Die Mitgliedstaaten der EU haben sich am 10. Februar 2021 im Rat der Europäischen Union auf eine Fassung der ePrivacy-Verordnung geeignigt (vgl. Medienmitteilung und Fassung des Rats; ein Vergleich des ursprünglichen Vorschlags der Kommission und der vom Rat nun verabschiedeten Fassung findet sich hier).
Damit kann der Trilog beginnen, d.h. die Abstimmung zwischen dem Rat, der Kommission und dem Parlament. Sollte eine Einigung noch im Jahr 2021 zustandekommen, könnte die ePrivacy-Verordnung frühestens 2023 – nach einer Übergangsfrist von zwei Jahren – in Kraft treten.
Die Bestimmung zum räumlichen Anwendungsbereich hat in der Fassung des Rats folgenden Inhalt – mit einer Bagatellschwelle zugunsten von Unternehmen ausserhalb des EWR:
Article 3 – Territorial scope and representative
1. This Regulation applies to:
(a) the provision of electronic communications services to end-users who are in the Union,
(aa) the processing of electronic communications content and of electronic communications metadata of end-users who are in the Union;
(b) [entfallen]
(c) the protection of terminal equipment information of end-users who are in the Union.
(cb) the offering of publicly available directories of end-users of electronic communications services who are in the Union;
(cc) the sending of direct marketing communications to end-users who are in the Union.
2. Where the provider of an electronic communications service, the provider of a publicly available directory, or a person using electronic communications services to send direct marketing communications, or a person using processing and storage capabilities or collecting information processed by or emitted by or stored in the end-users’ terminal equipment is not established in the Union it shall designate in writing, within one month from the start of its activities, a representative in the Union and communicate it to the competent Supervisory Authority.
2a. The requirements laid down in paragraph 2 shall not apply if activities listed in paragraph 1 are occasional and are unlikely to result in a risk to the fundamental rights of end-users taking into account the nature, context, scope and purpose of those activities.
[…]
Dem Wortlaut nach bezieht sich die Ausnahme in Art. 3(2a) allerdings nur auf die Pflicht, einen Vertreter im EWR zu bestellen, nicht auf die Anwendung der Verordnung selbst.
Die Erwägungsgründe bieten keine Grundlage für eine andere Auslegung. Erwägungsgrund 8aaa hält im Gegenteil die Anwendung der Verordnung auf Unternehmen ausserhalb des EWR fest, ohne auf eine Ausnahme Bezug zu nehmen:
(8aaa) Furthermore, this Regulation should apply regardless of whether the processing of electronic communications data or personal data of end-users who are in the Union takes place in the Union or not, or of whether the service provider or person processing such data is established or located in the Union or not.
Es ist daher derzeit von der Anwendbarkeit auf schweizerische Unternehmen auch dann auszugehen, wenn sie nur gelegentlich und nicht gezielt eine Handlung vornehmen, die in den sachlichen Anwendungsbereich der Verordnung fällt (z.B. eine Werbe-E-Mail an eine natürliche Person senden).