Überdies soll der Vorschlag auch dem Schutz der Kommunikation und damit zusammenhängender rechtmäßiger Interessen juristischer Personen dienen. Die Bedeutung und der Umfang der in Artikel 7 der Charta verankerten Rechte stimmen – im Einklang mit Artikel 52 Absatz 3 der Charta – mit denen in Artikel 8 Absatz 1 der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten („EMRK“) überein. Hinsichtlich des Anwendungsbereichs des Artikels 7 der Charta wurde durch die Rechtsprechung des Gerichtshofs der Europäischen Union („EuGH“) und des Europäischen Gerichtshofs für Menschenrechte bestätigt, dass berufliche Tätigkeiten juristischer Personen vom Schutz des durch Artikel 7 der Charta und Artikel 8 der EMRK gewährleisteten Rechts nicht ausgeschlossen werden können.

Artikel 16 AEUV bildet eine besondere Rechtsgrundlage für den Erlass von Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe der Union sowie durch die Mitgliedstaaten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen, und über den freien Datenverkehr. Da elektronische Kommunikationsvorgänge, an denen natürliche Personen beteiligt sind, normalerweise als personenbezogene Daten einzustufen sind, sollte der Schutz natürlicher Personen im Hinblick auf ihre Privatsphäre in der Kommunikation und die Verarbeitung solcher Daten auf Artikel 16 gestützt werden.

Der vorliegende Vorschlag enthält keine besonderen Bestimmungen in Bezug auf die Vorratsdatenspeicherung. Er behält den wesentlichen Inhalt des Artikels 15 der e-Datenschutz-Richtlinie bei und passt ihn an den besonderen Wortlaut des Artikel 23 der DS-GVO an, der Gründe vorsieht, aus denen die Mitgliedstaaten den Umfang der aus bestimmten Artikeln der e-Datenschutz-Richtlinie erwachsenden Rechte und Pflichten einschränken können. Daher steht es den Mitgliedstaaten frei, nationale Rahmen für die Vorratsdatenspeicherung zu schaffen oder beizubehalten, die u. a. gezielte Vorratsspeicherungen vorsehen, sofern solche Rahmen unter Beachtung der Rechtsprechung des Gerichtshofs der Europäischen Union zur Auslegung der e-Datenschutz-Richtlinie und der Charta der Grundrechte mit dem Unionsrecht vereinbar sind.

Die e-Datenschutz-Richtlinie ist Teil des Rechtsrahmens für die elektronische Kommunikation. Im Jahr 2016 nahm die Kommission den Vorschlag für eine Richtlinie über den europäischen Kodex für die elektronische Kommunikation („Kodex“) an, mit dem der Rechtsrahmen überarbeitet wird. Der vorliegende Vorschlag ist zwar kein Bestandteil des Kodex, er beruht aber teilweise auf darin enthaltenen Begriffsbestimmungen wie der für „elektronische Kommunikationsdienste“. Wie der Kodex erfasst auch der vorliegende Vorschlag OTT-Anbieter in seinem Anwendungsbereich, um der Marktwirklichkeit Rechnung zu tragen. Überdies ergänzt der Kodex diesen Vorschlag, indem er die Sicherheit elektronischer Kommunikationsdienste gewährleistet.

Dieser Vorschlag stellt eine Lex specialis zur DS-GVO dar und wird diese im Hinblick auf elektronische Kommunikationsdaten, die als personenbezogene Daten einzustufen sind, präzisieren und ergänzen. Alle Fragen der Verarbeitung personenbezogener Daten, die in diesem Vorschlag nicht spezifisch geregelt sind, werden von der DS-GVO erfasst. Die Angleichung an die DS-GVO führte zur Aufhebung einiger Bestimmungen, z. B. der Sicherheitspflichten in Artikel 4 der e-Datenschutz-Richtlinie.

Im Einklang mit den Anforderungen an eine „bessere Rechtsetzung“ nahm die Kommission im Rahmen des Programms zur Gewährleistung der Effizienz und Leistungsfähigkeit der Rechtsetzung (REFIT) eine Ex-Post-Bewertung („REFIT-Evaluierung“) der e-Datenschutz-Richtlinie vor. Diese Evaluierung ergab, dass die Ziele und Grundsätze des gegenwärtigen Rahmens weiterhin Gültigkeit haben. Seit der letzten Überprüfung der e-Datenschutz-Richtlinie im Jahr 2009 haben sich jedoch wichtige technische und wirtschaftliche Entwicklungen auf dem Markt vollzogen. Anstatt herkömmliche Kommunikationsdienste zu nutzen, verlassen sich Verbraucher und Unternehmen zunehmend auf neue Internetdienste, die eine interpersonelle Kommunikation ermöglichen, z. B. VoIP-Telefonie, Sofortnachrichtenübermittlung (Instant-Messaging) und webgestützte E-Mail-Dienste. Solche Over-the-Top-Kommunikationsdienste („OTT-Dienste“) werden aber im Allgemeinen vom gegenwärtigen Rechtsrahmen der Union für die elektronische Kommunikation, einschließlich der e-Datenschutz-Richtlinie, nicht erfasst. Folglich hat die Richtlinie mit der technischen Entwicklung nicht Schritt gehalten, was zu einem mangelnden Schutz der über solche neuen Dienste abgewickelten Kommunikation führt.

Die e-Datenschutz-Richtlinie gewährleistet den Schutz von Grundrechten und Grundfreiheiten, insbesondere die Achtung des Privatlebens, die Wahrung der Vertraulichkeit der Kommunikation und den Schutz personenbezogener Daten im Bereich der elektronischen Kommunikation. Außerdem gewährleistet sie den freien Verkehr von elektronischen Kommunikationsdaten, geräten und diensten in der Union. Sie bewirkt hinsichtlich der Kommunikation die Umsetzung des in Artikel 7 der Charta der Grundrechte der Europäischen Union („Charta“) verankerten Grundrechts auf Achtung des Privatlebens im Sekundärrecht der Union.

Eines der Ziele der Strategie für einen digitalen Binnenmarkt („DBM-Strategie“) ist es, das Vertrauen in digitale Dienste und deren Sicherheit zu erhöhen. Eine wichtige Maßnahme war in dieser Hinsicht die Reform des Datenschutzrechtsrahmens und insbesondere der Erlass der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DS-GVO“). Ferner wurde in der DBM-Strategie die Überprüfung der Richtlinie 2002/58/EG („e-Datenschutz-Richtlinie“) angekündigt, um ein hohes Niveau des Schutzes der Privatsphäre für die Nutzer elektronischer Kommunikationsdienste und gleiche Wettbewerbsbedingungen für alle Marktteilnehmer zu gewährleisten. Der vorliegende Vorschlag dient der Überarbeitung der e-Datenschutz-Richtlinie entsprechend den Zielen der DBM-Strategie und in Übereinstimmung mit der DS-GVO.

