DSGVO - BDSG - TTDSG

13

Der Wortlaut des Art. 3 Abs. 1 DSGVO wird teilweise so verstanden, dass die Beauftragung eines Auftragsverarbeiters in der Union durch einen Verantwortlichen außerhalb der Union zur Anwendbarkeit der DSGVO führe, auch wenn die Voraussetzungen des Art. 3 Abs. 2 DSGVO nicht erfüllt sind, also außer der Beauftragung eines Auftragsverarbeiters in der Union keine weitere territoriale Anknüpfungzum Recht der Union und der Mitgliedstaaten besteht.32 Für die Begründung der Anwendbarkeit der DSGVO käme es dann nicht mehr auf eine Verbindung des datenschutzrechtlich Verantwortlichen selbst zum Gebiet der Union oder der Mitgliedstaaten an. Dieses Ergebnis muss aus der Perspektive des Verantwortlichen außerhalb der Union überraschen, der personenbezogene Daten von Personen ohne inhaltlichen Bezug zur Union verarbeitet. Warum soll etwa ein Verantwortlicher in den USA, der im Zweifel zufällig Dienste eines Auftragsverarbeiters oder eines Unterauftragsverarbeiters in der Union nutzt, für die Verarbeitung dieser personenbezogenen Daten europäisches Datenschutzrecht beachten müssen? Richtigerweise ist der Wortlaut des Art. 3 Abs. 1 DSGVO daher so zu verstehen, dass die Anwendbarkeit der DSGVO auf Verantwortliche und Auftragsverarbeiter separat bestimmt werden und Vorschriften der DSGVO auf den Auftragsverarbeiter in der Union Anwendung findet, soweit dieser Adressat datenschutzrechtlicher Pflichten ist.33 Die Beauftragung eines Auftragsverarbeiters in der Union führt jedoch nicht zur Anwendbarkeit der DSGVO auf den Verantwortlichen außerhalb der Union, der personenbezogene Daten ohne inhaltlichen Bezug zur Union durch diesen Auftragsverarbeiter verarbeiten lässt.34

14

Für diese Ansicht sprechen die Entstehungsgeschichte des Art. 3 Abs. 1 DSGVO und die Regelungsintention des europäischen Gesetzgebers.35 Nach Art. 4 Abs. 1 DSRl war die Anwendbarkeit des Datenschutzrechts primär nach dem Sitz des Verantwortlichen zu bestimmen. Verantwortliche außerhalb der Union mussten europäisches Datenschutzrecht nur beachten, soweit sie dies im Rahmen einer Niederlassung in der Union taten. Mit der Regelung in Art. 3 Abs. 1 DSGVO sollten die Anforderungen zur Anwendbarkeit des europäischen Datenschutzrechts aus der Google/Spain-Entscheidungdes EuGH36 umgesetzt werden und auch Verarbeitungen mit Verbindung zu einer Niederlassung in der Union vom Anwendungsbereich des europäischen Datenschutzrechts erfasst werden. Eine darüber hinausgehende Begründung exterritorialer Anwendbarkeit der DSGVO war aber gerade nicht bezweckt.37 Eine exterritoriale Anwendbarkeit der DSGVO würde zudem im Konflikt mit dem völkerrechtlichen Verbot exterritorialer Herrschaftsausübung stehen,38 indem ein Sachverhalt geregelt würde, der keine inhaltliche Verbindung zum Territorium der Union hat. Art. 3 Abs. 1 DSGVO ist daher so auszulegen, dass eine Verletzung des Territorialitätsgrundsatzes vermieden wird, indem nur die Pflichten des Auftragsverarbeiters in der Union in den Anwendungsbereich der DSGVO fallen. Diese Auslegung entspricht zudem dem kollisionsrechtlichen Grundsatz der Vermeidung von Anwendungskonflikten.39 Würde die Anwendbarkeit der DSGVO auf diese Fälle erstreckt, wären Anwendungskonfliktemit dem lokalen und sachnäheren Datenschutzrecht des Orts der Niederlassung des Verantwortlichen vorprogrammiert.

15

Gegen die exterritoriale Anwendbarkeit spricht auch die fehlende Pflicht zur Bestimmung eines Inlandsvertreters gemäß Art. 27 Abs. 1 DSGVO, die in diesem Fall für den Verantwortlichen gerade nicht besteht. Nur in den Fällen des Art. 3 Abs. 2 DSGVO muss der Verantwortliche in einem Drittland diesen nämlich bestellen.40 Der Inlandsvertreterist gemäß Art. 27 Abs. 4 DSGVO Anlaufstelle für die Aufsichtsbehörden in Fragen der Durchsetzung der DSGVO gegen Verantwortliche in Drittstaaten. Die fehlende Pflicht zur Bestellung des Inlandsvertreters ist ein klares Indiz, das gegen den inhaltlichen Geltungsanspruch des Datenschutzrechts spricht. Für die hier vertretene Auslegung spricht zudem die Reichweite des europäischen Grundrechtsschutzes, der gemäß Art. 1 Abs. 2 DSGVO zentrale Zweckbestimmung der DSGVO ist (siehe Art. 2 Rn. 13ff.). Der Grundrechtsschutz ergibt sich im Wesentlichen aus der GRCh. Betroffene außerhalb der Union können sich auf europäische Grundrechte jedoch nicht berufen, wenn der Sachverhalt keine direkte Verbindung zum Territorium der Union hat.41 In dem Beispiel der Verarbeitung personenbezogener Daten von Personen ohne inhaltlichen Bezug zur Union könnten diese sich nicht auf den europäischen Grundrechtsschutz berufen. In diesem Beispiel und ähnlich gelagerten Fällen spricht die Zweckbestimmung der DSGVO gegen ihre exterritoriale Anwendung.

