Das Bundeskabinett hat das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) verabschiedet.
Die moderne Wirtschaft Deutschlands ist für ihr Funktionieren, die Generierung von Wohlstand und Wachstum und auch für ihre Adaptionsfähigkeit auf geänderte wirtschaftspolitische und geopolitische Rahmenbedingungen angewiesen auf funktionierende und resiliente Infrastrukturen, sowohl im physischen als auch im digitalen Bereich. Diese Faktoren haben in den vergangenen Jahren erheblich an Bedeutung gewonnen. Unternehmen sehen sich nicht nur in ihrem wirtschaftlichen Tun, sondern auch in dessen praktischer Absicherung vor einer Vielzahl von Herausforderungen. Europaweit und global vernetzte Prozesse führen ebenso wie die zunehmende Digitalisierung aller Lebens- und somit auch Wirtschaftsbereiche zu einer höheren Anfälligkeit durch externe, vielfach nicht steuerbare Faktoren. Informationstechnik in kritischen Anlagen sowie in bestimmten Unternehmen spielt dabei eine zentrale Rolle. Ihre Sicherheit und Resilienz bilden auch die Grundlage für die Versorgungssicherheit, von der Versorgung mit Strom und Wasser bis hin zu Siedlungsabfällen. Gleiches gilt für das Funktionieren der Marktwirtschaft in Deutschland und dem Binnenmarkt der Europäischen Union. Die Vernetzung und enge Verzahnung der Wirtschaft innerhalb Deutschlands und der Europäischen Union resultieren in Interdependenzen bei der Cybersicherheit. Die vor diesem Hintergrund erforderlichen Cybersicherheitsanforderungen an juristische und natürliche Personen, die wesentliche Dienste erbringen oder Tätigkeiten ausüben, werden mit der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (ABl. L 333 vom 27. Dezember 2022, S. 80, im Folgenden NIS-2-Richtlinie) in der gesamten Europäischen Union weiter angeglichen.
In Folge des völkerrechtswidrigen russischen Angriffskriegs auf die Ukraine hat sich nach Einschätzung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) im Bericht zur Lage der IT-Sicherheit in Deutschland 2022 die IT-Sicherheitslage insgesamt zugespitzt. Im Bereich der Wirtschaft zählen hierbei Ransomware-Angriffe, Ausnutzung von Schwachstellen, offene oder falsch konfigurierte Online-Server sowie Abhängigkeiten von der IT-Lieferkette und in diesem Zusammenhang auch insbesondere Cyberangriffe über die Lieferkette (sogenannte Supply-Chain-Angriffe) zu den größten Bedrohungen. Zusätzlich zu den bereits bekannten Bedrohungen entstanden in Folge des russischen Angriffskriegs auf die Ukraine und der damit einhergehenden „Zeitenwende“ auch neue Bedrohungen oder die Einschätzungen zu bereits bekannten Bedrohungen mussten aufgrund veränderter Rahmenbedingungen geändert werden. Beispiele hierfür bestehen im Bereich Hacktivismus, insbesondere mittels Distributed-Denial-of-Service (DDoS)-Angriffen oder auch durch in Deutschland erfolgte Kollateralschäden in Folge von Cyber-Sabotage-Angriffen im Rahmen des Krieges. Zudem haben auch Störungen und Angriffe im Bereich der Lieferketten sowohl aus den Bereichen Cybercrime als auch im Rahmen des Krieges zuletzt zugenommen. Diese Phänomene treten nicht mehr nur vereinzelt auf, sondern sind insgesamt Teil des unternehmerischen Alltags. Eine Erhöhung der Resilienz der Wirtschaft gegenüber den Gefahren der digitalen Welt ist daher eine zentrale Aufgabe für die beteiligten Akteure in Staat, Wirtschaft und Gesellschaft, um den Wirtschaftsstandort Deutschland robust und leistungsfähig zu halten
Für das Informationssicherheitsmanagement in der Bundesverwaltung haben sich die bisherigen Steuerungsinstrumente auf überwiegend untergesetzlicher Basis als nicht ausreichend effektiv erwiesen, um eine flächendeckende wirksame Steigerung des Sicherheitsniveaus zu erreichen. Dies haben insbesondere Sachstandserhebungen zum Umsetzungsplan Bund sowie Prüfungen des Bundesrechnungshofs (BRH) bestätigt. Vor dem Hintergrund der durch aktuelle geopolitische Entwicklungen („Zeitenwende“) abermals verschärften Bedrohungslage hat sich das Risiko für staatliche Einrichtungen zudem weiter erhöht, durch Gefährdungen aus dem Cyberraum in ihrer Handlungsfähigkeit eingeschränkt zu werden.
Dieser Entwurf steht im Kontext der gefährdeten rechtzeitigen Erreichung der Ziele der Resolution der Generalversammlung der Vereinten Nationen vom 25. September 2015 „Transformation unserer Welt: die UN-Agenda 2030 für nachhaltige Entwicklung“. Der Entwurf soll insbesondere zur Erreichung des Nachhaltigkeitsziels 9 der UN-Agenda 2030 beitragen, eine hochwertige, verlässliche und widerstandsfähige Infrastruktur aufzubauen.
B. Lösung, Nutzen
Entsprechend der unionsrechtlichen Vorgaben wird der mit dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) vom 17. Juli 2015 (BGBl. I 2015 S. 1324) und dem Zweiten Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz 2.0) vom 18. Mai 2021 (BGBl. I 2021, S. 1122) geschaffene Ordnungsrahmen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz für den Bereich bestimmter Unternehmen erweitert, zusätzlich werden entsprechende Vorgaben für die Bundesverwaltung eingeführt. Schwerpunktmäßig werden folgende Änderungen vorgenommen:
– Einführung der durch die NIS-2-Richtlinie vorgegebenen Einrichtungskategorien, die mit einer signifikanten Ausweitung des bisher auf Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse beschränkten Anwendungsbereichs einhergeht.
