Kurzfassung
Die ePrivacy-Verordnung ist ein europäischer Rechtsakt, über den seit 2017 verhandelt wird und der die ePrivacy-Richtlinie von 2002 ersetzen soll (die Richtlinie, auf die die Cookie-Banner zurückgehen). Nach ihrer Verabschiedung wird sie die Regeln zur Cookie-Einwilligung in der gesamten EU vereinheitlichen, abweichende nationale Umsetzungen beseitigen und den Rechtsrahmen an die DSGVO angleichen. Für Website-Betreiber bedeutet das klarere, aber möglicherweise auch strengere Regeln für das Setzen von Cookies und das Online-Tracking.
Was ist die ePrivacy-Verordnung?
Die ePrivacy-Verordnung ist der Entwurf einer EU-Verordnung, die die Richtlinie 2002/58/EG (ePrivacy-Richtlinie) in ihrer 2009 geänderten Fassung ersetzen soll. Diese Richtlinie ist der Ursprung der Einwilligungspflicht für Cookies. Die Verordnung soll diesen Rahmen modernisieren und an die Realität des heutigen Webs anpassen.
Anders als eine Richtlinie, die von jedem Mitgliedstaat umgesetzt werden muss (was zu Unterschieden zwischen den Ländern führt), gilt eine Verordnung unmittelbar und einheitlich in der gesamten EU. Das ist dieselbe Logik wie bei der DSGVO: ein einziger Rechtstext, eine einheitliche Anwendung.
Es ist nicht der einzige europäische Rechtsakt mit Folgen für Cookies: Die Einwilligungsregeln des Digital Markets Act gelten seit März 2024 für Gatekeeper-Plattformen.
Der Text wird seit 2017 im Rat der EU verhandelt. Mehrere Fassungen sind im Umlauf gewesen, doch Mitgliedstaaten und Europäisches Parlament haben sich noch nicht auf eine endgültige Version geeinigt. Trotz dieser Verzögerung sind die Grundzüge des Textes bekannt und ermöglichen es, sich auf die kommenden Änderungen einzustellen.
Warum ist die aktuelle ePrivacy-Richtlinie problematisch?
Die ePrivacy-Richtlinie von 2002 entstand, bevor das Online-Tracking explosionsartig zunahm. Sie schreibt eine Einwilligung für das Setzen von Cookies vor, überlässt es aber jedem Land, die Regeln auf eigene Weise umzusetzen. Die Folge: Die Regeln unterscheiden sich von Land zu Land, was Betreibern internationaler Websites das Leben schwer macht.
Abweichende nationale Umsetzungen
In Frankreich hat die CNIL strenge Leitlinien erlassen (ausdrückliche Einwilligung, Ablehnung so einfach wie Zustimmung). In Deutschland wenden die Landesdatenschutzbehörden ähnliche Regeln an, allerdings mit Nuancen. In Spanien verfolgt die AEPD in einigen Punkten einen anderen Ansatz. Für eine Website, die in ganz Europa tätig ist, ist dieser Flickenteppich an Regeln eine echte Herausforderung.
Die CNIL setzt diese Regeln mit Bußgeldern durch, wie diese realen Fälle von CNIL-Bußgeldern wegen Cookies zeigen.
Ein Text, der nicht zu neuen Technologien passt
Die Richtlinie von 2002 spricht von „Cookies“, deckt aber Fingerprinting, Tracking über mobile Werbe-IDs oder cookielose Tracking-Technologien wie Tracking-Methoden ohne Cookiesnicht ausdrücklich ab. Die ePrivacy-Verordnung soll diese Lücken schließen, indem sie die Definition der erfassten Tracker erweitert.
Was ändert die ePrivacy-Verordnung bei Cookies?
Auch wenn der Text noch nicht fertig ist, besteht in den aufeinanderfolgenden Entwurfsfassungen Einigkeit über mehrere wesentliche Änderungen. Hier die wichtigsten erwarteten Auswirkungen für Website-Betreiber.
