Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

PDF-Version

Regelung des Marktortprinzips in Art. 3 Abs. 2 DS-GVO

Das Marktortprinzip schließt unter bestimmten Bedingungen auch Unternehmen, die nicht in der EU niedergelassen sind, in den Anwendungsbereich der DS-GVO ein.

Seit In-Kraft-Treten der EU-Datenschutzrichtlinie im Jahr 1995 haben sich neue Fragestellungen zum Anwendungsbereich des europäischen Datenschutzrechts entwickelt, beispielsweise mit Blick auf die fortschreitende Verlagerung von Geschäftsaktivitäten ins Internet (eCommerce). Sie erfordern keine physischen Betriebs- und Organisationsstrukturen in Europa, die als direkter Anknüpfungspunkt für die Anwendbarkeit europäischen Datenschutzrechts dienen könnten.

Der europäische Gesetzgeber erstreckt den Anwendungsbereich des europäischen Datenschutzrechts mit Einführung des Marktortprinzips auf datenschutzrechtlich relevante Geschäftsaktivitäten von Unternehmen, die keine Niederlassungen in der EU besitzen und damit an sich außerhalb des territorialen Anwendungsbereichs nach Art. 3 Abs. 1 DS-GVO liegen würden. Unter den von Art. 3 Abs. 2 lit. a und lit. b DS-GVO festgelegten Bedingungen erstreckt sich der Anwendungsbereich der DSGVO auf Verarbeitungen personenbezogener Daten von Betroffenen, die sich in der EU befinden, ohne Rücksicht auf physische Organisations- oder Betriebsstrukturen von Unternehmen in der EU.

1. Anknüpfungspunkt:
Angebot von Waren und Dienstleistungen (Art. 3 Abs. 2 lit. a DS-GVO)

Die DS-GVO findet Anwendung, wenn eine Daten-verarbeitung im Zusammenhang damit steht, betroffenen Personen in der EU Waren oder Dienst-leistungen anzubieten. Das Unternehmen muss dies offensichtlich beabsichtigen (vgl. ErwGr. 23). Die Zahlung eines Entgeltes für das Waren- oder Dienstleistungsangebot ist hierbei für die Anwendbarkeit der DS-GVO irrelevant, sondern es sollen explizit auch unentgeltliche Angebote, z.B. Dienstleistungen durch soziale Netzwerke, darunter fallen.

Ein maßgeblicher Anknüpfungspunkt ist die Ausrichtung bestimmter Werbe- bzw. Verkaufsmaßnahmen auf Personen, die sich in der EU befinden. Wann dies der Fall ist, muss anhand von Hilfsfaktoren und Indizien bestimmt werden. Keine ausreichenden Anhaltspunkte hierfür sind etwa allein

• die bloße Abrufbarkeit einer kommerziellen Internetpräsenz, einer E-Mail-Adresse oder sonstiger Kontaktdaten oder
• die Verwendung einer (EU-)Sprache, die in dem Drittstaat, in dem das jeweilige Unter-nehmen niedergelassen ist, allgemein gebräuchlich ist.

Haftungsausschlüsse (so genannte Disclaimer), die beispielsweise die Anwendbarkeit der DS-GVO beschränken oder ausschließen, lassen wiederum nicht zwingend auf die Nichtanwendbarkeit der DS-GVO schließen.

Andere Faktoren wie

• die Verwendung der Sprache oder Währung eines Mitgliedstaates in Verbindung mit der Möglichkeit, Waren und Dienstleistungen in dieser anderen Sprache zu bestellen oder
• die Erwähnung von Kunden oder Nutzern, die sich in der EU befinden,

können darauf hindeuten, dass ein Unternehmen beabsichtigt, den betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten (vgl.
ErwGr. 23). Ein Angebot kann auch dann (potentielle) Kunden und Nutzer in der EU adressieren, wenn das jeweilige Waren- oder Dienstleistungsangebot einen hinreichend konkreten personalen Bezug zum Marktgeschehen aufweist. Zur Bestimmung dessen können beispielsweise „Flaggen-Icons“, landesspezifische „Top Level Domains“ oder geographische Referenzen zu den mitgliedstaatlichen Märkten herangezogen werden.

