Darum brauchen wir die E-Privacy-Verordnung

Die Datenschutz-Grundverordnung (DSGVO) feiert in Kürze ihren ersten Geburtstag. Für uns Datenschützer ist dies ein freudiger Anlass. Endlich gibt es sie: die europaweit einheitlichen und verbraucherfreundlichen Regeln für mehr Datenschutz. Darüber hinaus setzt sie einen weltweiten Standard, an dem sich zunehmend auch andere Staaten orientieren.

Doch bei aller Freude, darf ein nicht minder wichtiges Projekt der europäischen Datenschutzgesetzgebung nicht vergessen werden: die E-Privacy-Verordnung (E-Privacy-VO). Manch einer stöhnt jetzt vielleicht auf und denkt: “Muss das sein?” Gerade hat man doch mit viel Mühe die DSGVO umgesetzt und jetzt soll schon die nächste “Datenschutz-Welle” kommen? Als BfDI sage ich hierzu klar: “Ja, es muss sein!”

Denn die E-Privacy-VO soll vor allem die Daten schützen, die aufgrund ihrer besonderen Sensibilität einen besonderen Schutz brauchen: die Telekommunikationsdaten. Rund 80 % der Deutschen tragen meistens ein Smartphone bei sich. Allein aus den Standortangaben und den übrigen Verbindungsdaten, die bei dessen Nutzung anfallen, kann man schon eine ganze Menge über eine Person erfahren. Nimmt man noch die Inhalte von Telefongesprächen, E-Mails oder Textnachrichten hinzu, lässt sich hieraus für jeden Menschen fast ein komplettes Profil erstellen – teilweise sogar mit intimsten Informationen. Nicht umsonst gibt es ein hohes Interesse an genau diesen Informationen. Genau deshalb muss die Verwendung dieser Daten streng geregelt werden.

Gleiches gilt für die beliebten Messenger-Apps. Auch hier findet Individualkommunikation statt. Nach dem derzeitigen Entwurf der E-Privacy-VO werden diese Dienste – wie von mir seit längerem gefordert – in den Anwendungsbereich der Verordnung einbezogen. Dies ist überfällig und notwendig, da Messenger-Apps mittlerweile die SMS weitgehend verdrängt haben. Oftmals beinhalten sie sogar Sprachnachrichten- oder Anruffunktionen und treten damit in vielen Fällen auch an die Stelle von “klassischer” Telefonie.

Die E-Privacy-VO soll zudem die bereits in der DSGVO angelegten Grundsätze von “Privacy by Design” und “Privacy by Default” bei der Nutzung elektronischer Kommunikation fest verankern. Internet-Browser sollten verpflichtet werden, bereits in der Standardeinstellung den höchstmöglichen Schutz vor ungewünschter Profilbildung ermöglichen.

Auch an anderen Stellen wird die DSGVO durch die E-Privacy-VO ergänzt und präzisiert. Daher ist es für eine einheitliche Umsetzung beider Gesetze auch wichtig, dass dieselben unabhängigen Behörden mit ihrer Überwachung und Durchsetzung beauftragt werden. In Bezug auf die Zuständigkeitsregelungen in der E-Privacy-VO bedeutet das: Die Zuständigkeit für Telekommunikationsdienste, die bereits aktuell beim BfDI liegt, muss auch in Zukunft hier gebündelt bleiben. Für Telemedien würden wie bisher die Landesdatenschutzbeauftragten zuständig sein.

Denn die Durchsetzung der Datenschutzregeln kann nur von unabhängigen Aufsichtsbehörden wahrgenommen werden. Hier ist Art. 8 Abs. 3 GRCh eindeutig. Auch die DSGVO sieht für ihren Anwendungsbereich diese Unabhängigkeit in Art. 52 DSGVO ebenfalls ausdrücklich vor.

Ursprünglich war geplant, dass DSGVO und E-Privacy-VO zeitgleich in Kraft treten. Dies ist bekanntermaßen nicht gelungen, weil sich der Europäische Rat – anders als Kommission und Parlament – auch nach Jahren der Diskussion immer noch nicht auf eine gemeinsame Position einigen konnte. Im Ergebnis führt dies in einigen Bereichen zu unnötigen Rechtsunsicherheiten für Wirtschaft und Bürger, die auch durch die gestiegene Anzahl entsprechender Anfragen an meine Behörde belegen.

Wenig hilfreich ist in diesem Zusammenhang auch die bislang versäumte Anpassung des Telekommunikationsgesetzes (TKG) an die DSGVO. Im TKG finden sich nach wie vor Verweise ins BDSG, die seit Inkrafttreten der DSGVO und Anpassung des BDSG quasi ins Leere laufen.

Im Ergebnis gibt es also mehr als genügend Gründe, eine umfassende E-Privacy-VO schnellstmöglich zu beschließen. Nur so können wir die grundlegend benötigte Weichenstellung für den Schutz personenbezogener Daten in der elektronischen Kommunikation umsetzen. Auf dem Weg zum großen Ziel, einer umfassenden Revision des europäischen Datenschutzrechts, hat man mit der DSGVO schon einen Großteil der Strecke hinter sich gebracht. Die Ziellinie wird aber erst überschritten sein, wenn mit der E-Privacy-VO ein angemessener, datenschutzfreundlicher und europaweit geltender Schutzstandard für die Vertraulichkeit der elektronischen Kommunikation etabliert worden ist.

Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Berlin