– Der Katalog der Mindestsicherheitsanforderungen des Artikels 21 Absatz 2 NIS-2- Richtlinie wird in das BSI-Gesetz übernommen, wobei in der Intensität der jeweiligen Maßnahme aus Gründen der Verhältnismäßigkeit zwischen den Kategorien ausdifferenziert wird.
– Die bislang einstufige Meldepflicht bei Vorfällen wird durch das dreistufige Melderegime der NIS-2-Richtlinie ersetzt. Dabei soll der bürokratische Aufwand für die Einrichtungen im Rahmen des bestehenden mitgliedstaatlichen Umsetzungsspielraums minimiert werden.
– Ausweitung des Instrumentariums des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Hinblick auf von der NIS-2-Richtlinie vorgegebene Aufsichtsmaßnahmen.
– Gesetzliche Verankerung wesentlicher nationaler Anforderungen an das Informationssicherheitsmanagement des Bundes und Abbildung der zugehörigen Rollen und Verantwortlichkeiten
– Harmonisierung der Anforderungen an Einrichtungen der Bundesverwaltung aus nationalen und unionsrechtlichen Vorgaben, um ein insgesamt kohärentes und handhabbares Regelungsregime zu gewährleisten.
– Etablierung eines CISO Bund als zentralem Koordinator für Maßnahmen zur Informationssicherheit in Einrichtungen der Bundesverwaltung und zur Unterstützung der Ressorts bei der Umsetzung der Vorgaben für das Informationssicherheitsmanagement.
Ziel der NIS-2-Richtlinie ist die Einführung verbindlicher Maßnahmen für Verwaltung und Wirtschaft, mit denen in der gesamten Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau sichergestellt werden soll. Wichtige und besonders wichtige Einrichtungen sollen vor Schäden durch Cyberangriffe geschützt und das Funktionieren des europäischen Binnenmarktes verbessert werden. Die Konsequenzen eines Cyberangriffes sind sehr vielfältig und können nicht vollständig quantifiziert werden. So können durch Ransomware-Angriffe Server medizinischer Einrichtungen verschlüsselt werden, was die Aufnahme neuer Notfälle und die ambulante Patientenversorgung tagelang verhindert. Dies etwa sind Risiken und Gefahren für Leib und Leben der Bevölkerung, die nicht in monetären Größen ausgedrückt werden können. Bezogen auf die unmittelbar durch Cyberangriffe verursachten und bezifferbaren Schäden für Unternehmen in Deutschland schätzt der Branchenverband der deutschen Informations- und Telekommunikationsunternehmen (Bitkom e. V.) ein jährliches Gesamtschadensvolumen von rund 223,5 Milliarden Euro für das Jahr 2021. Im Jahr 2022 lag das Gesamtschadensvolumen bei 202,7 Milliarden Euro und im Jahr 2023 voraussichtlich bei 205,9 Milliarden Euro. Im Schnitt verursachen Cyberangriffe für Unternehmen in Deutschland einen jährlichen Gesamtschaden von rund 210,7 Milliarden Euro in den letzten drei Jahren. Dabei hat Bitkom deutsche Unternehmen mit mindestens 10 Beschäftigten und einem Jahresumsatz von mindestens einer Millionen Euro befragt. Im Unternehmensregister des Statistischen Bundesamts waren im Berichtsjahr 2021 insgesamt rund 3,4 Millionen rechtliche Einheiten registriert, davon beschäftigten 444 055 rechtliche Einheiten mindestens 10 Beschäftigten. Unter der Annahme einer Gleichverteilung des Gesamtschadensvolumens auf die Unternehmen mit mindestens 10 Beschäftigten ergibt sich ein Schadensvolumen pro Unternehmen von rund 500 000 Euro (=210,7 Milliarden Euro / 444 055 Unternehmen). Es ist anzunehmen, dass selbst bei einer vollständigen Umsetzung der von der NIS-2-Richtlinie vorgegebenen Sicherheitsstandards nicht alle Schäden durch Cyberangriffe abgewehrt werden können. Nimmt man jedoch an, dass durch die Umsetzung der vorliegenden Vorgaben die Hälfte des jährlich verursachten Schadens in den zur Umsetzung der NIS-2-Richtlinie verpflichteten Unternehmen abgewehrt werden kann, so ergibt sich pro Unternehmen ein abgewehrter Schaden von rund 250 000 Euro. Hochgerechnet auf die voraussichtlich geschätzte Anzahl betroffener Unternehmen bedeutet dies einen abgewehrten Gesamtschaden in Höhe von ca. 3,6 Milliarden Euro (= 250 000 Euro * 14 500 Unternehmen) für die deutsche Wirtschaft. Zusätzlich zu dem hier geschätzten abgewehrten Schaden in Höhe von ca. 3,6 Milliarden bei den Unternehmen muss ebenfalls ein mangels verfügbarer Daten nicht bezifferbarer abgewehrter Schaden in der öffentlichen Verwaltung sowie weitere Schäden mitberücksichtigt werden.
Der Regierungsentwurf der Einwilligungsverwaltungs-Verordnung (EinwVO) nach § 26 Abs. 2 TTDSG (Einwilligung zum Speichern von Informationen nach § 25 Abs.1 TTDSG) liegt nunmehr mit Stand vom 07.03.2024 vor.
