Immer mehr Unternehmen außerhalb der EU sind auf dem europäischen Markt tätig, mit oder ohne eigene Niederlassung in der EU. Dabei kann sich die Frage stellen, wann sich Unternehmen außerhalb der EU tatsächlich an die DSGVO halten müssen. Dieser Beitrag zeigt, wann das Niederlassungsprinzip und wann das Marktortprinzip nach Art. 3 DSGVO greift.
Ausgangspunkt: Art. 3 DSGVO
Beim räumlichen Anwendungsbereich der DSGVO denkt man bei Unternehmen außerhalb der EU häufig zunächst an Art. 3 Abs. 2 DSGVO und damit an das sogenannte Marktortprinzip. Danach kann die DSGVO auch ohne Niederlassung in der EU gelten, wenn Waren oder Dienstleistungen an Personen in der EU angeboten werden oder deren Verhalten beobachtet wird.
In der Praxis ist folgende Konstellation nicht unüblich: Unternehmen außerhalb der EU unterhalten beim Eintritt in den europäischen Markt mitunter lediglich ein kleines Büro oder eine sonstige lokale Präsenz, während die eigentliche Datenverarbeitung nahezu vollständig außerhalb der EU erfolgt. Gerade dann ist zu prüfen, ob diese Präsenz überhaupt als Niederlassung im Sinne des Art. 3 Abs. 1 DSGVO einzustufen ist und ob die außerhalb der EU stattfindende Datenverarbeitung dennoch „im Rahmen der Tätigkeiten“ dieser Niederlassung erfolgt. Denn Art. 3 Abs. 1 DSGVO setzt nicht voraus, dass die Datenverarbeitung selbst in der EU stattfindet.
Die Einordnung kann in der Praxis erhebliche Auswirkungen auf die Zuständigkeit der Aufsichtsbehörden und insbesondere auf die Anwendbarkeit des One-Stop-Shop-Verfahrens haben.
Für die Praxis lässt sich die Prüfung deshalb in mehrere Schritte unterteilen.
Werden überhaupt personenbezogene Daten verarbeitet?
Art. 3 DSGVO regelt nicht pauschal, welche Unternehmen der DSGVO unterliegen, sondern für welche Verarbeitungen personenbezogener Daten die Verordnung gilt.
Daher ist zunächst zu bestimmen, welche Verarbeitung betrachtet wird. Ein Hersteller außerhalb der EU, der lediglich Maschinen an ein europäisches Unternehmen verkauft, löst allein durch dieses Geschäft noch keine Anwendung der DSGVO aus. Werden bei der Vertragsabwicklung allerdings beispielsweise Namen, geschäftliche Kontaktdaten oder Nutzerdaten natürlicher Personen verarbeitet, ist für diese konkrete Verarbeitung der räumliche Anwendungsbereich zu prüfen.
Niederlassungsprinzip
Viele Unternehmen außerhalb der EU verfügen über eine Niederlassung in der Union, während die eigentliche Datenverarbeitung ganz oder überwiegend im Drittstaat erfolgt. Bedeutet das automatisch, dass diese Verarbeitung nicht der DSGVO unterliegt? Entscheidend ist vielmehr, ob sie im Rahmen der Tätigkeiten der EU-Niederlassung erfolgt, bzw. wie eng die Verarbeitung mit deren Tätigkeiten verbunden ist.
Der Begriff der Niederlassung ist weit zu verstehen: Tatsächlichkeit und Stabilität
Der Begriff der „Niederlassung“ ist weiter als der gesellschaftsrechtliche Begriff einer Tochtergesellschaft oder Zweigniederlassung. Erfasst werden können auch Büros oder andere Formen einer stabilen Präsenz, über die in der EU tatsächlich und effektiv eine Tätigkeit ausgeübt wird. Dabei kommt es nicht entscheidend auf die Rechtsform oder den Umfang der Tätigkeit an.
Erwägungsgrund 22 DSGVO stellt klar:
„Eine Niederlassung setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob es sich um eine Zweigstelle oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit handelt, ist dabei nicht ausschlaggebend.“
Gerade bei Online-Diensten kann die Schwelle nach Auffassung des EDSA vergleichsweise niedrig sein. Unter Umständen kann bereits ein einzelner dauerhaft in der EU tätiger Mitarbeiter oder Vertreter ausreichen, sofern dessen Tätigkeit eine hinreichend stabile und effektive Präsenz des Unternehmens begründet.
