DS-GVO/BDSG. David Klein
ist zugleich, dass auch die Übermittlung personenbezogener Daten an Staaten außerhalb der EU und an internationale Organisationen der Geltung der DS-GVO unterfällt, so wie das in Art. 44 angelegt ist.[4]
2. Anforderungen an das Merkmal der Niederlassung
16
Die DS-GVO findet nach Abs. 1 dann Anwendung auf die Verarbeitung personenbezogener Daten, wenn diese im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in einem Mitgliedstaat der EU stattfindet. Die Vorschrift bringt damit ungeachtet der Auslegung der jeweiligen Begriffe eine gewisse Selbstverständlichkeit zum Ausdruck. Maßstab für die örtliche Belegenheit der Niederlassung ist Art. 52 EUV, der durch Art. 355 AEUV konkretisiert wird.
17
Für die Begriffe der Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter sei auf Art. 4 Nr. 1, 2, 7 und 8 verwiesen.
18
Zentral ist der Begriff der Niederlassung. Diese ist gegeben, wenn entsprechend ErwG 22 die effektive und tatsächliche Ausübung einer Tätigkeit in einer festen Einrichtung erfolgt.[5] Die Anforderungen an eine solche Niederlassung sind relativ gering. Die Niederlassung muss von gewisser Beständigkeit sein; für die Frage der effektiven und tatsächlichen Ausübung der Tätigkeit ist deren Eigenart mit zu betrachten. Auf Grundlage der DSRL sollte nach der Rechtsprechung des EuGH das Vorhandensein nur eines Vertreters in einem Mitgliedstaat als ausreichend für die Annahme einer Niederlassung anzusehen sein.[6] Ob diese Rechtsprechung in Ansehung der DS-GVO, dort Art. 27, haltbar bleibt, ist zu bezweifeln, weil jedenfalls mit der formellen Bestellung eines Vertreters eben für Tätigkeiten i.S.d. Art. 3 Abs. 2 gerade nicht die Begründung einer Niederlassung verbunden sein soll.[7] Gleichwohl ist die vorgenannte Rechtsprechung exemplarisch für die geringen Anforderungen, die an eine Niederlassung zu stellen sind.
19
ErwG 22 stellt klar, dass die gewählte Rechtsform ohne Belang für die Annahme einer Niederlassung ist. Nicht erforderlich ist das Vorhandensein einer Tochtergesellschaft; eine Zweigstelle des Unternehmens mit ggf. nur einem Büro ist – den Nachweis einer effektiven Ausübung einer wirtschaftlichen Tätigkeit unterstellt – ausreichend.[8] Dies ist anzunehmen, wenn von einer Stelle in einem Unionsstaat Datenverarbeitungsvorgänge durch Personen inhaltlich gesteuert werden oder unterstützende Tätigkeiten für notwendige Datenverarbeitungsvorgänge, bspw. in Verkaufsstellen oder Repräsentanzen des Diensteanbieters, erfolgen.[9] Die Existenz sachlicher Betriebsmittel in einem Mitgliedstaat – bspw. ein ferngewarteter Server – kann auf das Vorhandensein einer Niederlassung hindeuten.[10] Auch ist eine Niederlassung anzunehmen, wenn von dort aus Datenverarbeitungsanlagen technisch gesteuert werden.[11] Nimmt man eine tatsächliche Tätigkeit als Maßstab für das Vorhandensein einer Niederlassung, würde wiederum die Existenz lediglich eines Briefkastens in einem Mitgliedstaat nicht für die Annahme einer Niederlassung ausreichen.
20
Entsprechend dem eindeutigen Wortlaut des Art. 3 Abs. 1 muss der Datenverarbeitungsvorgang selbst nicht zwingend innerhalb der Union stattfinden. Voraussetzung ist nur, dass die Datenverarbeitung der Tätigkeit der Niederlassung dient.
21
Irrelevant für die Einstufung einer Einrichtung als Niederlassung ist der Sitz des Verantwortlichen.[12] So kann einerseits neben dem statuarischen Sitz in einem Staat außerhalb der EU eine Niederlassung in Form einer Zweigstelle oder einer Tochtergesellschaft existieren. Andererseits ist im Falle einer Briefkastenfirma deren Adresse möglicherweise der offizielle Firmensitz, der dann aber nicht der Ort der effektiven Ausübung der wirtschaftlichen Tätigkeit ist.[13]
III. Räumlicher Anwendungsbereich ohne Niederlassung in der Union (Abs. 2)
22
Wiederum kann getrennt werden zwischen den geschützten Personen und den Normunterworfenen. Bezüglich Letzterer betrifft Art. 3 Abs. 2 in der Endfassung nunmehr auch Auftragsverarbeiter ohne Sitz in der EU; in der Entwurfsfassung waren lediglich Verantwortliche ohne Sitz in der EU erfasst, was aber eher als Versehen anzusehen gewesen sein dürfte.
1. Kreis der geschützten Personen
23
Geschützt sind nach Abs. 2 nur Personen, „die sich in der Union befinden“, ohne dass aber gesteigerte Anforderungen an die Dauer des Aufenthalts, dessen Verfestigung oder dessen Rahmen gestellt würden. Es reichen kurzfristige Aufenthalte aus. Auch ist die Staatsangehörigkeit der betroffenen Personen ohne Belang. Dem entspricht auch die englische Fassung, die die offene Formulierung „who are in the Union“ verwendet. Insbesondere werden nicht die im Gesetzgebungsverfahren erwogenen Begriffe „ansässig“ oder „residing“ bzw. „mit Wohnsitz“ oder „domiciled“ verwendet.
24
Andererseits kann sich ein Unionsbürger, der sich im Moment der Verarbeitung in einem Drittstaat aufhält, bspw. bei Inanspruchnahme von Leistungen im Ausland, die mit der Verarbeitung von Daten verbunden ist, nicht auf den Schutz der DS-GVO berufen.[14]
2. Anwendbarkeit ohne Niederlassung
25
Art. 3 Abs. 2 enthält eine wesentliche Neuerung für Fälle, die bislang umstritten waren, nämlich diejenigen einer Datenverarbeitung außerhalb der EU, wenn der Verantwortliche oder der Auftragsverarbeiter keine Niederlassung (bzw. keinen Sitz) in der EU hat. Für diese Fälle wird der räumliche Anwendungsbereich der DS-GVO unter den Voraussetzungen des Art. 3 Abs. 2 lit. a und b erweitert. Diese Entwicklung ist in der EuGH-Rechtsprechung unter Geltung der DSRL bereits ansatzweise vorgezeichnet worden[15] und ist nunmehr positivrechtlich normiert. Durch Abs. 2 wird für die räumliche Anwendbarkeit der DS-GVO nunmehr auf das sog. Marktortprinzip abgestellt.
26
Die Ausweitung der DS-GVO wird teilweise als protektionistisch kritisiert,[16] dient aber letztlich dazu, auf dem Binnenmarkt bezogen auf den datenschutzrechtlichen Rahmen gleiche Marktbedingungen für alle Wirtschaftsteilnehmer zu schaffen. Die Wirkung der DS-GVO ist dabei intraterritorial und nicht – was völkerrechtlich bedenklich wäre – extraterritorial, da sie auf eine unternehmerische Betätigung im Binnenmarkt abstellt.[17] Dies wird nicht zuletzt durch die zweifache territoriale Anknüpfung der Leistungserbringung in der Union gegenüber Personen in der Union, sichergestellt.[18] Ziel ist insoweit ein „level playing field“.[19]
27
Entsprechend ist die Entscheidung