Aus dem Entwurf: A. Problem und Ziel
§ 26 Absatz 1 des Telekommunikation-Telemedien-Datenschutz-Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982; 2022 I S. 1045) (TTDSG) bestimmt, dass eine unabhängige Stelle Dienste anerkennen kann, die unter anderem nutzerfreundliche und wettbewerbskonforme Verfahren bereitstellen, um die nach § 25 Absatz 1 TTDSG erforderliche Einwilligung von Endnutzern zu verwalten. Viele Anbieter von Telemedien greifen auf die Endeinrichtungen der Endnutzer (§ 2 Absatz 2 Nummer 6 TTDSG) zu, um hier Informationen zu speichern oder bereits gespeicherte Informationen abzurufen. Dies geschieht häufig durch den Einsatz von Cookies oder ähnlich funktionierenden Trackingtechnologien. Anhand der im Cookie oder durch ähnliche Trackingtechnologien gespeicherten Informationen kann der Webserver unter anderem den Endnutzer wiedererkennen, benutzerspezifische Einstellungen wiederherstellen, Reichweitenmessungen vornehmen, Aktivitäten nachverfolgen (sog. Tracking) oder individuelle Werbung einblenden. Nach § 25 Absatz 1 TTDSG dürfen Anbieter von Telemedien nur dann Informationen in der Endeinrichtung des Endnutzers speichern oder auf dort bereits gespeicherte Informationen zugreifen, wenn der Endnutzer nach Maßgabe der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72, L 127 vom 23.5.2018, S. 2, L 74 vom 4.3.2021, S. 35) eingewilligt hat. Eine Ausnahme vom Erfordernis einer Einwilligung in den Einsatz von Cookies oder ähnlichen Trackingtechnologien besteht nach § 25 Absatz 2 TTDSG nur, wenn der alleinige Zweck hierfür die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn der Einsatz unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Endnutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann. Für das Erfordernis einer Einwilligung nach § 25 Absatz 1 TTDSG kommt es nicht darauf an, dass personenbezogene Daten verarbeitet werden. Die in Artikel 6 Absatz 1 Buchstabe b bis f der Verordnung (EU) 2016/679 vorgesehenen Möglichkeiten, Daten ohne Einwilligung zu verarbeiten, finden hier keine Anwendung. Deshalb müssen Anbieter von Telemedien die Endnutzer bei jeder Inanspruchnahme ihres Dienstes nach einer Einwilligung in den Einsatz der unterschiedlichen Arten von Cookies oder ähnlicher Trackingtechnologien fragen. In der Praxis erfolgt dies mittels sogenannter Einwilligungsbanner. Einwilligungsbanner dienen den Anbietern von Telemedien auch dazu, Einwilligungen in die weitere Verarbeitung personenbezogener Daten nach Artikel 6 Absatz 1 Buchstabe a der Verordnung (EU) 2016/679 einzuholen, sodass Endnutzer häufig mit einer Vielzahl von Einwilligungsbannern im Internet Anerkannte Dienste zur Einwilligungsverwaltung sollen eine anwenderfreundliche Alternative zu der Vielzahl zu treffender Einzelentscheidungen für Endnutzer schaffen. Sie verwalten die vom Endnutzer getroffene Entscheidung darüber, ob er eine Einwilligung gegenüber einem Anbieter von Telemedien erteilt oder nicht erteilt, und sie übermitteln diese Entscheidung dem Anbieter von Telemedien, wenn dieser sie nachfragt. Bekommen die Anbieter von Telemedien die Einwilligung oder die Nichterteilung der Einwilligung auf diese Weise übermittelt, sind sie nicht mehr auf eine eigene Nachfrage beim Endnutzer nach § 25 Absatz 1 Satz 1 TTDSG angewiesen. Die Endnutzer werden durch die Reduzierung von Einwilligungsanfragen entlastet.
§ 26 Absatz 2 TTDSG ermächtigt die Bundesregierung, durch eine Rechtsverordnung mit Zustimmung des Bundestages und des Bundesrates Folgendes zu regeln:
- die Anforderungen an nutzerfreundliche und wettbewerbskonforme Verfahren, die ein Dienst zur Einwilligungsverwaltung anbieten muss, um anerkannt zu werden,
- das Verfahren der Anerkennung und
- die technischen und organisatorischen Maßnahmen, damit Software zum Abrufen und Darstellen von Informationen aus dem Internet und Anbieter von Telemedien die über einen eingebundenen anerkannten Dienst zur Einwilligungsverwaltung verwalteten Einstellungen der Endnutzer hinsichtlich der Einwilligung nach § 25 Absatz 1 TTDSG berücksichtigen können.
Mit dieser Rechtsverordnung soll diese Ermächtigung umgesetzt werden.
B. Lösung
Durch die Einbindung eines anerkannten Dienstes zur Einwilligungsverwaltung soll den Endnutzern ein transparentes Werkzeug zur Verfügung stehen, mittels dessen sie ihre Einwilligungen erteilen oder nicht erteilen und ihre Entscheidungen jederzeit nachvollziehen und überprüfen können. Die Anerkennung durch eine unabhängige Stelle soll für die Endnutzer und die Anbieter von Telemedien einen Anreiz bieten, solche Dienste zur Einwilligungsverwaltung zu nutzen, und das Vertrauen in ein rechtssicheres Verfahren stärken. Für Anbieter von Telemedien bietet dieses Verfahren eine Möglichkeit, die Einwilligungen der Endnutzer nach § 25 Absatz 1 TTDSG nutzerfreundlich zu erfragen, ohne den Endnutzer bei der Inanspruchnahme ihres Dienstes durch die Einblendung ihres Einwilligungsbanners stören zu müssen. Neben der Verwaltung von erteilten und nicht erteilten Einwilligungen nach § 25 Absatz 1 TTDSG, die sich auf das Speichern und das Auslesen von Informationen auf Endeinrichtungen des Endnutzers beziehen, können die anerkannten Dienste zur Einwilligungsverwaltung auch, soweit es mit den Vorgaben von § 26 TTDSG und dieser Rechtsverordnung vereinbar ist, weitere Dienste für die Endnutzer übernehmen. Hierzu zählen beispielsweise die Geltendmachung von Datenschutz-Betroffenenrechten oder die Verwaltung von Einwilligungen in die Verarbeitung personenbezogener Daten. Letzteres kann insbesondere dann für Endnutzer und Anbieter von Telemedien vorteilhaft sein, wenn der Einsatz eines Cookies oder einer ähnlichen Trackingtechnologie die einwilligungsbedürftige Verarbeitung personenbezogener Daten zur Folge hat.