Der Umstand, dass das für die Datenverarbeitung verantwortliche Nicht-EU-Unternehmen weder über eine Zweigniederlassung noch eine Tochtergesellschaft in einem Mitgliedstaat verfügt, schließt daher nicht aus, dass es dort eine Niederlassung im Sinne des EU-Datenschutzrechts besitzt.
Datenverarbeitung „im Rahmen der Tätigkeit“ dieser Niederlassung
Das Bestehen einer Niederlassung in der EU führt allerdings nicht dazu, dass automatisch sämtliche Datenverarbeitungen des Unternehmens außerhalb der EU der DSGVO unterliegen. Entscheidend ist vielmehr, ob die konkrete Verarbeitung „im Rahmen der Tätigkeiten“ dieser Niederlassung erfolgt.
Nach den Leitlinien des EDSA kann dies auch dann der Fall sein, wenn die EU-Niederlassung selbst nicht an der Datenverarbeitung beteiligt ist. Maßgeblich ist, ob die Tätigkeiten der Niederlassung und die Verarbeitung des Unternehmens außerhalb der EU untrennbar miteinander verbunden sind. Relevante Gesichtspunkte können insbesondere die Beziehung zwischen dem Nicht-EU-Unternehmen und seiner Niederlassung sowie die Erzielung von Einnahmen in der Union sein.
Ein typisches Beispiel sind vernetzte Produkte: Ein Unternehmen außerhalb der EU betreibt eine App und verarbeitet die dabei anfallenden Nutzerdaten im Drittstaat. Eine EU-Niederlassung vertreibt jedoch die mit der App verbundenen Geräte auf dem europäischen Markt und übernimmt den Kundensupport – auch bei Problemen mit der App. Dass die Niederlassung selbst keinen Einfluss auf die technische Datenverarbeitung hat, schließt die Anwendung von Art. 3 Abs. 1 DSGVO nicht aus. Die enge wirtschaftliche und funktionale Verbindung zwischen Gerätevertrieb, App-Nutzung und Kundensupport kann vielmehr dafür sprechen, dass die Verarbeitung im Rahmen der Tätigkeiten der EU-Niederlassung erfolgt.
Für die Praxis bedeutet das: Auch eine außerhalb der EU stattfindende Verarbeitung des Nicht-EU-Unternehmens unterliegt der DSGVO, wenn sie im Rahmen der Tätigkeiten seiner EU-Niederlassung erfolgt. Diese Einordnung kann zudem für die aufsichtsbehördliche Zuständigkeit und eine mögliche Anwendung des One-Stop-Shop-Verfahrens von Bedeutung sein. Ob das One-Stop-Shop-Verfahren tatsächlich greift, hängt jedoch von weiteren Voraussetzungen ab, die gesondert zu prüfen sind.
Keine Niederlassung – aber Marktbezug zur EU?
Hat ein Unternehmen keine relevante Niederlassung in der EU, kommt insbesondere Art. 3 Abs. 2 DSGVO ins Spiel. Danach kann die DSGVO auch für Verantwortliche oder Auftragsverarbeiter außerhalb der EU gelten, wenn personenbezogene Daten von Personen verarbeitet werden, die sich in der EU befinden, und die Verarbeitung entweder mit dem Angebot von Waren oder Dienstleistungen an diese Personen oder mit der Beobachtung ihres Verhaltens innerhalb der EU zusammenhängt.
Dabei kommt es nicht auf die Staatsangehörigkeit an. Ein chinesischer Tourist, der sich während einer Reise in Deutschland befindet, kann ebenso eine betroffene Person „in der Union“ im Sinne von Art. 3 Abs. 2 DSGVO sein wie ein deutscher Staatsbürger. Umgekehrt führt die deutsche oder französische Staatsangehörigkeit einer Person, die sich außerhalb der EU befindet, für sich genommen nicht zur Anwendung von Art. 3 Abs. 2 DSGVO.