In Bezug auf die Wirksamkeit und Effizienz hat die REFIT-Evaluierung ergeben, dass die mit der Richtlinie verfolgten Ziele nicht vollständig erreicht worden sind. Eine Harmonisierung wurde durch die mangelnde Klarheit gewisser Bestimmungen und die Mehrdeutigkeit von Rechtsbegriffen erschwert, was grenzüberschreitend tätigen Unternehmen Probleme bereitete. Ferner zeigte die REFIT-Evaluierung, dass einige Bestimmungen zu unnötigen Belastungen für Unternehmen und Verbraucher geführt haben. So hat beispielsweise die Einwilligungsvorschrift zum Schutz der Vertraulichkeit von Endeinrichtungen ihr Ziel verfehlt, denn Endnutzer werden aufgefordert, Verfolgungs-Cookies (Tracking-Cookies) zu akzeptieren, ohne dass sie deren Sinn verstehen, und in einigen Fällen werden Cookies sogar ohne ihre Einwilligung gespeichert. Die Einwilligungsvorschrift ist einerseits zu umfassend, weil sie auch Verfahren einschließt, die gar keine Gefahr für die Privatsphäre darstellen, und andererseits zu eng, weil sie einige Verfolgungstechniken (z. B. Verfolgung von Gerätekennungen), die ohne Zugriff/Speicherung im Gerät auskommen, nicht erfasst. Schließlich kann auch ihre Umsetzung für Unternehmen teuer sein.

Wie die REFIT-Evaluierung ergab, sind die obigen Ziele der Richtlinie weiterhin gültig. Während die DS-GVO den Schutz personenbezogener Daten gewährleistet, sichert die e-Datenschutz-Richtlinie die Vertraulichkeit der Kommunikation, die auch nicht personenbezogene Daten und Daten in Bezug auf juristische Personen enthalten kann. Deshalb sollte ein getrenntes Rechtsinstrument den wirksamen Schutz der in Artikel 7 der Charta verankerten Rechte gewährleisten. Auch andere Bestimmungen, wie die Vorschriften über unerbetene Werbung, haben sich als weiterhin wichtig erwiesen.

Die Kommission legt einen Vorschlag für eine Verordnung vor, um die Kohärenz mit der DS-GVO sowie Rechtssicherheit gleichermaßen für Nutzer und Unternehmen dadurch zu gewährleisten, dass eine unterschiedliche Auslegung in den Mitgliedstaaten vermieden wird. Eine Verordnung kann in der gesamten Union ein gleiches Schutzniveau für die Nutzer und niedrige Einhaltungskosten für grenzüberschreitend tätige Unternehmen sicherstellen.

Zur Gewährleistung eines wirksamen rechtlichen Schutzes bezüglich der Achtung der Privatsphäre und der Kommunikation ist es erforderlich, den Anwendungsbereich auf OTT-Anbieter auszudehnen. Mehrere große OTT-Anbieter halten den Grundsatz der Vertraulichkeit der Kommunikation zwar schon ganz oder teilweise ein, dennoch kann der Schutz von Grundrechten nicht allein der Selbstregulierung der Branche überlassen werden. Außerdem wird es immer wichtiger, die Privatsphäre auch in Bezug auf Endeinrichtungen wirksam zu schützen, da solche Geräte im persönlichen und beruflichen Leben für das Speichern sensibler Informationen unentbehrlich geworden sind. Die Umsetzung der e-Datenschutz-Richtlinie hat sich bezüglich der Verfügungsbefugnis des Endnutzers über seine Daten als unwirksam erwiesen. Deshalb ist die Umsetzung dieses Grundsatzes durch eine zentrale Einholung der Nutzereinwilligung über die Software mit Anzeige der Informationen über die Einstellungen zur Privatsphäre erforderlich, damit das angestrebte Ziel erreicht werden kann. Die Durchsetzung dieser Verordnung ist Aufgabe der Aufsichtsbehörden und unterliegt dem Kohärenzverfahren der DS-GVO. Darüber hinaus ermöglicht es der Vorschlag den Mitgliedstaaten, für bestimmte rechtmäßige Zwecke nationale Ausnahmeregelungen zu treffen. Somit geht der Vorschlag nicht über das für die Erreichung der Ziele erforderliche Maß hinaus und entspricht dem in Artikel 5 des Vertrags über die Europäische Union verankerten Grundsatz der Verhältnismäßigkeit. Die den betroffenen Diensten auferlegten Verpflichtungen werden so gering wie möglich gehalten, ohne dass dadurch in die betreffenden Grundrechte eingegriffen wird.

Die Achtung der Kommunikation ist ein mit der Charta anerkanntes Grundrecht. Inhalte der elektronischen Kommunikation können hochsensible Informationen über die daran beteiligten Endnutzer offenlegen. Ebenso können Metadaten der elektronischen Kommunikation – wie vom EuGH ausdrücklich festgestellt – sehr sensible und persönliche Informationen offenlegen. Die Mehrheit der Mitgliedstaaten erkennt auch die Notwendigkeit an, die Kommunikation als eigenständiges verfassungsmäßiges Recht zu schützen. Es ist zwar möglich, dass die Mitgliedstaaten Vorgaben in Kraft setzen, die gewährleisten, dass dieses Recht nicht verletzt wird, ohne Unionsvorschriften wäre dies allerdings nicht in einheitlicher Weise zu erreichen und würde im Zusammenhang mit der Nutzung elektronischer Kommunikationsdienste zu Beschränkungen beim grenzüberschreitenden Verkehr personenbezogener und nicht personenbezogener Daten führen. Um die Kohärenz mit der DS-GVO zu wahren, ist es schließlich notwendig, die e-Datenschutz-Richtlinie zu überarbeiten und Maßnahmen zur Angleichung beider Rechtsinstrumente zu treffen.

Zu diesem Vorschlag wurde eine Folgenabschätzung durchgeführt, zu welcher der Ausschuss für Regulierungskontrolle am 28. September 2016 eine befürwortende Stellungnahme abgab. Auf Empfehlung des Ausschusses werden der Umfang der Initiative und ihre Kohärenz mit anderen Rechtsinstrumenten (DS-GVO, Kodex, FA-RL) sowie die Notwendigkeit eines getrennten Rechtsinstruments in der Folgenabschätzung besser erläutert. Zudem wird das Basisszenario ausführlicher dargelegt und verdeutlicht. Die Analyse der Auswirkungen wird vertieft und ausgewogener dargestellt, wodurch die Beschreibung der erwarteten Kosten und Vorteile klarer und ausführlicher wird.

–Studie „Evaluation and review of Directive 2002/58 on privacy and the electronic communication sector“ (Bewertung und Überprüfung der Richtlinie 2002/58/EG über den Schutz der Privatsphäre in der elektronischen Kommunikation) (SMART 2016/0080).

–Studie „ePrivacy Directive: assessment of transposition, effectiveness and compatibility with proposed Data Protection Regulation“ (e-Datenschutz-Richtlinie: Bewertung der Umsetzung, der Wirksamkeit und der Vereinbarkeit mit der vorgeschlagenen Datenschutzverordnung) (SMART 2013/007116);

–Klarstellung und Vereinfachung der Einwilligungsvorschrift in Bezug auf die Verwendung von Cookies und anderen Kennungen, wie in den Abschnitten 3.1 und 3.4 erläutert (Punkt 2 der Stellungnahme);

In der externen Studie wurden drei unterschiedliche Einführungsszenarios für die Option 3 ermittelt, die davon abhängen, wer das Dialogfenster anzeigen soll, mit dem ein Nutzer, der Einstellungen wie „Cookies von Dritten ablehnen“ oder „Nicht verfolgen“ gewählt hat, später von besuchten Websites aufgefordert werden kann, seine Cookie-Einstellungen zu ändern. Mit dieser technischen Aufgabe könnten folgende Stellen betraut werden: 1) Software wie Internet-Browser; 2) der Dritte, der die Verfolgung vornimmt; 3) die einzelnen Websites (d. h. die vom Nutzer gewünschten Dienste der Informationsgesellschaft). Beim ersten Szenario (Browser-Lösung), das in diesem Vorschlag umgesetzt wurde, würde die Option 3 insgesamt gegenüber dem Basisszenario zu Einsparungen in Höhe von 70 % (948,8 Mio. EUR) bei den Einhaltungskosten führen. Bei den anderen beiden Szenarios würden die Kosteneinsparungen geringer ausfallen. Da sich die Gesamteinsparungen weitgehend daraus ergeben, dass die Zahl der betroffenen Unternehmen ganz erheblich gesenkt wird, dürften die Einhaltungskosten, mit denen ein einzelnes Unternehmen zu rechnen hätte, im Durchschnitt höher als heute ausfallen.

