Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 51

52

Eine „Ware“ im Sinne des Europarechts ist jeder körperliche Gegenstand, der einen Geldwert hat und Gegenstand eines Handelsgeschäfts sein kann.49 Eine „Dienstleistung“ im Sinne des Europarechts ist eine vom Begriff der „Ware“ abgegrenzte, in der Regel gegen Entgelt erbrachte Leistung.50 Mit einem Zusatz in Art. 3 Abs. 2 lit. a DSGVO hat der Unionsgesetzgeber allerdings klargestellt, dass auch solche Angebote erfasst sein sollen, bei denen keine Zahlung zu leisten ist. Dadurch sollen offenbar insbesondere Online-Dienste erfasst werden, bei denen die Entgeltlosigkeit die Regel ist. Um willkürlich erscheinende Schutzlücken zu vermeiden, ist davon auszugehen, dass die Begriffe „Ware“ und „Dienstleistung“ nicht formalistisch zu betrachten sind, sondern auch unkörperliche Gegenstände wie Software oder Grenzfälle wie ein Gewinnspiel erfassen.51

53

Laut Erwägungsgrund 23 DSGVO ist für die Frage, ob ein Verantwortlicher oder Auftragsverarbeiter betroffenen Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbietet, festzustellen, dass es dessen offensichtliche Absicht ist, ein solches Angebot betroffenen Personen in mindestens einem Mitgliedstaat zu machen.

54

Die Verwendung des Begriffs „Absicht“ legt zwar nahe, dass es auf die tatsächliche innere Absicht der verarbeitenden Stelle ankommt. Die geforderte Offensichtlichkeit der Absicht und ein Vergleich mit anderen Sprachfassungen der Verordnung machen jedoch deutlich, dass es auf den Empfängerhorizont ankommt und eine etwaige abweichende innere Absicht daher unbeachtlich sein dürfte.52 Entscheidend ist die inhaltliche Gestaltung des Angebots.53

55

Gemäß Erwägungsgrund 23 DSGVO reicht die bloße Möglichkeit, aus der EU heraus mit dem Verantwortlichen, dem Auftragsverarbeiter oder einem Vermittler über eine Webseite, eine E-Mail-Adresse oder auf anderem Wege in Kontakt zu treten, nicht aus, um eine solche Absicht anzunehmen.

56

Erwägungsgrund 23 DSGVO beschreibt jedoch auch Faktoren, die Anhaltspunkte für eine solche Absicht sein können. Dazu gehört die Verwendung einer Sprache, die in einem oder mehreren Mitgliedstaaten gebräuchlich ist, in Verbindung mit der Möglichkeit, in dieser Sprache zu bestellen. Dabei muss es sich jedoch um eine andere Sprache handeln als die, die in dem Drittland gebräuchlich ist, in dem der Verantwortliche niedergelassen ist. Auch die Verwendung der englischen Sprache dürfte aufgrund ihrer weltweiten Gebräuchlichkeit keinen starken Anhaltspunkt bieten. Als weitere Anhaltspunkte werden in dem Erwägungsgrund die Verwendung der Währung eines Mitgliedstaates und die Erwähnung von Kunden oder Nutzern, die sich in der EU befinden, genannt.

57

Die Aufzählung der Kriterien in Erwägungsgrund 23 DSGVO ist nicht abschließend. Weitere Kriterien lassen sich aus der Rechtsprechung zu europäischen Vorschriften entnehmen, die schon länger auf das Marktortprinzip abstellen.54 Insbesondere die Pammer- und Alpenhof-Entscheidung des EuGH zu Art. 15 Abs. 1 lit. c. der Brüssel-I-Verordnung ist hierfür relevant und wird in diesem Zusammenhang auch vom Europäischen Datenschutzausschuss herangezogen.55 Dazu gehören zum Beispiel der Betrieb einer nationalen Telefonnummer in einem Mitgliedstaat oder die Verwendung einer länderspezifischen Top-Level-Domain mit Bezug zu einem Mitgliedstaat (z.B. „.de“ für Deutschland oder „.fr“ für Frankreich). Die Kriterien sind in einer Gesamtbetrachtung zu würdigen.

