Die folgenden Punkte sind aus Sicht der österreichischen Zeitungen und Magazine zu begrüßen:
Consent: Service-bezogener Consent soll Browser Settings overrulen
Browser-Settings dürfen den Cookie-Einsatz durch Publisher nicht verunmöglichen: Die direkt („auf Service-Ebene“) vom Endnutzer ausgedrückte Einwilligung muss immer Vorrang vor Softwareeinstellungen haben. Eine von einem Endnutzer einem spezifischen Dienst erteilte Einwilligung zur Speicherung von Cookies oder zum Zugriff auf bereits im Endgerät gespeicherten Cookies muss vom Browser unmittelbar und ohne weitere Verzögerung umgesetzt werden.
Freiwilligkeit der Einwilligung bei alternativem Zugang
Ein Consent gilt nach überwiegender Auffassung zur geltenden Rechtslage in der Regel nicht als freiwillig, wenn der Zugang zu einem Dienst nicht von dessen Erteilung abhängig gemacht wird. Der Nutzer muss daher die Möglichkeit haben, dasselbe oder ein gleichwertiges Angebot ohne Koppelung an die Erteilung einer Einwilligung beziehen zu können. Gemäß dem reformulierten Erwägungsgrund soll es nun im Anwendungsbereich der ePrivacy-Verordnung aber nicht mehr darauf ankommen, dass ein alternativer Zugang zu einem gleichwertigen Angebot (ohne Consent-Erteilung) „durch denselben Anbieter“ bereitgestellt wird.
Zulässigkeit von Cookie-Walls für werbefinanzierte Online-Dienste
Wiedereingeführt wurde ein Erwägungsgrund, der anerkennt, dass in einigen Fällen der Einsatz von Cookies wirtschaftlich erforderlich ist. Exemplarisch genannt werden Online-Zeitungen oder andere Presseveröffentlichungen, die ganz oder überwiegend durch Werbung finanziert werden. Die Bindung des Zugangs zu einem solchen Angebot an die Erteilung der Einwilligung in den Einsatz von Cookies und vergleichbaren Technologien, die mit einer Nutzung der Verarbeitungs- und Speicherkapazitäten von Endgeräten einhergehen, stellt gemäß dem Erwägungsgrund keinen Verstoß gegen das „Koppelungsverbot“ dar.
Einsatz von Cookies ohne Consent-Einholung
Der Europäische Datenschutzausschuss (EDSA) vertritt zur geltenden Rechtslage die Auffassung, dass nur „technische“ unbedingt, aus Nutzersicht erforderliche Cookies ohne dessen Consent eingesetzt werden dürfen, also etwa auch Adserver-Cookies oder Webanalyse stets eines Consents bedürfen. Die bisherigen Entwürfe zur ePrivacy-Verordnung sahen eine Kodifizierung des Standpunktes des EDSA vor, nämlich dass nur eine technische unbedingte Erforderlichkeit den Consent ersetzen kann. Der aktuelle Entwurf der portugiesischen Präsidentschaft enthält dieses explizite Erfordernis einer technischen Notwendigkeit nicht mehr.
Kooperation unter Publishern: Präzisierung der „Anonymisierungspflicht“ noch erforderlich
Jeder Aufruf eines in einen redaktionellen Artikel eingebetteten Videos eines Drittanbieters führt zum Setzen oder Lesen von Cookies dieses Drittanbieters. Der portugiesische Entwurf sieht vor, dass jegliche Weitergabe von Endgeräteinformation an Dritte „Anonymisierung“ dieser Information und überdies (trotz Anonymisierung!) ein Privacy Impact Assessment samt Konsultation der Aufsichtsbehörde (Datenschutzbehörde) voraussetzt. Diese Regelung ist insgesamt noch missverständlich und überschießend. „In diesem Punkt braucht der insgesamt positive Vorschlag noch eine Präzisierung, da die Pseudonymsierung laut Datenschutzgrundverordnung ausreichen sollte, und keine praxisfremden Regelungen, die die europäische Digitalwirtschaft in die digitale Steinzeit zurück katapultieren geschaffen werden sollten“, kommentiert VÖZ-Geschäftsführer Gerald Grünberger den aktuellen Kompromissvorschlag.