Dank der Zentralisierung der Einwilligung in einer Software wie den Internet-Browsern und der Aufforderung an die Nutzer, ihre Einstellungen zur Privatsphäre zu wählen, sowie dank erweiterter Ausnahmen zu den Einwilligungsvorschriften in Bezug auf Cookies könnte ein beträchtlicher Anteil der Unternehmen auf Cookie-Banner und -Hinweise verzichten, was möglicherweise erhebliche Kosteneinsparungen und Vereinfachungen mit sich bringen würde. Für Anbieter gezielter Online-Werbung könnte es jedoch schwieriger werden, die Einwilligung zu erlangen, wenn ein großer Teil der Nutzer Einstellungen wählt, bei denen Cookies von Dritten abgewiesen werden. Gleichzeitig wird den Website-Betreibern durch eine Zentralisierung der Einwilligung aber nicht die Möglichkeit genommen, die Einwilligung mit einer individuellen Anfrage beim Endnutzer einzuholen und auf diese Weise ihr Geschäftsmodell fortzuführen. Einigen Anbietern von Browsern oder ähnlicher Software entstünden zusätzliche Kosten, weil sie für datenschutzfreundliche Einstellungen sorgen müssten.

Die wirtschaftlichen Folgen der Option 3 werden voraussichtlich in einem angemessenen Verhältnis zu den Zielen des Vorschlags stehen. Für herkömmliche elektronische Kommunikationsdienste ergeben sich neue Geschäftsmöglichkeiten im Zusammenhang mit der Verarbeitung von Kommunikationsdaten, wogegen OTT-Anbieter nunmehr denselben Vorschriften unterworfen werden. Für Letztere ist dies mit zusätzlichen Einhaltungskosten verbunden. Diese Änderungen werden sich aber nicht wesentlich auf jene OTT-Anbieter auswirken, die bereits auf der Grundlage einer Einwilligung arbeiten. Schließlich wären in all jenen Mitgliedstaaten, die diese Vorschriften bereits auf OTT-Anbieter ausgeweitet haben, keine Auswirkungen dieser Option spürbar.

In Kapitel III geht es um die Rechte der Endnutzer auf die Kontrolle über ihre ausgehende und eingehende elektronische Kommunikation zum Schutz ihrer Privatsphäre: i) das Recht der Endnutzer auf Verhinderung der Anzeige der Rufnummer des Anrufers, um die Anonymität zu wahren (Artikel 12) mit seinen Einschränkungen (Artikel 13); ii) die Verpflichtung der Betreiber öffentlich zugänglicher nummerngebundener interpersoneller Kommunikationsdienste, Endnutzern die Möglichkeit zu geben, den Erhalt unerwünschter Anrufe zu begrenzen (Artikel 14). Außerdem regelt dieses Kapitel die Bedingungen, unter denen Endnutzer in öffentlich zugängliche Verzeichnisse aufgenommen werden können (Artikel 15), und die Bedingungen, unter denen unerbetene Direktwerbung erlaubt ist (Artikel 17). Ferner behandelt es Sicherheitsrisiken und erlegt Betreibern elektronischer Kommunikationsdienste die Verpflichtung auf, Endnutzer vor einem besonderen Risiko zu warnen, das die Sicherheit von Netzen und elektronischen Kommunikationsdiensten beeinträchtigen könnte. Die Sicherheitsverpflichtungen in der DS-GVO und im europäischen Kodex für die elektronische Kommunikation werden für die Betreiber elektronischer Kommunikationsdienste gelten.

Kapitel II enthält die wesentlichen Bestimmungen zur Gewährleistung der Vertraulichkeit der elektronischen Kommunikation (Artikel 5) und über die begrenzten zulässigen Zwecke und die Bedingungen der Verarbeitung solcher Kommunikationsdaten (Artikel 6 und 7). Geregelt wird ferner der Schutz von Endeinrichtungen, indem i) die Integrität der darin gespeicherten Informationen gewährleistet und ii) die von Endeinrichtungen ausgehenden Informationen geschützt werden, da sich Endnutzer anhand dieser Daten identifizieren lassen (Artikel 8). Artikel 9 regelt schließlich die Einwilligung des Endnutzers, die in dieser Verordnung als Grundlage für die rechtmäßige Verarbeitung im Mittelpunkt steht, mit ausdrücklicher Bezugnahme auf die in der DS-GVO festgelegten Begriffsbestimmungen und Voraussetzungen, während in Artikel 10 die Anbieter von Software, die elektronische Kommunikation ermöglicht, dazu verpflichtet werden, den Endnutzern bei der wirksamen Auswahl der Einstellungen zur Privatsphäre behilflich zu sein. Artikel 11 regelt, zu welchen Zwecken und unter welchen Bedingungen die Mitgliedstaaten die obigen Bestimmungen einschränken können.

(13)Die Entwicklung schneller und effizienter Drahtlostechnik hat dazu beigetragen, dass der öffentliche Internetzugang über drahtlose Netze zunehmend in öffentlichen und halbprivaten Räumen für jedermann zur Verfügung steht, beispielsweise an sogenannten „Hotspots“, die sich an verschiedenen Orten in einer Stadt wie in Kaufhäusern, Einkaufszentren und Krankenhäusern befinden können. Insoweit solche Kommunikationsnetze für eine unbestimmte Gruppe von Endnutzern bereitgestellt werden, sollte die Vertraulichkeit der über solche Netze übermittelten Kommunikation geschützt werden. Die Tatsache, dass drahtlose elektronische Kommunikationsdienste eine Nebenfunktion anderer Dienste darstellen können, sollte dem Schutz der Vertraulichkeit der Kommunikationsdaten und der Anwendung dieser Verordnung nicht entgegenstehen. Deshalb sollte diese Verordnung für elektronische Kommunikationsdaten gelten, die mithilfe elektronischer Kommunikationsdienste und öffentlicher Kommunikationsnetze übertragen werden. Diese Verordnung sollte dagegen keine Anwendung auf geschlossene Gruppen von Endnutzern (z. B. Unternehmensnetze) finden, bei denen der Zugang auf die Angehörigen des Unternehmens beschränkt ist.

(12)Vernetzte Geräte und Maschinen kommunizieren zunehmend über elektronische Kommunikationsnetze untereinander (Internet der Dinge). Auch bei der Übermittlung von Kommunikationsvorgängen zwischen Maschinen werden Signale über ein Netz übertragen, sodass es sich dabei in der Regel um einen elektronischen Kommunikationsdienst handelt. Um den vollständigen Schutz der Rechte auf Privatsphäre und Vertraulichkeit der Kommunikation zu gewährleisten und ein vertrauenswürdiges und sicheres Internet der Dinge im digitalen Binnenmarkt zu gewährleisten, ist es notwendig klarzustellen, dass diese Verordnung auch für die Übermittlung von Maschine-Maschine-Kommunikation gelten sollte. Dementsprechend sollte der in dieser Verordnung festgelegte Grundsatz der Vertraulichkeit auch für die die Übermittlung von Maschine-Maschine-Kommunikation gelten. Besondere Sicherheitsvorrichtungen könnten auch im Rahmen sektorspezifischer Rechtsvorschriften wie beispielsweise der Richtlinie 2014/53/EU getroffen werden.

