DSGVO - BDSG - TTDSG

(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.

(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht

1 a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;

2 b) das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.

(3) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.

Mit der Norm korrespondieren die Erwägungsgründe 22–25.

Literatur: Albrecht , Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Brauneck , Marktortprinzip der DSGVO: Weltgeltung für EU-Datenschutz?, EuZW 2019, 494; Grabitz/Hilf/Nettesheim (Begr./Hrsg.), Das Recht der Europäischen Union: EUV/AEUV, Loseblatt 5/2018, München; Hoffmann , Anforderungen aus DS-GVO und NIS-RL an das Cloud Computing, ZD-Aktuell 2017, 05488; Klar , Die extraterritoriale Wirkung des neuen europäischen Datenschutzrechts, DuD 2017, 533; Kuner/Bygrave/Docksey (Hrsg.), The EU General Data Protection Regulation (GDPR), Oxford 2018; Laue , Öffnungsklauseln in der DS-GVO – Öffnung wohin?, ZD 2016, 463; Piltz , Die Datenschutz-Grundverordnung, K&R 2016, 557; Schantz , Die Datenschutz-Grundverordnung – Beginn einer neuen Zeitrechnung im Datenschutzrecht, NJW 2016, 1841; Uecker , Extraterritorialer Anwendungsbereich der DS-GVO, ZD 2019, 67; Voigt , Anforderungen an Drittlandtransfers, CR 2020, 315; Voigt , Die räumliche Anwendbarkeit der EU Datenschutz-Grundverordnung auf Auftragsverarbeiter im Drittland, Edewecht 2020.

Übersicht

1

Art. 3 DSGVO bestimmt den räumlichen Anwendungsbereich der DSGVO und damit des europäischen Datenschutzrechts. Als Anknüpfungspunkte, die zur Anwendbarkeit des europäischen Datenschutzrechts führen, ergeben sich aus Art. 3 DSGVO die Niederlassung des Verantwortlichen (Art. 3 Abs. 1 DSGVO), die Niederlassung des Auftragsverarbeiters (Art. 3 Abs. 1 DSGVO) und der Marktort (Art. 3 Abs. 2 DSGVO). In Art. 3 Abs. 3 DSGVO ist der Spezialfall der Anwendbarkeitder DSGVO an Orten außerhalb der Union geregelt, die völkerrechtlich dem Recht eines Mitgliedstaates und deshalb dem Recht der Union unterliegen und an denen die DSGVO entsprechend anwendbar ist.

2

Der Anwendungsbereich der DSGVO ist weit gefasst und bezweckt die Anwendung des europäischen Datenschutzrechts für alle Sachverhalte mit Unionsbezug, um Betroffene davor zu schützen, dass der Schutz ihrer Grundrechte durch die Verarbeitung ihrer personenbezogenen Daten von Verantwortlichen oder Auftragsverarbeitern in Drittstaaten unterlaufen wird.1 Dafür wird in Art. 3 Abs. 2 DSGVO das Marktortprinzip für die Begründung der Anwendung der DSGVO auf nicht in der Union niedergelassene Stellen eingeführt. Im Vergleich zur DSRl wird der Anwendungsbereich des europäischen Datenschutzrechts mit Art. 3 DSGVO erheblich ausgeweitet. Die weite Definition des Anwendungsbereichs des europäischen Datenschutzrechts für Verantwortliche in Drittstaaten führt zur parallelen Anwendung des europäischen Datenschutzrechts neben ihrem lokalen Datenschutzrecht2 und schafft damit Anwendungskonflikte. Die Entwicklung kollisionsrechtlicher Lösungen dafür hat gerade erst begonnen.

3

Art. 3 DSGVO ist im Gesetzgebungsprozess in Wortlaut und Regelungsgehalt im Wesentlichen unverändert geblieben. Die aktuelle Fassung entspricht dem Kommissionsentwurf mit geringfügigen Änderungen. So wurde die Klarstellung in Art. 3 Abs. 1 DSGVO, dass die Anwendbarkeit der DSGVO unabhängig davon gilt, ob die Verarbeitung in der Union erfolgt, auf Wunsch des Parlaments aus den Erwägungsgründen in den Verordnungstext aufgenommen.3 Ebenfalls auf Wunsch des Parlaments wurde die Anwendbarkeit des Art. 3 Abs. 2 DSGVO auf Auftragsverarbeiter erweitert4 und die Geltung des Marktortprinzipsin Art. 3 Abs. 2 lit. a DSGVO von einer Entgeltzahlung des Betroffenen entkoppelt.5 Zur Formulierung von Art. 3 Abs. 2 lit. b DSGVO hatte das Parlament vorgeschlagen, die Beobachtung jeden Verhaltens zu erfassen, in der finalen Fassung findet sich nun jedoch die Formulierung des Rates, nach der es sich um ein Verhalten in der Union handeln muss.6

4

Art. 3 DSGVO tritt an Stelle von Art. 4 DSRl und begründet die territoriale Anwendbarkeit der DSGVO für die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter durch eine Niederlassungin der Union (Art. 3 Abs. 1 DSGVO) sowie durch eine Niederlassung außerhalb der Union, soweit sich die Verarbeitung auf Betroffene in der Union bezieht (Art. 3 Abs. 2 DSGVO). Art. 3 DSGVO erweitert, im Vergleich zur DSRl, durch die Einführung des Marktortprinzips in Art. 3 Abs. 2 DSGVO den territorialen Anwendungsbereich des europäischen Datenschutzrechts erheblich. Zudem wird neben dem Sitz des Verantwortlichen das Kriterium des Sitzes des Auftragsverarbeiters zur Bestimmung der territorialen Anwendbarkeit der DSGVO eingeführt. Abweichend vom Konzept der Bestimmung des territorialen Anwendungsbereichs des europäischen Datenschutzrechts gemäß Art. 4 Abs. 1 lit. c DSRl wird mit Art. 3 DSGVO das Kriterium der Verwendung von Mitteln innerhalb der Union aufgegeben.

5

Die DSGVO enthält selbst unmittelbar geltendes Recht, das an Stelle der mitgliedstaatlichen Datenschutzgesetze tritt. Es ist daher konsequent, dass die DSGVO anders als die DSRl als umsetzungsbedürftiger Rechtssatz keine Art. 4 DSRl vergleichbaren Kollisionsnormen für mitgliedstaatliche Datenschutzgesetze enthält, sondern nur positiv regelt, wann die DSGVO Anwendung findet.7 Da es aber faktisch mitgliedstaatliches Datenschutzrecht im Rahmen der Öffnungsklauseln gibt, fehlt nunmehr ein Regime zur Auflösung dieser Anwendungskonflikte(dazu Rn. 39).