Art. 3 DSGVO: Räumlicher Anwendungsbereich
| veröffentlicht am |
12.11.2019 |
|---|---|
| Änderung | Neu aufgenommen |
| Stand | 27.02.2018 |
|---|---|
| Erstellungsgrundlage | in der Fassung der Datenschutz-Grundverordnung vom 27.04.2016 in Kraft getreten am 25.05.2018 |
| Rechtsgrundlage | |
| Version | 001.01 |
- Inhalt der Regelung
- Allgemeines
- Räumlicher Anwendungsbereich nach Art. 3 Abs. 1 DSGVO
- Räumlicher Anwendungsbereich nach Art. 3 Abs. 2 DSGVO
- Anwendbarkeit aufgrund völkerrechtlicher Vorgaben (Art. 3 Abs. 3 DSGVO)
Inhalt der Regelung
Art. 3 Datenschutz-Grundverordnung (DSGVO) bestimmt den räumlichen Anwendungsbereich der DSGVO.
Ergänzende/korrespondierende Regelungen
Weitere Erläuterungen und Auslegungshilfen finden sich in den Erwägungsgründen 22 bis 25 der DSGVO.
Allgemeines
Art. 3 DSGVO legt den territorialen Anwendungsbereich der DSGVO fest und bestimmt damit, wann die DSGVO anwendbar ist.
Das europäische Datenschutzrecht gilt nach der DSGVO nicht nur für die in der Europäischen Union niedergelassenen Unternehmen. Der Anwendungsbereich erstreckt sich auch auf außereuropäische Unternehmen, die auf dem europäischen Markt tätig sind (Marktortprinzip).
Nach Art. 3 Abs. 3 DSGVO ist die DSGVO auch dann anwendbar, wenn die Datenverarbeitung durch den Verantwortlichen an einem Ort erfolgt, der aufgrund des Völkerrechts dem Recht eines Mitgliedstaats unterliegt.
Räumlicher Anwendungsbereich nach Art. 3 Abs. 1 DSGVO
Die DSGVO findet gemäß Art. 3 Abs. 1 DSGVO dann Anwendung, wenn die Verarbeitung personenbezogener Daten im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen (Art. 4 Nr. 7 DSGVO) oder Auftragsverarbeiters (Art. 4 Nr. 8 DSGVO) in der Union erfolgt, unabhängig davon, ob die Verarbeitung als solche tatsächlich in der Union stattfindet oder außerhalb der Union.
Ob eine Niederlassung im Sinne des Art. 3 Abs. 1 DSGVO vorliegt, kann aus dem Erwägungsgrund 22 (ErwG 22 DSGVO) abgeleitet werden. Für eine Niederlassung ist demnach kennzeichnend, dass eine feste Einrichtung eine effektive und tatsächliche Ausübung einer Tätigkeit erlaubt. Die Rechtsform der Niederlassung ist nicht entscheidend. Es muss allerdings die Datenverarbeitung der Niederlassung im Rahmen der Tätigkeit der Niederlassung erfolgen.
Räumlicher Anwendungsbereich nach Art. 3 Abs. 2 DSGVO
Das europäische Datenschutzrecht schließt unter bestimmten Bedingungen Unternehmen, die nicht in der EU niedergelassen sind, in den Anwendungsbereich der DSGVO ein. Durch Einführung des Marktortprinzips für datenschutzrechtlich relevante Geschäftsaktivitäten von Unternehmen, die keine Niederlassungen in der EU besitzen und damit an sich außerhalb des territorialen Anwendungsbereichs nach Art. 3 Abs. 1 DSGVO liegen, wird der räumliche Anwendungsbereich eröffnet.
Der räumliche Anwendungsbereich nach Art. 3 Abs. 2 DSGVO ist eröffnet,
- wenn ein nicht in der EU Niedergelassener (Verantwortlicher oder Auftragsverarbeiter) personenbezogene Daten von in der EU befindlichen betroffenen Personen verarbeitet, um diesen Personen Waren oder Dienstleistungen anzubieten (Art. 3 Abs. 2 Buchst. a DSGVO) oder
- um deren Verhalten zu beobachten (Art. 3 Abs. 2 Buchst. b DSGVO).
Die Verarbeitung hat sich zu beziehen auf personenbezogene Daten von Personen, die sich in der Union befinden. Ein Wohnsitz innerhalb der Union ist dabei nicht Voraussetzung; es genügt, dass sich die Person, deren Daten verarbeitet werden, innerhalb der Union beziehungsweise im Hoheitsgebiet eines Mitgliedstaates (auch nur vorübergehend) aufhält. Daher gilt der Schutz der DSGVO gleichermaßen für Unionsbürger wie auch für Bürger aus Drittstaaten, beispielsweise Touristen.
