Was ist die ePrivacy-Richtlinie?

ePrivacy ist das EU-Regelwerk für elektronische Kommunikation und den Zugriff auf das Gerät eines Nutzers, die Quelle des Cookie-Banners und eine der am häufigsten verwechselten Paarungen im europäischen Datenrecht, denn sie ist ein eigenständiges Rechtsinstrument neben der DSGVO, das ständig mit ihr zusammenwirkt. Die aktuelle ePrivacy-Richtlinie, seit 2002 in Kraft und 2009 novelliert, verlangt Einwilligung, bevor irgendetwas auf dem Gerät eines Nutzers gespeichert oder gelesen wird, das für einen vom Nutzer angeforderten Dienst nicht unbedingt erforderlich ist. Diese eine Anforderung ist die gesamte Rechtsgrundlage des Consent-Banners, den heute jede europäische Website trägt.

Die Regel, die die DSGVO nicht abdeckt

Die DSGVO regelt, was mit personenbezogenen Daten nach der Erhebung geschieht. ePrivacy regelt etwas Engeres und Früheres: den Zugriff auf das Gerät eines Nutzers überhaupt, unabhängig davon, ob das später Zugegriffene als personenbezogenes Datum zählt. Deshalb braucht selbst ein rein anonymes Analytics-Cookie ohne jeden personenbezogenen Identifikator eine ePrivacy-Einwilligung: Die Regel schützt das Gerät, nicht die daraus abgeleiteten Daten. Die praktisch wichtigste Ausnahme ist „unbedingt erforderlich": Ein Session-Cookie, das den Warenkorb funktionsfähig hält, ist ausgenommen, weil der Dienst ohne es nicht funktioniert; ein Analytics- oder Werbe-Cookie ist es nicht, weil der Dienst auch ohne Messung oder Monetarisierung des Besuchs einwandfrei funktioniert. Unser Eintrag zu Web-Cookies zeichnet diese Unterscheidung genauer nach.

Warum die Fragmentierung anhält

Eine lange geplante ePrivacy-Verordnung sollte die aktuelle Richtlinie ersetzen und die Durchsetzung EU-weit harmonisieren, so wie es die DSGVO für den Datenschutz tat, doch wiederholte legislative Verzögerungen haben sie ins Stocken gebracht, sodass ePrivacy weiterhin als nationales Recht umgesetzt ist, mit lokalen Abweichungen in das jeweilige Gesetzeswerk jedes Mitgliedstaats übertragen. Die praktische Folge ist echte Fragmentierung: Consent-Mechanik, Durchsetzungsintensität und selbst die Frage, welche Cookie-Kategorien explizite statt stillschweigende Einwilligung brauchen, unterscheiden sich zwischen Frankreich, Deutschland und dem Rest der EU spürbar, weshalb ein einziges EU-weit „konformes" Cookie-Banner eher Wunschvorstellung als Realität ist.

Was das für Verifizierungs-Tools bedeutet

Ein Sicherheits- oder Verifizierungs-Widget, das keine Cookies oder persistenten Identifikatoren setzt, umgeht die ePrivacy-Einwilligungspflicht vollständig, statt sie nur unter einer Ausnahme zu rechtfertigen: Es gibt schlicht nichts auf dem Gerät, wofür Einwilligung nötig wäre. Genau diesem Design folgt CaptchaFox: Sessions über transiente Signalverarbeitung statt über einen gespeicherten Identifikator zu verifizieren, hält das Widget komplett aus dem Consent-Banner heraus und aus dem Audit, der jedes von den Drittkomponenten einer Seite gesetzte Cookie inventarisiert. Für ein Compliance-Team ist eine Verifizierungsschicht mit nichts zu offenzulegen ein Posten, über den ein Cookie-Audit nie streiten muss.