Ziel ist es, dem Bedürfnis nach Privatsphäre nachzukommen: In einer Eurobarometer-Umfrage erklärten 92 % der befragten EU-Bürger, dass sie es für wichtig oder sehr wichtig halten, dass auf persönliche Daten auf ihrem Computer, Smartphone oder Tablet nur mit ihrer Einwilligung zugegriffen werden kann, und ebenfalls 92 % hielten es für wichtig oder sehr wichtig, dass die Vertraulichkeit ihrer E-Mails und Instant-Messaging-Nachrichten gewährleistet ist. Gleichzeitig sollen die neuen Bestimmungen innovationsfördernd wirken.

Der Anwendungsbereich, der derzeit auf herkömmliche Telekommunikationsanbieter beschränkt ist, soll auf Unternehmen ausgeweitet werden, die öffentliche elektronische Kommunikationsdienste anbieten. Beispiele sind WhatsApp, Facebook, Messenger, Skype, Gmail, iMessage. Außerdem sollen die Vorschriften für elektronische Kommunikationsdienste auf Niveau der Datenschutz-Grundverordnung angehoben werden.

Der Schutz der Privatsphäre wird nach dem Vorschlag sowohl für den Inhalt als auch die Metadaten (z. B. Zeitpunkt eines Anrufs oder Standortdaten) umfassen. Beide müssen nach dem Vorschlag anonymisiert oder gelöscht werden, sofern die Nutzer nicht ihre Zustimmung erteilt haben und die Daten nicht für Abrechnungszwecke benötigt werden. Der Vorschlag sieht auch Regelungen vor, die herkömmlichen Telekommunikationsbetreiber künftig mehr Möglichkeiten einräumen, Daten zu nutzen und zusätzliche Dienste anzubieten: Künftig sollen Telekommunikationsunternehmen nicht nur Verkehrs- und Standortdaten für Mehrwertdienste, sondern Kommunikationsinhalte und Metadaten auch für andere Zwecke verarbeiten können, sofern der Nutzer zugestimmt hat und das Unternehmen die vorgeschriebenen Sicherheitsvorkehrungen getroffen hat.

Die geltende sog. „Cookie-Bestimmung“ soll überarbeitet werden: Nutzern sollen in Kenntnis der Sachlage entscheiden können, welche Browsereinstellungen sie vornehmen. Dies entspricht dem Schutz der Privatsphäre als „Grundeinstellung“ („Privacy by Design“) und soll übermäßige Zustimmungsanfragen vermeiden. Weiterhin soll die Einwilligung erforderlich sein, wenn Cookies oder andere technische Mittel verwendet werden, um Zugang zu den Daten auf Geräten von Nutzern zu erhalten oder um dessen Online-Verhalten zu erfassen. Für Cookies, die keine Gefahr für die Privatsphäre darstellen, sondern dem problemlosen Surfen im Internet dienen (z. B. zur Speicherung des Warenkorbs, Ausfüllen von Online-Formularen über mehrere Seiten oder Speicherung der Anmeldedaten für die aktuelle Sitzung), ist keine Einwilligung erforderlich. Auch für Cookies, die von einer besuchten Website gespeichert werden, um die Zahl ihrer Besucher zu ermitteln, wird keine Einwilligung mehr nötig sein.

Kommerzielle Kommunikation (Spam und Direktwerbung) erfordert eine vorherige Einwilligung – unabhängig von der verwendeten Technik (z. B. automatische Anrufsysteme, SMS oder E-Mail). Bei Marketing-Anrufen muss künftig die Rufnummer angezeigt werden, oder es muss durch eine besondere Vorwahl kenntlich gemacht werden, dass es sich um Telefonmarketing handelt.

Für die Durchsetzung der Vertraulichkeitsregeln der Verordnung sind die nationalen Datenschutzbehörden zuständig, die auch für die Durchsetzung der Datenschutz-Grundverordnung zuständig sind.

Zudem schlägt die Kommission neue Vorschriften vor, mit denen gewährleistet werden soll, dass personenbezogene Daten, die von Organen und Einrichtungen der EU verarbeitet werden, genauso geschützt werden, wie dies in den Mitgliedstaaten unter der Datenschutz-Grundverordnung der Fall ist, und legt ein strategisches Konzept für Fragen im Zusammenhang mit der internationalen Weitergabe personenbezogener Daten vor.

Das EU-Parlament und der Rat verhandeln nun im sog. Ordentlichen Gesetzgebungsverfahren gleichberechtigt über den Verordnungsvorschlag und können Änderungen beschließen. Zur Verabschiedung ist die Einigung der beiden Institutionen nötig. Die Verordnung wird dann unmittelbar gelten, ohne dass es der Umsetzung in nationales Recht bedarf. Die EU-Kommission hat zu einer zügigen Annahme aufgerufen, damit die Verordnung ab dem 25.05.2018 – dem Beginn der Anwendung der Datenschutz-Grundverordnung – gilt und ab diesem Zeitpunkt ein vollständiger Rechtsrahmen für den Schutz der Privatsphäre und der personenbezogenen Daten in Europa zur Verfügung steht.