David Klein - DS-GVO/BDSG

2. Anforderungen an das Merkmal der Niederlassung16 – 21

III. Räumlicher Anwendungsbereich ohne Niederlassung in der Union (Abs. 2)22 – 39

1. Kreis der geschützten Personen23, 24

2. Anwendbarkeit ohne Niederlassung25 – 37

a) Anknüpfung an (beabsichtigte) Erbringung von Waren- und Dienstleistungsgeboten (lit. a)28 – 33

b) Anknüpfung an Verhaltensbeobachtung (lit. b)34 – 37

3. Nichtexistenz einer Schutzlücke38

4. Kritik39

IV. Erstreckung der räumlichen Anwendung aufgrund Völkerrechts40, 41

C. Praxistipps42

Literatur:

Albrecht Das neue EU-Datenschutzrecht – von der Richtlinie zur Verordnung, CR 2016, 88; Ashkar Durchsetzung und Sanktionierung des Datenschutzrechts nach den Entwürfen der Datenschutz-Grundverordnung, DuD 2015, 796; Dieterich Rechtsdurchsetzungsmöglichkeiten nach der DS-GVO – Einheitlicher Rechtsrahmen führt nicht zwangsläufig zu einheitlicher Rechtsanwendung, ZD 2016, 260; Härting Datenschutzreform in Europa: Einigung im EU-Parlament, CR 2013, 715; Hartung/Reintzsch Die datenschutzrechtliche Haftung nach der EU-Datenschutzreform, ZWH 2013, 129; Kehr EU-Datenschutz-Grundverordnung-Überblick über die wesentlichen Modifizierungen für Unternehmen, CB 2016, 421; Lüdemann/Wenzel Zur Funktionsfähigkeit der Datenschutzaufsicht in Deutschland, RDV 2015, 285; Neun/Lubitzsch EU-Datenschutz-Grundverordnung – Behördenvollzug und Sanktionen, BB 2016, 1538; Nguyen Die zukünftige Datenschutzaufsicht in Europa – Anregungen für den Trilog zu Kap. VI bis VII der DS-GVO, ZD 2015, 265; Spindler Die neue EU-Datenschutz-Grundverordnung, DB 2016, 937; Thüsing/Traut The Reform of the European Data Protection Law: Harmonisation at Last?, Intereconomics 2013, 271.

1

Art. 3nimmt die Erwägungsgründe 22–25 in Bezug.

2

ErwG 22 geht davon aus, dass jede Datenverarbeitung im Rahmen der Tätigkeit einer Niederlassung von Datenverarbeitern in der Union, ob als Verantwortliche oder als Auftragsverarbeiter, der Geltung des DS-GVO unterliegen soll, ungeachtet des Ortes der eigentlichen Datenverarbeitung. Zugleich formuliert ErwG 22 Anforderungen an die Niederlassung als „feste Einrichtung“, ungeachtet der gewählten Organisationsform.

3

ErwG 23 geht von der Notwendigkeit aus, dass eine Datenverarbeitung, die durch einen nicht in der EU niedergelassenen Verantwortlichen oder Auftragsverarbeiter erfolgt, jedenfalls dann der DS-GVO unterfallen soll, wenn die Verarbeitung dazu dient, den betroffenen Personen gegen Entgelt oder unentgeltlich Waren oder Dienstleistungen anzubieten. Ein entsprechendes Anbieten ist dann gegeben, wenn der Datenverarbeiter dies offensichtlich beabsichtigt. Dies soll etwa bei Vertrieb über Websites anzunehmen sein, wenn die Seite eine in der EU gebräuchliche Sprache oder Währung vorgibt, und die Möglichkeit zum Warenerwerb bietet. Dies soll auch gelten, wenn der Verantwortliche Kunden oder Nutzer erwähnt, die in der Union ansässig sind.

4

ErwG 24 sieht die Anwendbarkeit der DS-GVO insbesondere dann als geboten, wenn der Verantwortliche oder der Auftragsverarbeiter das Verhalten einer Person beobachtet und dieses Verhalten innerhalb der Union erfolgt. Dies soll immer dann der Fall sein, wenn Internetaktivitäten nachvollzogen oder Techniken angewendet werden, die die Profilerstellung bezüglich einer Person ermöglichen.