Das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) hat den Referentenentwurf eines Gesetzes zur Modernisierung des Postrechts (Postrechtsmodernisierungsgesetz – PostModG) vorgelegt.
Aus dem Entwurf: A. Problem und Ziel
Das Postgesetz vom 22. Dezember 1997 (BGBl. I S. 3294) hat die Briefmärkte in Deutschland für den Wettbewerb geöffnet und die flächendeckende Versorgung mit Postdienstleistungen während des Liberalisierungsprozesses und nach dessen Vollendung sichergestellt. Über 25 Jahre nach Inkrafttreten des Postgesetzes ist es erforderlich, den Postrechtsrahmen zu modernisieren, damit er für die heutigen Herausforderungen, vor denen die Postmärkte stehen, die richtigen Instrumente zur Verfügung stellt.
Zu den wesentliche Neuerungen, die diese Modernisierung erforderlich machen, gehören der Wandel der Bedeutung des Briefs und die damit einhergehenden veränderten Anforderungen an den postalischen Universaldienst und dessen Finanzierung, die Auswirkungen zunehmender Paketmengen und eines intensiven Wettbewerbs auf die Arbeitsbedingungen der Beschäftigten, der Einfluss zunehmender Lieferverkehre auf Natur und Umwelt sowie die Einflüsse der fortschreitenden Digitalisierung auf alle Bereiche des Postwesens. Aufgrund dieser umfassenden Veränderungen sind grundlegende Überarbeitungen aller Bereiche postrechtlicher Vorgaben auf formal gesetzlicher und verordnungsrechtlicher Ebene erforderlich. Zudem bedarf es der Ergänzung des Normbestandes in solchen Bereichen, in denen die beschriebenen Veränderungen bisher nicht oder nicht anforderungsgemäß durch postrechtliche Regelungen aufgegriffen werden. Hierbei steht insbesondere die sozial-ökologische Ausrichtung des Postsektors im Vordergrund. Grundlegender Überarbeitung und Ergänzung bedürfen die Befugnisse der Bundesnetzagentur als Regulierungsbehörde für den Postsektor. Umfangreiche Verweise auf andere, inzwischen mehrfach geänderte Gesetze, insbesondere das Telekommunikationsgesetz, haben zu rechtlichen Unklarheiten geführt.
Bei allen Anpassungen und Ergänzungen postrechtlicher Vorgaben sind stets die im Jahr 2008 zuletzt angepassten Vorgaben der europäischen Postdienste-Richtlinie 97/67/EG umzusetzen, die den Universaldienst in seinen wesentlichen Zügen vorgeben. Ebenfalls zu berücksichtigen sind die Vorgaben der Verordnung (EU) 2018/644, zu deren effizienter Durchsetzung Befugnisse für die nationale Regulierungsbehörde zu schaffen sind.
B. Lösung
Mit dem vorliegenden Gesetzentwurf wird eine grundlegende Novellierung des Postrechts unternommen. Bestehende Regelungen wurden vor dem Hintergrund der beschriebenen Veränderungen überarbeitet und ergänzt. Ziel des Gesetzes ist es, auch in Zukunft flächendeckend angemessene und ausreichende Postdienstleistungen zu gewährleisten, den fairen Wettbewerb zu stärken, angemessene Arbeitsbedingungen zu fördern und Anreize für einen ökologisch nachhaltigen Postsektor zu setzen. Insbesondere im Hinblick auf die beiden zuletzt genannten Aspekte werden erstmals konkrete sektorspezifische Vorgaben für sozial-ökologische Standards in einem modernen Postsektor gesetzt.
Aus dem Entwurf: A. Problem und Ziel § 26 Absatz 1 des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) bestimmt, dass eine zuständige unabhängige Stelle Dienste anerkennen kann, die nutzerfreundliche und wettbewerbskonforme Verfahren bereitstellen, um die nach § 25 Absatz 1 TTDSG erforderliche Einwilligung von Endnutzern zu verwalten.
Viele Anbieter von Telemedien greifen auf die Endeinrichtungen der Endnutzer zu, um hier Informationen zu speichern oder bereits gespeicherte Informationen abzurufen. Dies geschieht häufig durch den Einsatz von Cookies. Anhand der im Cookie gespeicherten Informationen kann der Webserver u. a. den Endnutzer wiedererkennen, benutzerspezifische Einstellungen wiederherstellen, Reichweitenmessungen vornehmen, Aktivitäten nachverfolgen (sog. Tracking) oder individuelle Werbung einblenden. Nach § 25 Absatz 1 TTDSG dürfen Anbieter von Telemedien nur dann Informationen in der Endeinrichtung des Endnutzers speichern oder auf dort bereits gespeicherte Informationen zugreifen, wenn der Endnutzer nach Maßgabe der Verordnung (EU) 216/679 eingewilligt hat. Eine Ausnahme vom Einwilligungserfordernis in Cookies besteht nach § 25 Absatz 2 TTDSG nur, wenn der alleinige Zweck hierfür die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder ein Cookie unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann. Für das Erfordernis einer Einwilligung nach § 25 Absatz 1 TTDSG kommt es nicht darauf an, ob personenbezogene Daten verarbeitet werden. Die Möglichkeiten der Verordnung (EU) 216/679, Daten ohne Einwilligung zu verarbeiten, finden hier keine Anwendung. Deshalb müssen Anbieter von Telemedien die Endnutzer bei jeder Inanspruchnahme ihres Dienstes nach den Einwilligungen der Endnutzer in die unterschiedlichen Arten von Cookies fragen. In der Praxis erfolgt dies häufig mittels sogenannter Cookie-Einwilligungs-Banner.