(11)Die für Kommunikationszwecke genutzten Dienste und die technischen Mittel für ihre Bereitstellung haben sich beträchtlich weiterentwickelt. Anstelle herkömmlicher Übermittlungsdienste für Sprachtelefonie, Textnachrichten (SMS) und E-Mail verwenden die Endnutzer zunehmend funktional gleichwertige Online-Dienste wie VoIP-Telefonie, Nachrichtenübermittlung (Messaging) und webgestützte E-Mail-Dienste. Zur Gewährleistung eines wirksamen und einheitlichen Schutzes der Endnutzer bei der Benutzung funktional gleichwertiger Dienste wird in dieser Verordnung die in der [Richtlinie des Europäischen Parlaments und des Rates über den europäischen Kodex für die elektronische Kommunikation] festgelegte Begriffsbestimmung für elektronische Kommunikationsdienste verwendet. Diese Begriffsbestimmung erfasst nicht nur Internetzugangsdienste und Dienste, die ganz oder teilweise in der Übertragung von Signalen bestehen, sondern auch interpersonelle Kommunikationsdienste, die nummerngebunden oder nummernunabhängig sein können, beispielsweise VoIP-Telefonie, Nachrichtenübermittlung und webgestützte E-Mail-Dienste. Der Schutz der Vertraulichkeit der Kommunikation ist auch im Hinblick auf interpersonelle Kommunikationsdienste, die nur eine untergeordnete Nebenfunktion eines anderen Dienstes darstellen, unverzichtbar; deshalb sollten derartige Dienste, die auch eine Kommunikationsfunktion aufweisen, ebenfalls unter diese Verordnung fallen.

(9)Diese Verordnung sollte für elektronische Kommunikationsdaten gelten, die in Verbindung mit der Bereitstellung und Nutzung elektronischer Kommunikationsdienste in der Union verarbeitet werden, unabhängig davon, ob die Verarbeitung in der Union stattfindet. Damit den Endnutzern in der Union ein wirksamer Schutz nicht vorenthalten wird, sollte diese Verordnung darüber hinaus auch für elektronische Kommunikationsdaten gelten, die im Zusammenhang mit der Bereitstellung elektronischer Kommunikationsdienste von außerhalb der Union für Endnutzer in der Union verarbeitet werden.

(8)Diese Verordnung sollte für Betreiber elektronischer Kommunikationsdienste, für Betreiber öffentlich zugänglicher Verzeichnisse und für Anbieter von Software, die elektronische Kommunikation ermöglicht, einschließlich Abruf und Darstellung von Informationen aus dem Internet, gelten. Diese Verordnung sollte ferner für natürliche und juristische Personen gelten, die mithilfe elektronischer Kommunikationsdienste an Endnutzer gerichtete gewerbliche Direktwerbung betreiben oder Informationen sammeln, die in Endeinrichtungen der Endnutzer gespeichert sind oder sich auf diese beziehen.

(7)Die Mitgliedstaaten sollten die Möglichkeit haben, innerhalb des von dieser Verordnung vorgegebenen Rahmens nationale Bestimmungen beizubehalten oder einzuführen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer und klarer festgelegt wird, um eine wirksame Anwendung und Auslegung dieser Vorschriften sicherzustellen. Deshalb sollte der Ermessenspielraum, den die Mitgliedstaaten in dieser Hinsicht haben, so wahrgenommen werden, dass ein ausgewogenes Verhältnis zwischen dem Schutz des Privatlebens und personenbezogener Daten und dem freien Verkehr elektronischer Kommunikationsdaten gewährleistet bleibt.

(3)Elektronische Kommunikationsdaten können zudem Informationen über juristische Personen wie Geschäftsgeheimnisse oder andere sensible Informationen offenlegen, die einen wirtschaftlichen Wert haben. Deshalb sollten die Bestimmungen dieser Verordnung sowohl für natürliche als auch für juristische Personen gelten. Außerdem sollte diese Verordnung sicherstellen, dass die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates auch für Endnutzer gilt, die juristische Personen sind. Dies bezieht sich auch auf die Begriffsbestimmung für „Einwilligung“ in der Verordnung (EU) 2016/679. Bei Bezugnahmen auf die Einwilligung von Endnutzern, einschließlich juristischer Personen, sollte diese Begriffsbestimmung gelten. Außerdem sollten juristische Personen gegenüber den Aufsichtsbehörden dieselben Rechte haben wie Endnutzer, die natürliche Personen sind; die nach dieser Verordnung zuständigen Aufsichtsbehörden sollten zudem auch für die Überwachung der Anwendung dieser Verordnung im Hinblick auf juristische Personen zuständig sein.

(2)Inhalte der elektronischen Kommunikation können hochsensible Informationen über die daran beteiligten natürlichen Personen offenlegen, von persönlichen Erlebnissen und Gefühlen oder Erkrankungen bis hin zu sexuellen Vorlieben und politischen Überzeugungen, was zu schweren Folgen im persönlichen und gesellschaftlichen Leben, zu wirtschaftlichen Einbußen oder Schamgefühl führen kann. Auch durch Metadaten elektronischer Kommunikation können sehr sensible und persönliche Informationen offengelegt werden. Zu solchen Metadaten gehören beispielsweise angerufene Nummern, besuchte Websites, der geografische Standort, Uhrzeit, Datum und Dauer eines von einer Person getätigten Anrufs, aus denen sich präzise Schlussfolgerungen über das Privatleben der an der elektronischen Kommunikation beteiligten Personen ziehen lassen, z. B. in Bezug auf ihre sozialen Beziehungen, Gewohnheiten und ihren Lebensalltag, ihre Interessen, ihren Geschmack usw.

(1)Artikel 7 der Charta der Grundrechte der Europäischen Union (im Folgenden „Charta“) schützt das Grundrecht aller Menschen auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Kommunikation. Die Achtung der Privatsphäre in der Kommunikation ist ein wesentlicher Aspekt dieses Rechts. Vertraulichkeit der elektronischen Kommunikation bedeutet, dass Informationen, die zwischen Beteiligten ausgetauscht werden, wie auch die externen Elemente dieser Kommunikation (unter anderem wann, woher und an wen) niemandem außer den an der Kommunikation Beteiligten offengelegt werden. Der Grundsatz der Vertraulichkeit sollte für gegenwärtige und künftige Kommunikationsmittel gelten, darunter Anrufe, Internetzugang, Sofortnachrichtenanwendungen, E-Mail, Internettelefonie und Übermittlung persönlicher Nachrichten über soziale Medien.

