Source: https://www.datenschutz-notizen.de/e-privacy-verordnung-was-gilt-eigentlich-ab-dem-25-mai-2018-1019677/
Timestamp: 2018-03-22 21:43:51+00:00

Document:
„Um das Verhältnis zwischen der [DSGVO] und der [ePrivacy-Richtlinie] klarzustellen, sollte die [ePrivacy-Richtlinie] entsprechend geändert werden. Sobald die [DSGVO] angenommen ist, sollte die [ePrivacy-Richtlinie] einer Überprüfung unterzogen werden, um insbesondere die Kohärenz mit [der DSGVO] zu gewährleisten.“
Und auch eine im Auftrag der EU-Kommission durchgeführte Studie wies bereits im Jahr 2015 auf die komplexe Situation hin, die entstehen würde, wenn auf der einen Seite eine Verordnung wie die DSGVO (mit unmittelbarer Wirkung) einer Richtlinie wie der ePrivacy-Richtlinie (ohne unmittelbare Wirkung) gegenüberstehen würde:
“In our view, the Commission should consider transforming the Directive into a regulation for three reasons. First of all, the relationship between the provisions of the two legislative instruments would be considerably less complex if they are at the same level. This would make the announced revision of the ePrivacy Directive a lot easier …”
Genau dieses komplexe Zusammenspiel zwischen Verordnung und Richtlinie wird nun aber aller Voraussicht nach ab dem 25. Mai 2018 eintreten – und Juristen können sich nun trefflich streiten, welche Rechtslage dann eigentlich gelten wird und welche Spielregeln für das Tracking im Internet zu beachten sind.
Szenario 1 (es gilt weiterhin das Telemediengesetz):
Sofern die ePrivacy-Richtlinie bis zum 25. Mai 2018 nicht angepasst wurde, spricht viel dafür, dass weiterhin die Regelungen des Telemediengesetzes gelten und es insbesondere bei der Privilegierung des pseudonymen Trackings nach § 15 Abs. 3 TMG bleibt. Denn die Datenschutzgrundverordnung regelt in Art. 95:
„Diese Verordnung [DSGVO] erlegt natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten auf, soweit sie besonderen in der [ePrivacy-Richtlinie] festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen.“
Zwar wird an dieser Stelle in keinem Wort das deutsche Telemediengesetz erwähnt. Es ist jedoch davon auszugehen, dass die ePrivacy-Richtlinie in Deutschland durch die §§ 12 ff. TMG umgesetzt ist.
Allerdings muss an dieser Stelle auch deutlich darauf hingewiesen werden, dass die Umsetzung der ePrivacy-Richtlinie in Deutschland bislang sehr kontrovers diskutiert wurde. So gab es in der Vergangenheit mehrere Versuche, dass TMG zu ändern, um die ePrivacy-Richtlinie umzusetzen. Entsprechende Änderungsversuche scheiterten jedoch mit dem (nicht ganz nachvollziehbaren) Verweis, dass die Richtlinie bereits umgesetzt sei und die Bundesregierung die geltende Fassung des TMG als Umsetzung der ePrivacy Richtlinie nach Brüssel gemeldet habe (wer sich näher hierfür interessiert, dem sei das Plenarprotokoll 17/155 des Deutschen Bundestags ans Herz gelegt, dort die Seiten 18700 bis 18706).
Wenn also angenommen werden kann (bzw. muss), dass die geltende Fassung der §§ 12 ff. TMG die Umsetzung der ePrivacy-Richtlinie in Deutschland darstellt, kann gut vertreten werden, dass es auch nach dem 25. Mai 2018 weiterhin bei den Regelungen des deutschen Telemediengesetzes bleibt, solange es keine neue ePrivacy-Verordnung gibt.
Die Rechtslage würde dann zwar immer noch etwas unklar bleiben, da insbesondere über den Anwendungsbereich des § 15 Abs. 3 TMG für Retargeting-Technologien diskutiert werden könnte (fällt Retargeting durch Werbenetzwerke noch unter die Privilegierung des § 15 Abs. 3 TMG oder ist eine Einwilligung der Nutzer erforderlich? – vgl. hier Ziffer 2.1). Unklar wäre zudem, ob im Hinblick auf die Datenschutzerklärung zusätzlich die Informationspflichten des Art. 13 DSGVO entstehen (wofür einiges spricht). Alles in allem würde sich jedoch kaum etwas ändern.