Die DSGVO ist bei Erfüllung der Voraussetzungen des Art. 3 Abs. 2 DSGVO auch auf ausländische Behörden anwendbar. So etwa, wenn diese Dienstleistungen in der Union anbieten und in diesem Zusammenhang personenbezogene Daten verarbeiten. Dies hat die Europäische Kommission während der Verhandlungen zur DSGVO im Rat auf Nachfrage Deutschlands klargestellt und ausgeführt, dass die Charta der Grundrechte der Europäischen Union keine Unterscheidung hinsichtlich der Natur des Verantwortlichen (privatrechtlich oder öffentlich-rechtlich) treffe.
Auf die Abschnitte 4.1 und 4.2 wird ergänzend hingewiesen.
Datenverarbeitung im Zusammenhang mit dem Angebot von Waren und Dienstleistungen (Art. 3 Abs. 2 Buchst. a DSGVO )
Die DSGVO findet nach Art. 3 Abs. 2 Buchst. a DSGVO Anwendung, wenn die Datenverarbeitung im Zusammenhang damit steht, dass einer betroffenen Person in der Union Waren oder Dienstleistungen - unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist - angeboten werden sollen. Ein konkretes Angebot ist nicht erforderlich.
Entscheidend ist hierfür, ob der Verantwortliche oder Auftragsverarbeiter das Anbieten von Waren beziehungsweise Dienstleistungen in der Union „offensichtlich beabsichtigt“ hat. Das bedeutet, dass sich aus dem Waren- beziehungsweise Dienstleistungsangebot mit einer gewissen Eindeutigkeit ergibt, dass die Waren oder Dienstleistungen in der Union angeboten werden sollen. Wann dies der Fall ist, muss anhand von Hilfsfaktoren und Indizien bestimmt werden. Nicht ausreichend ist es, dass die Webseite des Anbieters in der Union, die E-Mail-Adresse oder andere Kontaktdaten zugänglich sind. Allein die verwendete Sprache bietet ebenfalls keinen ausreichenden Anhaltspunkt für den Bezug zur Union. Die Verwendung der Sprache oder Währung eines Mitgliedstaates in Verbindung mit der Möglichkeit, Waren und Dienstleistungen in dieser anderen Sprache zu bestellen, oder die Erwähnung von Kunden oder Nutzern, die sich in der EU befinden, können aber darauf hindeuten, dass ein Unternehmen beabsichtigt, den betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten (vergleiche ErwG 23 DSGVO).
Datenverarbeitung im Zusammenhang mit einer Beobachtung des Verhaltens von Personen (Art. 3 Abs. 2 Buchst. b DSGVO)
Die DSGVO ist auch dann anwendbar, wenn die Datenverarbeitung im Zusammenhang damit steht, das Verhalten von betroffenen Personen zu beobachten, soweit dieses Verhalten in der EU erfolgt.
Eine ausdrückliche Begriffsbestimmung einer solchen „Verhaltensbeobachtung“ ist in der DSGVO nicht aufgeführt. Nach dem Erwägungsgrund 24 (ErwG 24 DSGVO) sollen von Art. 3 Abs. 2 Buchst. b DSGVO vor allem solche Tätigkeiten erfasst werden, bei denen die Internetaktivitäten der betroffenen Personen nachvollzogen werden. Eine solche Nachvollziehbarkeit kann auch im Fall der nachfolgenden Erstellung von (Persönlichkeits-) Profilen angenommen werden, wenn anhand derer die Vorlieben, Verhaltensweisen oder Gepflogenheiten einer natürlichen Person analysiert oder vorausgesagt werden sollen. Dies kann zum Beispiel durch Setzen von Cookies oder Verwendung von Software-Erweiterungen über soziale Netzwerke (Social Plugins) stattfinden.
Anwendbarkeit aufgrund völkerrechtlicher Vorgaben (Art. 3 Abs. 3 DSGVO)
Die DSGVO findet auch Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt. Der Erwägungsgrund 25 (ErwG 25 DSGVO) bestimmt, dass die Vorschrift für Fälle gelten soll, in denen nach internationalem Recht das innerstaatliche Recht eines Mitgliedstaats anwendbar ist. Betroffen von dieser Vorgabe sind diplomatische oder konsularische Vertretungen von Mitgliedstaaten im Ausland.
| Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) |
Inkrafttreten: 24.05.2016, Gültigkeit: 25.05.2018 Quelle: Amtsblatt der Europäischen Union vom 04. Mai 2016 unter L 119/1 |
Die Datenschutz-Grundverordnung (DSGVO) trat am 24.05.2016 in Kraft und gilt ab dem 25.05.2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union.