Allerdings genügt auch der bloße Aufenthalt einer Person in der EU nicht. Hinzukommen muss der erforderliche Bezug der Verarbeitung zum Angebot von Waren oder Dienstleistungen bzw. zur Beobachtung des Verhaltens. Der EDSA verdeutlicht dies am Beispiel eines US-Touristen, der während einer Europareise eine ausschließlich für den US-Markt bestimmte amerikanische Nachrichten-App nutzt: Allein dadurch wird die Verarbeitung des US-Anbieters noch nicht der DSGVO unterstellt.
Wann werden Waren oder Dienstleistungen in der EU angeboten?
Für Art. 3 Abs. 2 lit. a DSGVO kommt es darauf an, ob der Verantwortliche nach Erwägungsgrund 23 DSGVO „offensichtlich beabsichtigt“, Personen in einem oder mehreren EU-Mitgliedstaaten Waren oder Dienstleistungen anzubieten.
Dass eine Website aus Deutschland aufgerufen werden kann, reicht dafür nicht aus. Auch die Angabe einer E-Mail-Adresse oder anderer Kontaktdaten oder die Verwendung einer Sprache, die im Sitzland des Unternehmens allgemein gebräuchlich ist, genügt für sich genommen nicht.
Für einen gezielten EU-Marktbezug können dagegen beispielsweise die ausdrückliche Lieferung in bestimmte EU-Mitgliedstaaten, Werbung für Kunden in der EU, EU-spezifische Domains, besondere Kontaktmöglichkeiten für europäische Kunden oder die Verwendung von Sprachen und Währungen sprechen, die auf den adressierten Markt hindeuten. Entscheidend ist stets eine Gesamtbetrachtung.
Ein typisches Beispiel wäre ein türkischer Online-Shop, dessen Webseite auf Deutsch, Französisch und Niederländisch angeboten wird, Zahlungen in Euro ermöglicht und ausdrücklich nach Deutschland, Frankreich und in die Benelux-Staaten liefert. Hier spricht die Gestaltung des Angebots deutlich dafür, dass sich das Unternehmen gezielt an Personen in der EU richtet.
Ob die Dienstleistung kostenpflichtig ist, ist dagegen unerheblich. Art. 3 Abs. 2 lit. a DSGVO erfasst ausdrücklich auch Angebote, für die die betroffene Person keine Zahlung leisten muss. Auch eine kostenlose App oder ein kostenloser Online-Dienst kann daher unter das Marktortprinzip fallen.
Wann liegt eine Beobachtung des Verhaltens vor?
Die zweite Alternative des Marktortprinzips betrifft die Beobachtung des Verhaltens von Personen in der EU nach Art. 3 Abs. 2 lit. b DSGVO.
Nicht jede technische Erhebung oder Auswertung personenbezogener Daten stellt bereits eine solche Beobachtung dar. Entscheidend ist insbesondere, ob das Verhalten einer Person gezielt verfolgt und die gewonnenen Daten anschließend etwa ausgewertet, analysiert oder sogar zur Erstellung von Profilen verwendet werden.
Der EDSA nennt unter anderem verhaltensbezogene Werbung, Geo-Tracking für Marketingzwecke, Online-Tracking mittels Cookies oder Fingerprinting, personalisierte Gesundheits- und Ernährungsanalysen, bestimmte Formen der Videoüberwachung sowie profilbasierte Markt- und Verhaltensforschung als mögliche Fälle der Verhaltensbeobachtung.
Auf die konkrete Verarbeitung kommt es an
Ob die DSGVO auf ein Unternehmen außerhalb der EU Anwendung findet, lässt sich nicht allein am Unternehmenssitz oder am Ort der Datenverarbeitung festmachen. Entscheidend ist vielmehr die konkrete Verarbeitung.
Zunächst ist selbstverständlich zu klären, ob überhaupt personenbezogene Daten verarbeitet werden. Besteht eine Niederlassung in der EU, ist anschließend zu prüfen, ob die betreffende Verarbeitung im Rahmen ihrer Tätigkeiten erfolgt und mit diesen hinreichend eng verbunden ist. Fehlt eine relevante Niederlassung, kommt es darauf an, ob sich das Unternehmen mit seinem Angebot gezielt an Personen in der EU richtet oder deren Verhalten innerhalb der EU beobachtet.
