34C3 - Lobby-Schlacht um die ePrivacy-Verordnung

34C3 Vorspannmusik

Herald: Es ist einiges los in der
politischen Arena der EU in Sachen

Datenschutz. Wie ja einige von euch
wissen, wird nächstes Jahr die

Datenschutz-Grundverordnung wirksam werden
und das ist bei Weitem noch nicht alles:

Momentan findet eine Lobbyschlacht statt
zu der ePrivacy-Verordnung und was da so

alles gerade im Moment passiert, das wird
uns heute Ingo erzählen. Ingo ist

Redakteur bei Netzpolitik und ist auch
dazu noch im Verein Digitale Gesellschaft

und damit wünsche ich Euch einen
wunderschönen ersten Talk und bitte helft

mir mit Applaus für Ingo.
Ingo Dachwitz: Guten Morgen oder Moin

Moin, wie man in Hamburg sagt - Leipzig
nich - glaub ich. Ganz schön früh ist es.

Ich bin ganz überrascht, dass so viele
hier sind, freut mich sehr. Ich glaube,

ich bin noch nie so früh auf dem Kongress
gewesen. Aber es ist sehr gut, dass es

noch so früh ist, weil ich dazu neige
meine Vorträge und Präsentationen immer so

voll mit Inhalten zu packen, dass es
eigentlich immer viel zu viel ist. Gut,

dass ihr noch aufnahmefähig seid. Ich darf
heute also über ein Stück Politik

sprechen, das ich auf netzpolitik.org seit
gut anderthalb Jahren begleite. Ziemlich

von Anfang an - das politische Ringen um
die ePrivacy-Verordnung oder auch

„Verordnung über die Achtung des
Privatlebens und den Schutz

personenbezogener Daten in der
elektronischen Kommunikation“, wie sie

offiziell und handlich heißen soll. Eine
Verordnung, die die eben schon

angesprochene Datenschutzgrundverordnung,
die ja ab Mai 2018 wirksam ist - oder

wirksam wird - ergänzen soll und zwar eben
für den Bereich der elektronischen

Kommunikation und insgesamt ein Thema, das
in den Medien - in den klassischen Medien,

aber auch in den sozialen Medien - so
wenig Aufmerksamkeit erfährt, dass ich

mich zwischendurch einmal gezwungen sehe
zu solchen Überschriften zu greifen, um

irgendwie zu versuchen das Thema an den
Mensch zu bringen. Deshalb vielleicht mal

die Frage, damit ich weiß, sozusagen auf
was ich mich einstellen kann. Wer von euch

hat von der ePrivacy-Verordnung oder von
dem Thema schon mal gehört, zumindest?

Okay, fast alle, sehr gut. Congress ist
eben doch ein tolles Publikum. Wer würde

sagen, er oder sie weiß, worum es genau
geht? Okay, okay, so hatte ich es mir in

etwa erhofft. Also eine ganz gute
Ausgangsbasis. Und ich nenne dieses

politische Ringen um die ePrivacy-
Verordnung, über das ich heute spreche,

wirklich ganz bewusst Lobbyschlacht. Auch
wenn es natürlich ein bisschen martialisch

klingt, weil die Auseinandersetzung um
diese Verordnung echt heftig ist und die

politischen Fronten doch ziemlich starr
verlaufen. Deshalb auch dieses

Hintergrundbild, das die damalige Lobby im
englischen House of Commons zeigt, wo die

Interessenvertreter eben herumlungerten.
Ich hab das Originalbild von 1886 nur

leicht modifiziert. Also eine der
„schlimmsten Lobby-Kampagnen, die ich je

gesehen habe“, zitiert die Transparenz-
Organisation Corporate Europe einen

Parlaments-Insider über den industriellen
Gegenwind gegen die Verordnung. Ich habe

gedacht, wir fangen einfach mal mit ein
paar Beispielen dafür an. Mit nichts

Geringerem als einem Atompilz visualisiert
die Organisation Werbung Treibende im

Markenverband die ePrivacy-Verordnung und
ihre Konsequenzen. Also so viel zur

martialischen Rhetorik. Die OWM, das ist
ein Branchenverband, in dem von Adam A wie

Adam Ritter oder Alfred Ritter GmbH oder
Adam Opel GmbH über D wie Deutsche Telekom

bis zu VW Volkswagen, W wie Wüstenrot, so
ziemlich viele große deutsche Unternehmen

vertreten sind. Also eine ePrivacy-
Verordnung als Atomeinschlag oder dieses

Statement von Thomas Duhr, Vizepräsident
des Bundesverbandes Digitale Wirtschaft

BVDW. Der sagt, die Verordnung negiere
fundamentale Prinzipien der digitalen

Wirtschaft. „Das Internet wie wir es heute
kennen wird es damit nicht mehr geben“ Und

ich habe noch ein drittes Beispiel zum
Einstieg mitgebracht. Diesmal ein Film,

produziert von einem breiten Bündnis
europäischer Handels-, Verlags- und

Werbeverbände, und ich hoffe das
funktioniert jetzt. Das Video läuft...

aber der Ton nicht.
Video: "2018. Europe is the tech mecca.

Startups are flourishing, consumers are
enjoying the best apps avail... 2018..."

ID: Nö, daran kann's nicht liegen.
Video: "Europe is the tech mecca. Startups

are flourishing, consumers are enjoying
the best apps available and revenue from

data-driven ads helps make that possible.
Until one day, the apps go dark. Data-

driven advertising is... 2018. Europe is
the tech mecca. Startups are flourishing,

consumers are enjoying the best apps
available and revenue from data-driven ads

helps make that possible. Until one day,
the apps go dark. Data-driven advertising

is no more. Less revenue, fewer startups,
fewer apps. An app-less future consumers

never saw coming. from tech mecca to tech
wasteland. Enter the App-ocalypyse. Coming

soon to cinemas."
dramatische Musik

ID: Ja, habt Ihr auch schon alle Angst,
dass eure Apps plötzlich ausfallen?

Lachen ..., weil der Datenschutz das
Internet kaputt macht? Das soll es an

Schauermärchen dann zum Einstieg aber auch
schon mal gewesen sein. Stattdessen will

ich euch jetzt erst mal kurz erzählen, was
euch erwartet in den nächsten hoffentlich

fünf Minuten. Timing ist nicht ganz so
meine Stärke, aber ich versuche es mal

hinzubekommen. Ich will heute zeigen warum
das Internet, wie wir es kennen...

parallel laufende Musik
Video: "Within its digital single market

the European Union..."
Lachen

ID: Okay, ich will zeigen, warum sich das
Internet, wie wir es kennen - um das Zitat

mal aufzugreifen - durch die ePrivacy-
Verordnung tatsächlich etwas grundsätzlich

verändern könnte. Wieso das aber
eigentlich etwas Begrüßenswertes ist und

was Martin Sonneborn mit der ganzen
Geschichte zu tun hat. Dazu werde ich in

meinem Vortrag heute primär zwei Dinge
machen. Zum einen möchte ich verständlich

machen, worum es eigentlich geht in der
ePrivacy-Verordnung, und zum anderen

möchte ich über den Entstehungsprozess und
den aktuellen Stand des Verfahrens

sprechen und auf das Lobbying und die
schlimmsten Mythen eingehen, die über

diesen Verordnungsvorschlag in Umlauf
gebracht werden. Um das zu machen, will

ich allerdings zuerst nochmal, bevor ich
in die Details schaue, kurz auf den

Kontext sozusagen eingehen, über den ich
heute sprechen... ..., indem wir über

Datenschutz und Privatsphäre in der
digitalen Kommunikation sprechen. Und

dieser Kontext, das ist für mich der
gesellschaftliche Konflikt um die

Kontrolle von personenbezogenen Daten.
„Data Wars“, um mal im Bild zu bleiben

könnte man quasi sagen und die ePrivacy-
Verordnung ist eben nur ein Schlachtfeld

oder ein Ort, an dem die
Auseinandersetzung stattfindet, denn was

wir derzeit erleben, ist, wie ein neues
Wirtschaftsmodell etabliert wird, bei dem

es nicht mehr in erster Linie darum geht
gute Produkte oder gute Dienstleistung

herzustellen, sondern eben möglichst viel
Wissen in Form von Daten anzuhäufen. Ein