Eine erweiterte Definition von Trackern
Die ePrivacy-Verordnung wird sich nicht mehr auf Cookies beschränken. Sie wird jede Technik erfassen, mit der Informationen auf dem Endgerät des Nutzers gespeichert oder abgerufen werden. Dazu gehören Fingerprinting (digitaler Fingerabdruck des Browsers), unsichtbare Pixel, lokaler Speicher (localStorage, IndexedDB), Werbe-IDs und möglicherweise bestimmte Methoden des serverseitigen Trackings.
Einwilligung über die Browsereinstellungen
Einer der meistdiskutierten Vorschläge der ePrivacy-Verordnung ist die Möglichkeit für Nutzer, ihre Einwilligung direkt in den Browsereinstellungen zu verwalten, statt über einen Cookie-Banner auf jeder einzelnen Website. Wird diese Bestimmung angenommen, könnte sie die Zahl der angezeigten Banner verringern.
Dieser Ansatz reagiert auf ein echtes Problem, das wir in unserem Artikel zur Consent Fatigue und ignorierten Cookie-Bannern analysieren.
In der Praxis würden Browser eine standardisierte Oberfläche anbieten, über die sich Standardeinstellungen zur Einwilligung festlegen lassen (akzeptieren, ablehnen, nach Kategorie verwalten). Websites müssten diese Einstellungen respektieren, ohne einen zusätzlichen Banner anzuzeigen, es sei denn, bestimmte Zwecke erfordern eine gesonderte Einwilligung.
Welche Kategorien Cookie-Banner heute verwenden, erklärt unser Leitfaden zu den 4 DSGVO-Cookie-Kategorien.
Einheitliche Regeln in der gesamten EU
Schluss mit abweichenden nationalen Umsetzungen. Die Verordnung wird wie die DSGVO unmittelbar in allen 27 Mitgliedstaaten gelten. Betreiber internationaler Websites müssen sich nicht mehr mit unterschiedlichen Regeln in Frankreich, Deutschland, Spanien oder den Niederlanden befassen.
Die Verarbeitung von Kommunikationsmetadaten
Die ePrivacy-Verordnung erweitert ihren Anwendungsbereich außerdem auf Metadaten elektronischer Kommunikation (Standort, Zeitstempel, Empfänger). Dieser Teil betrifft vor allem Telekommunikationsanbieter und Messaging-Dienste, kann aber auch Analytics-Tools betreffen, die Standort- oder Sitzungsdaten auswerten.
Wie sieht der Zeitplan für die ePrivacy-Verordnung aus?
Der Entwurf der ePrivacy-Verordnung wurde im Januar 2017 von der Europäischen Kommission vorgelegt. Das Europäische Parlament hat seinen Standpunkt im Oktober 2017 festgelegt. Seitdem stecken die Verhandlungen im Rat fest, weil die Mitgliedstaaten uneins sind, insbesondere über die Einwilligungsverwaltung durch Browser und die Ausnahmen für Analyse-Cookies.
2021 schlug die portugiesische Ratspräsidentschaft einen Kompromiss vor, der jedoch scheiterte. Bis heute (2026) ist der Text nicht verabschiedet. Mehrere Fachleute gehen davon aus, dass die Verabschiedung zwischen 2027 und 2028 erfolgen könnte, mit einer Übergangsfrist von 24 Monaten bis zur tatsächlichen Anwendung.
Bis dahin bleibt die ePrivacy-Richtlinie von 2002 (geändert 2009) der geltende Rechtstext, ergänzt durch nationale Leitlinien (CNIL, BfDI, AEPD usw.) und den DSGVO-Rahmen für Cookies.
