E-Privacy bezeichnet den rechtlichen und technischen Schutz der Vertraulichkeit in der elektronischen Kommunikation. Der Begriff steht vor allem für die europäische Regulierung des digitalen Kommunikationsdatenschutzes. Im Mittelpunkt stehen die ePrivacy-Richtlinie von 2002 sowie der langjährig diskutierte Entwurf einer ePrivacy-Verordnung der EU, der 2025 scheiterte. Inhaltlich erfasst E-Privacy den Schutz von Kommunikationsinhalten, Verbindungsdaten, Endgeräten sowie den Einsatz von Cookies und vergleichbaren Trackingtechnologien.
Hintergrund und rechtlicher Rahmen
Der Datenschutz in der elektronischen Kommunikation hat eine eigene Rechtsgeschichte. Sie unterscheidet sich deutlich von der allgemeinen Datenschutzgesetzgebung. Bereits 1997 legte die EU mit der Telekommunikationsdatenschutzrichtlinie (97/66/EG) erste Grundsätze fest. Diese wurde 2002 durch die ePrivacy-Richtlinie (Richtlinie 2002/58/EG) abgelöst.[1] Sie traf Regelungen für die Verarbeitung personenbezogener Daten in öffentlichen elektronischen Kommunikationsdiensten.
Eine wesentliche Änderung brachte die Überarbeitung von 2009. Durch die sogenannte „Cookie-Richtlinie“ (Richtlinie 2009/136/EG) wurde das Setzen von Cookies auf dem Endgerät eines Nutzers an dessen informierte Einwilligung geknüpft. Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) im Jahr 2018 entstand ein Spannungsverhältnis. Die DSGVO regelt den allgemeinen Umgang mit personenbezogenen Daten. Die ePrivacy-Richtlinie hingegen erfasst spezifisch den Kommunikationsbereich. Beide Regelwerke koexistieren, wobei E-Privacy-Regeln als Spezialrecht (lex specialis) gegenüber der DSGVO wirken.
Die ePrivacy-Verordnung: Entstehung und Scheitern
Parallel zur DSGVO erarbeitete die EU-Kommission einen Entwurf für eine eigenständige ePrivacy-Verordnung. Sie sollte die bestehende Richtlinie ersetzen. Im Gegensatz zur Richtlinie wäre eine Verordnung ohne nationale Umsetzungsgesetze direkt in allen Mitgliedstaaten anwendbar gewesen. Der erste Kommissionsentwurf wurde im Januar 2017 vorgelegt.
Der Entwurf plante eine erhebliche Ausweitung des Anwendungsbereichs. Neben klassischen Telekommunikationsanbietern sollten auch sogenannte Over-the-Top-Dienste (OTT) einbezogen werden. Darunter fallen Messenger wie WhatsApp, Videokonferenzdienste und webbasierte E-Mail-Anbieter. Geregelt werden sollten die Vertraulichkeit elektronischer Nachrichten, die Verarbeitung von Kommunikationsmetadaten sowie der Schutz vor unerwünschten Direktnachrichten. Hinzu kamen Anforderungen an browserbasierte Endgeräteeinstellungen.[2]
E-Privacy im Gesetzgebungsverfahren: Streitpunkte und Blockaden
Das Gesetzgebungsverfahren erwies sich als außergewöhnlich langwierig. Im Rat der Europäischen Union scheiterten mehrere Einigungsversuche. Strittig waren vor allem drei Themenkomplexe: erstens der Behördenzugang zu Kommunikationsdaten, zweitens die Reichweite des Einwilligungserfordernisses für Tracking, und drittens die rechtliche Einordnung von Messenger-Diensten.
Die werbetreibende Industrie kritisierte die geplanten Einwilligungspflichten als Bedrohung für werbebasierte Geschäftsmodelle. Datenschützer hingegen bemängelten zu viele Ausnahmen in den Entwürfen. Im März 2025 erklärte die EU-Kommission die Verhandlungen für gescheitert und beerdigte den Verordnungsentwurf formell.[3]
Sachlicher Anwendungsbereich und Schutzgegenstände
E-Privacy schützt die Kommunikation natürlicher und juristischer Personen auf mehreren Ebenen. Im Mittelpunkt stehen vier Schutzbereiche:
- Inhaltsdaten: Der Inhalt elektronischer Nachrichten ist vertraulich. Er darf grundsätzlich nicht abgehört, gespeichert oder anderweitig verarbeitet werden.
