Tobias Rothkegel - Praxishandbuch DSGVO

64

Der räumliche Anwendungsbereich kann auch durch das Beobachten von Verhalten betroffener Personen in der EU gemäß Art. 3 Abs. 2 lit. b DSGVO eröffnet sein.

65

Der Begriff der Verhaltensbeobachtung ist in Anbetracht von Erwägungsgrund 24 anscheinend auf das Verhalten einer Person im Internetbeschränkt. Zumindest wird in Erwägungsgrund 24 deutlich, dass der Unionsgesetzgeber den Online-Bereich im Fokus hatte.60

66

Die schlichte Erfassung der Daten über die Internetaktivität z.B. in einem gewöhnlichen Serverlogreicht für die Annahme einer Verhaltensbeobachtung allerdings nicht aus. „Beobachtung“ geht schon begrifflich über die reine Erfassung von Daten hinaus.61 Es muss sich vielmehr um ein zielgerichtetes Sammeln von Erkenntnissen handeln.62 Dementsprechend ist gemäß Erwägungsgrund 24 DSGVO für ein Beobachten erforderlich, dass Internetaktivitäten der betroffenen Person tatsächlich nachvollzogen werden. Laut Erwägungsgrund 24 DSGVO liegt ein solches Nachvollziehen unter anderem dann vor, wenn durch die Beobachtung die Erstellung eines Profils der Person ermöglicht wird, welches Grundlage für die Person betreffende Entscheidungen bildet oder anhand dessen ihre persönlichen Vorlieben, Verhaltensweisen oder Gepflogenheitenanalysiert oder vorausgesagt werden sollen. Dies legt nahe, dass der Begriff der Beobachtung eine gewisse Dauer und Intensität voraussetzt.63

67

Offensichtlich sollen damit im Internet eingesetzte Technologien in den räumlichen Anwendungsbereich der Verordnung gebracht werden, die die Internetaktivitätsdaten von Nutzern erfassen (z.B. durch entsprechende Cookies oder sonstige Nutzerkennungen), sofern die erfassten Daten in eine Entscheidung in Bezug auf die betroffene Person münden oder die Daten zur Personalisierung von Funktionalitäten oder Inhalten (z.B. personalisierte Werbung, personalisierte Vorschlagsfunktionen oder personalisierte Suchergebnisse) anhand eines Profils der Person eingesetzt werden.

68

Die Analyse von Internetaktivitätsdaten von Besuchern eines Webangebotes dürfte jedoch keine solche Verhaltensbeobachtung darstellen, sofern die Analyse aggregierterfolgt und nicht den einzelnen Besucher im Fokus hat. Web-Analyse-Verfahren, die allein dazu dienen, eine Webseite insgesamt bedarfsgerecht zu gestalten oder bestimmte Kennzahlen im Hinblick auf die Funktionsfähigkeit der Webseite zu messen, dürften daher von Art 3 Abs. 2 lit. b DSGVO nicht erfasst sein.64

69

Art. 3 Abs. 2 lit. b DSGVO setzt zudem denklogisch voraus, dass die Person, deren Daten verarbeitet werden, und die Person, deren Verhalten mittels dieser Verarbeitung beobachtet wird, identischsein müssen, wodurch auch stets der erforderliche Zusammenhang zwischen Verarbeitung und Verhaltensbeobachtung besteht.

70

Schließlich muss das beobachtete Verhalten in der EUerfolgen. Der Umstand, dass Art. 2 Abs. 3 lit. b DSGVO erfordert, dass sich zum einen die Person in der EU befindet und zum anderen ihr beobachtetes Verhalten in der EU erfolgt, legt nahe, dass es der Gesetzgeber für möglich hält, dass sich eine in der EU befindliche Person außerhalb der EU verhalten kann. Gerade bei den von Art. 3 Abs. 2 lit. a DSGVO erfassten Internetaktivitäten erscheint dies durchaus denkbar. So ist zum Beispiel die Frage, wo eine Tat bzw. Handlung mittels einer Webseite begangen wird, im Rahmen des Strafrechts oder des Zivilprozessrechts hoch umstritten. Daher scheint es vertretbar anzunehmen, dass das Verhalten einer in der EU befindlichen Person außerhalb der EU erfolgt, wenn diese Person einen Internetdienst verwendet, der auf Servern außerhalb der EU läuft.