Wirtschaftsmodell, in dem auch persönliche
Informationen eben nicht mehr in erster

Linie schützenswerte Güter sind, sondern
handelbare Waren. Das Öl oder der Rohstoff

der Zukunft, wie es viele - nicht zuletzt
Bundeskanzlerin Angela Merkel - eben

nennen. Und wir erleben derzeit ja eine
andauernde Auseinandersetzung darum, wer

diese persönlichen Daten kontrolliert, wer
sie erzeugen und sammeln, handeln,

verknüpfen, auswerten, nutzen und
verwerten darf. Wenn wir zum Beispiel

Datenskandale erleben derzeit, all die
Gerichtsverfahren... Max Schrems spricht

heute oder morgen, glaube ich. Die
politischen Kämpfe um Datenschutz, da wird

es sozusagen greifbar, der Konflikt um
dieses neue Wirtschaftsmodell. Und ich

will, bevor ich eben auf diese Verordnung
gucke, mir dieses zugrunde liegende

Geschäftsmodell noch mal kurz als Kontext,
als Horizont quasi für heute in Erinnerung

rufen. Das ist wahrscheinlich den meisten
hier schon bekannt, kann aber nicht

schaden, das vielleicht nochmal zu hören.
Allen, die sich stärker damit

auseinandersetzen wollen, mit diesem
Geschäftsmodell der kommerziellen

Überwachung, kann ich nur den Talk von
Wolfie Christl vor einem Jahr empfehlen,

auf den und dessen Studien und Erhebungen
werde ich mich auch im Folgenden so ein

bisschen stützen. Und ich versuche mal
dieses Geschäftsmodell in 4 Phasen oder

anhand von 4 Phasen zu beschreiben und mal
kurz in diese Phasen rein zu gucken. Das

erste ist quasi die Datafizierung von fast
allem. Inzwischen lässt sich fast das

ganze komplette Leben in Datenform eben
aufzeichnen: Vom Konsum, also Online-

Shopping, Kreditkarten-Daten bis zu
Bonus-Systemen, über das vernetzte Zuhause

von Sprach-Assistenzsystem wie Alexa und
Co, über smarte Zahnbürsten bis zum

vernetzten Sexspielzeug, das Thema
Gesundheit vom Fitness-Armband bis zur

App, für das Tracking von
Menstruationszyklen und natürlich der

Bereich Kommunikation von Suchmaschinen
und Nachrichten-Webseiten über Messenger,

soziale Netzwerke, Dating-Anwendungen bis
hin zu Smart-TVs und einem Großteil aller

Anwendungen für mobile Geräte. Und hier
greife ich einfach mal auf eine Grafik von

Wolfe Christl zurück, der auf dem Feld
wirklich sehr lesenswerte Arbeit gemacht

hat, um dieses Geschäfts-Modell und dieses
Wirtschafts-Modell eben anschaulich zu

machen und dessen Konsequenzen einmal
visualisiert, welche Daten sind eigentlich

über Konsumenten, Verbraucher, Nutzer
früher angefallen und welche sind es

heute, eigentlich eben ein umfassendes
Bild. Und es wird eben deutlich,

es geht dabei nicht nur um Daten,
klassische, also einfache Daten

wie Geburtsdaten oder Ähnliches,
sondern es ist...

sind auch die fluiden Dinge, sind
Emotionen, Identitäten, Verhalten,

Eigenschaften, die in Daten aufgegriffen
werden und ich geh hier an der Stelle,

weil wir heute über den Bereich der
elektronischen Kommunikation sprechen,

noch mal ein bisschen stärker auf das Feld
ein. Studien zufolge oder einer Studie

zufolge sind es zwischen 85 und 95 Prozent
der beliebten Apps in Australien,

Brasilien und Deutschland, die Daten an
Drittparteien senden, selbst 60 Prozent

der bezahlten Apps. Und wenn man mal nicht
in den App-Bereich guckt, sondern ins Netz

dann haben wir natürlich die omnipräsenten
Cookies. Aber wenn wir eben über Web-

Tracking sprechen, also das Nachverfolgen
und Mitschneiden unseres Surfverhaltens,

dann geht es eben schon lange nicht mehr
nur um einfache Cookies, denn seitdem das

Bewusstsein bei den Nutzerinnen und
Nutzern dafür gestiegen ist, dass sie mit

Hilfe von Tracking mit Cookies verfolgt
werden, haben sich ja sozusagen

Abwehrmaßnahmen entwickelt. Cookies
löschen lassen nach jeder Session und so

weiter. Aber Firmen entwickeln eben
entsprechend neue Methoden, um das

Verhalten aufzuzeichnen, Tracking, online-
Tracking durchzuführen, von Zombie

Cookies, die sich selbst der
wiederherstellen, bis zum Fingerprinting-

Device oder Browser Fingerprinting, bei
dem Nutzer_innen von Webseiten mitten...

mittels der Einstellungen der verwendeten
Software oder des Gerätes wiedererkannt

werden, ohne dass dafür Cookies benötigt
werden müssen. Und eine Studie aus 2015,

eine Erhebung aus 2015 ist zu der
Erkenntnis gekommen, dass 90 Prozent der

eine Million meistbesuchten Webseiten
Nutzerdaten an Drittparteien weiterleiten.

Und das gilt insbesondere auch für den
Bereich der Nachrichten und Informationen,

also nicht nur wir lesen, was auf den
Nachrichtenseiten passiert, sondern die

Nachrichtenseiten lesen uns, jedenfalls
die meisten Nachrichtenseiten,

netzpolitik.org nicht. Kann man an der
Stelle ja mal kurz sagen. Aber das Tech

Collective hat ein Tool bereitgestellt,
trackography, mit dem man eben

nachvollziehen kann, auf welchen
Nachrichtenseiten man verfolgt wird und

von wem. Und sind eben darauf gekommen,
dass alleine wenn man auf Spiegel, Heute,

Zeit, Bild und taz geht, es über 108
Verbindungen mit Drittparteien gibt, die

eigentlich nichts mit dem Service zu tun
haben. Also der erste Schritt, die erste

Phase, die Datafizierung von Allen. Die
zweite Phase ist die Kommodifizierung von

Daten, also Daten werden Waren, handelbare
Waren. Waren, die von spezialisierten

Händlern, Data Brokern, verknüpft werden,
veredelt werden , ausgewertet werden und

eben gehandelt werden. Diese führen
Informationen über Menschen aus

unterschiedlichen Quellen zusammen in
Profilen und bieten diese zum Kauf an.

Hier mal zwei Beispiele, auch wieder aus
der Arbeit von Wolfie Christl. Der

Datenhändler Acxiom zum Beispiel verfügt
nach eigenen Angaben über Informationen

über 700 Millionen Menschen in den USA und
Europa mit bis zu 3.000 einzelnen

Attributen und Scores pro Person. Dazu
zählen dann Informationen wie

Einkaufsverhalten, Gesundheits-Interessen,
aber eben auch das Kommunikationsverhalten

und ganz klassische sozio-demografische
Daten. Und auch Oracle, ehemals ja ein

Softwarekonzern, inzwischen einer der
größten Data Broker, wirbt damit dass sie

Profile über zwei Milliarden Nutzerinnen
und Nutzer haben, in denen sie

unterschiedliche Daten aus
unterschiedlichen Quellen zusammenführen.

Diese Daten landen dann übrigens wieder
bei sozialen Netzwerken, zum Beispiel

Facebook und Snapchat kaufen
beispielsweise von Oracle wieder Daten

über ihre Nutzerinnen und Nutzer, um
sozusagen das Profil von denen zu

vervollständigen, unter anderem über das
Offline-Einkaufsverhalten der

Überwachungsforscher David Lyon spricht
von kafkaesken Datenflüssen, die für

Nutzerinnen und Nutzer überhaupt nicht
mehr nachvollziehbar sind und wo sie nie

wissen, an welchem Punkt sie von wem jetzt
gerade eigentlich bewertet werden. So, die

dritte Phase ist die Auswertung. Da könnte
man natürlich jetzt auch viel zu erzählen.