2. Anknüpfungspunkt:
Überwachung des Verhaltens von Personen (Art. 3 Abs. 2 lit. b DS-GVO)

Die DS-GVO ist auch dann anwendbar, wenn die Datenverarbeitung im Zusammenhang damit steht, das Verhalten von betroffenen Personen zu beobachten, soweit dieses Verhalten in der EU erfolgt. Dies ist zum Beispiel dann der Fall, wenn die Internetaktivitäten der betroffenen Person nachvollzogen werden. Eine solche Nachvollziehbarkeit kann auch im Fall der nachfolgenden Erstellung von (Persönlichkeits-)Profilen angenommen werden, wenn

• diese die Grundlage für eine die jeweilige Person betreffende Entscheidung bilden oder
• anhand derer die Vorlieben, Verhaltensweisen oder Gepflogenheiten einer natürlichen Person analysiert oder vorausgesagt wer-den sollen (vgl. ErwGr. 24).

Dies kann zum Beispiel durch den Einsatz von „Tra-cking-Cookies“ oder „Browser Fingerprints“ statt-finden. Diese Techniken können auch als Grundlage für die weitere Erstellung persönlicher Profile, etwa zum Zwecke individualisierter bzw. zielgruppenspezifischer Werbung (sog. Behavioural Targeting) dienen.

Weitere Folgen

Außereuropäische Unternehmen, auf deren Verarbeitungstätigkeiten die DS-GVO anwendbar ist, müssen grundsätzlich einen in einem betroffenen Mitgliedstaat niedergelassenen Vertreter benennen. Der Vertreter ist ausdrücklich zu bestellen und schriftlich zu beauftragen, in Bezug auf die sich aus der DS-GVO ergebenden Pflichten an Stelle des Verantwortlichen oder des Auftragsverarbeiters zu handeln. Als Anlaufstelle soll dieser Vertreter einerseits den betroffenen Personen ermöglichen, ihre Betroffenenrechte wirksam geltend zu machen und andererseits die Aufsichtsbehörden in die Lage versetzen, ihre Aufsichtsmaßnahmen effektiv durchzusetzen (Art. 27 DS-GVO, siehe auch ErwGr. 80). Die Pflicht entfällt, wenn die Verarbeitung

• lediglich gelegentlich erfolgt,
• nicht die umfangreiche Verarbeitung sensibler personenbezogener Daten im Sinn von Art. 9 DS-GVO einschließt,
• nicht die umfangreiche Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DS-GVO) einschließt und
• nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Der Verstoß gegen die Pflicht zur Bestellung ist bußgeldbewehrt (vgl. Art. 83 Abs. 4 lit. a DS-GVO).

Fazit

Auch Unternehmen, die keine Niederlassung in der EU haben, aber auf dem europäischen Markt tätig sind, müssen die DS-GVO voll anwenden. Darüber hinaus sind diese Unternehmen grundsätzlich verpflichtet, einen Vertreter in der EU zu benennen. Der europäische Gesetzgeber stellt die Aufsichtsbehörden mit Einführung des Marktortprinzips vor die nicht zu unterschätzende Herausforderung, den Geltungsanspruch der DS-GVO gegenüber Unternehmen in Drittstaaten durchzusetzen.

Anmerkung zur Nutzung dieses Kurzpapiers: 

Dieses Kurzpapier darf – ohne Rückfrage bei einer Aufsichtsbehörde – kommerziell und nicht kommerziell genutzt, insbesondere vervielfältigt, ausgedruckt, präsentiert, verändert, bearbeitet sowie an Dritte übermittelt oder auch mit eigenen Daten und Daten Anderer zusammengeführt und zu selbständigen neuen Datensätzen verbunden werden, wenn der  folgende  Quellenvermerk  angebracht  wird:
„Konferenz  der  unabhängigen  Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz). Datenlizenz Deutschland – Namensnennung – Version 2.0 (www.govdata.de/dl-de/by-2-0)".