(15)Elektronische Kommunikationsdaten sollten vertraulich behandelt werden. Das bedeutet, dass Eingriffe in die Übermittlung elektronischer Kommunikationsdaten, ob unmittelbar durch menschliches Zutun oder mittelbar durch eine automatische Verarbeitung durch Maschinen, ohne Einwilligung aller an der Kommunikation Beteiligten untersagt sein sollten. Das Verbot des Abfangens von Kommunikationsdaten sollte während ihrer Übertragung gelten, d. h. bis zum Empfang der Inhalte der elektronischen Kommunikation durch den bestimmungsgemäßen Empfänger. Ein Abfangen der elektronischen Kommunikation kann dann vorliegen, wenn beispielsweise andere als die an der Kommunikation Beteiligten Anrufe mithören oder den Inhalt der elektronischen Kommunikation oder die damit zusammenhängenden Metadaten zu anderen Zwecken als dem Kommunikationsaustausch lesen, scannen oder speichern. Ein Abfangen liegt auch vor, wenn Dritte ohne Einwilligung des betreffenden Endnutzers besuchte Websites, den Zeitpunkt der Besuche, die Interaktion mit anderen usw. beobachten. Mit der technischen Entwicklung haben auch die technischen Abfangmöglichkeiten zugenommen. Diese Möglichkeiten reichen von der Installation von Einrichtungen, die in ganzen Zielgebieten Daten von Endeinrichtungen erfassen, z. B. IMSI-Catcher (zum Abgreifen der internationalen Mobilfunk-Teilnehmerkennung), bis hin zu Programmen und Techniken, die beispielsweise die Surfgewohnheiten heimlich beobachten, um daraus Endnutzerprofile zu erstellen. Weitere Beispiele für ein Abfangen sind das Erfassen von Nutzdaten oder Inhaltsdaten aus unverschlüsselten drahtlosen Netzen und Routern, z. B. von Surfgewohnheiten ohne Einwilligung der Endnutzer.

(16)Mit dem Verbot der Speicherung der Kommunikation soll nicht jede automatische, einstweilige und vorübergehende Speicherung dieser Informationen untersagt werden, soweit diese zum alleinigen Zweck der Durchführung der Übermittlung über das elektronische Kommunikationsnetz erfolgt. Untersagt werden soll ebenfalls nicht die Verarbeitung elektronischer Kommunikationsdaten zur Gewährleistung der Sicherheit und Kontinuität der elektronischen Kommunikationsdienste, darunter die Prüfung auf Sicherheitsbedrohungen wie Vorhandensein von Schadsoftware oder die Verarbeitung von Metadaten zur Sicherung der Einhaltung der erforderlichen Dienstqualitätsanforderungen wie Latenz, Verzögerungsschwankung (Jitter) usw.

(17)Die Verarbeitung elektronischer Kommunikationsdaten kann für Unternehmen, für die Verbraucher und für die gesamte Gesellschaft nützlich sein. Gegenüber der Richtlinie 2002/58/EG erweitert diese Verordnung die Möglichkeiten der Betreiber elektronischer Kommunikationsdienste, elektronische Kommunikationsmetadaten mit Einwilligung der Endnutzer zu verarbeiten. Die Endnutzer messen jedoch der Vertraulichkeit ihrer Kommunikation, einschließlich ihrer Online-Aktivitäten, eine große Bedeutung bei und wollen die Kontrolle über die Verwendung ihrer elektronischen Kommunikationsdaten für andere Zwecke als die Übertragung der Kommunikation haben. Deshalb sollte diese Verordnung den Betreibern elektronischer Kommunikationsdienste vorschreiben, dass sie die Einwilligung der Endnutzer in die Verarbeitung elektronischer Kommunikationsmetadaten einholen, zu denen auch Daten über den Standort des Gerätes gehören, welche zwecks Gewährung und Aufrechterhaltung des Zugangs und der Verbindung zu dem jeweiligen Dienst erzeugt werden. Standortdaten, die in einem anderen Zusammenhang als dem der Bereitstellung elektronischer Kommunikationsdienste erzeugt werden, sollten nicht als Metadaten betrachtet werden. Ein Beispiel für eine gewerbliche Verwendung elektronischer Kommunikationsmetadaten durch Betreiber elektronischer Kommunikationsdienste wäre die Erstellung von Heatmaps, also grafischen Darstellungen von Daten über die Anwesenheit von Personen anhand von Farben. Zur Anzeige von Verkehrsbewegungen in bestimmte Richtungen über einen bestimmten Zeitraum wird eine Kennung benötigt, damit die Positionen von Einzelpersonen in bestimmten Zeitabständen miteinander verknüpft werden können. Bei Verwendung anonymisierter Daten würde diese Kennung fehlen, sodass solche Bewegungen nicht dargestellt werden könnten. Aus einer solchen Nutzung elektronischer Kommunikationsmetadaten könnten beispielsweise Behörden und öffentliche Verkehrsbetriebe Nutzen ziehen, wenn sie ausgehend von der Benutzung und Belastung bestehender Anlagen festlegen, wo neue Infrastrukturen gebaut werden sollten. Hat eine Form der Verarbeitung elektronischer Kommunikationsmetadaten, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so sollte vor der Verarbeitung eine Datenschutz-Folgenabschätzung und gegebenenfalls eine Konsultation der Aufsichtsbehörde nach den Artikeln 35 und 36 der Verordnung (EU) 2016/679 durchgeführt werden.

(18)Endnutzer können in die Verarbeitung ihrer Metadaten einwilligen, um bestimmte Dienstleistungen nutzen zu können, beispielsweise Dienste zum Schutz vor betrügerischen Aktivitäten (indem Nutzungsdaten, Standort und Kundenkonto in Echtzeit geprüft werden). In der digitalen Wirtschaft werden Dienstleistungen häufig für eine andere Gegenleistung als Geld erbracht, beispielsweise indem Endnutzern Werbung angezeigt wird. Für die Zwecke dieser Verordnung sollte der Ausdruck „Einwilligung“ des Endnutzers unabhängig davon, ob es sich um eine natürliche oder eine juristische Person handelt, dieselbe Bedeutung haben und denselben Voraussetzungen unterliegen wie der in der Verordnung (EU) 2016/679 festgelegte Begriff „Einwilligung der betroffenen Person“. Grundlegende breitbandige Internetzugangs- und Sprachkommunikationsdienste gelten als unverzichtbare Dienste, damit Personen kommunizieren und an den Vorteilen der digitalen Wirtschaft teilhaben können. Eine Einwilligung in die Verarbeitung von Daten aus der Benutzung von Internet- oder Sprachkommunikationsdiensten ist unwirksam, wenn die betroffene Person keine echte und freie Wahl hat oder ihre Einwilligung nicht verweigern oder widerrufen kann, ohne Nachteile zu erleiden.

(19)Der Inhalt der elektronischen Kommunikation fällt in den Wesensgehalt des nach Artikel 7 der Charta geschützten Grundrechts auf Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation. Eingriffe in die Inhalte der elektronischen Kommunikation sollten nur unter eindeutig festgelegten Voraussetzungen, zu ganz bestimmten Zwecken und unter Einhaltung angemessener Schutzvorkehrungen gegen Missbrauch erlaubt werden. Diese Verordnung sieht die Möglichkeit vor, dass die Betreiber elektronischer Kommunikationsdienste mit einer in Kenntnis der Sachlage gegebenen Einwilligung aller betroffenen Endnutzer die in Übertragung befindlichen elektronischen Kommunikationsdaten verarbeiten können. Beispielsweise können so Betreiber Dienstleistungen anbieten, die das Scannen aller E-Mail-Nachrichten zur Entfernung von bestimmtem, zuvor festgelegten Material umfassen. Angesichts der Sensibilität der Kommunikationsinhalte wird in dieser Verordnung von der Annahme ausgegangen, dass die Verarbeitung solcher Inhaltsdaten hohe Risiken für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Betreiber elektronischer Kommunikationsdienste, die beabsichtigen, solche Arten von Daten zu verarbeiten, sollten vor der Verarbeitung stets die Aufsichtsbehörde konsultieren. Eine solche Konsultation sollte nach Artikel 36 Absätze 2 und 3 der Verordnung (EU) 2016/679 erfolgen. Diese Annahme bezieht sich nicht auf die Verarbeitung von Inhaltsdaten zur Bereitstellung eines vom Endnutzer gewünschten Dienstes, wenn der Endnutzer darin eingewilligt hat und die Verarbeitung nur zu den Zwecken und für die Dauer erfolgt, die für den Dienst unbedingt notwendig und verhältnismäßig sind. Nachdem elektronische Kommunikationsinhalte vom Endnutzer verschickt und von dem bzw. den bestimmungsgemäßen Endnutzern empfangen wurden, können sie von den Endnutzern oder von einem Dritten, der von den Endnutzern mit der Aufzeichnung oder Speicherung solcher Daten beauftragt wurde, aufgezeichnet oder gespeichert werden. Eine solche Verarbeitung der Daten muss im Einklang mit der Verordnung (EU) 2016/679 stehen.