Big Data Mining und Predictive Analytics:
hier nur mal ein kurzer Überblick über

3 Studien, die etwas über die Aussagekraft
oder die Vorhersagekraft von

personenbezogenen Daten eben aussagen.
Beispielsweise die Analyse... Vorhersage

von bestimmten
Persönlichkeitseigenschaften anhand von

Facebook-Likes, wo laut dieser Studie
beispielsweise in den USA Ethnizität oder

Geschlecht jeweils binär codiert mit
extrem hoher Wahrscheinlichkeit

vorhergesagt werden können anhand von nur
einer Handvoll Likes. Und Facebook selbst

beispielsweise wurde im vergangenen Jahr
dabei erwischt, wie sie bei einer

australischen Bank damit Werbung gemacht
haben, dass diese Bank über das targeted

advertising-Tool von Facebook, emotional
verletzliche Jugendliche - Zitat, ist das -

ausfindig machen können und sie genau in
den Momenten ansprechen können, in denen

sie sich - Zitat - wertlos fühlen, um dann
mit ihrer Werbung sie zu erreichen. Also

so viel zur Analyse und dann natürlich,
darum geht es am Ende, die Entscheidungen, die

auf Grundlage dieser Datenbasis
getroffen werden. Von der Personalisierung

von Nutzungsumgebungen über Targeted
Advertising, Customer Relationship

Management - wie lange muss ich in der
Warteschlange in der Service-Hotline

warten, kriege ich Gutscheine zugeschickt?
Dann natürlich der große Bereich Scoring,

also, wie werde ich bewertet in Hinblick
auf meine Kreditwürdigkeit, Handyverträge,

Versicherungen. Natürlich sozusagen
sprechen wir hier an der Stelle über

einerseits über Praktiken, die - Scoring
im Bankenbereich oder im Kredit-Bereich -

schon seit Jahrzehnten praktiziert werden.
Und wenn wir zum Beispiel über den Einsatz

von Scoring im Versicherungsbereich
sprechen, über etwas das tendenziell noch

eher in der Zukunft liegt, aber wo die
Modelle sozusagen der Auswertung des, oder

der Berechnung des Konsumenten, oder des
versicherten Verhaltens und eine

dementsprechend angepasste
Versicherungsprämie schon in den

Startlöchern stehen quasi. Und natürlich
nicht zu vergessen: staatliche Datenbanken

und Analyse-Systeme, die eben Muster
erkennen, Verdächtige generieren,

Verhalten vorhersagen sollen. Genau. Ok,
so viel mal zum Kontext, vielleicht nochmal

eben der Blick auf die Risiken, auch das
ist eigentlich bekannt und gut diskutiert.

Nur um sie hier als Kontext nochmal mit
aufzuführen. Dort wo Daten vorhanden sind,

große Datenbanken, da gibt's natürlich
ein Interesse auch von Kriminellen da

ranzukommen oder öffentliche Datenlecks.
Es sei nur erinnert an den Fall der... den

Ashley-Madison-Hack, bei dem plötzlich
bekannt wurde, wer alles einen

Seitensprung-Service benutzt, staatliche
Zugriffe, Fehlinterpretationen, weil

natürlich diese Vorhersage-Modelle auf
Datenbasis, die Big Data-Vorhersage-

Modelle auf Korrelationen und nicht auf
Kausalität beruhen und man die Realität

eben nur bedingt in Datenform erfassen
kann. Die Macht-Asymmetrien und

Manipulations-Potenziale, die damit
einhergehen, dass zu einer gewissen

Wahrscheinlichkeit vorhergesagt werden
kann, wie lange ich denn beispielsweise in

der Warteschleife einer Telefon-Hotline
bleiben würde und wie lange man mich

warten lassen muss, damit ich als nerviger
Kunde wieder aufgebe. Diskriminierung, die

reproduziert wird, weil sie in den
Daten steckt. Und die sogenannten chilling

effects, dadurch dass Menschen eben die
Kontrolle über die kontextuelle Integrität

der von ihnen preisgegebenen und über sie
gesammelten Informationen verlieren und

sie gleichzeitig eben wissen, dass ihre
Lebenschancen davon abhängen können, was

andere mit und aus diesen Informationen
machen. Soviel zum Kontext. Fassen wir

zusammen: Das Internet wie wir es kennen,
um das Zitat aufzugreifen, heißt heute

leider eben auch, dass es in weiten Teilen
ein kommerziell überwachtes Internet ist,

bei dem die Nutzer entmündigt werden. Der
informationelle Kontrollverlust ist fester

Bestandteil dieses Geschäftsmodells, das
eben darauf basiert, dass die Einen

durchleuchtet werden und vorhersagbar
werden und die sich eben nicht besonders

gut wehren können, dadurch dass die
Analyse- und Erhebungsverfahren im Dunkeln

liegen. Nicht verwunderlich ist es, dass
eine repräsentative EU-Umfrage 2015

deshalb ergab, dass 32% der Deutschen
ihren Internet... dass nur 32%

der Deutschen ihren Internet- und
Telefon-Anbietern vertrauen, für den

restlichen Bereich der Internet-Wirtschaft
waren es nur 19 Prozent, die Vertrauen

hatten in diese Unternehmen. Und auf
diesen informationellen Kontrollverlust

kann man natürlich auf unterschiedliche
Arten reagieren. Die einen halten diese

Entwicklung für unaufhaltbar und predigen
sozusagen vermeintlich pragmatisch den

Kontrollverlust als Chance. So
beispielsweise der Psychologe Michal

Kosinski, der ein bisschen bekanntgeworden
ist dadurch, dass er einige der zentralen

so Studien gemacht hat zum Thema
Vorhersage durch Big Data und der eben

unfreiwilligerweise das Modell für
Cambridge Analytica, das Grundmodell für

Cambridge Analyticas
Persönlichkeits-Analysen geschaffen hat.

Der sagte aber eben bei einer
Veranstaltung in Berlin in diesem Jahr

im Sommer, dass es ja eine Chance wäre,
wenn erst einmal alles bekannt wäre, und

hat sozusagen als Beispiel gebracht, dass
auch in autoritär-patriarchalen

Gesellschaften beispielsweise, wenn erst
mal bekannt wäre, wer alles homosexuell

ist, dann würde die Diskriminierung
aufhören. Okay, andere sehen quasi die

Schwierigkeiten und Risiken, die mit
diesen... mit dieser Entwicklung

einhergehen, geben sich aber damit
zufrieden, sich selbst zu schützen,

Stichwort "works for me", und wieder
andere versuchen, ein gewisses Maß an

Kontrolle wiederherstellen, indem sie
Technologie gestalten, die entweder mit

möglichst wenig persönlichen Daten
auskommt oder Nutzern, Nutzerinnen und

Nutzern, Informationen und
Wahlmöglichkeiten an die Hand gibt, indem

sie andere aufklären und ihnen Mündigkeit
ermöglichen oder eben, indem sie politische

