David Klein - DS-GVO/BDSG

16

Die DS-GVO findet nach Abs. 1dann Anwendung auf die Verarbeitung personenbezogener Daten, wenn diese im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in einem Mitgliedstaat der EU stattfindet. Die Vorschrift bringt damit ungeachtet der Auslegung der jeweiligen Begriffe eine gewisse Selbstverständlichkeit zum Ausdruck. Maßstab für die örtliche Belegenheit der Niederlassung ist Art. 52 EUV, der durch Art. 355 AEUV konkretisiert wird.

17

Für die Begriffe der Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter sei auf Art. 4 Nr. 1, 2, 7und 8verwiesen.

18

Zentral ist der Begriff der Niederlassung. Diese ist gegeben, wenn entsprechend ErwG 22 die effektive und tatsächliche Ausübung einer Tätigkeit in einer festen Einrichtung erfolgt.[5] Die Anforderungen an eine solche Niederlassung sind relativ gering. Die Niederlassung muss von gewisser Beständigkeit sein; für die Frage der effektiven und tatsächlichen Ausübung der Tätigkeit ist deren Eigenart mit zu betrachten. Auf Grundlage der DSRL sollte nach der Rechtsprechung des EuGH das Vorhandensein nur eines Vertreters in einem Mitgliedstaat als ausreichend für die Annahme einer Niederlassung anzusehen sein.[6] Ob diese Rechtsprechung in Ansehung der DS-GVO, dort Art. 27, haltbar bleibt, ist zu bezweifeln, weil jedenfalls mit der formellen Bestellung eines Vertreters eben für Tätigkeiten i.S.d. Art. 3 Abs. 2gerade nicht die Begründung einer Niederlassung verbunden sein soll.[7] Gleichwohl ist die vorgenannte Rechtsprechung exemplarisch für die geringen Anforderungen, die an eine Niederlassung zu stellen sind.

19

ErwG 22 stellt klar, dass die gewählte Rechtsform ohne Belang für die Annahme einer Niederlassung ist. Nicht erforderlich ist das Vorhandensein einer Tochtergesellschaft; eine Zweigstelle des Unternehmens mit ggf. nur einem Büro ist – den Nachweis einer effektiven Ausübung einer wirtschaftlichen Tätigkeit unterstellt – ausreichend.[8] Dies ist anzunehmen, wenn von einer Stelle in einem Unionsstaat Datenverarbeitungsvorgänge durch Personen inhaltlich gesteuert werden oder unterstützende Tätigkeiten für notwendige Datenverarbeitungsvorgänge, bspw. in Verkaufsstellen oder Repräsentanzen des Diensteanbieters, erfolgen.[9] Die Existenz sachlicher Betriebsmittel in einem Mitgliedstaat – bspw. ein ferngewarteter Server – kann auf das Vorhandensein einer Niederlassung hindeuten.[10] Auch ist eine Niederlassung anzunehmen, wenn von dort aus Datenverarbeitungsanlagen technisch gesteuert werden.[11] Nimmt man eine tatsächliche Tätigkeit als Maßstab für das Vorhandensein einer Niederlassung, würde wiederum die Existenz lediglich eines Briefkastens in einem Mitgliedstaat nicht für die Annahme einer Niederlassung ausreichen.

20

Entsprechend dem eindeutigen Wortlaut des Art. 3 Abs. 1muss der Datenverarbeitungsvorgang selbst nicht zwingend innerhalb der Union stattfinden. Voraussetzung ist nur, dass die Datenverarbeitung der Tätigkeit der Niederlassung dient.

21

Irrelevant für die Einstufung einer Einrichtung als Niederlassung ist der Sitz des Verantwortlichen.[12] So kann einerseits neben dem statuarischen Sitz in einem Staat außerhalb der EU eine Niederlassung in Form einer Zweigstelle oder einer Tochtergesellschaft existieren. Andererseits ist im Falle einer Briefkastenfirma deren Adresse möglicherweise der offizielle Firmensitz, der dann aber nicht der Ort der effektiven Ausübung der wirtschaftlichen Tätigkeit ist.[13]

22

Wiederum kann getrennt werden zwischen den geschützten Personen und den Normunterworfenen. Bezüglich Letzterer betrifft Art. 3 Abs. 2in der Endfassung nunmehr auch Auftragsverarbeiter ohne Sitz in der EU; in der Entwurfsfassung waren lediglich Verantwortliche ohne Sitz in der EU erfasst, was aber eher als Versehen anzusehen gewesen sein dürfte.

