Artikel 29 Datenschutzgruppe zu Cookies in der neuen ePrivacy-Richtlinie

Dieser Artikel ist auch verfügbar auf:
Englisch: Article 29 WP issues opinion on cookies in the new ePrivacy Directive

Die Artikel 29 Datenschutz-Arbeitsgruppe, die die europäischen Datenschutzbehörden repräsentiert, hat am 24. Juni eine Stellungnahme über die Anwendung der Datenschutzvorschriften beim Online Behavioural Advertising (Anm.:auf dem Online-Verhalten eines potentiellen Kunden beruhende Werbung) im Hinblick auf den neuen Text der ePrivacy-Richtlinie veröffentlicht.

Die Artikel 29 Datenschutzgruppe ist der Ansicht, dass obwohl Online Behavioural Advertising für Unternehmen und User gleichermaßen nützlich sein kann, es dennoch Probleme des Schutzes personenbezogener Daten und der Privatsphäre birgt. In der Stellungnahme wird festgestellt, dass Werbetreibende gemäß der überarbeiteten ePrivacy-Richtlinie verpflichtet sind, vor der Installation von Tracking-Instrumenten, wie etwa Cookies eine Einverständniserklärung der User einzuholen.

Der Richtlinie zufolge ist das Speichern von und das Zugreifen auf Informationen auf den Rechnern der User ausschließlich dann rechtmäßig, wenn „der betroffene Kunde oder Nutzer sich einverstanden erklärt hat, nachdem er verständliche und umfassende Informationen über den Verfahrensgrund erhalten hat“. Die einzige Ausnahme tritt ein, wenn ein Cookie für die Bereitstellung eines bestimmten – vom User explizit gewünschten – Dienstes unabdingbar ist.

In ihrer Stellungnahme fordert die Datenschutzgruppe einfache und effektive Mechanismen dafür, wie User ihr Einverständnis für Online Behavioural Advertising geben können und auch für den Fall, dass sie ihr Einverständnis widerrufen möchten. Gegenwärtig ist bei drei der vier meistgenutzten Browser die Zustimmung zum Einsatz von Cookies standardmäßig eingestellt. Die Artikel 29-Gruppe ist der Auffassung, dass es nicht automatisch mit einer Einwilligung gleichzusetzen ist, wenn der User eine Standardeinstellungen nicht ändert. Die User sollten deutlich und auf eine verständliche Weise über den Zweck des Tracking informiert werden und die Wahl haben, ob ihr Verhalten ausgewertet werden darf oder nicht.

„Durchschnittliche Datensubjekte sind sich über das Tracking ihres Online-Verhaltens, den Grund dafür etc. nicht bewusst. Sie wissen auch nicht immer, wie sie im Browser Einstellungen zur Ablehnung von Cookies vornehmen können, selbst wenn dies in den Datenschutzrichtlinie enthalten ist“, so die Stellungnahme.

Die Arbeitsgruppe hat allerdings in Erwägung gezogen, dass das Einverständnis einem Werbeunternehmen und nicht jeder einzelnen Webseite erteilt werden könnte. „… die Genehmigung, ein Cookie zu platzieren und die Informationen für zielgerichtete Werbung zu nutzen würde dann das ‚Auslesen’ des Cookies einschließen, das immer stattfindet, wenn der User eine Partnerwebseite des Werbebetreibenden, der das Cookie ursprünglich platziert hat, aufsucht.“

Die Datenschutzgruppe erklärt zudem, dass diese Einwilligung nach einem Jahr verfallen und jedes Werbenetzwerk nach Ablauf dieser Zeit erneut um eine Einverständniserklärung anfragen sollte. Außerdem solle die Genehmigung jederzeit widerrufen werden können.

Das Internet Advertising Bureau Europa (IAB – Verein zur Förderung der Online Werbung), das European Publishers Council (EPC – Europäischer Verlegerrat) und andere Werbe- und Verlagsgesellschaften haben auf diese Stellungnahme reagiert und in einer Presseerklärung veröffentlicht: „Die Industrie ist der Meinung, es handle sich um eine grobe Fehlinterpretation der Absichten der Richtlinie und ein falsche Darstellung der Art der Daten, die üblicherweise gesammelt und verarbeitet werden und dem Zweck dienen, Kunden auf unseren Webseiten interessensbezogene Werbung anzubieten.“

Die Stellungnahme der Artikel 29-Gruppe beruht wiederum auf einem Gutachten, das der Belgische Datenschutzbeauftragte Debeuckelaere am 23. Juni 2010 beim Privacy Platform Meeting zum Thema "Transparenz, Information, Einwilligung" im Europäischen Parlament, vorgestellt hatte. Bei diesem Treffen haben über 100 Vertreter der Industrie, Datenschutzaktivisten, EU-Institutionen, Regierungen und Europäische Datenschutzbeauftragte über Aspekte des Behavioural Advertising diskutiert.

Die Vertreter von Privacy International und Electronic Frontier Foundation haben eingewendet, dass die Kontrollmittel der User keine komplette Löschung von Profilen ermöglichen und einige Datensammlungen, beispielsweise von Flash-Cookies, unsichtbar und außerhalb des Einflussbereichs des Users bleiben.

Im Laufe des Meetings meinte Sophia In’t Veld, Berichterstatterin für Wettbewerbsthemen im Wirtschaftsausschuss, neben Einwilligung und Transparenz sollte die "Wahlmöglichkeit" zu einem Schlüsselfaktor werden. „Oftmals sind Internetnutzer mehr oder minder dazu gezwungen, ihre Einwilligung zu geben, weil es keine Alternative gibt. User müssen eine echte Wahl haben, ansonsten ist es bloß eine Schein-Einwilligung“, so In’t Veld, die zudem die Notwendigkeit eines einheitlichen Datenschutzsystems sowohl für den privaten als auch den öffentlichen Sektor hervorstrich. „Wir müssen die Nutzung personenbezogener Daten für kommerzielle Zwecke regulieren, doch dieselben Datenschutzstandards sollten auch für die Nutzung der Daten durch Behörden zu Strafverfolgungszwecken angewendet werden. Wir realisieren oftmals nicht, wie Regierungsbehörden von Unternehmen für kommerzielle Zwecke gesammelte Daten nutzen. Dennoch finden für den privaten und den öffentlichen Sektor unterschiedliche Regeln Anwendung. Dies muss korrigiert werden“.

Article 29 Data Protection Working Party Opt-out is not sufficient (24.06.2010)

Opt-out is not sufficient - European Data Protection Authorities clarify EU rules on online behavioural Advertising (22.06.2010)

Cookie consent can't be implied from browser settings, say privacy watchdogs (25.06.2010)

Transparency, Choice and Consent key words for cookies (24.06.2010)