ePrivacy-Richtlinie

Definition: Die ePrivacy-Richtlinie (Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation) ist ein europäisches Regelwerk, das spezifische Datenschutzvorgaben für den Bereich der elektronischen Kommunikation festlegt. Sie wurde im Jahr 2002 verabschiedet und im Jahr 2009 durch die sogenannte Cookie-Richtlinie (Richtlinie 2009/136/EG) maßgeblich überarbeitet. Die Richtlinie ergänzt die allgemeinen Datenschutzregeln der DSGVO als lex specialis und geht diesen in ihrem Anwendungsbereich vor. Ihre wesentlichen Regelungsgegenstände sind die Vertraulichkeit elektronischer Kommunikationsinhalte, der Schutz von Endgeräten vor unerwünschtem Zugriff – insbesondere durch Cookies und ähnliche Technologien –, Vorgaben für Verkehrs- und Standortdaten sowie das Verbot unerwünschter elektronischer Direktwerbung. Als Richtlinie entfaltet sie keine unmittelbare Wirkung in den Mitgliedstaaten, sondern musste von jedem EU-Mitgliedstaat in nationales Recht umgesetzt werden. In Deutschland geschah dies durch das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG), die seit Dezember 2021 durch das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) abgelöst wurden. Die ePrivacy-Richtlinie bildet damit das regulatorische Fundament für das europäische Cookie-Recht und hat die Entstehung von Cookie-Bannern und Consent-Management-Systemen auf europäischen Websites direkt bewirkt. Ihre Nachfolgerin, die noch nicht verabschiedete ePrivacy-Verordnung, soll als unmittelbar geltendes EU-Recht die Richtlinie ersetzen und europaweit einheitliche Standards schaffen.

Erläuterung

Obwohl die ePrivacy-Richtlinie bereits vor über zwei Jahrzehnten erlassen wurde, ist sie im digitalen Marketing bis heute von herausragender Bedeutung. Dies liegt vor allem an Artikel 5 Absatz 3 der Richtlinie, der häufig schlicht als „Cookie-Artikel" bezeichnet wird. Er legt fest, dass das Speichern von oder der Zugriff auf Informationen auf dem Endgerät eines Nutzers grundsätzlich nur mit dessen vorheriger Einwilligung zulässig ist. Ausgenommen sind ausschließlich technisch unbedingt notwendige Cookies, die für die Erbringung eines vom Nutzer ausdrücklich gewünschten Dienstes erforderlich sind – etwa Warenkorb-Cookies oder Session-Cookies zur Authentifizierung.

Die Novellierung von 2009 stellte eine wesentliche Verschärfung dar. Zuvor war in vielen Mitgliedstaaten ein Opt-out-Modell verbreitet: Nutzer konnten der Cookie-Setzung widersprechen, mussten aber nicht aktiv zustimmen. Mit der revidierten Richtlinie wurde das Opt-in-Modell zur Pflicht: Nutzer müssen vor dem Setzen nicht-technischer Cookies aktiv einwilligen. Diese Änderung hat die Verbreitung von Cookie-Bannern und Consent-Management-Plattformen (CMPs) auf europäischen Websites unmittelbar ausgelöst und das Nutzererlebnis im Internet nachhaltig geprägt.

Ein zweiter zentraler Regelungsbereich betrifft die Direktwerbung per elektronischen Kommunikationsmitteln. Artikel 13 der Richtlinie verbietet das Versenden unerwünschter kommerzieller E-Mails, SMS oder vergleichbarer Nachrichten ohne vorherige Einwilligung des Empfängers. Diese Regelung ist die europäische Grundlage für das nationale Anti-Spam-Recht, das in Deutschland durch § 7 UWG umgesetzt wurde. Die Richtlinie gilt damit als Ursprung des modernen E-Mail-Marketing-Compliance-Rahmens in Europa.

Kernbereiche der ePrivacy-Richtlinie

• Vertraulichkeit der Kommunikation (Art. 5 Abs. 1): Inhalte und Verkehrsdaten elektronischer Kommunikation sind vertraulich. Mithören, Abhören, Speichern oder sonstiges Abfangen durch Unbefugte ist verboten.
• Cookies und Endgeräteschutz (Art. 5 Abs. 3): Das Speichern von Informationen auf dem Endgerät eines Nutzers oder der Zugriff auf dort gespeicherte Informationen erfordert dessen Einwilligung – außer bei technisch notwendigen Cookies.
• Verkehrsdaten (Art. 6): Verkehrsdaten (z. B. Verbindungsdaten, IP-Adressen im Kommunikationskontext) dürfen nach dem Ende der Kommunikation grundsätzlich nicht mehr gespeichert werden, es sei denn, es besteht eine gesetzliche Grundlage.
• Standortdaten (Art. 9): Standortdaten von Nutzern dürfen nur nach ihrer Einwilligung und nur für den vereinbarten Zweck (z. B. Navigationsdienste) verarbeitet werden.
• Direktwerbungs- und Spam-Verbot (Art. 13): Elektronische Direktwerbung ist ohne vorherige Einwilligung unzulässig. Für Bestandskunden gelten begrenzte Ausnahmen (Soft-Opt-in).

Verhältnis zu DSGVO, TTDSG und ePrivacy-Verordnung

• Verhältnis zur DSGVO: Die ePrivacy-Richtlinie ist lex specialis zur DSGVO. In ihrem Anwendungsbereich geht sie der DSGVO vor. Wo sie keine Regelung trifft, gilt die DSGVO ergänzend.
• Nationale Umsetzung – Deutschland: Das TTDSG (seit 1. Dezember 2021 in Kraft) setzt die Vorgaben der Richtlinie für deutsche Telemedien und Telekommunikation um. § 25 TTDSG regelt explizit das Einwilligungserfordernis für den Zugriff auf Endgeräte.
• Unterschiedliche nationale Umsetzungsgrade: Da es sich um eine Richtlinie handelt, haben die EU-Mitgliedstaaten bei der Umsetzung einen Ermessensspielraum genutzt, was zu unterschiedlichen nationalen Regelungen geführt hat – ein Problem bei europaweiten Kampagnen.
• Geplante ePrivacy-Verordnung: Der geplante Nachfolgerechtsakt soll als unmittelbar geltende Verordnung die nationalen Unterschiede beseitigen und den Rechtsrahmen modernisieren. Das Gesetzgebungsverfahren verzögert sich seit 2017 erheblich.