Anerkannte Dienste zur Einwilligungsverwaltung sollen eine anwenderfreundliche Alternative zu der Vielzahl zu treffender Einzelentscheidungen für Endnutzer schaffen. Sie verwalten die vom Endnutzer getroffenen Entscheidungen, ob sie eine Einwilligung nach § 25 Absatz 1 TTDSG gegenüber einem Anbieter von Telemedien erteilen oder nicht, und übermitteln die Entscheidung an den Anbieter von Telemedien, wenn dieser sie nachfragt. Bekommen die Anbieter von Telemedien die Einstellungen des Endnutzers zur Einwilligung auf diese Weise übermittelt, sind sie nicht mehr auf eine eigene Abfrage der Einwilligung nach § 25 Absatz 1 TTDSG angewiesen.
§ 26 Absatz 2 TTDSG ermächtigt die Bundesregierung, durch Rechtsverordnung zu regeln:
- die Anforderungen an die Nutzerfreundlichkeit und Wettbewerbskonformität, die ein Dienst zu Einwilligungsverwaltung erfüllen muss, um anerkannt werden zu können,
- das Anerkennungsverfahren und
- die technischen und organisatorischen Maßnahmen, die Software zum Abrufen und Darstellen von Informationen aus dem Internet und Anbietern von Telemedien ergreifen können, damit diese die Einstellungen, die ein Endnutzer über einen anerkannten Dienst zur Einwilligungsverwaltung vornimmt, befolgen und sie die Einbindung des anerkannten Dienstes bei der Abfrage der Einwilligung nach § 25 TTDSG berücksichtigen.
Mit dieser Verordnung soll diese Ermächtigung umgesetzt werden.
B. Lösung
Die EinwV regelt die erforderlichen Anforderungen für nutzerfreundliche und wettbewerbskonforme Verfahren zur Verwaltung der von den Endnutzern erteilten Einwilligungen nach § 25 Absatz 1 TTDSG. Durch die Einbindung eines anerkannten Dienstes zur Einwilligungsverwaltung wird den Endnutzern ein transparentes Werkzeug zur Verfügung gestellt, durch das sie Einstellungen zur Einwilligung vornehmen, jederzeit nachvollziehen und überprüfen können. Die Anerkennung durch eine zuständige Stelle soll für die Endnutzer und Anbieter von Telemedien einen Anreiz bieten, solche Dienste zur Einwilligungsverwaltung zu nutzen und das Vertrauen in ein rechtssicheres Verfahren stärken. Für Anbieter von Telemedien bietet dieses Verfahren eine Möglichkeit, die Einwilligungen nach § 25 Absatz 1 TTDSG nutzerfreundlich zu erfragen, ohne die Inanspruchnahme ihres Dienstes durch die Einblendung eines Cookie-Einwilligungs-Banner stören zu müssen.
Aus dem Entwurf: Das Bundesarbeitsgericht (BAG) hat am 13. September 2022 entschieden, dass die gesamte Arbeitszeit der Arbeitnehmerinnen und Arbeitnehmer aufzuzeichnen ist (BAG - 1 ABR 22/21). Dabei bezieht sich das BAG auf ein Urteil des Europäischen Gerichtshofs (EuGH) vom 14. Mai 2019, welches die Auslegung der Richtlinie 2003/88/EG (Arbeitszeitrichtlinie) sowie der Richtlinie 89/391/EWG (Arbeitsschutz-Rahmenrichtlinie) betrifft (EuGH Rs. 55/18 CCOO). Der Arbeitgeber ist bei unionsrechtskonformer Auslegung von § 3 Absatz 2 Arbeitsschutzgesetz (ArbSchG) verpflichtet, ein System einzuführen und zu nutzen, mit dem die geleistete Arbeitszeit erfasst werden kann.
Die Arbeitszeiten sind im Zuge der Globalisierung und der Digitalisierung in den vergangenen Jahren immer flexibler geworden. Gerade in einer flexiblen Arbeitswelt kommt der Erfassung der geleisteten Arbeitszeiten eine besondere Bedeutung zu. Die Erfassung der Arbeitszeiten erleichtert dem Arbeitgeber die Kontrolle der gesetzlichen Höchstarbeitszeiten und Mindestruhezeiten. Sie leistet damit auch einen Beitrag, um die Gesundheit und Sicherheit der Arbeitnehmerinnen und Arbeitnehmer in einer flexiblen Arbeitswelt zu gewährleisten.
Mit dem vorliegenden Gesetzentwurf sollen im Arbeitszeitgesetz (ArbZG) sowie im Jugendarbeitsschutzgesetz (JArbSchG) Regelungen für die Aufzeichnung der gesamten Arbeitszeit geschaffen werden.
B. Lösung
Im Arbeitszeitgesetz sowie im Jugendarbeitsschutzgesetz werden in Folge der Entscheidungen des EuGH und des BAG Vorgaben zur Arbeitszeiterfassung geregelt. Der Arbeitgeber wird verpflichtet, Beginn, Ende und Dauer der täglichen Arbeitszeit der Arbeitnehmerinnen und Arbeitnehmer sowie der beschäftigten Jugendlichen jeweils am Tag der Arbeitsleistung elektronisch aufzuzeichne
A. Problem und Ziel
Ziel der vorgeschlagenen Neuregelungen ist es, den Einsatz von Videokonferenztechnik in der Zivilgerichtsbarkeit sowie in den Fachgerichtsbarkeiten (Verwaltungsgerichtsbarkeit, Finanzgerichtsbarkeit, Arbeitsgerichtsbarkeit, Sozialgerichtsbarkeit) weiter zu fördern. Der Einsatz von Videokonferenztechnik ist Ausdruck einer modernen, digitalen und bürgernahen Justiz. Von den bereits seit längerem bestehenden rechtlichen und technischen Möglichkeiten, mündliche Verhandlungen, Güteverhandlungen und Erörterungstermine sowie die Vernehmung von Zeugen, Sachverständigen und Parteien per Bild- und Tonübertragung durchzuführen, wurde erst infolge der Corona-Pandemie in größerem Umfang Gebrauch gemacht. Mittlerweile sind Videoverhandlungen und Videobeweisaufnahmen in vielen Fällen zu einem unverzichtbaren Instrument für eine effiziente Verfahrensführung geworden. Es ist zu erwarten, dass der Einsatz von Videokonferenztechnik auch künftig und unabhängig von einer pandemischen Lage ein wichtiger Bestandteil der Verfahrensgestaltung bleiben wird. Verfahren können damit schneller, kostengünstiger, ressourcenschonender und nachhaltig durchgeführt werden. Dies erhöht im Sinne von Ziel 16 der Ziele für nachhaltige Entwicklung die Leistungsfähigkeit der Justiz.