Rahmenbedingungen und Grenzen festlegen
und für deren Durchsetzung sorgen. Darum

geht es ja beim Datenschutz, letztendlich.
Es geht nicht darum, Datenflüsse zu

verhindern, sondern klare Grenzen dafür
festzulegen, in welchen Bahnen sie

passieren. Und jetzt nach dem Kontext zur
eigentlichen Verordnung. Denn genau darum

geht es bei der ePrivacy-Verordnung: klare
Rahmenbedingungen zu schaffen für den

Umgang mit Kommunikations-Daten. Und auch
hier nochmal ein paar Zahlen: eine

statistisch repräsentative Umfrage der EU-
Kommission hat ergeben aus dem Jahr 2015,

dass etwa 90 Prozent der EU-Bürger für
datenschutzfreundliche Voreinstellungen,

beispielsweise gegen Tracking sind und für
das Recht auf verschlüsselte Kommunikation

und dass 71 Prozent es ablehnen, dass
Unternehmen ihre Daten ohne ihre

Zustimmung verwenden. Und nachdem ich
jetzt schon so oft erwähnt habe, schauen

wir uns die Verordnung tatsächlich mal an,
beziehungsweise noch ein ganz kurzer Blick

auf ihren Vorgänger: Die ePrivacy-
Richtlinie aus dem Jahr 2002 - in der EU

gibt es ja zwei unterschiedliche sozusagen
Rechtsinstrumente oder

Gesetzesinstrumente, das eine sind die
Richtlinien, das schwächere Instrument,

das von den Mitgliedsstaaten immer noch
umgesetzt werden muss in nationales Recht,

und die Verordnungen, die unmittelbare
Wirkung entfalten in den Mitgliedstaaten,

die eben das stärkere, verbindlichere
Instrument sind - und seit 2002 gibt es

eine ePrivacy-Richtlinie, die jetzt
abgelöst werden soll, weil sie nicht mehr

wirklich funktional ist, weil sie
beispielsweise den Kommunikationswandel

der letzten Jahre nicht abdeckt. Wenn man
sich mal zwei Zahlen vor Augen hält: 2012

haben die Menschen in Deutschland über 160
Millionen SMS-Nachrichten verschickt und

20 Millionen WhatsApp-Nachrichten, 2015
waren es weniger als 40 Millionen SMS,

aber mehr als 660 Millionen WhatsApp-
Nachrichten. WhatsApp ist aber als

sozusagen neuer sogenannter over the top-
Dienst von der ePrivacy-Richtlinie bisher

nicht umfasst gewesen. Also over the top-
Dienste, das sind die

Kommunikations-Dienste, die nicht mit einem
eigenen Netz daherkommen, sondern auf dem

Internet aufsetzen. Dazu zählt auch Voice
over IP-Telefonie oder irgendwie Webmail,

diese Sachen sind bislang nicht reguliert
durch die ePrivacy-Richtlinie, so dass

dafür andere, weniger strenge Regeln
gelten als für klassische Telefonie oder

klassische SMS-Nachrichten. Und außerdem
sind die Durchsetzungsmöglichkeiten im

Rahmen der ePrivacy-Richtlinie eher so
mäßig gewesen, sehr uneinheitlich

umgesetzt worden, in Deutschland zum Teil
auch in einem bestimmten Bereich auch gar

nicht. Und in Deutschland ist
beispielsweise für den Großteil der

Durchsetzung die Bundesnetzagentur
zuständig gewesen und nicht die

Datenschutz-Aufsicht. In vielen anderen
Ländern auch. Genau. Hinzu kommt, dass die

Richtlinie in den Mitgliedsstaaten sehr
unterschiedlich umgesetzt wurde, 2009 gab

es zum Beispiel eine Ergänzung, die von
manchen Cookie-Erweiterung genannte

Ergänzung, die es eigentlich schon
festgelegt hat, dass Cookies, also das

Speichern von Informationen oder der
Zugriff auf Informationen auf dem Gerät,

nur gestattet ist auf der Grundlage von
klaren und umfassenden Informationen. Und

wenn es eine Einwilligung gibt. Das ist in
Deutschland anders als beispielsweise in

Frankreich und Spanien aber kaum umgesetzt
und dementsprechend auch kaum durchgesetzt

worden. Okay. Jetzt zur ePrivacy-
Verordnung. Was steht denn eigentlich

drin? Und ich beziehe mich im Folgenden
auf die Fassung der ePrivacy-Verordnung

oder der Position des EU-Parlaments. Das
EU-Parlament hat am 26. Oktober seine

Position dazu beschlossen, dass... der
Prozess ist noch nicht am Ende, das heißt,

das ist jetzt erstmal nur die Position des
Parlaments, aber auf die beziehe ich mich

im Weiteren. Und mit 29 Artikeln ist die
ePrivacy-Verordnung in ihrem derzeitigen

Zustand im Vergleich zur
Datenschutzgrundverordnung, die sie

ergänzen soll, durchaus schlank und sie
enthält auch einige Regeln, die nicht im

engeren Sinne etwas mit digitaler
Kommunikation und Datenanalyse zu tun

haben, auf die ich nicht weiter eingehen
will, aber nur damit man es mal gehört

hat: Sie enthält auch Regeln zur
Rufnummerunterdrückung, zu Notrufen oder

Telefonbüchern, zu Informationspflichten
bei von Kommunikationsanbietern bei

Sicherheitsrisiken und Datenlecks und zu
Direktmarketing. Ich will mich aber auf

die Regeln zum Umgang mit
Kommunikationsdaten im engeren Sinne

konzentrieren. Und da macht die ePrivacy-
Verordnung in ihrem aktuellen Stand erst

einmal deutlich: Wir sprechen hier über
Grundrechte, wir sprechen nicht über

irgendetwas, sondern es geht um
Grundrechte, und zwar nicht nur um das

Grundrecht auf den Datenschutz, EU-
Grundrecht auf Datenschutz in Artikel 8

der Grundrechte-Charta, sondern auch auf
Artikel 7, die Achtung des Privatlebens.

Und in der Folge dann eben der Schutz
diverser weiterer Grundrechte: freie

Persönlichkeitsentfaltung, Menschenwürde,
Meinungs-, Informations-,

Religionsfreiheit. Über welche Daten
sprechen wir, wenn wir über ePrivacy

sprechen? Um das mal anschaulicher zu
machen: Die Verordnung unterteilt in

Inhaltsdaten und Metadaten. Inhaltsdaten
sind also Textnachrichten, Sprache,

Bilder, Videos, E-Mails, Ton, die
geschützt sind. Und dann gibt's eben den

ganz großen Bereich der Metadaten, also
besuchte Webseiten, die Kommunikationsart,

Kommunikationspartner, Browser-
Einstellungen, Standortdaten, IP-Adressen,

MAC-Adressen, mobile device identifiers,
Datum und Uhrzeit der Kommunikation und

eben Informationen über die verwendete
Hard- und Software. Okay, jetzt aber

wirklich: was steht drin? Unter anderem,
dass Kommunikationsdienste-Anbieter keine

kommerziellen... also Daten nicht
kommerziell verarbeiten... ihrer Kunden

nicht kommerziell verarbeiten dürfen ohne
deren Einwilligung. Klingt jetzt erstmal

nicht besonders revolutionär, ist es aber
in Anbetracht dessen, was auf dem Tisch

lag an Alternativen sozusagen. Also,
natürlich fallen bei den Diensteanbietern

bei unserem Telefon-Provider oder bei
WhatsApp oder bei Skype, beim Messenger

fallen natürlich Daten an, wenn wir über
die kommunizieren, das geht gar nicht

ohne. Und die dürfen von den
Diensteanbietern eben nur genutzt werden,

wenn es eine Einwilligung gibt. Man nennt
das Verbot mit Erlaubnisvorbehalt.

Eigentlich ist die Verarbeitung verboten,
aber es gibt eben die Möglichkeit, sich

das Einverständnis einzuholen. Ja, ist
jetzt leider sehr viel Text. Und als

Alternative zu diesem Prinzip, dass man
eine Einwilligung braucht für die

Verarbeitung, lagen auf dem Tisch unter
anderem die Formulierung further

processing, also die sehr vage
Formulierung further processing, die es

den Kommunikationsdienste-Anbietern
ermöglicht hätte, die Daten, nachdem sie

einmal gebraucht wurden, um den
Kommunikations-Vorgang herzustellen, noch

weiterverarbeitet werden dürfen unter
bestimmten Bedingungen, aber eben

potentiell einfach, ohne dass eine
Einwilligung eingeholt werden muss oder

aus der Datenschutz-Grundverordnung das
sogenannte legitime Interesse, das eben

auch eine Grundlage nach der Datenschutz-
Grundverordnung darstellen kann, für die

kommerzielle Verarbeitung von Daten.
Legitimes Interesse von Unternehmen kann

in dem Fall eben auch ein wirtschaftliches
Interesse, ein Geschäftsmodell sein. Das

lag auf dem Tisch als Alternative und das
EU-Parlament hat sich entschieden hier

dafür zu votieren, dass es bei dem Verbot
mit Erlaubnis-Vorbehaltung gibt und

gleichzeitig die Reichweite auszuweiten,
also die over the top-Dienste sind jetzt

eingefasst, Messenger, Voice over IP,
Webmail, Direktnachrichten in sozialen

Netzwerken und Apps, Dating-Apps und so
weiter spielen jetzt dort mit rein, sollen

durch die ePrivacy-Verordnung reguliert
werden. Also die Reichweite wird erhöht,

gleichzeitig gibt es eine ganz leichte
Absenkung im Vergleich, des Schutzniveaus im