- Metadaten: Verbindungs- und Standortdaten unterliegen besonderen Schutzanforderungen. Sie erlauben Rückschlüsse auf Verhalten und soziale Beziehungen.
- Endgeräte: Das Speichern von Informationen auf dem Endgerät – etwa durch HTTP-Cookies, Fingerprinting oder Local Storage – bedarf einer ausdrücklichen Einwilligung. Ausgenommen sind technisch notwendige Vorgänge.
- Direktmarketing: Unverlangte kommerzielle Kommunikation per E-Mail, SMS oder Telefon ist ohne vorherige Einwilligung untersagt.
Technisch nicht notwendige Tracking-Methoden erfordern nach geltendem EU-Recht eine informierte, freiwillige und spezifische Einwilligung. In der Praxis wird diese über Consent Management Provider (CMP) eingeholt – jene Software-Systeme, die Cookie-Banner und Einwilligungsdialoge steuern.
Abgrenzung zur DSGVO
E-Privacy und die Datenschutz-Grundverordnung verfolgen verwandte, aber unterschiedliche Schutzziele. Die DSGVO schützt personenbezogene Daten im Allgemeinen. Sie verlangt für jede Datenverarbeitung eine Rechtsgrundlage. Die Regeln zum Kommunikationsdatenschutz schützen die Vertraulichkeit der Kommunikation als solche. Sie greifen unabhängig davon, ob Daten personenbezogen sind. So fallen auch Kommunikationsdaten juristischer Personen unter die ePrivacy-Richtlinie.
Im Bereich des Cookie-Trackings wirken beide Regelwerke zusammen. Das Einwilligungserfordernis folgt aus dem E-Privacy-Recht. Die Anforderungen an die Qualität dieser Einwilligung (Freiwilligkeit, Informiertheit, Widerrufbarkeit) ergeben sich aus der DSGVO. Third Party Data, die durch Tracking gewonnen wird, unterliegt damit einer doppelten rechtlichen Überprüfung.
Bedeutung für digitales Marketing und Werbetechnologie
E-Privacy hat erhebliche Auswirkungen auf die digitale Werbe- und Medienbranche. Das Einwilligungserfordernis für Tracking-Cookies begrenzt die Reichweite verhaltensbasierter Werbung. Es treibt zugleich die Abkehr vom Third-Party-Cookie-Ökosystem voran. Anbieter im Bereich Programmatic Advertising sind besonders betroffen. Sie sind traditionell auf umfangreiche Nutzerprofildaten angewiesen.
Als Reaktion gewinnen datenschutzfreundliche Alternativen an Bedeutung. First Party Data – also direkt vom Nutzer mit dessen Einwilligung erhobene Daten – sowie kontextuelles Targeting ohne personenbezogenes Tracking gelten als konforme Lösungen. Auch Privacy-Enhancing Technologies (PET) und browserseitige Filterung durch Ad Blocker stehen in unmittelbarem Zusammenhang mit den Schutzzielen des Kommunikationsdatenschutzes.
Das Scheitern der ePrivacy-Verordnung bedeutet: Der Rechtsrahmen bleibt vorerst fragmentiert. Die ePrivacy-Richtlinie gilt weiterhin, wurde aber von den Mitgliedstaaten unterschiedlich umgesetzt. In Deutschland geschah dies durch das Telekommunikations-Telemedien-Datenschutzgesetz (TTDSG), das seit 2021 in Kraft ist. Es regelt Cookie-Einwilligungen und den Schutz von Endgeräten auf nationaler Ebene.
Literaturempfehlungen
- Spindler, Gerald / Schmitz, Peter (Hrsg.): TMG/TTDSG. Kommentar. C.H.Beck, München 2023.
- Forgó, Nikolaus / Helfrich, Marcus / Schneider, Jochen (Hrsg.): Betrieblicher Datenschutz. Rechtsgrundlagen, Anforderungen, Umsetzung. C.H.Beck, München 2022.