ePrivacy-Verordnung

Definition: Die ePrivacy-Verordnung (ePVO, auch: Verordnung über Privatsphäre und elektronische Kommunikation) ist ein seit 2017 im EU-Gesetzgebungsverfahren befindlicher Rechtsakt, der die bestehende ePrivacy-Richtlinie (2002/58/EG) ablösen soll. Als Verordnung – im Gegensatz zur bisherigen Richtlinie – würde sie unmittelbar und ohne nationalen Umsetzungsakt in allen EU-Mitgliedstaaten gelten und damit einheitliche Standards für den Datenschutz in der elektronischen Kommunikation schaffen. Der Kommissionsentwurf vom Januar 2017 sieht erhebliche Neuregelungen für Cookies und Tracking, für die Verarbeitung von Kommunikations- und Metadaten sowie für elektronische Direktwerbung vor. Ursprünglich sollte die ePrivacy-Verordnung gemeinsam mit der DSGVO am 25. Mai 2018 in Kraft treten. Aufgrund intensiver politischer Debatten, divergierender Interessen der Mitgliedstaaten und massiven Lobbydrucks der Digitalwirtschaft verzögerte sich das Gesetzgebungsverfahren jedoch erheblich. Ein finaler Beschluss steht zum Zeitpunkt der Redaktion dieses Eintrags noch aus. Dennoch ist die ePrivacy-Verordnung für Marketingpraktiker, Webentwickler und Datenschutzverantwortliche von großer strategischer Bedeutung, da ihre Verabschiedung tiefgreifende Auswirkungen auf das gesamte digitale Marketing haben wird – von der Cookie-Einholung über das E-Mail-Marketing bis hin zu OTT-Kommunikationsdiensten wie WhatsApp oder Teams.

Erläuterung

Der Kommissionsentwurf der ePrivacy-Verordnung greift mehrere zentrale Regelungslücken der bisherigen Richtlinie auf und modernisiert das europäische Kommunikationsdatenschutzrecht grundlegend. Einer der wichtigsten geplanten Paradigmenwechsel betrifft den Bereich der Cookie-Einwilligung: Der Entwurf sieht vor, dass Browser-seitige Datenschutzeinstellungen als rechtsverbindliche Einwilligungserklärungen anerkannt werden können. Nutzer würden dann in ihrem Browser einmalig festlegen, welche Art von Cookies sie akzeptieren, und Websites müssten diese Einstellung respektieren – statt auf jeder einzelnen Website ein Cookie-Banner anzuzeigen. Diese Regelung könnte die heutige Landschaft der Website-spezifischen Cookie-Bannern grundlegend verändern.

Ein weiterer wichtiger Aspekt ist die Ausweitung des Anwendungsbereichs auf sogenannte Over-the-Top-Dienste (OTT). Die bisherige Richtlinie gilt nur für klassische Telekommunikationsanbieter. Die neue Verordnung würde auch internetbasierte Kommunikationsdienste wie E-Mail-Anbieter, Messenger-Apps, VoIP-Dienste und soziale Netzwerke erfassen, soweit sie Kommunikationsfunktionen anbieten. Dies würde die Regulierung erheblich ausweiten und auch für B2B-Marketingtools neue Anforderungen schaffen.

Für das E-Mail-Marketing und die elektronische Direktwerbung plant die Verordnung ebenfalls Änderungen. Das grundsätzliche Einwilligungserfordernis für kommerziellen E-Mail-Versand soll beibehalten, aber präzisiert werden. Insbesondere sollen die Bedingungen für das Soft-Opt-in (Direktwerbung gegenüber Bestandskunden) europaweit einheitlich geregelt werden, was bisher national unterschiedlich ausgestaltet war.

Geplante Kernregelungen im Überblick

Browser-basierte Einwilligungen: Browser-Datenschutzeinstellungen sollen als Einwilligungen anerkannt werden, was Website-spezifische Cookie-Banner potenziell überflüssig machen könnte.
Ausweitung auf OTT-Dienste: Messenger, E-Mail-Dienste und andere internetbasierte Kommunikationsplattformen sollen den gleichen Datenschutzvorgaben unterliegen wie klassische Telekommunikationsanbieter.
Metadaten-Schutz: Kommunikations-Metadaten (wer kommuniziert mit wem, wann, wie oft, von wo) sollen strenger geschützt werden – mit deutlich eingeschränkten Verarbeitungsmöglichkeiten für Werbezwecke.
Einheitliche Regeln für Direktwerbung: Europaweit harmonisierte Regeln für elektronische Direktwerbung sollen nationale Unterschiede beim Soft-Opt-in und anderen Ausnahmetatbeständen beseitigen.
Neue Bußgeldrahmen: Analog zur DSGVO sind erhebliche Bußgelder bei Verstößen geplant – bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Gründe für die Verzögerung und aktueller Status

Interessenkonflikte: Digitalkonzerne, Medienunternehmen und Werbeverbände betreiben intensives Lobbying gegen strenge Cookie- und Tracking-Regeln, die ihr Geschäftsmodell gefährden würden.
Unterschiedliche nationale Positionen: Die EU-Mitgliedstaaten vertreten im Rat teils gegensätzliche Positionen – zwischen striktem Datenschutz und wirtschaftsfreundlicherer Regulierung.
Technologische Entwicklung: Neue Technologien wie KI-basiertes Targeting oder Privacy-Sandbox-Ansätze von Browser-Herstellern haben die regulatorischen Anforderungen während des Gesetzgebungsverfahrens verändert.
Verhältnis zur DSGVO: Die Abgrenzung zwischen ePrivacy-Verordnung und DSGVO ist komplex; Überschneidungen und potenzielle Widersprüche müssen im Verfahren aufgelöst werden.

Praxistipp: Verfolgen Sie regelmäßig den Gesetzgebungsstand der ePrivacy-Verordnung über offizielle EU-Quellen und Datenschutz-Fachpublikationen. Richten Sie Ihre Consent-Infrastruktur und Ihr Datenschutzkonzept so aus, dass es flexibel auf neue regulatorische Anforderungen reagieren kann. Systeme, die heute DSGVO- und TTDSG-konform sind und auf Privacy-by-Design-Prinzipien basieren, werden sich auch an die ePrivacy-Verordnung leichter anpassen lassen. Planen Sie keine langfristigen Investitionen in Third-Party-Cookie-basierte Systeme, die bei Inkrafttreten der Verordnung möglicherweise sofort überarbeitet werden müssen.