Vergleich zur Datenschutzrichtlinie. Da
stand nämlich noch... ePrivacy-Richtlinie,

da stand nämlich noch drin, dass der
Verarbeitungszweck einen Mehrwert für

Betroffene haben muss. Diese Formulierung
ist jetzt entfallen. Das hat vor allen

Dingen damit zu tun, dass die EU-
Kommission es durchaus Unternehmen, gerade

so den europäischen, den TelKos leichter
machen möchte, auch an Daten... am

Datenmarkt sozusagen mitzuwirken und da
Geld draus zu machen. Das heißt, die

größtenteils amerikanischen Dienste
WhatsApp und Co. werden jetzt auch den

strengeren Regeln unterworfen und
gleichzeitig werden die Regeln insgesamt,

weil eben auch vor allen Dingen in
Hinblick auf die europäischen TelKos, ein

bisschen abgesenkt. Nichts destotrotz gibt
es hohe Anforderungen an die Einwilligung,

es gelten die Anforderungen der
Datenschutz-Grundverordnung, also die

muss informiert sein, sie
darf nicht erzwungen sein, sie muss

freiwillig sein. Da wird zwar noch viel
drum gestritten, aber nach

Datenschutz-Grundverordnung darf eine
Einwilligung eben nicht... eine

Einwilligung zur Datenverarbeitung eben
nicht daran gekoppelt sein eigentlich,

dass man einen Dienst nutzt. Also es darf
nicht die Voraussetzung, einen Dienst...

einen Dienst zu nutzen, dafür darf es
nicht die Voraussetzung sein, dass man

seine Daten preisgibt laut,
Datenschutz-Grundverordnung. Auch das gilt

hier. Und es gibt es relativ strikte
Auflagen: Das darf nur passieren, diese

Datenverarbeitung, wenn es ohne die Daten
gar nicht geht, sie müssen möglichst

schnell gelöscht oder anonymisiert werden,
es muss eine Datenschutz Folgenabschätzung

geben, also das Unternehmen ist dazu
verpflichtet, sich hinzusetzen und zu

sagen, okay, welche Daten erhebe ich jetzt
hier eigentlich und welche Folgen hat das

womöglich für die Privatsphäre und die
Vertraulichkeit der Kommunikation meiner

Nutzer. Und bei besonders Privatsphäre-
invasiven Verfahren müssen eben die

Datenschutzbehörden angefragt werden, also
auch das eine Neuerung. Und wenn es um die

Verwertung oder Auswertung von
Kommunikations-Inhalten geht, müssen beide

Kommunikations-Partner oder alle
Kommunikations-Partner zustimmen. Das heißt

Gmail, Google durchleuchtet derzeit ja die
E-Mails seiner Nutzer automatisiert, um

auf bestimmte Stichwörter, um eben
zielgerichtete Werbung ausspielen zu

können. Dafür bräuchte es in Zukunft dann
die Einwilligung aller

Kommunikationsteilnehmer. Und es gibt ein
paar Ausnahmen, na klar. Die Daten dürfen

verarbeitet werden zur Durchführung der
Kommunikationsübermittlung, dürfen für

Sicherheitsaspekte, zur Behebung von
technischen Fehlern, zur

Rechnungsstellung, zur Sicherung der
Übertragungsqualität und für die

persönliche Nutzung verarbeitet werden.
Also wenn ich zum Beispiel möchte, dass

meine E-Mail automatisiert übersetzt wird
von meinem E-Mail-Programm, dann ist es

eine sehr begrenzte personalisierte
Nutzung und das ist weiterhin erlaubt,

solche Services. Richtige Neuerungen gibt
es im Bereich, also richtig heftige

Neuerungen gibts im Bereich, oder könnte
es im Bereich Tracking geben. Das sind die

Artikel 8, 9 und 10, also Web Tracking,
Online Tracking, auch da soll's ein Verbot

mit Erlaubnis-Vorbehalt geben. Das ist im
Vergleich zur Richtlinie keine, eigentlich

keine Neuerung, wenn es umgesetzt wird,
wäre es eben doch eine Neuerung. Da haben

wir eine technikneutrale Formulierung, die
dafür sorgen soll, dass auch neuere Formen

des Web Trackings umfasst sind und dass es
ausgeschlossen ist, dass jemand

interpretiert, es ginge nur um Cookies,
die auf Rechnern gespeichert werden, und

eine echte Neuerung an der Stelle ist,
dass do not track quasi rechtsverbindlich

werden würde. Also der Standard, der seit
einigen Jahren vorhanden ist, aber von den

meisten Unternehmen ignoriert wird, dass
man in seinem Browser einstellen kann: Ich

möchte nicht getrackt werden oder eben
auch: Ich bin einverstanden mit einem

Tracking. Das soll rechtsverbindlich
werden, das heißt es wäre relativ einfach,

im Browser oder auch, wenn man sich das
Smartphone anguckt, im Betriebssystem oder

in Apps einzustellen, ich möchte nicht
verfolgt werden, ich möchte nicht, dass

mein Verhalten aufgezeichnet wird. Und
gerade in Kombination mit einer echten

Privacy by default, also eine
Verpflichtung, die Daten, die

Einstellungen, Datenschutzeinstellungen
möglichst datenschutzfreundlich

voreingestellt zu haben, wäre das
sozusagen ein großer Schritt. Dass

Nutzerinnen und Nutzer Online-Tracking
besser selber kontrollieren können.

Durchaus problematisch an der Stelle ist,
dass natürlich die Tracker trotz Do-not-

track-Signal eigentlich weiter fragen
dürften, die Nutzerinnen und Nutzer weiter

fragen dürfen sollen, ob sie denn
einwilligen, dass sie doch getrackt werden

dürfen, auch wenn sie eigentlich im
Browser was anderes gesagt haben. Das ist

so ein bisschen paradox und es birgt eine
Gefahr , dass Unternehmen einfach weiter

versuchen, über Cookie-Banner, Tracking-
Banner sich das Einverständnis dann

abzuholen. Das dürfte aber eine sehr
spannende... wahrscheinlich wird es dann

irgendwann vorm Gericht landen, weil es
natürlich die Position gibt, dass

eigentlich die Einwilligung über so ein
Cookie-Banner keine richtige informierte

Einwilligung ist. Und gerade in Verbot mit
einem neuen Verbot von Tracking-Walls...

ein explizites Verbot von Tracking-Walls
fordert das EU-Parlament, also Dienste,

Webseitenbetreiber dürfen es nicht zur
Voraussetzung machen dafür, dass Nutzer

ihren Dienst nutzen, auf ihre Webseite
gehen, dass sie sich tracken lassen - kein

take it or leave it mehr. Heute ist es ja
oft so, man kann - selbst wenn man das

Cookie-Banner anklickt, hat man die
Auswahlmöglichkeiten, entweder zu sagen

"Ich stimme zu" oder "Ich möchte mehr
Informationen und dann stimme ich zu".

