewertung, die sich auf nur spärliche quantitative Angaben stützen kann, auch, dass es derzeit an einem wirksamen System zur Überwachung der Anwendung der Richtlinie fehlt – ein Manko, dass in Zukunft behoben werden sollte.