zurück zum Artikel

Die EU-Ratspräsidentschaft unternimmt einen neuen Anlauf für den Online-Datenschutz. Metadaten und Cookies sollen unter Auflagen stärker einsetzbar werden.

Überraschend schnell hat Portugal, das Anfang des Jahres von Deutschland den Vorsitz beim EU-Ministerrat übernommen hat, einen neuen Entwurf für die seit vier Jahren heftig umstrittene E-Privacy-Verordnung an die anderen Mitgliedsstaaten geschickt. Ziel soll es sein, "den Text zu vereinfachen" und ihn weiter an die Datenschutz-Grundverordnung (DSGVO) anzupassen.

Was zunächst überzeugend klingt, entpuppt sich beim genaueren Hinsehen vor allem als Geschenk an die datenverarbeitende Wirtschaft. Ursprüngliche Absicht der EU-Kommission war es, mit der Verordnung beim Datenschutz im sensiblen Bereich der elektronischen Kommunikation mit ihren zahlreichen Anwendungsbereichen von Messenger-Diensten übers Telefonieren bis hin zum Steuern von Sprachassistenten die Latte höher zu legen [1]. Sollten die zusätzlichen Regeln nun weitgehend an die DSGVO [2] angeglichen werden, erübrigen sie sich eigentlich.

Zweckentfremdung unter Bedingungen

Als "wichtigste Änderung" bezeichnet die portugiesische Regierung nach dem von der Bürgerrechtsorganisation Statewatch veröffentlichten Text [3] ihren Vorschlag, dass Firmen und Behörden Metadaten wie Verbindungsinformationen für andere Zwecke als die ursprünglich vorgesehenen und vom Nutzer gestatteten verwenden können sollen. Wichtigste Voraussetzung dafür ist, dass die Verarbeitung "kompatibel" ist zur zunächst freigegebenen Absicht. Dies soll auch für Eingriffe in "Terminal-Ausrüstung" wie Browser etwa durch das Setzen von Cookies und das Auslesen damit verknüpfter Nutzerinformationen gelten.

Im neuen Artikel 6c und dem Erwägungsgrund 17aa sowie dem erweiterten Artikel 8 und zugehörigen Erläuterungen knüpfen die Portugiesen diese Zweckentfremdung an einige Bedingungen. "Gegebenenfalls" sollen Diensteanbieter die Aufsichtsbehörde kontaktieren, eine Datenschutz-Folgenabschätzung durchführen und persönliche Informationen pseudonymisieren sowie verschlüsseln. Dazu kommt die Anforderung, das Ergebnis einer Analyse zu anonymisieren, bevor Informationen an Dritte weitergegeben werden.

Beim Abweichen vom Zweckprinzip dürfen einschlägige Daten zudem nicht dazu verwendet werden, "die Art oder die Merkmale eines Endnutzers zu bestimmen oder ein Profil" über ihn zu erstellen. So will die Ratsspitze verhindern, dass individuelles Verhalten überwacht oder Rückschlüsse auf das Privatleben gezogen werden können. Standortdaten sind ausgenommen. Ansonsten bleibt dem Betroffenen nur eine Widerspruchsmöglichkeit (Opt-out). Allzu hoch sind diese Hürden für Datensammler nicht.

Die Portugiesen greifen so im Kern auf das Papier der finnischen Ratspräsidentschaft von 2019 [4] zurück. Sie belassen es zwar beim Ansatz Deutschlands, wonach eine Datenverarbeitung aus pauschalem "berechtigtem Interesse" nicht mehr erlaubt sein soll [5]. Firmen können sich bislang auf diese Klausel berufen, um etwa Direktwerbung zu betreiben, Betrug zu verhindern und die Sicherheit eines IT-Systems zu gewährleisten. Schon die Bundesregierung hatte dafür aber als Ersatz einzelne Erlaubnistatbestände eingeführt, die Portugal nun weiter ausbaut.

Cookies oder Abo

Wer auf seiner Homepage unentgeltlich Nachrichteninhalte verfügbar macht und sich über Banner finanziert, soll den Zugang dazu etwa mit dem Aufspielen von Cookies ohne Zustimmung der Nutzer verbinden können. Wer nicht für Werbezwecke ausspioniert werden will, muss gegebenenfalls ein kostenpflichtiges Abo abschließen. Diese Passage wird an die Voraussetzung geknüpft, dass der User prinzipiell zwischen verschiedenen News-Diensten wählen kann.

Die Einschränkung, dass Cookies in einem solchen Fall "durch den gleichen Anbieter" gesetzt werden müssen, hat die neue Präsidentschaft gestrichen. Diese sei "zu restriktiv" und stelle eine "Bürde" für Inhalteanbieter wie die Online-Presse dar. Cookies könnten auch ein legitimes und nützliches Mittel sein, die Effektivität eines Dienstes etwa beim Design von Webseiten und Werbung einzuschätzen oder Anzahl der Besucher zu messen, heißt es in dem Entwurf. Statistische Auswertungen sollen generell liberaler gehandhabt werden.