16

Die DSGVO findet für die Verarbeitung personenbezogener Daten unter den Voraussetzungen gemäß Art. 3 Abs. 2 DSGVO auch auf Verantwortliche und Auftragsverarbeiter Anwendung, die keine Niederlassung in der Union haben (sog. Marktortprinzip). Die Anknüpfung an den Marktortzur kollisionsrechtlichen Bestimmung des anwendbaren Datenschutzrechts ist ein Novum des europäischen Datenschutzrechts, das zu einer erheblichen Ausweitung des Anwendungsbereichs des europäischen Datenschutzrechts führt. Die DSRl sah statt der Anknüpfung an den Marktort ein strenges Territorialitätsprinzip vor.42 Verantwortliche außerhalb der Union, die keine Niederlassung in der Union hatten, fielen nur bei der Nutzung von automatisierten oder nicht automatisierten Mitteln in der Union in den Anwendungsbereich des europäischen Datenschutzrechts (vgl. Art. 4 Abs. 1 lit. c DSRl).43 Mit dem Marktortprinzip wird sichergestellt, dass Unternehmen, die keine Niederlassung in der Union haben und dennoch am europäischen Binnenmarkt teilnehmen, an die Anforderungen des europäischen Datenschutzrechts gebunden sind.44

17

Aufgrund des völkerrechtlichen Verbots der exterritorialen Wirkung staatlichen Handelns45 muss die Erstreckung des Anwendungsbereichs der DSGVO für Verantwortliche außerhalb der Union auf Fälle eingeschränkt werden, die eine unmittelbare Verbindung zum Territorium der Unionhaben. Diese Voraussetzung ist erfüllt, wenn Personen betroffen sind, die sich in der Union befinden.46 Hinreichend ist der jedenfalls vorübergehende Aufenthalt in der Union, ohne dass es auf den Wohnsitz ankommt.47 Der Schutz der DSGVO erstreckt sich also auf Unionsbürger, Nichtunionsbürger und Staatenlose gleichermaßen.48 Die Anforderung des Verbots exterritorialer Wirkung wird in Art. 3 Abs. 2 lit. a und b DSGVO umgesetzt. Die DSGVO gilt danach, wenn der Verantwortliche personenbezogene Daten verarbeitet, um Waren oder Dienstleistungen an Betroffene in der Union anzubieten (Art. 3 Abs. 2 lit. a DSGVO) oder wenn er das Verhalten von Betroffenen in der Union beobachtet (Art. 3 Abs. 2 lit. b DSGVO).

18

Art. 3 Abs. 2 DSGVO findet nur Anwendung, soweit der Verantwortliche oder Auftragsverarbeiter keine Niederlassung in der Union hat. Erfolgt die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, ergibt sich die Anwendbarkeit der DSGVO aus Art. 3 Abs. 1 DSGVO. Hat der Verantwortliche eine Niederlassung in der Union, erfolgt die Verarbeitung personenbezogener Daten von Personen in der Union allerdings nicht im Rahmen der Tätigkeit dieser Niederlassung, sondern im Zusammenhang mit der Tätigkeit einer Niederlassungoder dem eingetragenen Sitz außerhalb der Union, findet die DSGVO weder nach dem Wortlaut von Art. 3 Abs. 1 DSGVO, noch nach Art. 3 Abs. 2 DSGVO Anwendung, auch wenn die übrigen Voraussetzungen gemäß Art. 3 Abs. 2 lit. a und b DSGVO erfüllt wären. Diese Schutzlücke ist durch den Gesetzgeber offensichtlich nicht gewollt und durch Auslegung der Norm zu schließen. Die territoriale Anwendbarkeit der DSGVO ist durch den Gesetzgeber bewusst weit gefasst, um Schutzlücken zu vermeiden. Der Begriff „nicht in der Union niedergelassen“ ist daher teleologisch erweitert zu verstehen, sodass alle Verantwortlichen und Auftragsverarbeiter in Drittstaaten erfasst werden, die im Rahmen der Tätigkeiten in diesem Drittstaat personenbezogenen Daten von Betroffenen in der Union verarbeiten.49 Auch eine Betrachtung des im Wortlaut ähnlichen Art. 4 Abs. 1 lit. c DSRl spricht für diese Auslegung, indem „nicht in dem Gebiet der Gemeinschaft niedergelassen“ so verstanden wurde, dass eine bestehende aber irrelevante Niederlassung die Anwendbarkeit nicht ausschließen kann.50