Oder ich geh halt weg von der Webseite.
Das ginge nicht mehr. Auch hier gibt es

ein paar Ausnahmen. Vor allen Dingen für
das Thema Reichweiten-Messung, da komme

ich später nochmal drauf zu sprechen. Ein
weiterer Bereich, der reguliert wird...

werden würde, ist das Offline...
sogenannte Offline-Tracking mit WLAN- und

Bluetooth-Signalen. Das kommt auch in
Deutschland mehr und mehr, dass sozusagen

Nutzerinnen und Nutzer auch offline in der
Innenstadt anhand der Signale getrackt

werden, die ihr Smartphones von sich gibt.
Um beispielsweise Besucherströme irgendwie

in der Innenstadt nachverfolgen zu können
oder in einem Geschäft, aber es hat

natürlich auch ein hohes Privatsphäre-
invasives Potenzial und hier schlägt das

Parlament vor, dass das eben nur mit
informierter Einwilligung der Nutzerinnen

und Nutzer passiert oder dann, wenn es
lediglich statistisches Zählen ist, also

wenn es wirklich nicht darum geht, Leute
zu identifizieren, Profile zu erstellen,

sondern ganz klar ist, es geht darum,
einfach nur zu zählen, wie viele Leute

sind an einer bestimmten Uhrzeit zum
Beispiel an meinem Laden vorbeigekommen

oder, in welcher Ecke stehen insgesamt
statistisch gesehen die meisten Leute in

meinem Laden oder ähnliches. So, jetzt muss
ich mal ein bisschen - damit noch über das

Lobbying sprechen kann - auf die Uhr
gucken. Eine weitere Neuerung ist der...

wäre die effektive Rechtsdurchsetzung,
effektivere Rechtsdurchsetzung. Bislang

ist es ja so, dass Datenschutz vor allen
Dingen auch daran krankt, dass er kaum

durchgesetzt wird. Das würde sich... wird
sich mit der Datenschutzgrundverordnung

sowieso hoffentlich ändern, weil die
Datenschutzbehörden stärkere

Durchsetzungsmittel an die Hand bekommen.
Hier an der Stelle, für den Bereich

ePrivacy soll es einerseits eine
Vereinheitlichung der Aufsicht geben bei

den unabhängigen Datenschutzbehörden, es
wird das Marktort-Prinzip gelten, es soll

keine Schlupflöcher mehr geben durch die
Wahl des Firmensitzes. Auch hier soll es

Sanktionen von bis zu 20 Millionen Euro
oder 4% des weltweiten Umsatzes

geben, ein Recht auf Schadenersatz und -
auch das hat das Parlament sozusagen

reingeschrieben - ein Verbandsklagerecht,
dass man sich vertreten lassen kann von

NGOs beispielsweise. Jetzt muss ich mal
auf die Zeit gucken. Wie viel hab ich

noch? Ok, wow. Es soll mehr Transparenz
über staatliche Zugriffe geben, also auch

die ePrivacy-Verordnung... auch mit dieser
ePrivacy-Verordnung würden

Vorratsdatenspeicherung weiter möglich
bleiben. Man hat da den Weg gewählt, das

den Mitgliedsstaaten zu überlassen. Es
wäre natürlich eine tolle Möglichkeit

gewesen, an der Stelle auf europäischer
Ebene zu sagen, okay,

Vorratsdatenspeicherungen gehen eben
nicht, ist aber eben nicht durchsetzbar

und deshalb hat das Parlament zumindest
entschieden, dass es mehr Transparenz

geben soll an der Stelle, also
Diensteanbieter müssen staatliche Zugriffe

umfangreich kontroll... dokumentieren und
Datenschutzbehörden zur Verfügung stellen,

müssen selber jährlich statistische
Berichte und Statistiken darüber

veröffentlichen, wie viele Anfragen sie
hatten. Und auch die

Strafverfolgungsbehörden müssen
jährliche... sollen dazu verpflichtet

werden, jährliche Berichte vorzulegen. Und
ich glaube, das ist der letzte inhaltliche

Teil dazu: verstärkte Sicherheit. Auch
hier gibt es sozusagen durchaus

Fortschritte: Anbieter von
Kommunikationsdiensten sollen verpflichtet

werden, die Kommunikation ihrer Nutzer
durch modernste technische Vorkehrungen

wie Verschlüsselungsverfahren - explizit
eben auch Ende-zu-Ende-Verschlüsselung zu

schützen -, es soll ein explizites Verbot
geben, verschlüsselte Kommunikationsdaten

durch jemand anderen als den Nutzer selbst
zu entschlüsseln und die EU-

Mitgliedstaaten sollen keine Gesetze
erlassen dürfen, die Backdoors

ermöglichen, also ein relativ - gerade im
Verhältnis, so habe ich es noch nirgendwo

anders gesehen - dass das Recht auf
verschlüsselte Kommunikation eben so stark

auskodifiziert wäre. Den letzten Bereich
überspringen wir mal, denn wir wollen ja

noch über die Lobby-Schlacht sprechen.
Fassen wir zusammen: also ein höheres

Schutzniveau als das der Datenschutz-
Grundverordnung für Kommunikationsdaten,

bessere Kontrolle von Online-Tracking,
Privacy by Default und ein Verbot von

Tracking-Walls, klare Grenzen für das
Offline-Tracking, bessere Durchsetzung des

Datenschutzes, Klagemöglichkeiten für
Verbände und NGOs, mehr Transparenz über

staatliche Überwachung und ein
verhältnismäßig stark kodifiziertes Recht

auf Verschlüsselung. Auch wenn nicht alles
perfekt ist in dieser Verordnung oder in

dieser Position muss man schon sagen, das
ist aus der Sicht von Nutzerinnen- und

Nutzerrechten schon ein echt gutes Brett,
was das Parlament da beschlossen hat. Und

gerade wenn man sich anschaut, welchen
schweren Stand Datenschutz praktisch und

politisch derzeit hat und wenn man sich
den Entstehungsprozess näher anschaut,

muss man eben sagen, das EU-Parlament hat
an der Stelle ganze Arbeit geleistet. "Das

Internet, wie wir es kennen, ist in
Gefahr." - Ich würde sagen: gut so, weil

eben Nutzerinnen und Nutzer wieder die
Möglichkeit bekommen sollen, mündiger zu

entscheiden und stärker selbst zu steuern,
was mit ihren Informationen passiert.

Nicht wenige Lobbyisten dürfen sich Ende
Oktober gefragt haben, als das Parlament

das beschlossen hat, wie konnte das denn
eigentlich passieren und wir können eins

sagen: Am Aufwand, den die Werbe- und
Tracking-Industrie betrieben hat, um diese

Verordnung zu verhindern oder zu
verwässern, hat es ganz bestimmt nicht

gelegen. Ich hoffe, ihr seid bereit für
noch ein paar... und ich hab noch ein paar

Minuten für noch ein paar Schauer- und
Weltuntergangsszenarien. Also los gings im

Sommer 2016, erst mal das Verfahren mit
einer Konsultation. Die EU-Kommission hat

quasi angekündigt, wir wollen die
ePrivacy-Richtlinie reformieren, und hat

eine Konsultation gemacht - da hat sich
schon sehr stark offenbart, wie groß die

Spaltung ist. Also 83% der
teilnehmenden Bürgerinnen und Bürger und

NGOs waren eben dafür, dass es spezifische
ePrivacy-Regelungen gibt zum Schutz der

Kommunikation und nur 31% der
Unternehmen waren dafür. Und während 77%

der Zivilgesellschaft für ein
Verbot von Tracking Walls beispielsweise

waren, waren 75% der Unternehmen
dagegen. Eine krasse Spaltung. Und kurz

nach der Veröffentlichung dieser
Konsultationen ist ein bemerkenswertes

Bündnis aus quasi allen Firmen, die
irgendwas mit digital zu tun haben, auf

den Plan getreten und hat dafür geworben,
die Verordnung, das ePrivacy-Thema einfach

komplett zu streichen, die Verordnung gar
nicht... überhaupt keine Reform

vorzunehmen. Es gibt ja die Datenschutz-
Grundverordnung, also das ist mal eine

Liste der Unternehmen, die sich quasi...
die mit vertreten waren in den Verbänden,

die sich dafür ausgesprochen haben, die
Regeln einfach wegzulassen. Also wirklich

von Google, Facebook, Telekom bis hin zu
so interessanten Unternehmen wie Airbus

oder Bayer. Und AOL gibt's auch noch. Es
gibt einen sehr lesenswerten Bericht der

Transparenz-Organisation Corporate Europe,
der sehr minutiös nachzeichnet, wo und wie

das Big Data-Business versucht hat, die
Regulierungs-Bestrebungen der EU zu

beeinflussen, der ist sehr lesenswert. Da
ist sozusagen der ganze Baukasten des

Lobbyings zum Einsatz gekommen:
Einzeltreffen mit hochrangigen Vertretern

der EU-Kommission, Auftragsstudien,
Veranstaltungen, Kampagnen... öffentliche

Kampagnen und die Mobilisierung einzelner
einflussreicher Unternehmen. Und bei der

