Читать книгу DS-GVO/BDSG - David Klein - Страница 82

16

Die DS-GVO findet nach Abs. 1 dann Anwendung auf die Verarbeitung personenbezogener Daten, wenn diese im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in einem Mitgliedstaat der EU stattfindet. Die Vorschrift bringt damit ungeachtet der Auslegung der jeweiligen Begriffe eine gewisse Selbstverständlichkeit zum Ausdruck. Maßstab für die örtliche Belegenheit der Niederlassung ist Art. 52 EUV, der durch Art. 355 AEUV konkretisiert wird.

17

Für die Begriffe der Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter sei auf Art. 4 Nr. 1, 2, 7 und 8 verwiesen.

18

Zentral ist der Begriff der Niederlassung. Diese ist gegeben, wenn entsprechend ErwG 22 die effektive und tatsächliche Ausübung einer Tätigkeit in einer festen Einrichtung erfolgt.[5] Die Anforderungen an eine solche Niederlassung sind relativ gering. Die Niederlassung muss von gewisser Beständigkeit sein; für die Frage der effektiven und tatsächlichen Ausübung der Tätigkeit ist deren Eigenart mit zu betrachten. Auf Grundlage der DSRL sollte nach der Rechtsprechung des EuGH das Vorhandensein nur eines Vertreters in einem Mitgliedstaat als ausreichend für die Annahme einer Niederlassung anzusehen sein.[6] Ob diese Rechtsprechung in Ansehung der DS-GVO, dort Art. 27, haltbar bleibt, ist zu bezweifeln, weil jedenfalls mit der formellen Bestellung eines Vertreters eben für Tätigkeiten i.S.d. Art. 3 Abs. 2 gerade nicht die Begründung einer Niederlassung verbunden sein soll.[7] Gleichwohl ist die vorgenannte Rechtsprechung exemplarisch für die geringen Anforderungen, die an eine Niederlassung zu stellen sind.

19

ErwG 22 stellt klar, dass die gewählte Rechtsform ohne Belang für die Annahme einer Niederlassung ist. Nicht erforderlich ist das Vorhandensein einer Tochtergesellschaft; eine Zweigstelle des Unternehmens mit ggf. nur einem Büro ist – den Nachweis einer effektiven Ausübung einer wirtschaftlichen Tätigkeit unterstellt – ausreichend.[8] Dies ist anzunehmen, wenn von einer Stelle in einem Unionsstaat Datenverarbeitungsvorgänge durch Personen inhaltlich gesteuert werden oder unterstützende Tätigkeiten für notwendige Datenverarbeitungsvorgänge, bspw. in Verkaufsstellen oder Repräsentanzen des Diensteanbieters, erfolgen.[9] Die Existenz sachlicher Betriebsmittel in einem Mitgliedstaat – bspw. ein ferngewarteter Server – kann auf das Vorhandensein einer Niederlassung hindeuten.[10] Auch ist eine Niederlassung anzunehmen, wenn von dort aus Datenverarbeitungsanlagen technisch gesteuert werden.[11] Nimmt man eine tatsächliche Tätigkeit als Maßstab für das Vorhandensein einer Niederlassung, würde wiederum die Existenz lediglich eines Briefkastens in einem Mitgliedstaat nicht für die Annahme einer Niederlassung ausreichen.

20

Entsprechend dem eindeutigen Wortlaut des Art. 3 Abs. 1 muss der Datenverarbeitungsvorgang selbst nicht zwingend innerhalb der Union stattfinden. Voraussetzung ist nur, dass die Datenverarbeitung der Tätigkeit der Niederlassung dient.

21

Irrelevant für die Einstufung einer Einrichtung als Niederlassung ist der Sitz des Verantwortlichen.[12] So kann einerseits neben dem statuarischen Sitz in einem Staat außerhalb der EU eine Niederlassung in Form einer Zweigstelle oder einer Tochtergesellschaft existieren. Andererseits ist im Falle einer Briefkastenfirma deren Adresse möglicherweise der offizielle Firmensitz, der dann aber nicht der Ort der effektiven Ausübung der wirtschaftlichen Tätigkeit ist.[13]