Die praktischen Erfahrungen mit dem Einsatz von Videokonferenztechnik haben Anpassungs- und Konkretisierungsbedarf bei den seit langem unveränderten verfahrensrechtlichen Grundlagen aufgezeigt. Um einerseits den Gerichten möglichst große Gestaltungsspielräume bei der Planung, Anordnung und Durchführung von Terminen per Bild- und Tonübertragung einzuräumen und andererseits den Interessen der Parteien und ihrer Prozessvertreter Rechnung zu tragen, braucht es klare und praxistaugliche Regelungen.
Um das Potential, das die heute verfügbare Technik für eine bürgerfreundliche und flexible Verfahrensgestaltung bietet, noch besser zu nutzen, soll mit dem Entwurf auch über die mündliche Verhandlung hinaus in weiteren zivilprozessualen Verfahrenssituationen und bei anderen gerichtlichen Terminen der Einsatz von Videokonferenztechnik die physische Präsenz an einem bestimmten Ort entbehrlich machen.
Schließlich soll die zunehmend vorhandene Videokonferenztechnik mit Aufzeichnungsfunktion dazu genutzt werden, die vorläufige Protokollaufzeichnung zu erleichtern und zu verbessern und eine audiovisuelle Dokumentation insbesondere der Beweisaufnahme ermöglichen.
B. Lösung
Der Entwurf will die Möglichkeiten des Einsatzes von Videokonferenztechnik in den Verfahrensordnungen über die geltende Rechtslage hinaus erweitern.
– Dieses Ziel soll in erster Linie durch eine Neufassung des § 128a der Zivilprozessordnung (ZPO) erreicht werden. Danach soll künftig das Gericht (in Person der Vorsitzenden oder des Vorsitzenden) eine Videoverhandlung nicht mehr nur gestatten, sondern anordnen können. Dies erleichtert die Terminierung von mündlichen Verhandlungen und kann so zur einer Verfahrensbeschleunigung beitragen. Die Verfahrensbeteiligten sollen innerhalb einer vom Vorsitzenden zu bestimmenden Frist beantragen können, sie von der Anordnung einer Videoverhandlung auszunehmen.
– Umgekehrt soll bei übereinstimmenden Anträgen der Parteien auf Durchführung einer Videoverhandlung das Entscheidungsermessen des Gerichts durch eine „Soll“-Vorschrift dahingehend eingeschränkt werden, dass eine Videoverhandlung in der Regel durch das Gericht anzuordnen ist. Eine ausnahmsweise ablehnende Entscheidung ist vom Gericht zu begründen und anfechtbar.
– Weiterhin soll die Möglichkeit zur Durchführung einer vollvirtuellen Verhandlung geschaffen werden, bei der sich auch das Gericht nicht im Sitzungssaal aufhält. Um auch in diesen Fällen die Öffentlichkeit zu gewährleisten, muss die Videoverhandlung zusätzlich in einen öffentlich zugänglichen Raum im Gericht in Bild und Ton übertragen werden.
– Die Regelungen zur Beweisaufnahme per Bild- und Tonübertragung werden aus systematischen Gründen in § 284 ZPO-E verschoben. Aus dem umfassenden Verweis auf die Neuregelung in § 128a ZPO-E zur Videoverhandlung folgt, dass auch eine Videobeweisaufnahme von Amts wegen angeordnet werden kann. Die vorgeschlagene Neuregelung lässt zudem eine Inaugenscheinnahme im Wege der Videobeweisaufnahme zu. Um sicherzustellen, dass Beweispersonen während einer Videovernehmung nicht von Dritten beeinflusst werden können, kann das Gericht gegenüber zu vernehmenden Zeugen und Parteien zusätzlich anordnen, dass sich diese während der Videovernehmung in einem Gericht aufzuhalten haben.
– Die bisher für die Nutzung von Videokonferenztechnik nach den Gerichtskostengesetzen zu erhebende Auslagenpauschale soll entfallen.
– Des Weiteren soll auch die Abgabe von Anträgen und Erklärungen zu Protokoll der Geschäftsstelle per Bild- und Tonübertragung zugelassen werden (§ 129a ZPO-E). Bisher wird die persönliche Anwesenheit der Rechtsuchenden in der Rechtsantragstelle vorausgesetzt.
– Außerdem soll das Verfahren zur Abnahme der Vermögensauskunft durch den Gerichtsvollzieher um die Möglichkeit erweitert werden, die Vermögensauskunft auch per Bild- und Tonübertragung oder an einem anderen geeigneten Ort als in den Geschäftsräumen des Gerichtsvollziehers oder in der Wohnung des Schuldners abzunehmen (§ 802f ZPO-E).
– Schließlich sollen die Regelungen zur vorläufigen Protokollaufzeichnung erweitert werden. Zusätzlich zu der bereits zulässigen Tonaufzeichnung soll die Möglichkeit für das Gericht geschaffen werden, auch eine Bild-Ton-Aufzeichnung anzufertigen. Zudem soll für bestimmte Verfahren ein Antragsrecht der Parteien auf eine audio- oder audiovisuelle Dokumentation der Aussagen von Zeugen, Sachverständigen oder der zu vernehmenden Partei eingeführt werden. Diese Aufzeichnungen sollen die Grundlage für die Anfertigung des Protokolls der Beweisaufnahme sein. Die Parteien sollen Einsichtsrechte in die vorläufigen Aufzeichnungen erhalten, um die Richtigkeit des Protokolls überprüfen und ggf. Berichtigung beantragen zu können.
