Das siebte Kurzpapier der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) beschäftigt sich mit dem Marktortprinzip.

DAS MARKTORTPRINZIP

Das Marktortprinzip schließt unter bestimmten Bedingungen auch Unternehmen, die nicht in der EU niedergelassen sind, in den Anwendungsbereich der DS-GVO ein.
Seit In-Kraft-Treten der EU-Datenschutzrichtlinie im Jahr 1995 haben sich neue Fragestellungen zum Anwendungsbereich des europäischen Datenschutzrechts entwickelt, beispielsweise mit Blick auf die fortschreitende Verlagerung von Geschäftsaktivitäten
ins Internet (eCommerce). Sie erfordern keine physischen Betriebs- und Organisationsstrukturen in Europa, die als direkter Anknüpfungspunkt für die Anwendbarkeit europäischen Datenschutzrechts dienen könnten.
Der europäische Gesetzgeber erstreckt den Anwendungsbereich des europäischen Datenschutzrechts mit Einführung des Marktortprinzips auf datenschutzrechtlich relevante Geschäftsaktivitäten von
Unternehmen, die keine Niederlassungen in der EU besitzen und damit an sich außerhalb des territorialen Anwendungsbereichs nach Art. 3 Abs. 1 DS-GVO liegen würden. Unter den von Art. 3 Abs. 2 lit. a und
lit. b DS-GVO festgelegten Bedingungen erstreckt sich der Anwendungsbereich der DSGVO auf Verarbeitungen personenbezogener Daten von Betroffenen, die sich in der EU befinden, ohne Rücksicht auf physische Organisations- oder Betriebsstrukturen von Unternehmen in der EU.

ANGEBOT VON WAREN UND DIENSTLEISTUNGEN

Die DS-GVO findet Anwendung, wenn eine Datenverarbeitung im Zusammenhang damit steht, betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten. Das Unternehmen muss dies
offensichtlich beabsichtigen (vgl. ErwGr. 23). Die Zahlung eines Entgeltes für das Waren- oder Dienstleistungsangebot ist hierbei für die Anwendbarkeit der DS-GVO irrelevant, sondern es sollen explizit auch unentgeltliche Angebote, z.B. Dienstleistungen
durch soziale Netzwerke, darunter fallen. Ein maßgeblicher Anknüpfungspunkt ist die Ausrichtung bestimmter Werbe- bzw. Verkaufsmaßnahmen auf Personen, die sich in der EU befinden. Wann
dies der Fall ist, muss anhand von Hilfsfaktoren und Indizien bestimmt werden. Keine ausreichenden Anhaltspunkte hierfür sind etwa allein

• die bloße Abrufbarkeit einer kommerziellen
  Internetpräsenz, einer E-Mail-Adresse oder
  sonstiger Kontaktdaten oder
• die Verwendung einer (EU-)Sprache, die in
  dem Drittstaat, in dem das jeweilige Unternehmen
  niedergelassen ist, allgemein gebräuchlich
  ist.

Haftungsausschlüsse (so genannte Disclaimer), die
beispielsweise die Anwendbarkeit der DS-GVO beschränken
oder ausschließen, lassen wiederum nicht zwingend auf die Nichtanwendbarkeit der DSGVO schließen.
Andere Faktoren wie

• die Verwendung der Sprache oder Währung eines Mitgliedstaates in Verbindung mit der Möglichkeit, Waren und Dienstleistungen in dieser anderen Sprache zu bestellen oder
• die Erwähnung von Kunden oder Nutzern, die sich in der EU befinden,

können darauf hindeuten, dass ein Unternehmen beabsichtigt, den betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten (vgl. ErwGr. 23). Ein Angebot kann auch dann (potentielle) Kunden und Nutzer in der EU adressieren, wenn das jeweilige Waren- oder Dienstleistungsangebot einen hinreichend konkreten personalen Bezug zum Marktgeschehen aufweist. Zur Bestimmung dessen können beispielsweise „Flaggen-Icons“, landesspezifische „Top Level Domains“ oder geographische Referenzen zu den mitgliedstaatlichen Märkten herangezogen werden.

ÜBERWACHUNG DES VERHALTENS

Die DS-GVO ist auch dann anwendbar, wenn die Datenverarbeitung im Zusammenhang damit steht, das Verhalten von betroffenen Personen zu beobachten, soweit dieses Verhalten in der EU erfolgt. Dies ist zum Beispiel dann der Fall, wenn die Internetaktivitäten der betroffenen Person nachvollzogen werden. Eine solche Nachvollziehbarkeit kann auch im Fall der nachfolgenden Erstellung von (Persönlichkeits-)Profilen angenommen werden, wenn

• diese die Grundlage für eine die jeweilige Person betreffende Entscheidung bilden oder
• anhand derer die Vorlieben, Verhaltensweisen oder Gepflogenheiten einer natürlichen Person analysiert oder vorausgesagt werden sollen (vgl. ErwGr. 24).

Dies kann zum Beispiel durch den Einsatz von „Tracking-Cookies“ oder „Browser Fingerprints“ stattfinden. Diese Techniken können auch als Grundlage für die weitere Erstellung persönlicher Profile, etwa zum Zwecke individualisierter bzw. zielgruppenspezifischer Werbung (sog. Behavioural Targeting) dienen.

WEITERE FOLGEN

Außereuropäische Unternehmen, auf deren Verarbeitungstätigkeiten die DS-GVO anwendbar ist, müssen grundsätzlich einen in einem betroffenen Mitgliedstaat niedergelassenen Vertreter benennen. Der Vertreter ist ausdrücklich zu bestellen und schriftlich zu beauftragen, in Bezug auf die sich aus der DS-GVO ergebenden Pflichten an Stelle des Verantwortlichen oder des Auftragsverarbeiters zu handeln. Als Anlaufstelle soll dieser Vertreter einerseits den betroffenen Personen ermöglichen, ihre Betroffenenrechte wirksam geltend zu machen und andererseits die Aufsichtsbehörden in die Lage versetzen, ihre Aufsichtsmaßnahmen effektiv durchzusetzen (Art. 27 DS-GVO, siehe auch ErwGr. 80). Die Pflicht entfällt, wenn die Verarbeitung

• lediglich gelegentlich erfolgt,
• nicht die umfangreiche Verarbeitung sensibler personenbezogener Daten im Sinn von Art. 9 DS-GVO einschließt,
• nicht die umfangreiche Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DS-GVO) einschließt und
• nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Der Verstoß gegen die Pflicht zur Bestellung ist bußgeldbewehrt (vgl. Art. 83 Abs. 4 lit. a DS-GVO).

FAZIT

Auch Unternehmen, die keine Niederlassung in der EU haben, aber auf dem europäischen Markt tätig sind, müssen die DS-GVO voll anwenden. Darüber hinaus sind diese Unternehmen grundsätzlich verpflichtet, einen Vertreter in der EU zu benennen. Der europäische Gesetzgeber stellt die Aufsichtsbehörden mit Einführung des Marktortprinzips vor die nicht zu unterschätzende Herausforderung, den Geltungsanspruch der DS-GVO gegenüber Unternehmen in Drittstaaten durchzusetzen.