(20)Die Endeinrichtungen der Endnutzer elektronischer Kommunikationsnetze und alle Informationen im Zusammenhang mit der Nutzung dieser Endeinrichtungen, ob sie nun von solchen Geräten gespeichert oder ausgesendet, von ihnen angefordert oder verarbeitet werden, um sich mit anderen Geräten oder mit Netzanlagen verbinden zu können, sind Teil der Privatsphäre der Endnutzer, die dem Schutz aufgrund der Charta der Grundrechte der Europäischen Union und der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten unterliegt. Die Informationen im Zusammenhang mit solchen Endeinrichtungen erfordern einen erhöhten Schutz der Privatsphäre, da solche Endeinrichtungen Informationen enthalten oder verarbeiten, die einen tiefen Einblick in komplexe emotionale, politische und soziale Aspekte der Persönlichkeit einer Person geben können, darunter Nachrichteninhalte, Bilder, Aufenthaltsorte durch Zugriff auf die GPS-Funktionen der Geräte sowie Kontaktlisten und andere bereits in dem Gerät gespeicherte Informationen. Darüber hinaus können unerwünschte Verfolgungswerkzeuge wie z. B. Spyware, Webbugs, versteckte Kennungen und Verfolgungs-Cookies ohne das Wissen des Endnutzers in dessen Endeinrichtung eindringen, um Zugang zu Informationen zu erlangen, versteckte Informationen zu speichern oder die Nutzeraktivität zu verfolgen. Informationen in Bezug auf das Gerät des Endnutzers können auch im Fernzugang zu Identifizierungs- und Verfolgungszwecken erhoben werden, mit Techniken wie der Verfolgung von Gerätekennungen, was oft ohne Wissen des Endnutzers geschieht, und können eine ernsthafte Verletzung der Privatsphäre dieser Endnutzer darstellen. Techniken, mit denen die Aktivitäten der Endnutzer heimlich beobachtet werden, indem z. B. ihre Online-Aktivitäten oder die Standorte ihrer Endeinrichtungen verfolgt werden, oder mit denen die Funktionsweise der Endeinrichtungen der Endnutzer unbemerkt manipuliert wird, stellen eine ernste Bedrohung der Privatsphäre der Endnutzer dar. Deshalb sollten derartige Eingriffe in die Endeinrichtungen der Endnutzer nur mit Einwilligung des Endnutzers und für bestimmte transparente Zwecke erlaubt sein.

(21)Ausnahmen von der Verpflichtung, die Einwilligung in die Nutzung der Verarbeitungs- und Speicherfunktionen von Endeinrichtungen oder den Zugriff auf in Endeinrichtungen gespeicherte Informationen einzuholen, sollten auf Situationen beschränkt sein, in denen kein oder nur ein geringfügiger Eingriff in die Privatsphäre stattfindet. Beispielsweise sollte keine Einwilligung eingeholt werden für ein technisches Speichern oder Zugreifen, das zu dem rechtmäßigen Zweck, die vom Endnutzer ausdrücklich gewünschte Nutzung eines bestimmten Dienstes zu ermöglichen, unbedingt notwendig und verhältnismäßig ist. Dazu gehört auch das Speichern von Cookies für die Dauer einer für den Besuch einer Website einmal aufgebauten Sitzung, um die Eingaben des Endnutzers beim Ausfüllen von Online-Formularen, die sich über mehrere Seiten erstrecken, mitverfolgen zu können. Cookies können auch ein legitimes und nützliches Hilfsmittel sein, um beispielsweise den Webdatenverkehr zu einer Website zu messen. Konfigurationsprüfungen, die Anbieter von Diensten der Informationsgesellschaft vornehmen, um ihren Dienst entsprechend den Einstellungen des Endnutzers bereitstellen zu können, wie auch das bloße Feststellen der Tatsache, dass das Gerät des Endnutzers die vom Endnutzer angeforderten Inhalte nicht empfangen kann, sollten nicht als Zugriff auf ein Gerät oder als Nutzung der Verarbeitungsfunktionen des Geräts betrachtet werden.

(22)Die Methoden zur Bereitstellung von Informationen und die Einholung der Einwilligung des Endnutzers sollten so benutzerfreundlich wie möglich sein. Wegen der allgegenwärtigen Verwendung von Verfolgungs-Cookies und anderer Verfolgungstechniken werden die Endnutzer immer häufiger aufgefordert, ihre Einwilligung in die Speicherung solcher Verfolgungs-Cookies in ihren Endeinrichtungen zu geben. Infolge dessen werden die Endnutzer mit Einwilligungsanfragen überhäuft. Mit Hilfe technischer Mittel für die Erteilung der Einwilligung, z. B. durch transparente und benutzerfreundliche Einstellungen, könnte dieses Problem behoben werden. Deshalb sollte diese Verordnung die Möglichkeit vorsehen, dass die Einwilligung durch die entsprechenden Einstellungen in einem Browser oder einer anderen Anwendung erteilt werden kann. Die Auswahl, die Endnutzer bei der Festlegung ihrer allgemeinen Einstellungen zur Privatsphäre in einem Browser oder einer anderen Anwendung getroffen haben, sollte für Dritte verbindlich und ihnen gegenüber auch durchsetzbar sein. Webbrowser sind eine Art von Softwareanwendung, die es ermöglicht, Informationen aus dem Internet abzurufen und darzustellen. Andere Arten von Anwendungen wie solche, die Anrufe und die Nachrichtenübermittlung ermöglichen oder Navigationshilfe bieten, sind dazu ebenfalls in der Lage. Ein Großteil der Vorgänge, die zwischen dem Endnutzer und der Website ablaufen, werden von Webbrowsern abgewickelt. Aus dieser Sicht kommt ihnen eine Sonderstellung zu, wenn es darum geht, den Endnutzern die Kontrolle über den Informationsfluss zu und von ihrer Endeinrichtung zu erleichtern. So können Webbrowser insbesondere als Torwächter dienen und den Endnutzern helfen, ein Speichern von Informationen in ihren Endeinrichtungen (wie Smartphones, Tablets oder Computer) bzw. den Zugriff darauf zu verhindern.

