Source: https://www.datev-magazin.de/2017-08/titelthema-2017-08/schutz-digitaler-daten/
Timestamp: 2018-02-25 15:38:16+00:00

Document:
Schutz digitaler Daten - DATEV magazin Neue Regeln
Titelthema | Neue Regeln
Die ePrivacy-VO soll die Datenschutz-Richtlinie 2002/58/EG (sogenannte ePrivacy-Richtlinie) ersetzen und speziell den Datenschutz in Bezug auf öffentlich zugängliche elektronische Komm­uni­ka­tions­dienste ­regeln (Art. 2 ePrivacy-VO-Entwurf), der durch die Datenschutz-Grundverordnung (DS-GVO) nicht geregelt wird (siehe Art. 95 DS-GVO). Der vollständige Titel der «Verordnung lautet Verordnung über die Achtung des Privatlebens und den Schutz per­so­nen­be­zogener Daten in der elektronischen Kommunikation und zur Auf­hebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation)».
Bisher regelt die EU-Datenschutzrichtlinie 2002/58/EG den Datenschutz im Bereich der elektronischen Kommunikation. Die Vorgaben dieser Richtlinie sind im Wesentlichen in den Datenschutzbestimmungen des Telekommunikationsgesetzes (§§ 91 ff. TKG) umgesetzt. Die Richtlinie enthielt auch Regelungen zu sogenannten Cookies und zur Direktwerbung mit elektronischen Kommunikationsdiensten. Diese Vorgaben der Richtlinie 2002/58/EG wirken sich auch in § 7 Gesetz gegen den unlauteren Wettbewerb (UWG), der die Zulässigkeit von Direktwerbung regelt, sowie in den Datenschutzbestimmungen des Telemediengesetzes (§§ 11 ff. TMG) aus. Der Vollständigkeit halber ist anzumerken, dass in Bezug auf Cookies auch immer wieder von der sogenannten Cookie-Richtlinie zu hören ist. Dabei handelt es sich aber nicht um eine eigenständige EU-Richtlinie, sondern nur um eine Richtlinie zur Änderung der bereits zuvor angesprochenen Richtlinie 2002/58/EG. Das ist verwirrend. Verständlicher wird es, wenn man berücksichtigt, dass in Bezug auf elektronische Kommunikation in Deutschland eine Dreiteilung in Form von BDSG, TMG und TKG besteht. In anderen EU-Mitgliedstaaten gibt es hingegen nur eine Zweiteilung – nämlich allgemeines Datenschutzrecht sowie kommunikationsspezifisches Datenschutzrecht. Durch die ePrivacy-VO wird dann die Dreiteilung auch in Deutschland aufgehoben. Aufgrund des Anwendungsvorrangs der DS-GVO beziehungsweise der ePrivacy-VO wird es nur noch diese beiden Gesetze geben. Denn EU-Verordnungen haben An­wen­dungs­vorrang vor nationalen deutschen Regelungen – also vor den Daten­schutz­be­stimmungen des BDSG, TMG und TKG. Das bedeutet: Es bedarf keines deutschen Gesetzes zur Umsetzung der ePrivacy-VO, sondern deren Wortlaut gilt in Deutschland unmittelbar. Kollidierende deutsche Regelungen kommen nicht zur Anwendung, sondern nur die der beiden Datenschutz-Verordnungen.
Sollte die ePrivacy-VO nicht am 25. Mai 2018 in Kraft treten, wird es kompliziert. Das BDSG und die Datenschutzbestimmungen des TMG werden durch die DS-GVO weitgehend verdrängt. Beim TMG ist umstritten, ob eine einzelne Regelung, die auf der Richtlinie 2002/58/EG beruht, aus Gründen der Transparenz weiter gilt. Die Daten­schutzbestimmungen des TKG gelten weiter, soweit sie auf der voranstehenden Richtlinie beruhen; sie sind vom Anwendungsvorrang der DS-GVO ausgenommen (Art. 95 DS-GVO).
