Die Einwilligungsverwaltungs-Verordnung – Ablösung der Cookie-Banner?

Wenn man heutzutage im Internet surft, muss man sich erst einmal durch verschiedenste Datenschutzeinstellungen – mal weniger, mal mehr benutzerfreundlich – klicken, um den Inhalt einer Website einsehen zu können. Was ursprünglich in der Theorie als Einholung einer Einwilligung – meistens in Form von Cookie-Bannern – des Nutzenden zur Ausübung der informationellen Selbstbestimmung vorgesehen war, entpuppte sich in der Praxis meist als überfordernd für den Endnutzenden.

Nun wurde ein Referentenentwurf¹ für eine Verordnung (Einwilligungsverwaltungs-Verordnung-Entwurf, kurz EinwVO-E), vom Bundesministerium für Digitales und Verkehr (BMDV) vorgestellt, welche einen Regelungsrahmen vorsieht, wo anstelle von Einwilligungen per Banner gem. § 25 Abs. 1 TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), ein nutzerfreundliches und wettbewerbskonformes Verfahren zur Einwilligungsverwaltung, zur Anerkennung von Diensten sowie zu technischen und organisatorischen Maßnahmen nach § 26 Abs. 2 TTDSG treten soll.

Teil 1 EinwVO-E: Allgemeine Vorschriften

Der erste Teil der Verordnung regelt die allgemeinen Bestimmungen, unterteilt in den Anwendungsbereich der Verordnung (§ 1 EinwVO-E) und der Begriffsbestimmung (§ 2 EinwVO-E).

Anwendungsbereich der Verordnung

Der Anwendungsbereich umfasst die Anforderungen an das nutzerfreundliche und wettbewerbskonforme Verfahren und an die technischen Anwendungen zur Einholung und Verwaltung der gem. § 25 Abs. 1 TTDSG erforderlichen Einwilligung des Endnutzenden zur Einwilligungsverwaltung durch Dienste.

Somit betrifft die Verordnung alle Unternehmen und Personen, die im Geltungsbereich der Verordnung einen Dienst zur Einwilligungsverwaltung erbringen, sowie für Telemedienanbietenden und für Software zum Darstellen und Abrufen von Informationen aus dem Internet. Alle Dienstanbietenden, welche innerhalb der Europäischen Union einen Sitz haben, können sich als Dienst zur Einwilligungsverwaltung anerkennen lassen.

Begriffsbestimmung

Nach der Verordnung ist ein anerkannter Dienst zur Einwilligungsverwaltung kurz gesagt ein Dienst oder eine technische Anwendung, die es den Endnutzenden möglich macht, Einwilligungen zu erteilen und die erteilten Einwilligungen dann zentral zu verwalten. Darüber hinaus werden die vorhandenen Begriffsbestimmungen des TTDSG übernommen.

Teil 2 EinwVO-E: Anforderungen an nutzerfreundliche und wettbewerbskonforme Verfahren und technische Anwendungen zur Einholung und Verwaltung der Einwilligung durch anerkannte Dienste

Dieser Teil ist gegliedert in die Anforderungen an die Nutzerfreundlichkeit (§ 3 EinwVO-E), die Anforderungen an die Wettbewerbskonformität (§ 4 EinwVO-E) sowie die Anforderungen an technische Anwendungen (§ 5 EinwVO-E).

Anforderungen an die Nutzerfreundlichkeit

Der Dienst zur Einwilligungsverwaltung muss in der Lage sein, dem Endnutzenden die Möglichkeit zu bieten, eine Einwilligung in den Zugriff auf das Endgerät des Nutzenden zu geben oder zu widerrufen – entsprechend den Anforderungen der DSGVO – und die technischen und organisatorischen Maßnahmen in Zusammenarbeit mit Telemedienanbietenden, welche die Einwilligung benötigen, sicherstellen.