(23)Die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen wurden in Artikel 25 der Verordnung (EU) 2016/679 festgeschrieben. Gegenwärtig haben die meisten weitverbreiteten Browser für Cookies die Standardeinstellung „Alle Cookies annehmen“. Deshalb sollten Anbieter von Software, die das Abrufen und Darstellen von Informationen aus dem Internet erlaubt, dazu verpflichtet sein, die Software so zu konfigurieren, dass sie die Möglichkeit bietet zu verhindern, dass Dritte Informationen in der Endeinrichtung speichern; diese Einstellung wird häufig als „Cookies von Drittanbietern zurückweisen“ bezeichnet. Den Endnutzern sollte eine Reihe von Einstellungsmöglichkeiten zur Privatsphäre angeboten werden, die vom höheren Schutz (z. B. „Cookies niemals annehmen“) über einen mittleren Schutz (z. B. „Cookies von Drittanbietern zurückweisen“ oder „Nur Cookies von Erstanbietern annehmen“) bis zum niedrigeren Schutz (z. B. „Cookies immer annehmen“) reicht. Solche Einstellungen zur Privatsphäre sollten in leicht sichtbarer und verständlicher Weise dargestellt werden.

(24)Damit Webbrowser die in der Verordnung (EU) 2016/679 vorgeschriebene Einwilligung der Endnutzer, z. B. in die Speicherung von Verfolgungs-Cookies von Drittanbietern, einholen können, sollten sie unter anderem eine eindeutige bestätigende Handlung von der Endeinrichtung des Endnutzers verlangen, mit der dieser seine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich erklärte Zustimmung zur Speicherung solcher Cookies in seiner Endeinrichtung und zum Zugriff darauf bekundet. Eine solche Handlung kann als bestätigend verstanden werden, wenn Endnutzer zur Einwilligung beispielsweise die Option „Cookies von Drittanbietern annehmen“ aktiv auswählen müssen und ihnen die dazu notwendigen Informationen gegeben werden. Hierzu müssen die Anbieter von Software, die den Zugang zum Internet ermöglicht, verpflichtet werden, die Endnutzer zum Zeitpunkt der Installation darauf hinzuweisen, dass die Einstellungen zur Privatsphäre unter den verschiedenen Möglichkeiten ausgewählt werden können, und sie aufzufordern, eine Wahl zu treffen. Die gegebenen Informationen sollten die Endnutzer nicht davon abschrecken, höhere Einstellungen zur Privatsphäre zu wählen, und sie sollten alle wichtigen Informationen über die mit der Annahme von Cookies von Drittanbietern verbundenen Risiken enthalten, wozu auch das Anlegen langfristiger Aufzeichnungen über die Browserverläufe des Betroffenen und die Verwendung solcher Aufzeichnungen zur Übermittlung gezielter Werbung gehören. Es sollte gefördert werden, dass Webbrowser den Endnutzern einfache Möglichkeiten bieten, die Einstellungen zur Privatsphäre während der Benutzung jederzeit zu ändern, und dem Nutzer erlauben, Ausnahmen für bestimmte Websites zu machen oder in Listen festzulegen oder anzugeben, von welchen Websites Cookies (auch von Drittanbietern) immer oder niemals angenommen werden sollen.

(25)Für den Zugang zu elektronischen Kommunikationsnetzen ist es erforderlich, dass regelmäßig bestimmte Datenpakete ausgesendet werden, um eine Verbindung zum Netz oder mit anderen Geräten im Netz zu erkennen oder aufrecht zu erhalten. Darüber hinaus muss den Geräten eine eindeutige Adresse zugewiesen sein, damit sie in diesem Netz identifizierbar sind. In ähnlicher Weise sehen auch die Normen für auf Drahtlos- und Funkzellentechnik beruhende Telefonie ein Aussenden aktiver Signale vor, die eindeutige Kennungen wie eine MAC-Adresse, die IMEI (internationale Mobilfunkgerätekennung), die IMSI (internationale Mobilfunk-Teilnehmerkennung) usw. enthalten. Eine einzelne Drahtlos-Basisstation (d. h. ein Sender und Empfänger) wie beispielsweise ein Drahtlos-Zugangspunkt deckt einen bestimmten Bereich ab, in dem solche Informationen erfasst werden können. Es gibt inzwischen Diensteanbieter, die aufgrund gescannter gerätebezogener Informationen Verfolgungsdienste mit verschiedenartigen Funktionsmerkmalen anbieten, darunter die Zählung von Personen, die Bereitstellung von Daten über die Zahl der in einer Schlange wartenden Personen, die Ermittlung der Personenzahl in einem bestimmten Gebiet usw. Diese Informationen können zu Zwecken verwendet werden, die stärker in die Privatsphäre eingreifen, wie das Übermitteln gewerblicher Werbenachrichten mit persönlich angepassten Angeboten an Endnutzer, wenn diese beispielsweise ein Ladengeschäft betreten. Während einige dieser Funktionsmerkmale keine große Gefahr für die Privatsphäre mit sich bringen, sind andere durchaus bedenklich, z. B. solche, die mit der Verfolgung einzelner Personen über einen längeren Zeitraum verbunden sind (u. a. wiederholte Besuche an bestimmten Orten). Anwender solcher Praktiken sollten am Rand des betroffenen Bereichs in hervorgehobener Weise Hinweise anzeigen, mit denen die Endnutzer vor Betreten des Bereichs darüber aufgeklärt werden, dass entsprechende Technik in einem bestimmten Umkreis im Einsatz ist, aber auch über den Zweck der Verfolgung, die dafür verantwortliche Person und darüber, was der Endnutzer der Endeinrichtung tun kann, um die Datenerhebung zu beenden oder auf ein Minimum zu beschränken. Werden personenbezogene Daten nach Artikel 13 der Verordnung (EU) 2016/679 erhoben, so sollten zusätzlich weitere Informationen bereitgestellt werden.

(26)Soweit diese Verordnung für die Verarbeitung elektronischer Kommunikationsdaten durch Betreiber elektronischer Kommunikationsdienste gilt, sollte sie vorsehen, dass die Mitgliedstaaten einige Pflichten und Rechte unter bestimmten Voraussetzungen mittels Rechtsvorschriften beschränken können, wenn diese Beschränkung in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz bestimmter wichtiger öffentlicher Interessen darstellt, wozu die nationale Sicherheit, die Verteidigung, die öffentliche Sicherheit und die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung zählen, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit und sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere wichtiger wirtschaftlicher oder finanzieller Interessen der Union oder eines Mitgliedstaats, oder Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt in Bezug auf solche Interessen verbunden sind. Deshalb sollte diese Verordnung die Möglichkeit der Mitgliedstaaten zum rechtmäßigen Abfangen elektronischer Kommunikation oder zum Ergreifen anderer Maßnahmen nicht beeinträchtigen, sofern dies notwendig und verhältnismäßig ist, um die oben genannten öffentlichen Interessen zu schützen, und im Einklang mit der Charta der Grundrechte der Europäischen Union und der Europäischen Konvention zum Schutz der Menschenrechte und Grundfreiheiten in ihrer Auslegung durch den Gerichtshof der Europäischen Union und den Europäischen Gerichtshof für Menschenrechte erfolgt. Die Betreiber elektronischer Kommunikationsdienste sollten geeignete Verfahren zur leichteren Beantwortung berechtigter Anfragen der zuständigen Behörden schaffen und dabei gegebenenfalls auch die Rolle des nach Artikel 3 Absatz 3 benannten Vertreters berücksichtigen.

