fallen in den Anwendungsbereich der DSGVO und müssen sämtliche datenschutzrechtlichen Pflichten erfüllen, etwa die Verzeichnisse von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO führen oder unter den Voraussetzungen gemäß Art. 37 DSGVO einen Datenschutzbeauftragten bestellen (siehe Art. 37 Rn. 1ff.).56
22
An die Rechtsprechung des EuGH zur Anwendbarkeit von Art. 15 Abs. 1 lit. c Brüssel I-VO anknüpfend,57 ist für die Frage, ob ein Angebot an Personen in der Union vorliegt, zu prüfen, ob der Dienstleister erkennbar offensichtlich beabsichtigt, Waren oder Dienstleistungen Personen in der Union anzubieten. Der Vertrieb von Waren und Dienstleistungen über das Internet ist ein Hauptanwendungsfall von Art. 3 Abs. 2 lit. a, darauf aber nicht beschränkt. Im Fall des Vertriebs über eine Webseite ist die bloße Zugänglichkeit der Webseite des Dienstleisters zur Begründung der Anwendbarkeit der DSGVO allein nicht hinreichend.58 Hinzutreten müssen weitere Anhaltspunkte, wie die Verwendung der lokalen Sprache oder Währung eines Mitgliedstaates oder die gezielte Ansprache von Nutzern in der Union,59 die Verwendung einer Top-Level-Domain der Union (.eu) oder eines Mitgliedstaates (z.B. .de, .fr, .dk),60 die Verwendung lokaler Vorwahlnummern,61 die ausdrückliche Benennung von einem oder mehreren Mitgliedstaaten im Zusammenhang mit der angebotenen Ware oder Dienstleistung,62 die gezielte Förderung des Zugriffs auf die Webseite aus der Union etwa durch regionale AdWords-Kampagnen,63 Anfahrtsbeschreibungen zum Ort der Leistungserbringung aus einem oder mehreren Mitgliedstaaten64 und die Veröffentlichung von Kundenbewertungen mit der Herkunftsangabe aus einem Mitgliedstaat.65 Gegenteilige Indizwirkung soll hingegen einer erhöhten Versandpauschale oder deutlich verlängerten Lieferzeiten für Bestellungen aus der Union zukommen.66 Diese Kriterien zur Bewertung der Ausrichtung eines Angebots können aber nicht formalistisch angewendet werden. Erforderlich ist vielmehr eine wertende und gewichtende Interpretation. Wird etwa eine europäische Sprache verwendet, die auch Sprache am Sitz des Verantwortlichen ist, so ist dies allein kein hinreichendes Indiz für die Ausrichtung des Angebots auf die Union.67 Die Verwendung einer europäischen Sprache, die nicht Sprache am Sitz des Verantwortlichen ist, wäre hingegen ein starkes Indiz für ein Angebot an Personen in der Union. Allgemein gegen die Ausrichtung auf den europäischen Markt soll die Verwendung einer nicht-europäischen Sprache sprechen.68 Richtigerweise wird man dies aber ebenfalls nur als starkes Indiz berücksichtigen können.
23
Für das Anbieten von Waren oder Dienstleistungen kommt es nicht darauf an, ob dafür ein Vertrag geschlossen wird.69 Damit wird dem Umstand Rechnung getragen, dass zahlreiche (Online-)Geschäftsmodelle nicht auf ihrer Entgeltlichkeit beruhen, sondern der „Bezahlung“ mit Nutzerdaten und deren wirtschaftlichen Verwertung durch den Anbieter, etwa zur gezielten Vermarktung von Werbeflächen. Dass Daten als Entgeltsurrogat zur Verfügung gestellt werden, ist aber nicht im Sinne eines Umkehrschlusses dieser Ratio erforderlich.70 Internetsachverhalte, insbesondere das Anbieten von Waren oder Dienstleistungen im Netz bilden den klassischen Anwendungsfall, Art. 3 Abs. 2 lit. a DSGVO ist darauf aber nicht beschränkt. Erfasst werden aus der analogen Welt etwa Datenverarbeitungen im Zusammenhang mit telefonischen Angeboten oder papiergebundenen Angeboten.71
24
Ein Disclaimer, dass Waren nicht an Empfänger in der Union versendet werden, verbunden mit einer entsprechenden Umsetzung des Disclaimers, kann die Anwendbarkeit der DSGVO gemäß Art. 3 Abs. 2 lit. a DSGVO für Verantwortliche in Drittstaaten ausschließen.72
4. Beobachtung von Personen in der Union (Abs. 2 lit. b)
25