Häufige Irrtümer zur ePrivacy-Verordnung
Mit der Umsetzung bis zur Verordnung warten. Die DSGVO und die nationalen Leitlinien (CNIL usw.) gelten bereits. Die ePrivacy-Verordnung wird keine Einwilligungspflicht „schaffen“, sondern bestehende Regeln präzisieren und vereinheitlichen. Warten Sie nicht damit, Ihre CMPkorrekt zu konfigurieren.
Glauben, dass Cookie-Banner verschwinden werden. Auch wenn die Verordnung die Einwilligungsverwaltung über den Browser vorsieht, ist diese Bestimmung noch umstritten, und ihre technische Umsetzung wird Zeit brauchen. Cookie-Banner werden mindestens noch mehrere Jahre notwendig sein.
ePrivacy und DSGVO verwechseln. Die DSGVO regelt die Verarbeitung personenbezogener Daten. Die ePrivacy-Richtlinie (und die künftige Verordnung) regelt speziell den Zugriff auf das Endgerät des Nutzers (Cookies, Fingerprinting usw.). Beide Texte ergänzen sich: Die DSGVO liefert die allgemeinen Grundsätze, ePrivacy die spezifischen Regeln für Tracker.
Welche Voraussetzungen eine wirksame Einwilligung nach der DSGVO erfüllen muss, erläutert unser Artikel zu den Voraussetzungen einer gültigen DSGVO-Einwilligung.
Annehmen, dass Fingerprinting nicht reguliert ist. Die ePrivacy-Verordnung soll Fingerprinting und cookielose Tracking-Techniken ausdrücklich erfassen. Websites, die Cookies zugunsten von Fingerprinting aufgegeben haben, müssen eine gleichwertige Einwilligung einholen.
Die Ausnahmen für Analyse-Cookies ignorieren. Einige Entwurfsfassungen sehen eine Ausnahme von der Einwilligungspflicht für First-Party-Analyse-Cookies vor, die nicht mit Dritten geteilt werden. In mehreren Ländern ist das in der Praxis bereits der Fall (in Frankreich mit der CNIL für Matomo in ausgenommener Konfiguration). Die Verordnung könnte diese Ausnahme europaweit festschreiben.
Checkliste zur Vorbereitung auf die ePrivacy-Verordnung
- Vollständige Bestandsaufnahme aller Tracker auf Ihrer Website erstellen (Cookies, localStorage, Fingerprinting, Pixel)
- Prüfen, ob Ihre CMP auch Tracker jenseits von HTTP-Cookies abdeckt
- Die Zwecke jedes Trackers und die Drittempfänger der Daten dokumentieren
- Ihre CMP so konfigurieren, dass Skripte vor der Einwilligung blockiert werden, einschließlich Fingerprinting
- Die Entwicklung des ePrivacy-Textes über Veröffentlichungen der Europäischen Kommission und Stellungnahmen Ihrer nationalen Behörde verfolgen
- Ihre Cookie-Richtlinie auf die neuen Definitionen (Tracker, Metadaten) vorbereiten
- Das Verhalten Ihrer Website testen, wenn der Browser eine generelle Ablehnung des Trackings signalisiert
- Ihre aktuelle Compliance dokumentieren, um den Übergang zur künftigen Verordnung zu erleichtern
Fazit
Die ePrivacy-Verordnung ist noch nicht verabschiedet, ihre Grundzüge sind jedoch klar: eine erweiterte Definition von Trackern, einheitliche Regeln in Europa und möglicherweise eine in den Browser integrierte Einwilligung. Website-Betreiber, die bereits die DSGVO und die Leitlinien der CNIL einhalten, sind gut aufgestellt, um sich an die künftige Verordnung anzupassen.
Der Ausgangspunkt: Führen Sie eine vollständige Prüfung Ihrer Tracker durch (nicht nur der HTTP-Cookies), um die Technologien zu ermitteln, die von der künftigen Verordnung erfasst werden. Scannen Sie Ihre Website kostenlos mit FlowConsent , um eine vollständige Bestandsaufnahme zu erhalten.