EU-Kommission haben sie damit relativ gute
Karten gehabt. Von 41 Treffen, die

dokumentiert sind zu diesem Thema - es
sind in Wirklichkeit wahrscheinlich

deutlich mehr - fanden 36 statt mit
Unternehmensvertretern, nur fünf Treffen

hochrangiger EU-Kommissionsvertreter
fanden statt mit NGOs. Dementsprechend hat

sich ein... ist der Entwurf, den die EU-
Kommission dann im Frühjahr 20... im

Januar 2017 vorgelegt hat, auch deutlich
schwächer ausgefallen, als man das erhofft

hatte und als es noch eine, im Dezember
geleakte Version, ihres Entwurfs nahegelegt

hatte, der einigen Firmen bzw. wirklich in
dem großen, dem großen Bündnis aus

Tracking- und Daten-Firmen reichte das
nicht - den hier hatten wir eben schon -

im Laufe des Jahres ist dann auch die
Verlagsbranche auf den Anti-ePrivacy-Zug

aufgesprungen, also "Die ePrivacy-
Verordnung ist ein Angriff auf den freien

Journalismus im Netz", sagt der Verband
Deutscher Zeitschriftenverleger. Und der

Bundesverband Deutscher Zeitungsverleger.
In einem gemeinsamen Statement. Es gab

einen offenen Brief von ganz vielen
internationalen Verlagen an das EU-

Parlament, das Thema wegzulassen und die
ePrivacy-Verordnung nicht in dieser

strengen Form zu verabschieden. Und
natürlich die Filme habe ich euch... oder

den einen Film habe ich euch eben schonmal
kurz gezeigt. Es gibt auf der Seite noch

ein paar mehr, Like a bad Movie, wenn ihr
euch die anschauen wollt, es lohnt sich.

Sodass am Ende selbst Michael Boni, der
Verhandlungsführer der

christdemokratischen Fraktion im
Parlament, beklagte, dass der Lobbyismus

übertrieben sei - zwar von beiden Seiten,
aber eben deutlich übertriebener von Seiten

der Wirtschaft. Nichts destotrotz hat es am
Ende nichts genutzt: mit 318 zu 280

Stimmen hat das Parlament Ende Oktober
diese Position beschlossen, die ich eben

erzählt habe. Vorangegangen ist dem
wirklich ein sehr krasser politischer

spannender Krimi. Denn kurz vor der
entscheidenden Abstimmung im Innen- und

Justizausschuss des Parlaments, wo eben
die Hauptverhandlungen stattgefunden

haben, haben die Konservativen sozusagen
wirklich zwei Tage vor der Abstimmung die

Verhandlungen über Kompromisse
abgebrochen. In dem Wissen, dass

Sozialdemokraten, Liberale, Linke und
Grüne alleine in dem Ausschuss nicht über

die absolute Mehrheit verfügen, die
notwendig gewesen ist oder wäre, um dieses

starke Verhandlungsmandat zu beschließen.
Die Konservativen wollten... oder die

christdemokratische Fraktion wollte darauf
bestehen, dass in jedem Falle ein further

processing von Daten ermöglicht wird und
hat dann die Verhandlung vorher

abgebrochen. Die Rechnung ist allerdings
nicht ganz aufgegangen. Ein bisschen

verzockt an der Stelle: Mit genau 31
Stimmen, also genauso viel wie notwendig

waren, hat dieses pro-Privacy-Bündnis am
Ende die Abstimmung im Ausschuss gewonnen.

Denn drei Stimmen fehlten denen eigentlich
und zwei Abgeordnete der italienischen

Fünf-Sterne-Bewegung haben mitgestimmt und
dieser Spaßvogel hat eben auch mit dafür

gestimmt.
Applaus

Und das obwohl er eigentlich
nicht einmal in diesem Ausschuss sitzt.

Denn er hat es geschafft, den NPD-Mann im
diesem Ausschuss, Udo Voigt, zu

überzeugen, dass er sein Stellvertreter
sein kann an diesem Tag.

Lachen, Applaus
Also wir müssen Martin Sonneborn danken,

aber ich will an dieser Stelle auch noch
mal explizit wirklich sagen, dass

natürlich die wichtige Vorarbeit an der
Stelle ja von den Verhandlungsführern der

Sozialdemokraten, Marju Lauristin aus
Estland, natürlich Jan Albrecht und sein

Team, die niederländische Abgeordnete der
Liberalen Sophia in 't Veld und auch die

federführende Linke Cornelia Ernst, an der
Stelle echt gute Arbeit geleistet haben.

Applaus
Okay, damit es noch eine kurze Q&A geben

kann, sage ich mal... überspringe ich
jetzt mal so ein paar Kleinigkeiten,

allerdings wichtig: der Lobby-Kampf, die
Lobby-Schlacht ist eben noch lange nicht

vorbei. Das Parlament hat seine Position
beschlossen, bevor die ePrivacy-Verordnung

wirklich verabschiedet wird, muss sich
jetzt der Rat, der EU-Rat, also die

Mitgliedsstaaten, die Regierungen der
Mitgliedsstaaten positionieren. Das dauert

noch an. Die derzeitige bulgarische
Ratspräsidentschaft hat quasi gesagt, es

wird vor Juni 2018 nichts. Eigentlich war
mal geplant, dass die ePrivacy-Verordnung

auch im Mai 2018 in Kraft tritt. Das heißt
für den weiteren Prozess: besser als das,

was das Parlament beschlossen hat, wird es
wahrscheinlich eher nicht mehr. Die

Erfahrungen im Trilog zeigen, und auch das
was bisher schon von den Positionierungen

oder von den ersten Stimmen aus dem Rat zu
hören war, zeigen, es wird eher

schlechter. Zum Beispiel gibt es eine Idee
und einen Vorschlag, die Reichweite der

ePrivacy-Verordnung darauf zu beschränken,
dass nur Daten im Transit, im Transport

sozusagen, davon umfasst sind. De facto
liegen aber die meisten Daten heute in der

Cloud, liegen auf Servern. Und die wären
eben ausgenommen von den ePrivacy-Regeln.

Das heißt der Lobby-Kampf ist noch lange
nicht vorbei und jetzt drehen Tracking-

und Daten-Industrie nochmal richtig auf
und bekommen auch jetzt sehr breite

Unterstützung, also unter anderem auch von
RTL-Chefin Anke Schäferkordt, die sagt,

die EU würde jetzt mit der ganz großen
Datenschutz-Keule kommen, den Werbe-

Verband hatte ich eben schonmal genannt,
die sagen, lasst uns doch lieber weiter das

Modell der Selbstregulierung machen, hat
doch gut funktioniert in den letzten 10

Jahren, dass wir als Tracking-Branche uns
selbst regulieren. Ich hab mir das mal

angeguckt, aber dafür ist jetzt leider
nicht mehr die Zeit, wie diese

Regulierung... Selbstregulierung
eigentlich aussieht. Es gibt einen Code of

Conduct, den man sich mal durchlesen kann,
wo unter anderem drinsteht, dass man

Beschwerden auf der wunderhübschen Seite
meine-cockies.org, die eher aussieht wie

eine Hobby-Seite aus den frühen Nuller
Jahren, irgendwie sich beschweren kann,

falls man ein Problem hat. Und was findet
man dort auf der Seite eben nicht? Ein

Formular. OK. Also. OK, ich krieg das
Zeichen, ich darf das nicht mehr machen.

Deshalb nur noch einmal kurz durch
durchgegangen, ich zeig sie einfach nur an

der Stelle: ePrivacy-Mythen. Es sind
extrem viele Mythen im Umlauf. Wir haben

auf netzpolitik.org vor zwei Wochen ein
sehr lesenswertes Interview, wie ich

finde, dazu veröffentlicht, wo Florian
Glatzner vom Verbraucherzentrale-

Bundesverband einige der zentralen Mythen
wirklich mal aus- und vornimmt. Weil

natürlich die Erzählung, die EU übertreibt
total beim Datenschutz, die wissen nicht

was sie machen, die machen die
Innovationen kaputt in Europa und am Ende

profitieren dann doch nur die bösen
Amerikaner, das sind sehr starke

Erzählungen, die irgendwie gut
funktionieren in der Öffentlichkeit.