Aus dem Entwurf: A. Problem und Ziel
Mit Urteil vom 20. September 2022 – C-793/19 und C-794/19 – hat der Gerichtshof der Europäischen Union (EuGH) entschieden, dass die Vorschriften des deutschen Rechts zur sogenannten Vorratsdatenspeicherung nicht mit dem Unionsrecht vereinbar sind. Diese Entscheidung fügt sich in die bisherige Rechtsprechung des Gerichtshofs seit dem Jahr 2014 ein, wonach eine generelle und unterschiedslose Vorratsspeicherung sämtlicher Verkehrs- und Standortdaten aller Nutzer auch zur Bekämpfung schwerer Kriminalität nicht mit dem Unionsrecht vereinbar ist.
Schon zuvor liefen die im Jahr 2015 eingeführten Regelungen zur „Vorratsdatenspeicherung“ in den §§ 175 bis 181 des Telekommunikationsgesetzes (TKG) und in § 100g Absatz 2 der Strafprozessordnung (StPO) weitgehend leer. Nachdem das Oberverwaltungsgericht Nordrhein-Westfalen im Juni 2017 im Eilverfahren die Speicherpflicht gegenüber den klagenden Telekommunikationsdienste-Anbietern einstweilig ausgesetzt hatte, verzichtete die Bundesnetzagentur nämlich bis zur endgültigen Klärung, ob diese Vorschriften europarechtskonform sind, auf jegliche Maßnahmen zur Durchsetzung der gesetzlich nach wie vor bestehenden Speicherpflicht.
Diese Klärung hat der EuGH nunmehr vorgenommen. Aus seinem Urteil folgt, dass der Versuch einer unionsrechtskonformen Ausgestaltung einer anlasslosen „Vorratsdatenspeicherung“ zu Strafverfolgungszwecken im nationalen Recht gescheitert ist; eine Neuauflage der allgemeinen und unterschiedslosen „Vorratsdatenspeicherung“ aller Verkehrsdaten ist aufgrund der höchstrichterlichen Vorgaben nicht möglich.
Zur effektiven Erlangung von digitalen Beweismitteln steht aber eine Alternative zur Verfügung. Der EuGH hat in seinem Urteil vom 20. September 2022 ausdrücklich ausgeführt, dass mit einer anlassbezogenen Sicherung von Verkehrsdaten für einen festgelegten Zeitraum, die einer wirksamen richterlichen Kontrolle unterliegt, ein grundrechtsschonenderes und effektives Ermittlungsinstrument vorhanden ist, welches einer unionsrechtskonformen Regelung im Strafverfahrensrecht zugänglich ist. Diese Vorgaben des Gerichtshofs zu einer unionsrechtskonformen, anlassbezogenen Verkehrsdatenspeicherung sollen mit diesem Gesetz umgesetzt werden.
B. Lösung
Mit diesem Gesetz werden zum einen als zwingende Folge des Urteils des EuGH vom 20. September 2022 – C-793/19 und C-794/19 – die gegen das Unionsrecht verstoßenden Regelungen der „Vorratsdatenspeicherung“ in § 100g Absatz 2 StPO und in den §§ 175 bis 181 TKG aufgehoben.
Zugleich wird in einem neu gefassten § 100g Absatz 5 StPO das Ermittlungsinstrument einer Sicherungsanordnung bereits vorhandener und künftig anfallender Verkehrsdaten eingeführt. Deren Sicherung soll anlassbezogen zur Verfolgung von erheblichen Straftaten zulässig sein, soweit die Verkehrsdaten für die Erforschung des Sachverhalts oder zur Ermittlung des Aufenthaltsorts eines Beschuldigten von Bedeutung sein können. Die Maßnahme soll im Grundsatz nur auf Anordnung eines Richters zulässig sein. Damit wird die Menge der zu speichernden Daten auf das notwendige Maß begrenzt, da nur die bei den Anbietern von Telekommunikationsdiensten aus geschäftlichen Gründen ohnehin bereits vorhandenen und künftig anfallenden Verkehrsdaten gesichert werden dürfen („Einfrieren“). Diese Daten stehen den Strafverfolgungsbehörden für eine begrenzte Zeit für eine spätere Erhebung und Auswertung zur Verfügung, die freilich einer erneuten richterlichen Anordnung bedarf („Auftauen“).
Die vorgeschlagene Regelung – auch „Quick-Freeze-Regelung“ genannt – steht im Einklang mit den Anforderungen, die der EuGH in seiner Rechtsprechung zur „Vorratsdatenspeicherung“ seit 2014 formuliert hat. Auch das von der Bundesrepublik Deutschland unterzeichnete und ratifizierte Übereinkommen des Europarats über Computerkriminalität, die sogenannte Budapest-Konvention, enthält in Artikel 16 eine Verpflichtung der Vertragsstaaten, die zuständigen Behörden zu ermächtigen, die umgehende Sicherung von Verkehrsdaten anzuordnen.
