Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 88

25

Die Beobachtung des Verhaltens natürlicher Personen in der Union durch Verantwortliche oder Auftragsverarbeiter, insbesondere in Form des Profilings (siehe Art. 22 Rn. 15ff.) fallen in den Anwendungsbereich der DSGVO. Der Begriff der Verhaltensbeobachtung ist in der DSGVO nicht legaldefiniert. Einem allgemeinen Begriffsverständnis folgend, fallen unter den Begriff des Verhaltens sämtliche menschliche Aktivitäten, unabhängig davon, ob diese bewusst oder unbewusst erfolgen. Beobachten ist das zielgerichtete Sammeln von Erkenntnissen. Nach einer Ansicht setze der Begriff des Beobachtens eine gewisse Dauer und Intensität voraus.73 Diese Ansicht überzeugt für die Anknüpfung des territorialen Anwendungsbereichs der DSGVO aber nicht. Auch kurzfristige Maßnahmen können nämlich zu erheblichen Beeinträchtigungen der Grundrechte führen und müssen im Hinblick auf das Ziel des umfassenden Grundrechtsschutzes vom Anwendungsbereich der DSGVO erfasst werden. Das beobachtete Verhalten muss in der Union erfolgen, um den Anwendungsbereich der DSGVO gemäß Art. 3 Abs. 2 lit. b DSGVO zu eröffnen. Die Betroffenen müssen sich also physisch in der Union befinden. Art. 3 Abs. 2 lit. b DSGVO knüpft nicht an die Unionsbürgerschaft im Sinne von Art. 9 EUV, die Staatsbürgerschaft eines Mitgliedstaats oder den gewöhnlichen Aufenthalt in der Union an. Erfasst und geschützt werden neben Unionsbürgern damit alle Personen, die sich im Zeitpunkt der Beobachtung in der Union aufhalten. Dieser Aufenthalt kann auch nur von kurzer Dauer sein.74

26

Anders als für Art. 3 Abs. 2 lit. a DSGVO ist es jedenfalls nach dem Wortlaut nicht erheblich, ob die Beobachtung von Personen in der Union im Sinne einer Ausrichtung auf den Marktort bezweckt ist.75 Damit würden auch Sachverhalte erfasst, die praktisch keinen inhaltlichen Bezug zur Union haben. In Online-Sachverhalten etwa, würde die bloße Aufrufbarkeit einer Webseite zur Anwendbarkeit der DSGVO führen. Dies würde praktisch zu einer Weltgeltung der DSGVO führen. Dieses Verständnis des Art. 3 Abs. 2 lit. a DSGVO würde im Widerspruch zur Rechtsprechung des EuGH zur exterritorialen Anwendbarkeit des europäischen Datenschutzrechts76 sowie im Konflikt zum völkerrechtlichen Verbot exterritorialer Herrschaftsausübung stehen.77 Dass eine so weit gehende Regelung vom europäischen Gesetzgeber nicht beabsichtigt war, ergibt sich zudem aus der wesentlich höherschwelligen Verpflichtung zur Bestellung eines Inlandsvertreters gemäß Art. 27 Abs. 1 DSGVO. Diese besteht nicht, wenn die Verarbeitung nur gelegentlich erfolgt, keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen betroffen sind und keine Gefahr für die Rechte und Freiheiten der Betroffenen besteht. Art. 3 Abs. 2 lit. b DSGVO ist daher einschränkend auszulegen, indem Sachverhalte ohne inhaltlichen Bezug zur Union nicht erfasst werden. Gegen die exterritoriale Anwendbarkeit der DSGVO spricht zudem Art. 1 Abs. 2 DSGVO, der den Grundrechtsschutz als zentrale Zweckbestimmung der DSGVO benennt (siehe Art. 1 Rn. 13ff.). Der Grundrechtsschutz ergibt sich im Wesentlichen aus der GRCh. Betroffene außerhalb der Union können sich auf europäische Grundrechte nicht berufen, wenn der Sachverhalt keine direkte Verbindung zum Territorium der Union hat.78

27

Art. 3 Abs. 2 lit. b DSGVO zielt im Besonderen auf Internetaktivitäten ab, insbesondere, soweit diese geeignet sind, natürliche Personen zu profilieren und anhand des Profils Vorlieben, Verhaltensweisen oder Gepflogenheiten der betroffenen Person zu analysieren oder vorherzusagen.79 Hiervon wird das Webtracking erfasst,80 etwa mittels Cookies,81 Browser Fingerprints, Social-Media-Plug-Ins82 oder anderer Methoden. Der Zweck der Verhaltensbeobachtung ist nicht erheblich.83 Erfasst werden etwa die Verhaltensbeobachtung zu Zwecken der Marktforschung,84 zum Scoring,85 zur wissenschaftlichen Forschung86 oder zur technischen Systemanalyse. Für Online-Sachverhalte ist neben der Feststellung der territorialen Anwendbarkeit der DSGVO die Abgrenzung des sachlichen Anwendungsbereichs im Verhältnis zur ePrivacy-Richtlinie bzw. deren Umsetzung im mitgliedstaatlichen Recht zu beachten und deren Anwendungsvorrang.

28

Auch, wenn in ErwG 24 für Art. 3 Abs. 2 lit. b DSGVO ein enger Bezug zu Online-Sachverhalten hergestellt wird, ist die Norm darauf nicht beschränkt.87 Der Wortlaut der Norm umfasst auch Offline-Sachverhalte. Zudem spricht der bezweckte umfassende Grundrechtsschutz gegen eine einschränkende Auslegung. In den Anwendungsbereich der DSGVO fällt damit auch die Beobachtung von Personen in der Union außerhalb des Internets, auch wenn die Anwendungsfälle in der Praxis begrenzt sein dürften. Denkbar wäre die Anwendung der DSGVO etwa auf den Einsatz von Aufklärungsdrohnen oder Satelliten.

29

In den Anwendungsbereich der DSGVO können unter den Voraussetzungen von Art. 3 Abs. 2 lit. b DSGVO auch Tätigkeiten der Behörden von Drittstaaten fallen,88 etwa wenn diese eine Webseite mit Informationen und Kontaktmöglichkeiten für Personen in der Union enthalten und das Verhalten der Nutzer auf der Webseite analysieren,89 oder wenn auf andere Weise Informationen zur Beobachtung von Betroffenen in der Union gesammelt werden.