Die ePrivacy-VO und die DS-GVO sind beide EU-Verordnungen und gelten unmittelbar in jedem EU-Mitgliedstaat. Insoweit besteht kein Vorrang der einen vor der anderen Regelung. Inhaltlich sind die Regelungen aber unterschiedlich, sodass sie voneinander abzugrenzen sind. Auch in der Praxis wird dieser Unterschied relevant sein. Denn der ePrivacy-VO-Entwurf sieht anders als die DS-GVO (siehe Art. 6 Abs. 1 lit. f DS-GVO) bislang keine Zulässigkeit aufgrund einer In­te­res­sen­ab­wägung vor. Die ePrivacy-VO soll – im Unterschied zur DS-GVO – nicht nur natürliche Personen, sondern auch juristische Personen schützen, da diese zusätzlich den freien Verkehr elektronischer Kommunikationsdaten schützt und gleiche Wettbewerbsbedingungen für alle Marktteilnehmer gewährleisten soll. Der Vorrang der ePrivacy-VO ergibt sich durch die Spezialität, da das speziellere Gesetz grundsätzlich gegenüber dem allgemeineren ­vorgeht.
Daraus ergibt sich, dass die ePrivacy-VO den Datenschutz im Bereich der elektronischen Kommunikation regeln soll –sowie das, was derzeit unter dem Stichwort „Cookies“ diskutiert wird. Eine wichtige Einschränkung des Anwendungsbereichs erfolgt neben weiteren Ausnahmen in Art. 2 ePrivacy-VO: Die Verordnung gilt nicht für „elektronische Kommunikationsdienste, die nicht öffentlich zugänglich sind“ (Art. 2 Abs. 2 lit. c ePrivacy-VO). Das Merkmal „öffentlich zugänglich“ wird seit dem TKG 1996 und den nachfolgenden EU-Richtlinien zur Regulierung von Kom­muni­ka­tions­diensten und -netzen unterschiedlich ausgelegt und ist in seiner ­Bedeutung stark umstritten.
Die ePrivacy-VO wird im Kern den Datenschutz für öffentlich zugängliche Kommunikationsdienste regeln. Das erfolgt bisher durch die Richtlinie 2002/58/EG, die nun durch die ePrivacy-VO abgelöst werden soll und deren Umsetzung in den Datenschutzbestimmungen des Tele­kom­mu­ni­ka­tions­gesetzes (§§ 91 ff. TKG) erfolgte. Erfasst wird die klassische ­Telekommunikation, aber auch Freemail- und Messaging-Dienste oder „über das Internet erbrachte“ Kommunikationsdienste. Hiervon erfasst sein können auch Kom­mu­ni­ka­tions­dienste, die in einem Unternehmensverbund von einer Gesellschaft für eine andere erbracht werden. Heftig und kontrovers diskutiert wird bereits, ob die gestattete oder geduldete Privatnutzung durch Mitarbeiter zur Anwendung der ePrivacy-VO führt. Nach dem Merkmal Öffentlichkeit in seiner aktuellen Auslegung dürfte das zu verneinen sein. Hierfür spricht bereits Erwägungsgrund 13 der e-Privacy-VO; jedoch wurde und wird weiterhin das Merkmal „öffentlich zugänglich“ in anderen EU-Normen zur elektronischen Kommunikation kontrovers diskutiert – gegebenenfalls auch mit Auswirkungen auf die Datenschutzregeln. Die ePrivacy-VO verdrängt aufgrund ihrer unmittelbaren ­Geltung sowie ihres Anwendungsvorrangs die Daten­schutz­be­stimmungen des TKG. Der Schutz von Kommunikationsdaten bei öffentlich zugänglichen Kommunikationsdiensten soll durch die ePrivacy-VO erfolgen. Die Vertraulichkeit der Kommuni­kation wird durch Art. 5 ePrivacy-VO-Entwurf ­sichergestellt. Danach darf die Vertraulichkeit nur eingeschränkt werden, soweit das durch die ePrivacy-VO zugelassen wird. Die erlaubten Verarbeitungen von Kommunikationsdaten werden in Art. 6 ePrivacy-VO-Entwurf geregelt. Kommunikationsdaten in diesem Sinne sind sowohl die elektronischen Kom­muni­ka­tions­inhalte (vgl. Art. 6 Abs. 3 Privacy-VO-Entwurf) als auch die elektronischen Kom­mu­ni­ka­tions­meta­daten (vgl. Art. 6 Abs. 2 ePrivacy-VO-Entwurf). Deren Speicherung und Löschung regelt Art. 7 ePrivacy-VO-Entwurf. Die Anforderungen an eine Einwilligung ­bestimmen sich grundsätzlich nach der DS-GVO (siehe Verweis in Art. 9e Privacy-VO-Entwurf). Art. 15 ePrivacy-VO-Entwurf regelt die Anzeige der Rufnummer sowie deren Verwendung in öffentlich zugänglichen Verzeichnissen. Die Pflicht zur Information bei erkannten Sicherheitsrisiken enthält Art. 17 ePrivacy-VO-Entwurf.
