Immer mehr Unternehmen außerhalb der Europäischen Union (EU) betätigen sich auf dem europäischen Markt, mit oder ohne eigene Niederlassung in der EU. Die Frage, wann diese Unternehmen an die Datenschutz-Grundverordnung (DSGVO) gebunden sind, kann komplex sein.
Niederlassungsprinzip und Marktortprinzip
Die DSGVO gilt für Unternehmen außerhalb der EU, wenn sie Waren oder Dienstleistungen an Personen in der EU verkaufen oder deren Verhalten beobachten. Dies wird durch das sogenannte Marktortprinzip bestimmt.
Auf den ersten Blick scheint die DSGVO nur dann anzuwenden, wenn Unternehmen eine Niederlassung in der EU haben. Tatsächlich kann es auch ohne solche Präsenz zu Anwendbarkeit kommen, wenn die Datenverarbeitung eng mit den Tätigkeiten der EU-Niederlassung verbunden ist.
Prüfung der Niederlassung
Die Einordnung als Niederlassung ist weit zu verstehen. Es kann sich um ein kleines Büro oder eine andere stabile Präsenz handeln, über die in der EU tatsächlich und effektiv eine Tätigkeit ausgeübt wird.
Entscheidend ist, ob die Datenverarbeitung im Rahmen dieser Niederlassung erfolgt. Dies hat erhebliche Auswirkungen auf die Zuständigkeit der Aufsichtsbehörden und insbesondere auf das One-Stop-Shop-Verfahren.
Es ist wichtig zu bestimmen, welche Verarbeitung personenbezogener Daten betrachtet wird. Ein Unternehmen, das lediglich Maschinen verkauft, unterliegt der DSGVO nicht allein dadurch. Bei der Vertragsabwicklung werden jedoch Namen, geschäftliche Kontaktdaten oder Nutzerdaten verarbeitet, so ist für diese konkrete Verarbeitung die Anwendung der DSGVO zu prüfen.
Fachleute weisen darauf hin, dass die Einordnung als Niederlassung entscheidend auf Tatsächlichkeit und Stabilität beruht. Die Rechtsform oder der Umfang der Tätigkeit sind hier nicht der Schlüssel.
Quelle: www.dr-datenschutz.de