Deshalb. Das Fazit kann natürlich an der
Stelle nur lauten "tu wat" oder "tut wat".

Und zwar nicht nur praktisch, sondern eben
auch politisch. Datenschutz rockt oder

kann rocken, wenn er denn vernünftig
durchgesetzt wird und wenn er denn

vernünftig funktioniert. Und es ist an
uns, quasi das einzufordern, das von

Unternehmen einzufordern, die aber auch zu
beraten und es ihnen möglich zu machen,

selber technische Lösungen zu entwickeln,
und vor allen Dingen dem Datenschutz den

gesellschaftlichen Stellenwert zu
besorgen, den er verdient hat, und gerade

auch in den Medien. Also ich kann immer
noch nicht fassen, dass im Jahr 2017 noch

die meisten... noch den meisten
Nachrichtenredaktionen das Thema Datenschutz

zu trocken oder zu kompliziert ist, um
darüber zu berichten. Ich hab - nicht nur

weil ich unsere Texte am besten finde -
sozusagen die ganzen Artikel von uns immer

genommen, wenn ich was gezeigt habe. Es
hat einfach kaum jemand außer noch ein,

zwei Fachmedien darüber berichtet über das
Thema und das kann eigentlich im Jahr 2017

nicht mehr sein. Genau. An der Stelle sage
ich einfach mal Punkt.

Applaus

Wir werden bei netzpolitik.org natürlich

das machen, was wir weiter... was wir
immer machen, wir werden versuchen, alle

Leute mit den Informationen zu versorgen,
die sie brauchen, um selbst mündig sich

mit dem Thema auseinanderzusetzen. Wir
freuen uns über Spenden genauso wie EDRi

und Digitale Gesellschaft, das schiebe ich
nochmal hinterher, die eben im politischen

Prozess wirklich mit Politikerinnen und
Politikern, Verantwortungsträgern sprechen

und dafür sorgen, dass Nutzerinnen- und
Nutzer-Positionen vertreten werden. Also

die alle können unsere... eure
Unterstützung gebrauchen. Vielen Dank.

Applaus

Herald: Danke, Ingo. Ich glaube, wir haben

Zeit für eine Frage. Wenn ihr eine Frage
habt für Ingo, dann nehmt euch bitte eins

dieser Mikrofone in den Gängen, da haben
wir vier Mikrofone ausgestellt. Oh, da ist

jemand ganz schnell am Mikrofon Nummer 2.
Und bitte ganz deutlich ins Mikrofon

reinsprechen, damit wirs auch im Stream
hören können.

M2: Ich versuchs mal ohne sächsischen
Akzent - hallo. Ich hätt ne Frage zu den

Strafen. Ob da auch was reguliert wurde
oder ob da die Lobby Bezug drauf genommen

hat und das ein bisschen runterregulieren
konnte, oder ob sie sich da nicht

durchsetzen konnten.
ID: Nach dem, was ich von außen sozusagen

sagen kann, ist das nicht runter, ist an
der Stelle zumindest das Parlament hat

sich da nicht runterregulieren lassen. Das
ist analog zu dem, was in der Datenschutz-

Grundverordnung steht, und das ist quasi
eine Verhundertfachung, Vertausendfachung

von dem, was heute an Strafen möglich ist.
Also 4% des weltweiten Umsatzes,

das ist eben für einen global agierenden
Konzern dann wirklich so, dass endlich mal

ein empfindliches Maß bekommt. Von daher,
mehr wäre natürlich immer noch möglich, im

Wettbewerbsrecht sind es bis zu 10%
des Konzernumsatzes. Also, da geht noch

was.
H: Gibts es weitere Fragen? Wir haben noch

Zeit für eine weitere oder zwei weitere
Fragen, das war sehr kurz. Oh, am Mikrofon

Nr. 1.
M1: Was würde passieren, wenn ich bei der

Schufa meine Datenlöschung beantrage?
ID: Äääähm... gute Frage. Warte mal, bis

die Datenschutz-Grundverordnung im Mai
2018 in Kraft tritt oder wirksam ist - in

Kraft ist sie ja schon - und dann mach das
mal bitte und dann gib mir Bescheid. Dann

begleiten wir das, dann gucken wir uns das
an.

Lachen

H: Gute Antwort. lacht Und Mikrofon Nr. 2.
M2: Ingo, könntest du bitte nochmal kurz

erläutern, warum diese ePrivacy-Verordnung
zusätzlich zur EU-

Datenschutzgrundverordnung nötig ist. Es
sind sehr viele Sachen, die sind in der

EU-Datenschutzgrundverordnung sehr ähnlich
oder genau identisch geregelt.

ID: Also, der zentrale Punkt ist, dass
es... weil Kommunikationsdaten, Metadaten,

Inhaltsdaten eben besonders sensibel sind,
weil sie eben besonders viel aussagen,

dass es eben ein höheres und ein
konkreteres Schutzniveau bedarf. Also wenn

wir zum Beispiel uns anschauen, was die
Diensteanbieter machen dürfen mit den

Daten von ihren Kunden, dann bietet eben
die ePrivacy-Verordnung die Möglichkeit,

da eine klarere Grenze zu ziehen als das
über die Datenschutzgrundverordnung der

Fall ist. Da gibt es ja leider dieses
legitime Interesse als Verarbeitungsgrund,

das alles heißen kann. Und da ist es
einfach eine klarere, eine striktere

Grenze gezogen, wenn man sagt, nur auf
Basis von Einwilligung. Und sowas wie

privacy by default und Tracking-Schutz
durch Browser ist eben etwas, das über die

Datenschutzgrundverordnung nicht reguliert
ist. Also von daher ist die Antwort, es

ist an der Stelle einerseits eine
Ergänzung, weil bestimmte Sachen einfach

nicht abgedeckt sind durch die
Datenschutzgrundverordnung, die ist ja

sehr allgemein, die ist ja für alles vom
Bäcker eben bis zum Big-Data-Unternehmen,

und eigentlich aus einer Perspektive eines
progressiven Datenschutzes müsste man

sagen, genauso wie es mit der ePrivacy-
Verordnung jetzt für den Bereich

der elektronischen Kommunikation
passiert ist,

müsste man es vielleicht auch noch
für bestimmte andere Bereiche

machen, dass man eben diese sehr
grundsätzlichen, allgemeinen Regelungen,

die es gibt für den Datenschutz insgesamt,
ergänzt durch etwas Spezifisches.

Weil einfach der Datenschutz im
Gesundheitsbereich etwas ganz anderes ist

als jetzt beim Verkauf von Autos.
H: Okay, dann noch die letzte Frage, die

müssten wir auch kurz halten und dann geb
ich das Wort...

ID: Wir haben auch später angefangen.
H: ... an Mikrofon Nummer 1 bitte.

M1: Ja, ganz kurz: Die Lebensmittel-Mafia
hat ja ungefähr 2 Millarden dafür

ausgegeben für Lobby-Arbeit gegen die
Ampel. Ist jetzt schon bekannt, was die

Datenhehler ungefähr monetär an den Start
gebraucht haben?

ID: Kann ich nicht sagen, keine Ahnung.
Aber es ist eben klar, dass die spätestens

seit der Datenschutzgrundverordnung
deutlich besser aufgestellt sind. Also ich

kann es dir nicht monetär sagen, aber der
Aufwand ist enorm und auch allein das

Zahlenverhältnis, wie viele Leute sind vor
Ort und können mit Kommissionsvertretern

sprechen, steht eben in keinem Verhältnis
zu dem, was die digitale Zivilgesellschaft

da auf die Beine kriegen kann derzeit.
H: Okay und damit beenden wir den Talk.

Vielen Dank, Ingo!

Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2018. Mach mit und hilf uns!