23

Geschützt sind nach Abs. 2nur Personen, „die sich in der Union befinden“, ohne dass aber gesteigerte Anforderungen an die Dauer des Aufenthalts, dessen Verfestigung oder dessen Rahmen gestellt würden. Es reichen kurzfristige Aufenthalte aus. Auch ist die Staatsangehörigkeit der betroffenen Personen ohne Belang. Dem entspricht auch die englische Fassung, die die offene Formulierung „who are in the Union“ verwendet. Insbesondere werden nicht die im Gesetzgebungsverfahren erwogenen Begriffe „ansässig“ oder „residing“ bzw. „mit Wohnsitz“ oder „domiciled“ verwendet.

24

Andererseits kann sich ein Unionsbürger, der sich im Moment der Verarbeitung in einem Drittstaat aufhält, bspw. bei Inanspruchnahme von Leistungen im Ausland, die mit der Verarbeitung von Daten verbunden ist, nicht auf den Schutz der DS-GVO berufen.[14]

25

Art. 3 Abs. 2enthält eine wesentliche Neuerung für Fälle, die bislang umstritten waren, nämlich diejenigen einer Datenverarbeitung außerhalb der EU, wenn der Verantwortliche oder der Auftragsverarbeiter keine Niederlassung (bzw. keinen Sitz) in der EU hat. Für diese Fälle wird der räumliche Anwendungsbereich der DS-GVO unter den Voraussetzungen des Art. 3 Abs. 2 lit. aund berweitert. Diese Entwicklung ist in der EuGH-Rechtsprechung unter Geltung der DSRL bereits ansatzweise vorgezeichnet worden[15] und ist nunmehr positivrechtlich normiert. Durch Abs. 2wird für die räumliche Anwendbarkeit der DS-GVO nunmehr auf das sog. Marktortprinzip abgestellt.

26

Die Ausweitung der DS-GVO wird teilweise als protektionistisch kritisiert,[16] dient aber letztlich dazu, auf dem Binnenmarkt bezogen auf den datenschutzrechtlichen Rahmen gleiche Marktbedingungen für alle Wirtschaftsteilnehmer zu schaffen. Die Wirkung der DS-GVO ist dabei intraterritorial und nicht – was völkerrechtlich bedenklich wäre – extraterritorial, da sie auf eine unternehmerische Betätigung im Binnenmarkt abstellt.[17] Dies wird nicht zuletzt durch die zweifache territoriale Anknüpfung der Leistungserbringung in der Union gegenüber Personen in der Union, sichergestellt.[18] Ziel ist insoweit ein „level playing field“.[19]

27

Entsprechend ist die Entscheidung von Marktteilnehmern, in der Union wirtschaftlich tätig zu sein, mit der Entscheidung verknüpft, dann auch die datenschutzrechtlichen Regeln der Union zu akzeptieren. Letztlich stellt die Statuierung des Marktortprinzips jedenfalls eine Möglichkeit dar, hohe Datenschutzstandards für die natürlichen Personen in der Union beizubehalten. Ansonsten würde der Datenschutz als wesentliches grundrechtliches Anliegen der Unionsbürger absehbar durch Verlagerung der Datenverarbeitungstätigkeit auf Stellen außerhalb der Union ausgehöhlt werden. Insbesondere wird vermieden, dass Anbieter von Leistungen im Wege des „forum shopping“ durch die Wahl des Sitzes die – datenschutzrechtlich betrachtet – günstigste Rechtslage verfügbar machen.[20]

28

Art. 3 Abs. 2 lit. aerstreckt den räumlichen Anwendungsbereich der DS-GVO auf Sachverhalte, bei denen ein Verantwortlicher oder ein Auftragsverarbeiter ohne Sitz oder Niederlassung in der Union personenbezogene Daten zu dem Zweck verarbeitet, natürlichen Personen in der EU Waren oder Dienstleistungen anzubieten.

29

ErwG 23 führt hierzu aus: „Um festzustellen, ob dieser Verantwortliche oder Auftragsverarbeiter betroffenen Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet, sollte festgestellt werden, ob der Verantwortliche oder Auftragsverarbeiter offensichtlich beabsichtigt, betroffenen Personen in einem oder mehreren Mitgliedstaaten der Union Dienstleistungen anzubieten.“