Die Beobachtung des Verhaltens natürlicher Personen in der Union durch Verantwortliche oder Auftragsverarbeiter, insbesondere in Form des Profilings (siehe Art. 22 Rn. 15ff.) fallen in den Anwendungsbereich der DSGVO. Der Begriff der Verhaltensbeobachtung ist in der DSGVO nicht legaldefiniert. Einem allgemeinen Begriffsverständnis folgend, fallen unter den Begriff des Verhaltens sämtliche menschliche Aktivitäten, unabhängig davon, ob diese bewusst oder unbewusst erfolgen. Beobachten ist das zielgerichtete Sammeln von Erkenntnissen. Nach einer Ansicht setze der Begriff des Beobachtens eine gewisse Dauer und Intensität voraus.73 Diese Ansicht überzeugt für die Anknüpfung des territorialen Anwendungsbereichs der DSGVO aber nicht. Auch kurzfristige Maßnahmen können nämlich zu erheblichen Beeinträchtigungen der Grundrechte führen und müssen im Hinblick auf das Ziel des umfassenden Grundrechtsschutzes vom Anwendungsbereich der DSGVO erfasst werden. Das beobachtete Verhalten muss in der Union erfolgen, um den Anwendungsbereich der DSGVO gemäß Art. 3 Abs. 2 lit. b DSGVO zu eröffnen. Die Betroffenen müssen sich also physisch in der Union befinden. Art. 3 Abs. 2 lit. b DSGVO knüpft nicht an die Unionsbürgerschaft im Sinne von Art. 9 EUV, die Staatsbürgerschaft eines Mitgliedstaats oder den gewöhnlichen Aufenthalt in der Union an. Erfasst und geschützt werden neben Unionsbürgern damit alle Personen, die sich im Zeitpunkt der Beobachtung in der Union aufhalten. Dieser Aufenthalt kann auch nur von kurzer Dauer sein.74
26
Anders als für Art. 3 Abs. 2 lit. a DSGVO ist es jedenfalls nach dem Wortlaut nicht erheblich, ob die Beobachtung von Personen in der Union im Sinne einer Ausrichtung auf den Marktort bezweckt ist.75 Damit würden auch Sachverhalte erfasst, die praktisch keinen inhaltlichen Bezug zur Union haben. In Online-Sachverhalten etwa, würde die bloße Aufrufbarkeit einer Webseite zur Anwendbarkeit der DSGVO führen. Dies würde praktisch zu einer Weltgeltung der DSGVO führen. Dieses Verständnis des Art. 3 Abs. 2 lit. a DSGVO würde im Widerspruch zur Rechtsprechung des EuGH zur exterritorialen Anwendbarkeit des europäischen Datenschutzrechts76 sowie im Konflikt zum völkerrechtlichen Verbot exterritorialer Herrschaftsausübung stehen.77 Dass eine so weit gehende Regelung vom europäischen Gesetzgeber nicht beabsichtigt war, ergibt sich zudem aus der wesentlich höherschwelligen Verpflichtung zur Bestellung eines Inlandsvertreters gemäß Art. 27 Abs. 1 DSGVO. Diese besteht nicht, wenn die Verarbeitung nur gelegentlich erfolgt, keine besonderen Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen betroffen sind und keine Gefahr für die Rechte und Freiheiten der Betroffenen besteht. Art. 3 Abs. 2 lit. b DSGVO ist daher einschränkend auszulegen, indem Sachverhalte ohne inhaltlichen Bezug zur Union nicht erfasst werden. Gegen die exterritoriale Anwendbarkeit der DSGVO spricht zudem Art. 1 Abs. 2 DSGVO, der den Grundrechtsschutz als zentrale Zweckbestimmung der DSGVO benennt (siehe Art. 1 Rn. 13ff.). Der Grundrechtsschutz ergibt sich im Wesentlichen aus der GRCh. Betroffene außerhalb der Union können sich auf europäische Grundrechte nicht berufen, wenn der Sachverhalt keine direkte Verbindung zum Territorium der Union hat.78
27
Art. 3 Abs. 2 lit. b DSGVO zielt im Besonderen auf Internetaktivitäten ab, insbesondere, soweit diese geeignet sind, natürliche Personen zu profilieren und anhand des Profils Vorlieben, Verhaltensweisen oder Gepflogenheiten der betroffenen Person zu analysieren oder vorherzusagen.79 Hiervon wird das Webtracking erfasst,80 etwa mittels Cookies,81 Browser Fingerprints, Social-Media-Plug-Ins82 oder anderer Methoden. Der Zweck der Verhaltensbeobachtung ist nicht erheblich.83 Erfasst werden etwa die Verhaltensbeobachtung zu Zwecken der Marktforschung,84 zum Scoring,85 zur wissenschaftlichen Forschung86 oder zur technischen Systemanalyse. Für Online-Sachverhalte ist neben der Feststellung der territorialen Anwendbarkeit der DSGVO die Abgrenzung des sachlichen Anwendungsbereichs im Verhältnis zur ePrivacy-Richtlinie bzw. deren Umsetzung im mitgliedstaatlichen Recht zu beachten und deren Anwendungsvorrang.
28
Auch, wenn in ErwG 24 für Art. 3 Abs. 2 lit. b DSGVO ein enger Bezug zu Online-Sachverhalten hergestellt wird, ist die Norm darauf nicht beschränkt.87 Der Wortlaut der Norm umfasst auch Offline-Sachverhalte. Zudem spricht der bezweckte umfassende Grundrechtsschutz gegen eine einschränkende Auslegung. In den Anwendungsbereich der DSGVO fällt damit auch die Beobachtung von Personen in der Union außerhalb des Internets, auch wenn die Anwendungsfälle in der Praxis begrenzt sein dürften. Denkbar wäre die Anwendung der DSGVO etwa auf den Einsatz von Aufklärungsdrohnen oder Satelliten.
29
In