Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 87

19

Soweit ein Verantwortlicher oder ein Auftragsverarbeiter Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet und in diesem Zusammenhang personenbezogene Daten verarbeitet, findet die DSGVO Anwendung.

20

Eine Legaldefinition der Begriffe Ware und Dienstleistung ergibt sich aus der DSGVO nicht. Zur Bestimmung des Begriffs der Waren im Sinn des Art. 3 Abs. 2 lit. a DSGVO kann zunächst auf den Warenbegriff nach dem Verständnis der Warenverkehrsfreiheit gemäß Art. 28ff. AEUV zurückgegriffen werden.51 Waren sind danach bewegliche, körperliche Gegenstände sowie Gas und elektrischer Strom, soweit diese ein geldwertes und handelbares Erzeugnis sind, das Gegenstand von Handelsgeschäften sein kann.52 Waren im Sinn dieser Definition fallen auch unter den Begriff im Sinne des Art. 3 Abs. 2 lit. a DSGVO. Nach dem Zweck des Art. 3 DSGVO, einen umfassenden Betroffenenschutz zu gewährleisten, ist der datenschutzrechtliche Warenbegriff aber weiter zu verstehen, als der Warenbegriff gemäß Art. 28ff. AEUV.53 Um Schutzlücken zu vermeiden, müssen etwa auch nicht-körperliche Erzeugnisse vom Warenbegriff im Sinne des Art. 3 Abs. 2 lit. a DSGVO umfasst werden, wie Software, die per Download vertrieben wird oder Münzen, die nicht vom Warenbegriff des Art. 28ff. AEUV erfasst sind.54

21

Nach Art. 57 AEUV sind Dienstleistungen Leistungen, die in der Regel gegen Entgelt erbracht werden. Beispielhaft listet Art. 57 AEUV gewerbliche, kaufmännische, handwerkliche und freiberufliche Tätigkeiten auf. Anders als der Begriff in Art. 57 AEUV ist der Dienstleistungsbegriff gemäß Art. 3 Abs. 2 lit. a DSGVO nicht auf entgeltliche Leistungen beschränkt55 und damit weiter, als die Definition in Art. 57 AEUV. Die in Art. 57 AEUV genannten Tätigkeiten sind aber als Teilmenge auch im Dienstleistungsbegriff der DSGVO enthalten. Darüber hinaus sind weitere Leistungen erfasst, die nicht mit einem Entgelt vergütet werden, wie kostenlose E-Mailing-Dienste, Soziale Netzwerke, Suchmaschinen, Cloud-basierte Softwarelösungen oder Gewinnspiele. Für Anbieter dieser Dienstleistungen, erweitert sich der datenschutzrechtliche Pflichtenrahmen im Vergleich zur DSRl erheblich. Sie fallen in den Anwendungsbereich der DSGVO und müssen sämtliche datenschutzrechtlichen Pflichten erfüllen, etwa die Verzeichnisse von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO führen oder unter den Voraussetzungen gemäß Art. 37 DSGVO einen Datenschutzbeauftragten bestellen (siehe Art. 37 Rn. 1ff.).56

22

An die Rechtsprechung des EuGH zur Anwendbarkeit von Art. 15 Abs. 1 lit. c Brüssel I-VO anknüpfend,57 ist für die Frage, ob ein Angebot an Personen in der Union vorliegt, zu prüfen, ob der Dienstleister erkennbar offensichtlich beabsichtigt, Waren oder Dienstleistungen Personen in der Union anzubieten. Der Vertrieb von Waren und Dienstleistungen über das Internet ist ein Hauptanwendungsfall von Art. 3 Abs. 2 lit. a, darauf aber nicht beschränkt. Im Fall des Vertriebs über eine Webseite ist die bloße Zugänglichkeit der Webseite des Dienstleisters zur Begründung der Anwendbarkeit der DSGVO allein nicht hinreichend.58 Hinzutreten müssen weitere Anhaltspunkte, wie die Verwendung der lokalen Sprache oder Währung eines Mitgliedstaates oder die gezielte Ansprache von Nutzern in der Union,59 die Verwendung einer Top-Level-Domain der Union (.eu) oder eines Mitgliedstaates (z.B. .de, .fr, .dk),60 die Verwendung lokaler Vorwahlnummern,61 die ausdrückliche Benennung von einem oder mehreren Mitgliedstaaten im Zusammenhang mit der angebotenen Ware oder Dienstleistung,62 die gezielte Förderung des Zugriffs auf die Webseite aus der Union etwa durch regionale AdWords-Kampagnen,63 Anfahrtsbeschreibungen zum Ort der Leistungserbringung aus einem oder mehreren Mitgliedstaaten64 und die Veröffentlichung von Kundenbewertungen mit der Herkunftsangabe aus einem Mitgliedstaat.65 Gegenteilige Indizwirkung soll hingegen einer erhöhten Versandpauschale oder deutlich verlängerten Lieferzeiten für Bestellungen aus der Union zukommen.66 Diese Kriterien zur Bewertung der Ausrichtung eines Angebots können aber nicht formalistisch angewendet werden. Erforderlich ist vielmehr eine wertende und gewichtende Interpretation. Wird etwa eine europäische Sprache verwendet, die auch Sprache am Sitz des Verantwortlichen ist, so ist dies allein kein hinreichendes Indiz für die Ausrichtung des Angebots auf die Union.67 Die Verwendung einer europäischen Sprache, die nicht Sprache am Sitz des Verantwortlichen ist, wäre hingegen ein starkes Indiz für ein Angebot an Personen in der Union. Allgemein gegen die Ausrichtung auf den europäischen Markt soll die Verwendung einer nicht-europäischen Sprache sprechen.68 Richtigerweise wird man dies aber ebenfalls nur als starkes Indiz berücksichtigen können.

23

Für das Anbieten von Waren oder Dienstleistungen kommt es nicht darauf an, ob dafür ein Vertrag geschlossen wird.69 Damit wird dem Umstand Rechnung getragen, dass zahlreiche (Online-)Geschäftsmodelle nicht auf ihrer Entgeltlichkeit beruhen, sondern der „Bezahlung“ mit Nutzerdaten und deren wirtschaftlichen Verwertung durch den Anbieter, etwa zur gezielten Vermarktung von Werbeflächen. Dass Daten als Entgeltsurrogat zur Verfügung gestellt werden, ist aber nicht im Sinne eines Umkehrschlusses dieser Ratio erforderlich.70 Internetsachverhalte, insbesondere das Anbieten von Waren oder Dienstleistungen im Netz bilden den klassischen Anwendungsfall, Art. 3 Abs. 2 lit. a DSGVO ist darauf aber nicht beschränkt. Erfasst werden aus der analogen Welt etwa Datenverarbeitungen im Zusammenhang mit telefonischen Angeboten oder papiergebundenen Angeboten.71

24

Ein Disclaimer, dass Waren nicht an Empfänger in der Union versendet werden, verbunden mit einer entsprechenden Umsetzung des Disclaimers, kann die Anwendbarkeit der DSGVO gemäß Art. 3 Abs. 2 lit. a DSGVO für Verantwortliche in Drittstaaten ausschließen.72