Ein übergreifendes Tracking wäre so zulässig. Von "unerwünschter geschäftlicher Kommunikation" ist gar nicht mehr die Rede. Die Möglichkeiten für das sprachlich bevorzugte Direktmarketing will Portugal auch mithilfe automatisierter Systeme wie Bots erweitern.

Heatmaps

Ein weiteres aufgeführtes Beispiel für die kommerzielle Nutzung von Metadaten ist die Bereitstellung sogenannter Heatmaps. Anbieter sollen so Daten unter Einsatz spezieller grafischer Mittel verwenden dürfen, um die Anwesenheit von Personen an speziellen Orten zu visualisieren. Um etwa Verkehrsbewegungen während eines bestimmten Zeitraums darzustellen, dürften laut dem Papier auch personenbezogene Kennungen verwendet werden, um die Positionen von Individuen in bestimmten Zeitintervallen anzuzeigen.

Eine Einwilligung soll auch nicht erforderlich sein, wenn Speicherkapazitäten von Endgeräten genutzt werden, um Sicherheitslücken zu beheben und entsprechende Software-Updates einzuspielen. Der Nutzer muss über diese Praxis aber vorher informiert worden sein. Die Aktualisierungen dürfen die Funktionalität der Hardware oder Software oder die Datenschutzeinstellungen zudem nicht verändern. Verbindungsdaten dürften außerdem zum Schutz lebenswichtiger Interessen verwendet werden wie etwa in humanitären Notsituationen oder in Epidemien.

Vorratsdatenspeicherung

Sofern verfügbar und technisch machbar, kann ein Nutzer dem Papier nach über Softwareeinstellungen einem bestimmten Anbieter die Erlaubnis zum Setzen von Cookies für einen oder mehrere bestimmte Zwecke erteilen. Auch das Anlegen einer "grünen Liste" soll so möglich sein. Artikel 10 zum "Do not Track"-Standard, der sich in der Praxis kaum durchsetzen konnte [6], bleibt gestrichen. Das EU-Parlament hatte diesen in seiner Stellungnahme noch gewünscht [7].

Die Klausel zu einer möglichen nationalen Vorratsdatenspeicherung [8] haben die Portugiesen ebenso gestrichen wie die zum Durchleuchten elektronischer Kommunikation im Kampf gegen Darstellungen sexuellen Kindesmissbrauch. Die EU-Gesetzgeber arbeiten hier parallel schon an separaten Ansätzen [9]. Allgemein soll das Verarbeiten von Daten zulässig sein, "um gesetzliche Auflagen zu befolgen".

Um die Vertraulichkeit elektronischer Kommunikation zu gewährleisten, sollen die Betreiber Sicherheitsmaßnahmen anwenden. Das Verbot des Abfangens von Inhalten will die Präsidentschaft bis zum Empfang einer Nachricht durch den vorgesehenen Adressaten gelten lassen, also während des "Ende-zu-Ende-Austauschs". Andererseits ist der Rat auf der Suche nach Lösungen, mit denen Sicherheitsbehörden auch bei durchgehender Verschlüsselung auf Klartext zugreifen können [10].

Die Regeln sollen ferner für Kommunikation zwischen Maschinen etwa im Internet der Dinge gelten, solange sie nicht allein in geschlossenen Netzwerken etwa in Fabriken erfolgt. Der Nachrichtenaustausch rein innerhalb von Behörden bleibt außen vor. Voll anwendbar sein soll die Verordnung, die nicht mehr unbedingt in nationales Recht umgesetzt werden muss, nach zwölf Monaten. Bisher waren zwei Jahre Übergangsfrist vorgesehen. (olb [11])

URL dieses Artikels:
https://www.heise.de/-5028158

Links in diesem Artikel:
[1] https://www.heise.de/news/Analyse-EU-Kommission-verschlimmbessert-Entwurf-zur-E-Privacy-Verordnung-3594716.html
[2] https://www.heise.de/thema/DSGVO#liste
[3] https://www.statewatch.org/news/2021/january/eu-e-privacy-regulation-council-presidency-aims-for-consensus-with-amended-text/
[4] https://www.heise.de/news/E-Privacy-Verordnung-EU-Ratsspitze-wil-breiten-Zugriff-auf-Nutzerdaten-erlauben-4591769.html
[5] https://www.heise.de/news/E-Privacy-Kein-Datensammeln-aus-berechtigtem-Interesse-mehr-4949674.html
[6] https://www.heise.de/news/Global-Privacy-Control-Browser-Signal-gegen-Datenhandel-4924705.html
[7] https://www.heise.de/news/Scharfe-E-Privacy-Verordnung-verabschiedet-Mehr-Datenschutz-klares-Nein-zu-Hintertueren-3874221.html
[8] https://www.heise.de/news/EU-Staatschefs-und-Innenminister-draengen-auf-neue-Vorratsdatenspeicherung-4987621.html
[9] https://www.heise.de/news/Missbrauchsdarstellungen-EU-Parlament-will-E-Privacy-Richtlinie-umgehen-4983759.html
[10] https://www.heise.de/news/Crypto-Wars-EU-Staaten-beschliessen-Resolution-zu-Entschluesselung-4988717.html
[11] mailto:olb@heise.de

Copyright © 2021 Heise Medien