71

Dadurch, dass das in der Vorgängerregelung des Art. 4 Abs. 1 lit. c DSRL verankerte Territorialitätsprinzip nicht in die Verordnung übernommen wurde, wird jedoch zum Ausdruck gebracht, dass der Standort von Datenverarbeitungsanlagen keine Bedeutung für die Eröffnung des räumlichen Anwendungsbereichs haben soll. Zudem wird Art. 3 Abs. 2 lit. b DSGVO in der Regel erst dann relevant werden, wenn die verarbeitende Stelle keine Niederlassung in der EU hat. Insgesamt ist somit der Wille des Unionsgesetzgebers deutlich erkennbar, die in der Union befindlichen betroffenen Personen möglichst umfassend zu schützen. Dementsprechend dürfte sich die Ansicht durchsetzen, dass das Verhalten von in der EU befindlichen Personen aus der Perspektive des europäischen Datenschutzrechts auch stets in der EU erfolgt, selbst wenn sie Internetdienste nutzen, die auf Servern außerhalb der EU angeboten werden.65

Praxishinweis

Art. 3 Abs. 2 lit. b DSGVO dehnt den räumlichen Anwendungsbereich der Verordnung unter Umständen sehr weit aus. Dies hat zum Beispiel die unbillig erscheinende Folge, dass Unternehmen, die keine Niederlassung in der EU haben und ihren Internetdienst ausschließlich an Personen außerhalb der EU richten und diesen zudem auf Servern außerhalb der EU betreiben, dennoch in den räumlichen Anwendungsbereich der Verordnung fallen können, wenn Nutzer aus der EU auf diesen Dienst zugreifen und der Dienst auf Verhaltensprofilen basierte Personalisierungsfunktionen anbietet.

72

Für die Eröffnung des räumlichen Anwendungsbereichs nach Art. 3 Abs. 2 lit. a oder lit. b DSGVO ist es zudem erforderlich, dass sich die betroffene Person, deren Daten verarbeitet werden, in der EU befindet. Die Staatsangehörigkeitder Person ist irrelevant. Das Gleiche gilt für ihren Wohnsitz. Zwar wurde in der Entwurfsphase der Verordnung noch darauf abgestellt, wo die Person ansässigist. Dies wurde jedoch für die Endfassung nicht übernommen. Entscheidend ist vielmehr der tatsächliche Aufenthaltsortder betroffenen Person.66

73

Ob sich eine betroffene Person in der EU aufhält oder nicht, ist eine Frage der Tatsachen. Damit ist diese Voraussetzung des Art. 3 Abs. 2 DSGVO zunächst rein deskriptiver Natur. Allerdings werden die Zeiträumedes Aufenthalts einer Person in der EU und der Zeitraum der Verarbeitung der Daten dieser Person in vielen Fällen auseinanderfallen, so dass fraglich ist, wie mit einem solchen Auseinanderfallen umzugehen ist.

74

Unter anderem wird hierzu vertreten, dass der jeweilige Zeitpunkt der Verarbeitungauch der relevante Zeitpunkt für die Bestimmung des Aufenthaltsortes und damit des räumlichen Anwendungsbereichs sei.67 Dies führt zu willkürlichen Ergebnissen. Einerseits erscheint es im Interesse des effektiven Schutzes der Person nicht angemessen, dass bei der Datenverarbeitung zum Beispiel für die Dauer eines Aufenthaltes in einem Drittland nicht mehr die Vorschriften der Verordnung zu beachten sind.68 Andererseits erscheint es im Interesse der Vorhersehbarkeit der Anwendbarkeit der Verordnung nicht angemessen, dass umgekehrt die Verarbeitung der Daten einer Person aus dem außereuropäischen Ausland für die Dauer eines kurzen Aufenthaltes in einem EU-Mitgliedstaat der Verordnung unterliegt.

75

Auch ein Abstellen auf den Zeitpunkt der Erhebungder Daten während des Aufenthalts in der EU führt zu derart willkürlichen Szenarien.69 Das gleiche gilt für den Vorschlag des Europäischen Datenschutzausschusses, auf den Zeitpunkt der Unterbreitung des Angebots bzw. der Beobachtung abzustellen.70

76

Bei wechselnden Aufenthaltsorten der betroffenen Person innerhalb und außerhalb der EU erscheint vielmehr eine wertende Betrachtungangebracht, die frühestens beginnend mit dem erstmaligen Aufenthalt der Person in der EU so lange von einer Anwendbarkeit der Verordnung ausgeht, wie der Schwerpunkt des Aufenthaltsder Person in der EU liegt.