27, haltbar bleibt, ist zu bezweifeln, weil jedenfalls mit der formellen Bestellung eines Vertreters eben für Tätigkeiten i.S.d. Art. 3 Abs. 2 gerade nicht die Begründung einer Niederlassung verbunden sein soll.[7] Gleichwohl ist die vorgenannte Rechtsprechung exemplarisch für die geringen Anforderungen, die an eine Niederlassung zu stellen sind.
19
ErwG 22 stellt klar, dass die gewählte Rechtsform ohne Belang für die Annahme einer Niederlassung ist. Nicht erforderlich ist das Vorhandensein einer Tochtergesellschaft; eine Zweigstelle des Unternehmens mit ggf. nur einem Büro ist – den Nachweis einer effektiven Ausübung einer wirtschaftlichen Tätigkeit unterstellt – ausreichend.[8] Dies ist anzunehmen, wenn von einer Stelle in einem Unionsstaat Datenverarbeitungsvorgänge durch Personen inhaltlich gesteuert werden oder unterstützende Tätigkeiten für notwendige Datenverarbeitungsvorgänge, bspw. in Verkaufsstellen oder Repräsentanzen des Diensteanbieters, erfolgen.[9] Die Existenz sachlicher Betriebsmittel in einem Mitgliedstaat – bspw. ein ferngewarteter Server – kann auf das Vorhandensein einer Niederlassung hindeuten.[10] Auch ist eine Niederlassung anzunehmen, wenn von dort aus Datenverarbeitungsanlagen technisch gesteuert werden.[11] Nimmt man eine tatsächliche Tätigkeit als Maßstab für das Vorhandensein einer Niederlassung, würde wiederum die Existenz lediglich eines Briefkastens in einem Mitgliedstaat nicht für die Annahme einer Niederlassung ausreichen.
20
Entsprechend dem eindeutigen Wortlaut des Art. 3 Abs. 1 muss der Datenverarbeitungsvorgang selbst nicht zwingend innerhalb der Union stattfinden. Voraussetzung ist nur, dass die Datenverarbeitung der Tätigkeit der Niederlassung dient.
21
Irrelevant für die Einstufung einer Einrichtung als Niederlassung ist der Sitz des Verantwortlichen.[12] So kann einerseits neben dem statuarischen Sitz in einem Staat außerhalb der EU eine Niederlassung in Form einer Zweigstelle oder einer Tochtergesellschaft existieren. Andererseits ist im Falle einer Briefkastenfirma deren Adresse möglicherweise der offizielle Firmensitz, der dann aber nicht der Ort der effektiven Ausübung der wirtschaftlichen Tätigkeit ist.[13]
III. Räumlicher Anwendungsbereich ohne Niederlassung in der Union (Abs. 2)
22
Wiederum kann getrennt werden zwischen den geschützten Personen und den Normunterworfenen. Bezüglich Letzterer betrifft Art. 3 Abs. 2 in der Endfassung nunmehr auch Auftragsverarbeiter ohne Sitz in der EU; in der Entwurfsfassung waren lediglich Verantwortliche ohne Sitz in der EU erfasst, was aber eher als Versehen anzusehen gewesen sein dürfte.
1. Kreis der geschützten Personen
23
Geschützt sind nach Abs. 2 nur Personen, „die sich in der Union befinden“, ohne dass aber gesteigerte Anforderungen an die Dauer des Aufenthalts, dessen Verfestigung oder dessen Rahmen gestellt würden. Es reichen kurzfristige Aufenthalte aus. Auch ist die Staatsangehörigkeit der betroffenen Personen ohne Belang. Dem entspricht auch die englische Fassung, die die offene Formulierung „who are in the Union“ verwendet. Insbesondere werden nicht die im Gesetzgebungsverfahren erwogenen Begriffe „ansässig“ oder „residing“ bzw. „mit Wohnsitz“ oder „domiciled“ verwendet.
24
Andererseits kann sich ein Unionsbürger, der sich im Moment der Verarbeitung in einem Drittstaat aufhält, bspw. bei Inanspruchnahme von Leistungen im Ausland, die mit der Verarbeitung von Daten verbunden ist, nicht auf den Schutz der DS-GVO berufen.[14]
2. Anwendbarkeit ohne Niederlassung
25
Art. 3 Abs. 2 enthält eine wesentliche Neuerung für Fälle, die bislang umstritten waren, nämlich diejenigen einer Datenverarbeitung außerhalb der EU, wenn der Verantwortliche oder der Auftragsverarbeiter keine Niederlassung (bzw. keinen Sitz) in der EU hat. Für diese Fälle wird der räumliche Anwendungsbereich der DS-GVO unter den Voraussetzungen des Art. 3 Abs. 2 lit. a und b erweitert. Diese Entwicklung ist in der EuGH-Rechtsprechung unter Geltung der DSRL bereits ansatzweise vorgezeichnet worden[15] und ist nunmehr positivrechtlich normiert. Durch Abs. 2 wird für die räumliche Anwendbarkeit der DS-GVO nunmehr auf das sog. Marktortprinzip abgestellt.
26
Die Ausweitung der DS-GVO wird teilweise als protektionistisch kritisiert,[16] dient aber letztlich dazu, auf dem Binnenmarkt bezogen auf den datenschutzrechtlichen Rahmen gleiche Marktbedingungen für alle Wirtschaftsteilnehmer zu schaffen. Die Wirkung der DS-GVO ist dabei intraterritorial und nicht – was völkerrechtlich bedenklich wäre – extraterritorial, da sie auf eine unternehmerische Betätigung im Binnenmarkt abstellt.[17] Dies wird nicht zuletzt durch die zweifache territoriale Anknüpfung der Leistungserbringung in der Union gegenüber Personen in der Union, sichergestellt.[18] Ziel ist insoweit ein „level playing field“.[19]
27
Entsprechend ist die Entscheidung von Marktteilnehmern, in der Union wirtschaftlich tätig zu sein, mit der Entscheidung verknüpft, dann auch die datenschutzrechtlichen Regeln der Union zu akzeptieren. Letztlich stellt die Statuierung des Marktortprinzips jedenfalls eine Möglichkeit dar, hohe Datenschutzstandards für die natürlichen Personen in der Union beizubehalten. Ansonsten würde der Datenschutz als wesentliches grundrechtliches Anliegen der Unionsbürger absehbar durch Verlagerung der Datenverarbeitungstätigkeit auf Stellen außerhalb der Union ausgehöhlt werden. Insbesondere wird vermieden, dass Anbieter von Leistungen im Wege des „forum shopping“ durch die Wahl des Sitzes die – datenschutzrechtlich betrachtet – günstigste Rechtslage verfügbar machen.[20]
a) Anknüpfung an (beabsichtigte) Erbringung von Waren- und Dienstleistungsgeboten (lit. a)
28
Art. 3 Abs. 2 lit. a erstreckt den räumlichen Anwendungsbereich der DS-GVO auf Sachverhalte, bei denen ein Verantwortlicher oder ein Auftragsverarbeiter ohne Sitz oder Niederlassung in der Union personenbezogene Daten zu dem Zweck verarbeitet, natürlichen Personen in der EU Waren oder Dienstleistungen anzubieten.
29
ErwG 23 führt hierzu aus: „Um festzustellen, ob dieser Verantwortliche oder Auftragsverarbeiter betroffenen Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet, sollte festgestellt werden, ob der Verantwortliche oder Auftragsverarbeiter offensichtlich beabsichtigt, betroffenen Personen in einem oder mehreren Mitgliedstaaten der Union Dienstleistungen anzubieten.“
30
Nicht
