ePrivacy-Verordnung: Das Ende des Targetings

Die ePrivacy-Verordnung (ePV) wird oft mit der EU-Datenschutz-Grundverordnung (DSGVO) in einen Topf geworfen. Beide Verordnungen befassen sich mit Datenschutz, sie gelten EU-weit und erzeugen bei jedem Unternehmen Handlungsdruck, das mit personalisierten Daten umgeht. Doch damit enden die Gemeinsamkeiten fast schon wieder. Während die DSGVO am 25. Mai 2018 in Kraft tritt, befindet sich die ePV noch in der Abstimmungsphase zwischen EU-Kommission, EU-Ministerrat und Europaparlament.

Geplant war diese Verzögerung nicht. Ursprünglich hätten beide Verordnungen zeitgleich in Kraft treten sollen. Aktuell rechnet der Branchenverband BVDW damit, dass der EU-Ministerrat sich bis zum Sommer 2018 zu einer gemeinsamen Haltung durchringen wird. Den Rest des Jahres dürfte der sogenannte Trilog in Anspruch nehmen, die Abstimmungen mit den anderen Stakeholdern. Frühestens 2019 könnte die ePV dann beschlossen werden - und nach einer Übergangsfrist von zwei Jahren 2021 in Kraft treten.

Bis 2021 - das erscheint weit weg, zumal nicht wenige Branchenbeobachter davon ausgehen, dass es durchaus auch noch später werden könnte. Dennoch: Abwarten und Tee trinken empfiehlt sich nicht, denn wenn die ePV so in geltendes Recht umgesetzt wird, wie sie im Moment auf Ministerratsebene diskutiert wird, dann kommen auf das Online Marketing gravierende Einschnitte zu.

Vor allem personalisierte Werbung, wie sie heute im Netz die Regel ist, wird durch den aktuell gültigen Entwurf nahezu unmöglich gemacht. Michael Neuber, Justiziar und Leiter Recht beim BVDW, findet in einem Hintergrundpapier deutliche Worte: "Sollte der Entwurf wie beabsichtigt Realität werden, bedeutet es nichts anderes als das Ende des werbefinanzierten Internets."

Grund für den Pessimismus des Rechtsanwalts ist die harte Haltung der EU gegenüber Third-Party Cookies. Das sind Cookies, die nicht vom Website-Betreiber selbst gesetzt werden (First-Party Cookies), sondern von Dritten. Diese Cookies, so argumentiert der BVDW, sind unverzichtbar für essenzielle Dinge im kommerziellen Internet, zum Beispiel die Reichweitenmessung der Agof. Sie sind aber auch ein Grundpfeiler für personalisierte Werbung und ein wichtiger Baustein für die Erstellung von Nutzerprofilen.

Nach Vorstellungen der EU soll das Setzen von Cookies (sowohl First als auch Third) in Zukunft nur noch dann erlaubt sein, wenn der Nutzer zuvor explizit zugestimmt hat. Ausnahmen soll es lediglich dann geben, wenn der Cookie zur Ausführung eines Dienstes zwingend erforderlich ist, den der Nutzer zuvor angefordert hat, etwa für die Warenkorb-Funktion. Website-Betreiber werden auch weiterhin Statistiken über die Nutzung ihres Online-Angebots erstellen dürfen, ansonsten sind keine weiteren Ausnahmen vorgesehen.

Für Guillaume Marcerou bedeuten die DSGVO und die ePV eine Menge Arbeit. Der Franzose ist Global Privacy Director bei Criteo, einem Spezialisten für das Ausspielen von personenbezogener Werbung: "Das Privacy-Team ist Teil der Produktentwicklung", berichtet Marcerou."Jede neue Maßnahme, die wir in den vergangenen zwei Jahren umgesetzt haben, hatte die DSGVO und die Privacy-Verordnung im Hintergrund." Criteo ist ein typischer Vertreter einer Industrie, die davon abhängt, dass ihre Partner, die Website-Publisher, die ePV-Vorgaben umsetzen. Man habe keine Kontrolle darüber, wie die Partner die Daten erheben, deshalb müsse man sie für E-Privacy sensibilisieren. Eine grundsätzliche, radikale Abkehr von personalisierter Werbung sieht man bei Criteo nicht: "In den meisten Fällen akzeptieren die User digitale Werbung."