5

ErwG 25 will sicherstellen, dass die DS-GVO auch auf solche Datenverarbeitungen Anwendung findet, die außerhalb der EU stattfinden, die aufgrund Völkerrechts aber dem Recht eines Mitgliedstaates unterfallen, so etwa im Bereich diplomatischer oder konsularischer Vertretungen.

6

Art. 3führt bspw. bzgl. der Verpflichtung für nicht in der EU niedergelassene Verantwortliche und Auftragsverarbeiter, nach Art. 27, einen Vertreter i.S.d. Art. 4 Nr. 17in der Union zu benennen, die Regelung nach Art. 4 Abs. 2 DSRL fort.

7

Durch den Wechsel von der Richtlinie zur Rechtsform der Verordnung nach Art. 288 UAbs. 2 AEUV wird die Notwendigkeit einer Abgrenzung der Geltung des nationalen Rechts für Unternehmen in den unterschiedlichen Mitgliedstaaten weithin überflüssig.

8

Das in Abs. 1niederlegte Niederlassungsprinzip bringt keine wesentliche Neuerung gegenüber der Rechtslage nach der DSRL.

9

Anders verhält es sich mit der Regelung nach Abs. 2, wonach das Marktortprinzip auch auf nicht in der Union niedergelassene Verantwortliche und Auftragsverarbeiter ausgedehnt wird. Die Regelung ist insoweit von erheblicher Bedeutung für Diensteanbieter wie etwa Cloud-Betreiber, die außerhalb der EU ansässig sind.

10

Die Vorschrift trägt nicht zuletzt dem Umstand Rechnung, dass in Übereinstimmung mit internationalen Handelsvorschriften, etwa Art. XIV des Allgemeinen Abkommens über den Handel mit Dienstleistungen (General Agreement on Trade in Services – GATS), in Ansehung der Notwendigkeit des allgemeinen Persönlichkeitsrechts Ausnahmen vom Freihandel zum Schutz personenbezogener Daten normiert werden dürfen.[1] So darf entsprechend ErwG 23 natürlichen Person der gem. dieser Verordnung gewährleistete Schutz nicht vorenthalten werden, wenn die Verarbeitung personenbezogener Daten dazu dient, diesen betroffenen Personen gegen Entgelt oder unentgeltlich Waren oder Dienstleistungen anzubieten.

11

Die Regelung des Art. 3liegt auf der Linie der Rechtsprechung des EuGH, der zur DSRL entschieden hat, dass diese im Interesse des Schutzes personenbezogener Daten einen besonders weiten räumlichen Anwendungsbereich finden sollte.[2]

12

Die Erstreckung des Schutzes der DS-GVO auf diplomatische und konsularische Vertretungen, die aufgrund Völkerrechts dem Recht von Mitgliedstaaten unterfallen, entspricht letztlich der Praxis auf Grundlage der DSRL.

13

Zu trennen ist bezüglich des räumlichen Anwendungsbereichs zunächst zwischen dem Kreis der geschützten Personen und dem Kreis der Normunterworfenen, der sich über das Merkmal der Niederlassung bestimmt.

14

Irrelevant ist jedenfalls der Aufenthaltsort der betroffenen natürlichen Person; auch wenn eine nicht in der EU ansässige natürliche Person nicht annehmen dürfte, dem Datenschutzregime des EU-Rechts zu unterfallen, lässt sich aus ErwG 14 („Der durch diese Verordnung gewährte Schutz sollte für die Verarbeitung der personenbezogenen Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsorts gelten.“) herleiten, dass bei Ansässigkeit bspw. eines Auftragsverarbeiters in der EU, der im Auftrag des Verantwortlichen Daten von nicht in der EU ansässigen Personen verarbeitet, auch der Schutz der DS-GVO greift; aus dem Text des Art. 3 Abs. 1lassen sich insoweit auch keine gegenteiligen Schlüsse ziehen.[3]

15

Rechtsfolge ist zugleich, dass auch die Übermittlung personenbezogener Daten an Staaten außerhalb der EU und an internationale Organisationen der Geltung der DS-GVO unterfällt, so wie das in Art. 44 angelegt ist.[4]