Neben der Einwilligung sind die Durchführung eines elektronischen Kommunikationsvorgangs über ein elektronisches Kommunikationsnetz, die Bereitstellung eines vom Endnutzer gewünschten Dienstes der Informationsgesellschaft ­sowie die Messung des Webpublikums genannt, sofern der Betreiber des vom Endnutzer gewünschten Dienstes der Infor­mations­gesellschaft diese Messung durchführt. Die Erhebung von Informationen, die von End­ein­rich­tun­gen ausgesendet werden, damit diese sich mit anderen Geräten oder mit Netzanlagen verbinden können, wird durch Art. 8 Abs. 2 des ePrivacy-VO-Entwurfs grundsätzlich untersagt. Sie ist allein unter den ebenfalls in Art. 8 Abs. 2 ePrivacy-VO-Entwurf genannten Voraussetzungen gestattet. Art. 9 und 10 des ePrivacy-VO-Entwurfs ergänzen die Regelung zu Cookies durch spezielle Regelungen zur Einwilligung. Diese Regelungen haben bereits aus allen Richtungen heftige ­Kritik erfahren. Das letzte Wort zum Datenschutz beim Einsatz von Cookies ist daher sicherlich noch nicht gesprochen.
Die Aufsicht, die Durchsetzung der Vorgaben sowie die Sanktionen werden durch die Art. 18 – 24 ePrivacy-VO-Entwurf gestaltet. Durch Verweis auf die DS-GVO gelten zukünftig Bußgelder von bis zu zehn beziehungsweise 20 Millionen Euro oder im Fall eines Unternehmens von bis zu zwei beziehungsweise vier Prozent des gesamten weltweit erzielten Jahresumsatzes des voran­ge­gan­ge­nen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Diese Bußgelder gelten ins­be­sondere auch für die Cookie-Thematik und die Direktwerbung.
Die ePrivacy-VO hat ihren Schwerpunkt zwar in den Regelungen, die wir in Deutschland bisher aus dem TKG beziehungsweise TMG kennen, und damit vermeintlich in der „klassischen Tele­kom­mu­ni­kation“. Die ePrivacy-VO macht aber deutlich, dass die Regelungen nicht hierauf beschränkt sind. Darüber hinaus regelt sie weitere Bereiche wie Cookies und Direktwerbung, denen nicht nur wegen der neuen inhalt­lichen Ausgestaltung, sondern vor allem auch wegen der möglichen Höhe der Buß­gelder Aufmerksamkeit geschenkt werden sollte.

References: Art. 95
 § 7
 Art. 6
 Art. 2
 Art. 5
 Art. 6
 Art. 6
 Art. 6
 Art. 7
 Art. 9
 Art. 15
 Art. 17
 Art. 8
 Art. 8
 Art. 9
 Art. 18