Marktortprinzip

Der räumliche Anwendungsbereich der DSGVO folgt zwei Grundgedanken. Nach dem Niederlassungsprinzip des Art. 3 Abs. 1 DSGVO gilt die Verordnung für jede Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, unabhängig davon, wo die Daten tatsächlich verarbeitet werden. Ergänzend dazu knüpft das Marktortprinzip des Art. 3 Abs. 2 DSGVO nicht an den Sitz des Unternehmens, sondern an den Markt an: Wer als Verantwortlicher oder Auftragsverarbeiter ohne EU-Niederlassung Personen erreicht, die sich in der Union befinden, unterliegt in vollem Umfang der DSGVO. Der Gesetzgeber wollte damit verhindern, dass sich Anbieter dem europäischen Datenschutzniveau allein durch die Wahl ihres Unternehmenssitzes entziehen, und zugleich gleiche Wettbewerbsbedingungen für europäische und außereuropäische Anbieter schaffen. Maßgeblich ist der Aufenthalt der betroffenen Person in der Union im Zeitpunkt der Verarbeitung, nicht ihre Staatsangehörigkeit oder ihr Wohnsitz.

Art. 3 Abs. 2 DSGVO kennt zwei Anknüpfungspunkte. Buchstabe a erfasst das Anbieten von Waren oder Dienstleistungen an betroffene Personen in der Union, auch wenn dies unentgeltlich geschieht. Erforderlich ist ein zielgerichtetes Ausrichten auf den Unionsmarkt; die bloße Abrufbarkeit einer Website aus der EU oder die Angabe einer Kontaktadresse genügen nach Erwägungsgrund 23 ausdrücklich nicht. Als Indizien gelten unter anderem die Verwendung einer Amtssprache oder Währung eines Mitgliedstaats, Liefermöglichkeiten in die EU, EU-spezifische Domains, gezielte Werbung, Kundenreferenzen aus der Union oder Preisangaben in Euro. Buchstabe b erfasst die Beobachtung des Verhaltens betroffener Personen, soweit dieses Verhalten in der Union erfolgt, etwa durch Tracking, Cookies, Geräte-Fingerprinting, Profiling zu Werbe- oder Scoring-Zwecken oder verhaltensbasierte Analysen. Der Europäische Datenschutzausschuss hat die Auslegung beider Varianten in den Leitlinien 3/2018 zum räumlichen Anwendungsbereich anhand zahlreicher Fallbeispiele konkretisiert und stellt dabei stets auf eine Gesamtbetrachtung im Einzelfall ab.

Greift das Marktortprinzip, gilt die DSGVO vollständig und nicht nur ausschnittsweise: Rechtsgrundlagen nach Art. 6 DSGVO, Informationspflichten, Betroffenenrechte, Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Meldepflichten bei Datenpannen sowie die Rechenschaftspflicht. Zusätzlich müssen betroffene Unternehmen nach Art. 27 DSGVO grundsätzlich schriftlich einen Vertreter in der Union benennen, der als Anlaufstelle für Aufsichtsbehörden und betroffene Personen dient; Ausnahmen bestehen nur für gelegentliche Verarbeitungen ohne hohes Risiko und ohne umfangreiche Verarbeitung besonderer Datenkategorien sowie für Behörden. Die Aufsichtsbehörden können ihre Befugnisse einschließlich Bußgeldern nach Art. 83 DSGVO auch gegenüber Unternehmen aus Drittstaaten ausüben; das One-Stop-Shop-Verfahren mit einer federführenden Behörde steht Unternehmen ohne EU-Niederlassung dabei nicht offen, sodass jede betroffene Aufsichtsbehörde zuständig sein kann. Für europäische Unternehmen bleibt das Marktortprinzip in der Lieferkette relevant: Es ersetzt nicht die Anforderungen an Drittlandübermittlungen nach Kapitel V DSGVO, sondern tritt neben sie.