Szenario 2 (es gilt nur die DSGVO):
Teilweise wird jedoch auch vertreten, dass am 25. Mai 2018 das Telemediengesetz durch die DSGVO verdrängt wird. Sofern es an dieser Stelle noch keine angepasste ePrivacy-Verordnung gäbe, wären die Spielregeln des Trackings im Internet durch die DSGVO zu beantworten. Wie könnte dies aussehen?
Nach Art. 13 DSGVO bestünden Informationspflichten gegenüber den Nutzern, die in einer Datenschutzerklärung abgebildet werden könnten bzw. müssten.
Das Tracking von Nutzern zur Messung der Reichweite der eigenen Seite könne vermutlich auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden (Interessenabwägung). Dabei wäre im Rahmen der Interessenabwägung und gem. Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung) sowie Art. 32 Abs. 1 lit. a Alt. 1 DSGVO (Pseudonymisierung personenbezogener Daten) ein Tracking mit pseudonymisierten Daten durchzuführen. Zudem müsste den Nutzern nach Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht eingeräumt werden. Der Widerspruch müsste gem. Art. 21 Abs. 5 DSGVO auch mittels automatisierter Verfahren ausgeübt werden können, was darauf schließen lässt, dass der Widerspruch auch unabhängig von der konkreten Situation des Betroffenen stets umzusetzen ist.
Was heißt das nun im Klartext? Eigentlich nur, dass es auch in diesem Szenario im Ergebnis bei der bisherigen Regelung des § 15 Abs. 3 TMG bleibt, bzw. sich die gleichen Anforderungen aus dem Zusammenspiel der unterschiedlichen DSGVO-Normen ergeben.
Und was bedeutet dies für das Retargeting? Hier ließe sich (wie bisher auch) trefflich darüber streiten, ob eine Einwilligung für Retargeting-Technologien notwendig ist oder nicht. Keine Einwilligung wäre notwendig, sofern Retargeting im Rahmen der Interessenabwägung des Art. 6 Abs. 1 lif. f DSGVO für zulässig erachtet werden würde. Da aber gerade beim Retargeting ein Werbenetzwerkbetreiber in der Lage ist, einen Nutzer über die verschiedensten Websites hinweg wiederzuerkennen und Profile zu bilden, kann auch die Ansicht vertreten werden, dass dies nur mit einer Einwilligung zulässig ist (so sehen es übrigens bereits die Nutzungsbedingungen von Facebook und Google für die Verwendung von Retargeting-Technologien vor – vgl. hier Ziffer 2.2). Im Ergebnis würde sich also auch in diesem Bereich nur wenig ändern.
Es wäre tatsächlich wünschenswert, wenn bereits zum 25. Mai 2018 eine angepasste ePrivacy-Verordnung in Kraft treten würde. Doch auch ohne eine solche Verordnung wird sich die Rechtslage im Internet am 25. Mai 2018 nicht auf den Kopf stellen. Nutzer von Google Analytics in der Standardimplementierung oder Nutzer von Piwik haben nichts zu befürchten, wenn sie die bisherigen Empfehlungen der Aufsichtsbehörden (hier zu Google und hier zu Piwik) auch weiterhin einhalten. Für Nutzer von Retargeting-Technologien bleibt die Rechtslage auch weiterhin nicht ganz klar, sofern nicht bereits wirksame Einwilligungserklärungen der Nutzer (z. B. über gut gestaltete Cookie-Banner – vgl. hier Ziffer 2.3) eingeholt werden.
« Das neue Recht auf Datenübertragbarkeit – des einen Freud ist des anderen Leid	Weihnachtshilfe für Admins »
9. Januar 2018 @ 9:28
der Link zu den „Empfehlungen der Aufsichtsbehörden“ für Piwik ist 404!
9. Januar 2018 @ 12:41
Vielen Dank für den Hinweis! Wir haben einen neuen Link eingebaut.
