Zusammenfassung

  • Nach dem Verhandlungsmandat des EU-Rats muss ein Cookie-Einwilligungsersuchen mit einem Klick oder gleichwertig ablehnbar sein. Für denselben Zweck darf der Anbieter nach dem Nein mindestens vier Monate lang nicht wieder fragen.
  • Anonyme Nutzungszählung, Medienreichweitenmessung und die Leistungsmessung kontextbezogener Werbung erhalten getrennte Ausnahmen mit jeweils eigenen Grenzen für Datenverwendung und Verfolgung.

Der Besucher tippt auf „Ablehnen“. Beim nächsten Besuch steht dasselbe Fenster wieder da, freundlich wie ein Vertreter, der sich nur „kurz“ melden wollte. Der Verhandlungstext des Rates setzt diesem Kreislauf eine Frist: Ablehnen muss einfach und verständlich mit einem Klick möglich sein. Danach hat der Anbieter für denselben Zweck mindestens vier Monate Sendepause. Nach einem Ja darf er die gleiche Einwilligung ebenfalls nicht neu erbitten, solange sie rechtmäßig trägt. Das Nein wird zu einer Entscheidung mit Datum, statt zu einem weggeklickten Hindernis.

Das Speichern und Auslesen auf Geräten bleibt im Rahmen der ePrivacy-Richtlinie. Der Rat beschreibt Einwilligung als Grundregel und nennt eng gefasste notwendige Zwecke ohne erneute Frage: eine Kommunikation übertragen, eine ausdrücklich verlangte Funktion bereitstellen oder die technische Sicherheit erhalten. In seiner Mitteilung verspricht er weniger Banner. Die eigentliche Architektur steht in den Ausnahmen.

Ein Dienst darf seine eigene Nutzung zu anonymen Summen verdichten. Das kann er selbst tun oder in seinem Auftrag erledigen lassen. Die dafür erhobenen Daten dürfen nicht für andere Zwecke verarbeitet oder mit Fremddaten kombiniert werden. Die fertige anonyme Summe darf dagegen weitergegeben werden. Die Unterscheidung ist klein genug, um in einer Datenschutzerklärung verloren zu gehen, und wichtig genug, um einen ganzen Messbetrieb zu verändern: Wie viele Menschen heute vorbeikamen, ist eine andere Frage als die nach ihrem Weg über mehrere Websites.

Für Medien gibt es einen eigenen Tatbestand nach Artikel 24 des Europäischen Medienfreiheitsgesetzes. Personenbezogene Daten werden nach der Erhebung pseudonymisiert; die Messung verfolgt niemanden außerhalb des betrachteten Dienstes oder Inhalts und darf die Daten nicht zweckentfremden. Auch die Weitergabe an externe Dritte ist beschränkt. Medienreichweite und allgemeine Seitenstatistik stehen auf verschiedenen Zetteln.

Eine dritte Ausnahme betrifft Anzeigen, die allein vom gerade sichtbaren Seiteninhalt oder einer einzelnen Suchanfrage abhängen. Gemessen werden dürfen Anzeige und Wirkung, ohne Profile, frühere oder künftige Aktivität und ohne Wege zwischen Websites. Auch diese Messdaten bleiben an ihren Zweck gebunden. Ein Werbenetz kann also nicht einfach das Schild „kontextbezogen“ an den alten Verfolgungsapparat hängen und damit die Tür öffnen.

Der Rat bringt diesen Text in die Verhandlungen mit dem Europäischen Parlament ein. Für die Aufsicht über die Gerätevorschrift sieht er nationale Datenschutzbehörden vor. Der Besucher sieht nur die Schaltfläche; die Behörde müsste auch prüfen können, ob die Zweckangabe zu den Datenströmen dahinter passt.