(27)Im Hinblick auf die Rufnummernanzeige ist es erforderlich, das Recht des Anrufers zu wahren, die Anzeige der Rufnummer des Anschlusses, von dem aus der Anruf erfolgt, zu unterdrücken, ebenso wie das Recht des Angerufenen, Anrufe von nicht identifizierten Anschlüssen abzuweisen. Bestimmte Endnutzer, insbesondere telefonische Beratungsdienste und ähnliche Einrichtungen, haben ein Interesse daran, die Anonymität ihrer Anrufer zu gewährleisten. Im Hinblick auf die Anzeige der Rufnummer des Angerufenen ist es erforderlich, das Recht und das berechtigte Interesse des Angerufenen zu wahren, die Anzeige der Rufnummer des Anschlusses, mit dem der Anrufer tatsächlich verbunden ist, zu unterdrücken.

(28)In Sonderfällen ist es gerechtfertigt, die Unterdrückung der Rufnummernanzeige aufzuheben. Die Rechte der Endnutzer auf Privatsphäre in Bezug auf die Rufnummernanzeige sollten eingeschränkt werden, wenn dies erforderlich ist, um belästigende Anrufe zurückzuverfolgen, sowie in Bezug auf die Rufnummernanzeige und Standortdaten, wenn dies erforderlich ist, damit Notdienste wie eCall ihre Aufgaben so effektiv wie möglich erfüllen können.

(29)Es gibt technische Möglichkeiten, mit denen Anbieter elektronischer Kommunikationsdienste den Erhalt unerwünschter Anrufe durch die Endnutzer auf unterschiedliche Weisen begrenzen können, z. B. durch Sperren stiller Anrufe und anderer betrügerischer und belästigender Anrufe. Die Betreiber öffentlich zugänglicher nummerngebundener interpersoneller Kommunikationsdienste sollten solche Technik einsetzen und Endnutzer vor belästigenden Anrufen kostenlos schützen. Die Betreiber sollten dafür sorgen, dass die Endnutzer vom Vorhandensein solcher Funktionen Kenntnis haben, indem sie beispielsweise auf ihrer Website darauf hinweisen.

(30)Öffentlich zugängliche Verzeichnisse der Endnutzer elektronischer Kommunikationsdienste finden eine weite Verbreitung. Öffentlich zugängliche Verzeichnisse sind Verzeichnisse oder Dienste, die Informationen über Endnutzer wie deren Telefonnummer (auch Mobiltelefonnummer), E-Mail-Adresse oder andere Kontaktangaben enthalten und Auskunftsdienste umfassen. Das Recht natürlicher Personen auf Privatsphäre und den Schutz personenbezogener Daten erfordert, dass Endnutzer, die natürliche Personen sind, um ihre Einwilligung gebeten werden, bevor ihre personenbezogenen Daten in ein Verzeichnis aufgenommen werden. Das berechtigte Interesse juristischer Personen erfordert, dass Endnutzer, die juristische Personen sind, das Recht haben, der Aufnahme der auf sie bezogenen Daten in ein Verzeichnis zu widersprechen.

(31)Wenn Endnutzer, die natürliche Personen sind, ihre Einwilligung zur Aufnahme ihrer Daten in ein solches Verzeichnis geben, sollten sie mit ihrer Einwilligung auch bestimmen können, welche Kategorien personenbezogener Daten in das Verzeichnis aufgenommen werden (z. B. Name, E-Mail-Adresse, Wohnanschrift, Benutzername, Telefonnummer). Außerdem sollten die Betreiber öffentlicher Verzeichnisse die Endnutzer über die Zwecke des Verzeichnisses und die Suchfunktionen informieren, bevor sie sie in das Verzeichnis aufnehmen. Die Endnutzer sollten mit ihrer Einwilligung auch bestimmen können, anhand welcher Kategorien personenbezogener Daten ihre Kontaktangaben durchsucht werden können. Die Kategorien personenbezogener Daten, die in das Verzeichnis aufgenommen werden, und die Kategorien personenbezogener Daten, anhand deren die Kontaktangaben der Endnutzer durchsucht werden können, müssen nicht notwendigerweise dieselben sein.

(32)In dieser Verordnung wird unter Direktwerbung jede Art von Werbung verstanden, mittels derer eine natürliche oder juristische Person Direktwerbung über elektronische Kommunikationsdienste unmittelbar an einen oder mehrere bestimmte oder bestimmbare Endnutzer richtet. Dies umfasst neben dem zu gewerblichen Zwecken erfolgenden Anbieten von Produkten und Dienstleistungen auch Nachrichten von politischen Parteien, die sich über elektronische Kommunikationsdienste an natürliche Personen wenden, um für ihre Parteien zu werben. Dasselbe sollte für Nachrichten gelten, die von anderen Organisationen ohne Erwerbszweck übermittelt werden, um die Zwecke ihrer Organisation zu fördern.

(33)Es sollten Vorkehrungen getroffen werden, um die Endnutzer vor unerbetener Direktwerbung zu schützen, die in das Privatleben der Endnutzer eingreift. Der Grad des Eingriffs in die Privatsphäre und der Belästigung wird unabhängig von der großen Vielfalt der zur Durchführung dieser elektronischen Kommunikation genutzten Techniken und Kanäle wie automatischer Anruf- und Kommunikationssysteme, Sofortnachrichtenanwendungen, E-Mail, SMS, MMS, Bluetooth usw. als relativ ähnlich betrachtet. Daher ist es gerechtfertigt zu verlangen, dass die Einwilligung des Endnutzers eingeholt wird, bevor gewerbliche elektronische Direktwerbung an Endnutzer gerichtet wird, um so den Schutz natürlicher Personen vor Eingriffen in ihr Privatleben und den Schutz der berechtigten Interessen juristischer Personen wirksam zu gewährleisten. Aus Gründen der Rechtssicherheit und wegen der Notwendigkeit, dafür zu sorgen, dass die Vorschriften zum Schutz vor unerbetener elektronischer Kommunikation zukunftssicher bleiben, ist es erforderlich, einheitliche Vorschriften zu schaffen, die nicht danach unterscheiden, mit welcher Technik diese unerbetene Kommunikation erfolgt, und zugleich einen gleichwertigen Schutz aller Bürger in der gesamten Union zu gewährleisten. Es ist jedoch vertretbar, im Rahmen einer bestehenden Kundenbeziehung die Nutzung von E-Mail-Kontaktangaben zu erlauben, damit ähnliche Produkte oder Dienstleistungen angeboten werden können. Diese Möglichkeit sollte jedoch nur für dasselbe Unternehmen gelten, das die elektronischen Kontaktangaben im Einklang mit der Verordnung (EU) 2016/679 erlangt hat.

(34)Wenn Endnutzer in den Empfang unerbetener Direktwerbung eingewilligt haben, sollten sie dennoch in der Lage sein, ihre Einwilligung jederzeit auf einfache Weise zu wiederrufen. Zur Erleichterung der wirksamen Durchsetzung der Unionsvorschriften über unerbetene Direktwerbung ist es notwendig, die Verschleierung der Identität und die Verwendung falscher Identitäten, falscher Rücksendeadressen oder Rückrufnummern bei der Durchführung unerbetener gewerblicher Direktwerbung zu untersagen. Unerbetene Werbung sollte daher eindeutig als solche erkennbar sein, die Identität der übermittelnden juristischen oder natürlichen Person offenlegen oder angeben, in wessen Namen die Nachricht übermittelt wird, und die nötigen Informationen geben, damit die Empfänger ihr Recht ausüben können, dem weiteren Empfang von schriftlichen und mündlichen Werbenachrichten zu widersprechen.