Die Mindestanforderungen an ein nutzerfreundliches Verfahren sind:

• eine transparente und übersichtlich gestaltete Benutzeroberfläche – dies kann zum Beispiel durch das Verwenden von Bildsymbolen oder Icons erreicht werden, zudem ist der Text in einfacher und klarer Sprache zu halten,
• das Sicherstellen einer bewussten Benutzerentscheidung – es dürfen keine verhaltensbeeinflussenden Gestaltungselemente verwendet werden, die die Entscheidung des Endnutzenden beeinflussen bzw. steuern können (darunter fallen „Dark Patterns“ oder sonstige Maßnahmen, die geeignet sind, Verhaltensweisen wie zum Beispiel Ungeduld des Endnutzenden auszunutzen),
• die Möglichkeit für den Endnutzenden ihre*seine hinterlegten Einwilligungen zu verwalten,
• die freie Widerrufsmöglichkeit der erteilten Einwilligung,
• die Sicherstellung, dass Einwilligungsentscheidungen noch von dem aktuellen Willen des Endnutzenden getragen werden und daher einmal erteilte Einwilligungen regelmäßig erneuert werden, – d. h., dass der Nutzende in regelmäßigen Zeitabständen an bestehende Einwilligungen erinnert wird und aufgefordert wird, die Einwilligungseinstellungen zu ändern, wenn dieses gewünscht ist sowie
• die Hinweisfunktion an den Endnutzenden, wenn und sobald der Dienst im Hintergrund Entscheidungen zur Einwilligung an Telemedienanbietenden übermittelt.

Endnutzenden soll die Möglichkeit geboten werden, Einwilligungen nach bestimmten Arten (z. B. Werbecookies von Anbietern aus der EU) und Gruppen von Telemedienanbietenden (z. B. Digitalangebote von Zeitungen) zu erteilen oder im Gegensatz dazu Einwilligungen nicht zu erteilen. Dadurch soll die Anzahl an Einzelklicks („Klickmüdigkeit“) für den Endnutzenden reduziert werden und durch Bewusstwerden ihrer*seiner Präferenzen in einem – gemessen am Medium Internet – zeitlich angemessenen Rahmen für bzw. gegen die Erteilung der Einwilligung entscheiden, um somit die Praktikabilität für den Endnutzenden zu erhöhen.

Anforderungen an die Wettbewerbskonformität

Es soll sichergestellt werden, dass der Dienst zur Einwilligungsverwaltung über Verfahren verfügt, damit das Wettbewerbsrecht der Union und die nationalen Wettbewerbsvorschriften eingehalten werden. Wettbewerber, Telemedien und sonstige Marktteilnehmer dürfen nicht diskriminiert werden. Der Dienst zur Einwilligungsverwaltung muss jedem Telemedienanbietenden unter den gleichen Bedingungen die Einwilligungseinstellungen des Endnutzenden abfragen und diese in das Einwilligungsverfahren aufnehmen. Die Endnutzenden dürfen nicht an der Übertragung der eigenen Daten an andere Dienste zur Einwilligungsverwaltung gehindert werden.

Anforderungen an technische Anwendungen

Es werden von der Verordnung keinerlei Vorgaben bezüglich, ob der Dienst als Anwendung auf dem Endgerät der Endnutzenden oder im Sinne eines Treuhänders bei einem Dritten bereitgestellt wird, gemacht. Es muss vom Dienst technisch jedoch sichergestellt werden, dass Telemedienanbietenden erkennen können, dass Endnutzende einen Dienst zur Einwilligungsverwaltung nutzen.

Teil 3 EinwVO-E: Anforderungen an das Verfahren der Anerkennung von Diensten zur Einwilligungsverwaltung

Der dritte Teil der Verordnung regelt kurz zusammengefasst die Anforderungen an das Verfahren der Anerkennung von Diensten zur Einwilligungsverwaltung, welches der Umsetzung des § 26 Abs. 2 Nr. 2 TTDSG dient.

Teil 4 EinwVO-E: Technische und organisatorische Maßnahmen durch Software- und Telemedienanbieter

Der Teil 4 der Verordnung setzt sich aus den §§ 9-11 EinwVO-E zusammen, die die wesentlichen Anforderungen an technische und organisatorische Maßnahmen durch Software zum Abrufen und Darstellen von Informationen aus dem Internet und an Telemedienanbietenden regeln. Dabei werden die Vorschriften des § 26 Abs. 2 Nr. 3 TTDSG umgesetzt.

Wie wird es weitergehen?

Inwieweit sich das BMDV mit dem konkreten Entwurf letztendlich durchsetzen kann oder Änderungen vorgenommen werden, bleibt abzuwarten. Teil 5 der EinwVO-E regelt das in Kraft treten der Verordnung, was derzeit jedoch noch unklar ist. Eine schnelle Umsetzung der EinwVO-E wäre jedoch zu befürworten, um eine praxistaugliche Lösung für den Cookie-Banner-Dschungel etablieren zu können.

Noëlle Chrzan
Werkstudentin
Beraterin für Datenschutz

¹ https://www.itm.nrw/wp-content/uploads/220708_BMDV_RefE_EinwVO.pdf