Es handelt sich also um eine neue Ausgestaltung der verpflichtenden Verkehrsdatenspeicherung, die einerseits den Grundrechtsschutz der Nutzer von Telekommunikationsdiensten gewährleistet. Andererseits wird den Strafverfolgungsbehörden ein rechtssicheres und effektives Ermittlungsinstrument zur Bekämpfung schwerer Kriminalität im digitalen Raum an die Hand gegeben. Damit trägt der Entwurf zur Erreichung von Ziel 16 „Frieden, Gerechtigkeit und starke Institutionen“ der Agenda 2030 für nachhaltige Entwicklung bei. Die Folgeänderungen im TKG und in der Telekommunikations-Überwachungsverordnung (TKÜV) dienen dazu, auch die dortigen Vorschriften zur „Vorratsdatenspeicherung“ aufzuheben und die aus der neuen Sicherungsanordnung folgenden Speicherungs-, Abfragungs- , Übermittlungs- und Löschungspflichten für die Telekommunikationsdienste-Anbieter zu regeln. Neben weiteren Folgeänderungen im Bundespolizeigesetz (BPolG), BSI-Gesetz, Bundeskriminalamtgesetz (BKAG), Zollfahndungsdienstgesetz (ZFdG) und im Einführungsgesetz zur Strafprozessordnung (EGStPO) soll durch Änderungen im Justizvergütungsund -entschädigungsgesetz (JVEG) sichergestellt werden, dass die verpflichteten Unternehmen auch für ihren im Einzelfall im Rahmen der Sicherungsanordnung nach § 100g Absatz 5 StPO-E anfallenden Aufwand angemessen entschädigt werden.
Aus dem Entwurf: A. Problem und Ziel
In § 26 Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) wurde ein Rechtsrahmen für die Anerkennung von Diensten geschaffen, die nutzerfreundliche und wettbewerbskonforme Verfahren zur Einholung und Verwaltung der nach § 25 Absatz 1 TTDSG erforderlichen Einwilligung in das Speichern von Informationen auf Endeinrichtungen der Endnutzer oder in den Abruf von Informationen, die bereits auf Endeinrichtungen gespeichert sind, ermöglichen. Unabhängige Dienste zur Einwilligungsverwaltung sollen es den Endnutzern unter Mitwirkung von Software zum Abrufen und Darstellen von Informationen aus dem Internet (in der Regel Browser) und der verantwortlichen Telemedienanbieter ermöglichen, über die erforderliche Einwilligung in den Zugriff auf ihre Endeinrichtungen durch Dritte in informierter Weise zu entscheiden. Vor allem geht es dabei um die Einwilligung in Cookies oder ähnliche Technologien, die von Telemedienanbietern zum Zwecke der Ausspielung von Werbung eingesetzt werden. Ziel ist die Überwindung der derzeitigen Praxis der Telemedienanbieter, die einzelnen Einwilligungen bei jedem Besuch der Webseite mittels sog. Einwilligungs-Cookie-Banner einzuholen. Diese Praxis überfordert die meisten Endnutzer. Durch die Einbindung anerkannter Dienste zur Einwilligungsverwaltung soll für die Endnutzer eine anwenderfreundliche Alternative zur bisherigen Praxis geschaffen und die Endnutzer von vielen Einzelentscheidungen entlastet werden. § 26 Absatz 2 TTDSG ermächtigt die Bundesregierung, durch Rechtsverordnung Anforderungen an das nutzerfreundliche und wettbewerbskonforme Verfahren der Einwilligungsverwaltung und technische Anwendungen, an das Verfahren der Anerkennung von Diensten der Einwilligungsverwaltung und die technischen und organisatorischen Anforderungen an Browser-Software und Telemedienanbieter zur Befolgung von Endnutzer-Einstellungen und Berücksichtigung von anerkannten Diensten zu regeln. Mit dieser Verordnung soll diese Ermächtigung umgesetzt werden.
B. Lösung
Die Einw-VO enthält die Anforderungen, bei deren Einhaltung die Erteilung einer wirksamen Einwilligung in das Speichern von Informationen auf Endeinrichtungen sowie in den Abruf von Informationen, die auf Endeinrichtungen gespeichert sind, in nutzerfreundlicher und wettbewerbskonformer Weise möglich ist. Damit können wiederholende Aufforderungen zur Erteilung von Einwilligungen insbesondere beim Besuch von Webseiten und die damit verbundene Belastung der Endnutzer vermieden werden. Zugleich wird sichergestellt, dass Telemedienanbieter, die im Rahmen ihrer Geschäftsmodelle Einwilligungen benötigen,diese durch Dienste zur Einwilligungsverwaltung auch wirksam und nachweisbar erhalten können und nicht diskriminiert werden.
Es liegt eine neue Version - Stand 19.11.2020 - des Referentenentwurfes eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme - IT-Sicherheitsgesetz 2.0 – IT-SiG 2.0 vor.
Entwurf eines Gesetzes zur Stärkung des Verbraucherschutzes im Wettbewerbs- und Gewerberecht
Der Entwurf verbessert den Schutz der Verbraucherinnen und Verbraucher vor unlauteren geschäftlichen Handlungen insbesondere im Kontext digitaler Geschäftsmodelle verbessert und ermöglicht eine wirksamere Durchsetzung des Verbraucherrechts. Hierfür enthält der Entwurf Regelungen zur Verbesserung der Verbraucherinformation bei Rankings und Verbraucherbewertungen. Verbraucherinnen und Verbraucher erhalten zudem einen Anspruch auf Schadensersatz bei schuldhaften Verstößen von Unternehmern gegen verbraucherschützende Vorschriften des UWG. Bei weitverbreiteten Verstößen in mehreren Mitgliedsstaaten der Europäischen Union gegen Vorschriften, die die Richtlinie 2005/29/EG umsetzen, erhalten die zuständigen Behörden die Möglichkeit, im Rahmen von gemeinsamen Durchsetzungsmaßnahmen ein umsatzabhängiges Bußgeld zu verhängen. Die neue Öffnungsklausel wird für Verschärfungen der für Kaffeefahrten geltenden Regelungen über Wanderlager genutzt. Darüber hinaus sieht der Entwurf Klarstellungen zum Anwendungsbereich des UWG vor, insbesondere zur Abgrenzung von privater Meinungsäußerung und kommerzieller Kommunikation im Internet.
Es liegt der Referentenentwurf eines Zweiten Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme - IT-Sicherheitsgesetz 2.0 – IT-SiG 2.0 vor.