Michael Neuber (BVDW)
26. Dezember 2017 @ 11:44
Die Regelungen des geltenden TMG wurden von der EU-Kommission selbst als umsetzungsgerecht bestätigt. https://www.bvdw.org/presseserver/bvdw_eprivacy_tmg_20140211/nf_ePrivacy_Richtlinie_TMG_140211.pdf Damit ist sowohl auf nationaler wie auf europäischer Ebene Einverständnis über die allein theoretisch geführten Diskussionen über diese Problematik hergestellt worden. Das TMG kann danach m.E. als nichts anders als zunächst weiterhin anwendbar betrachtet werden.
21. Dezember 2017 @ 18:35
Das TMG ist ausweislich der amtlichen Bezugnahme auf EU-Recht nicht in Ausfüllung der EPRL ergangen, sondern originär mitgliedsstaatliches Datenschutzrecht. Der Anwendungsvorrang der DSGVO wird ein Fortgelten der datenschutzrechtlichen Vorgaben im TMG unmöglich machen. Als wahrscheinlich gilt i.Ü., dass das BMWi noch zum 25.5.18 eine Umsetzung der EPRL in Form der CookieRL vornehmen wird.
21. Dezember 2017 @ 20:16
Die Frage, ob das originäre TMG die Vorgaben der ePrivacy-Richtlinie bereits erfüllt oder ob es noch eines weiteren Transformationsakts zur Umsetzung bedarf, wird seit Jahren, insbesondere politisch, heiß diskutiert. Einen guten Detaileinblick gibt das im Beitrag zitierte Plenarprotokoll 17/155 des Deutschen Bundestags (http://dipbt.bundestag.de/doc/btp/17/17155.pdf) dort die Seiten 18700 bis 18706. Sowohl das BMWi als auch die Bundesregierung haben seitdem vertreten, dass eine Umsetzung der ePrivacy-Richtlinie nicht mehr erforderlich sei, da im TMG bereits alle Vorgaben erfüllt würden. Es wurde daher sogar die Umsetzung der ePrivacy-Richtlinie an die EU gemeldet. Die EU scheint dies akzeptiert zu haben, wie sich hier https://www.telemedicus.info/article/2716-EU-Kommission-Cookie-Richtlinie-ist-in-Deutschland-umgesetzt.html nachlesen lässt. Selbst wenn die damalige Argumentation der Bundesregierung, Teilen des Parlaments und die Reaktion der EU-Kommission an diesem Punkt hinterfragt werden kann, ist es m.E. nicht so einfach, jetzt zu vertreten, dass die Richtlinie nicht umgesetzt worden sei. Wir haben vielmehr genau die komplexe Situation, vor der die im Auftrag der EU-Kommission durchgeführte Studie bereits vor Jahren warnte. Wenn das BMWi nun (in Abkehr von seiner ursprünglichen Argumentation?) an einem Referentenentwurf zur Änderung des TMG arbeitet, ist das zu begrüßen. Allerdings ist ein Gesetzgebungsverfahren zu diesem Thema, welches eine wirksame Änderung des TMG bis zum 25.5.2018 zum Ziel hat, vermutlich kein Selbstläufer. Einen interessanten Beitrag, mit ähnlichen Überlegungen zum im Blogbeitrag dargestellten Szenario 1, findet man übrigens auch hier: https://community.beck.de/2017/07/10/25-mai-2018-und-keine-eprivacy-verordnung-fuellt-das-tmg-die-luecke
21. Dezember 2017 @ 7:16
Vielen herzlichen Dank für diesen Artikel. Sehr interessant. „Schön“ zu sehen, dass auch meine Fachkollegen durch’s Dunkle tappen. Frohes neues Jahr!
[…] Vereinfachung: Angesichts der Länge mag es verwundern, aber dieser Beitrag stellt eine vereinfachte Darstellung dieser komplizierten Rechtslage dar. So wird z.B. auch diskutiert, inwieweit die deutschen Regelungen zum Onlinemarketing im § 15 Abs. 3 Telemediengesetz weiterhin fortgelten.# […]

References: § 15
 Art. 95
 § 15
 § 15
 Art. 13
 Art. 13
 Art. 6
 Art. 5
 Art. 32
 Art. 21
 Art. 21
 § 15
 Art. 6
 § 15