Christian Bennefeld sieht das etwas anders. Der Gründer und Gesellschafter der Webanalyse-Firma eTracker hat sich vor einigen Jahren aus dem operativen Geschäft zurückgezogen und ein neues Produkt auf den Markt gebracht: eBlocker. Während eTracker seinen Anwendern ein mächtiges Tool an die Hand gibt, um die Aktionen und Intentionen der Nutzer auf ihrer Website zu analysieren, tut eBlocker scheinbar das genaue Gegenteil: Die Hardware erkennt, wenn eine Website externe Tracking-Dienste aufruft und unterbindet dies - inklusive der auf diese Weise personalisiert ausgespielten Werbung: Retargeting ade.

Für Bennefeld ist das kein Widerspruch zu seinem früheren Job bei eTracker. "Targeting wird auch weiterhin möglich sein. Doch von der Art und Weise, wie heute manche Third-Party-Dienste ihre Daten sammeln - nämlich erst einmal alles abgreifen, was möglich ist, und dann den Nutzer mit personalisierter Werbung bewerfen - werden wir uns verabschieden müssen." Bennefeld verweist darauf, dass der ePV-Entwurf, der derzeit in der Diskussion ist, nicht nur eine Einwilligung des Nutzers zur Datenspeicherung vorsieht, sondern sogar eine differenzierte Einwilligung, für welche Dienste er seine Daten zur Verfügung stellen will und für welche nicht.

Wie das Ganze in der Praxis handhabbar gestaltet werden soll, steht noch nicht fest. Nach Willen der EU soll zukünftig der Webbrowser eine wichtige Funktion bei der Erfassung von Nutzerwünschen haben: In den Voreinstellungen könnten Nutzer vorgeben, welche Art von Datenerfassung und -weitergabe sie akzeptieren. Für BVDW-Justiziar Neuber keine gute Lösung, denn sie würde letztlich dazu führen, dass Nutzer Third-Party-Cookies entweder generell an- oder abschalten - und im letzteren Fall nur noch ein sehr schmales Angebot an kostenfreien Webangeboten vorfinden werden.

Personalisiert ausgespielte Werbung mit einem Tracking, das das Einverständnis des Nutzers voraussetzt, wird schwieriger werden. Für eBlocker-Chef Bennefeld könnte dies eine Renaissance der Umfeld-Werbung bedeuten. Man bespielt einen Nutzer nicht mehr überall dort, wo man ihn kriegt, sondern nur noch dort, wo man ihn aufgrund des thematischen Umfelds vermutet. Für Alexander Gösswein, Managing Director Central Europe bei Criteo, eine furchtbare Vorstellung: "Das würde uns ja in die Steinzeit der Online-Werbung zurückwerfen, mit riesigen Streuverlusten und all diesen Dingen."

Sollten die schlimmsten Befürchtungen der Branche Wirklichkeit werden und die EU hohe Hürden für jede Form der Erfassung personenbezogener Surf-Daten einführen, könnte das vor allem denen nützen, die sich die Erlaubnis dazu in ellenlangen, von kaum einen Verbraucher je ­gelesenen Einwilligungserklärungen haben geben lassen: Plattformen wie Google, Facebook, Apple und Amazon haben sich von ihren Nutzern weitreichende Befugnisse einräumen lassen, die ihnen ein ­extrem genaues Targeting erlauben - inklusive der passenden Werbebespielung. Solche Single-Sign-on-Plattformen werden jetzt auch in Europa geplant, die deutsche Lösung Verimi ist gerade gestartet. Ob sie den Wettbewerbsvorsprung von Facebook aufholen kann, ist fraglich.