58

Die Feststellung derartiger Kriterien ist in Bezug auf den Verantwortlichen unproblematisch möglich. Der Auftragsverarbeiter hat jedoch auf diese Kriterien in der Regel keinen Einfluss. Sie sind daher nicht geeignet, um auf eine entsprechende Absicht des Auftragsverarbeiters zu schließen. Zudem richtet sich das Angebot eines Auftragsverarbeiters an den Verantwortlichen und besteht darin, die Daten für den Verantwortlichen zu verarbeiten. Es richtet sich daher schon begrifflich nicht an die betroffenen Personen, so dass damit auch keine Absicht im Sinne des Erwägungsgrundes 23 verbunden ist.56 Dementsprechend dürfte der räumliche Anwendungsbereich der Verordnung über Art. 3 Abs. 2 lit. a DSGVO in der Praxis für Auftragsverarbeiter fast nie eröffnet sein.57

59

Liegt ein Angebot im Sinne des Art. 3 Abs. 2 lit. a DSGVO vor, ist zu prüfen, ob die in Betracht gezogene Verarbeitung personenbezogener Daten im Zusammenhang mit diesem Angebot steht. Detaillierte Anhaltspunkte in der Verordnung dafür, wann ein solcher Zusammenhang anzunehmen ist, fehlen.58

60

Sofern die betroffene Personen in der EU, bezüglich derer personenbezogene Daten verarbeitet werden, und die Person in der EU, an die sich das Angebot richtet, identisch sind, dürfte ein solcher Zusammenhang stets gegeben sein.

61

Fraglich ist, ob ein relevanter Zusammenhang ebenfalls bestehen kann, wenn betroffene Person und Adressat des Angebots nicht identisch sind. Diese Frage wird zum Beispiel aufgeworfen, wenn eine Person in der EU bewusst ein Angebot in Anspruch nimmt, welches sich an Personen außerhalb der EU richtet, obwohl es vom selben Anbieter auch ein Angebot für die EU gibt.59

62

Richtet die verarbeitende Stelle einen Teil ihres Angebotes erkennbar an Personen außerhalb der EU, erscheint es unbillig zu fordern, dass sie Daten von Personen in der EU, die diesen Teil des Angebots in Anspruch nehmen, dennoch der Verordnung gemäß verarbeitet. Der jeweiligen Person, die sich bewusst gegen ein europäisches und für ein außereuropäisches Angebot entscheidet, wird der Schutz der Verordnung nicht im Sinne des Erwägungsgrundes 23 „vorenthalten“. Zudem scheint der Wortlaut des Art. 3 Abs. 2 lit. a DSGVO eine Identität von betroffener Person und Angebotsempfänger vorauszusetzen, wenn dort von einer Zahlung von „diesen Personen“ die Rede ist. Dieser Formulierung liegt das Verständnis zugrunde, dass die Personen, an die sich ein Angebot richtet, und die Personen, die das Angebot in Anspruch nehmen und gegebenenfalls bezahlen, identisch sind. In Erwägungsgrund 23 findet sich eine ähnliche Formulierung („diesen betroffenen Personen“).

63

Somit spricht vieles dafür, dass ein ausreichender Zusammenhang zwischen Datenverarbeitung und Angebot nur dann bestehen kann, wenn betroffene Person und Angebotsempfänger identisch sind. Gleichzeitig ist bei einer derartigen Personenidentität in der Regel der erforderliche Zusammenhang zwischen dem Angebot und der Datenverarbeitung gegeben. Durch diesen Ansatz wird das ansonsten sehr unscharfe Merkmal des „Zusammenhangs“ deutlich handhabbarer.

Praxishinweis

Soweit ein Unternehmen beabsichtigt, bestimmte Waren oder Dienstleistungen oder Teile davon nur Personen außerhalb der EU anzubieten, sollte darauf geachtet werden, dass dabei keine Anhaltspunkte erzeugt werden, die für ein Angebot an Personen in der EU sprechen. So wird vermieden, dass der räumliche Anwendungsbereich der Verordnung versehentlich für ein Produkt eröffnet wird, welches hierfür nicht geeignet ist. Ein aktives Aussperren oder Umleiten europäischer Kunden weg von solchen Angeboten erscheint zwar nicht erforderlich, kann aber, ebenso wie ein entsprechender Disclaimer, als zusätzliche Vorsichtsmaßnahme sinnvoll sein.