Kurzdefinition: Art. 3 DSGVO legt fest, wann die DSGVO räumlich anwendbar ist. Sie reicht über die EU hinaus, wenn Menschen in der Union angesprochen oder beobachtet werden. [N-DSGVO-3]
Der Normwortlaut
Art. 3 Abs. 1 DSGVO bestimmt, dass die Verordnung Anwendung findet auf die Verarbeitung, „soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet“. Nach Absatz 2 gilt sie auch für nicht in der Union niedergelassene Stellen, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. [N-DSGVO-3]
Für wen gilt die DSGVO?
Für Verarbeitungen im Rahmen einer Niederlassung in der Union. Nach dem Niederlassungsprinzip des Art. 3 Abs. 1 DSGVO kommt es darauf an, ob die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union erfolgt — unabhängig davon, wo die Daten technisch verarbeitet werden. Der Serverstandort ist also nicht entscheidend. [N-DSGVO-3]
Gilt die DSGVO auch für Unternehmen außerhalb der EU?
Ja, unter den Voraussetzungen des Marktortprinzips. Art. 3 Abs. 2 DSGVO erstreckt die Verordnung auf nicht in der Union niedergelassene Verantwortliche und Auftragsverarbeiter, wenn sie betroffenen Personen in der Union Waren oder Dienstleistungen anbieten — auch unentgeltlich — oder deren Verhalten in der Union beobachten. Ein Drittstaaten-Unternehmen mit EU-Kunden kann damit unmittelbar der DSGVO unterliegen. [N-DSGVO-3]
Was ist das Marktortprinzip?
Der Grundsatz, dass der Ort des adressierten Marktes zählt. Nach dem Marktortprinzip des Art. 3 Abs. 2 DSGVO knüpft die Anwendbarkeit nicht an den Sitz des Verantwortlichen an, sondern daran, dass Menschen in der Union angesprochen oder beobachtet werden. Wer den EU-Markt bedient, muss die DSGVO einhalten, auch ohne Niederlassung in der Union. [N-DSGVO-3]
Welche Folgen hat das praktisch?
Es kann eine EU-Vertreterpflicht und volle DSGVO-Compliance auslösen. Unterliegt ein Unternehmen ohne Unionsniederlassung nach Art. 3 Abs. 2 DSGVO der Verordnung, muss es deren Pflichten erfüllen und regelmäßig die Vertreterpflicht nach Art. 27 DSGVO prüfen. Für international tätige Unternehmen ist der räumliche Anwendungsbereich deshalb der Ausgangspunkt jeder Datenschutz-Prüfung. [N-DSGVO-3] [N-DSGVO-27]
Genügt eine Niederlassung in der Union für die Anwendbarkeit?
Ja. Nach Art. 3 Abs. 1 DSGVO gilt die Verordnung für die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder Auftragsverarbeiters in der Union — unabhängig davon, ob die Verarbeitung selbst in der Union stattfindet. Der Ort der Datenverarbeitung ist insoweit nicht entscheidend. [N-DSGVO-3]
Was löst die Anwendbarkeit ohne EU-Niederlassung aus?
Der Marktbezug. Nach Art. 3 Abs. 2 DSGVO gilt die Verordnung auch für nicht in der Union niedergelassene Stellen, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. [N-DSGVO-3]
Häufige Fehlannahmen
- „Die DSGVO gilt nur für Unternehmen mit Sitz in der EU.“ Nein. Über das Marktortprinzip erfasst Art. 3 Abs. 2 DSGVO auch Drittstaaten-Unternehmen. [N-DSGVO-3]
- „Entscheidend ist der Serverstandort.“ Nein. Maßgeblich ist die Niederlassung oder der adressierte Markt, nicht der Ort der Verarbeitung. [N-DSGVO-3]
- „Kostenlose Angebote fallen nicht darunter.“ Nein. Das Anbieten von Diensten erfasst auch unentgeltliche Angebote. [N-DSGVO-3]
- „Nur das Anbieten von Waren löst die DSGVO aus.“ Nein. Auch das Beobachten des Verhaltens von Personen in der Union, etwa durch Tracking, unterfällt der Verordnung. [N-DSGVO-3]
- „Eine bloß erreichbare Website genügt für das Marktortprinzip.“ Nein. Erst weitere Anhaltspunkte wie eine in der Union gebräuchliche Sprache oder Währung oder Bestellmöglichkeiten deuten auf ein gezieltes Angebot hin. [N-DSGVO-3]
Was die Geschäftsleitung tun sollte
- Anwendbarkeit prüfen. Niederlassungs- und Marktortprinzip auf das eigene Geschäft anwenden.
- EU-Bezug erkennen. Angebote an und Beobachtung von Personen in der Union bewerten.
- Vertreter prüfen. Bei Anwendbarkeit ohne Unionsniederlassung die Vertreterpflicht nach Art. 27 DSGVO gesondert prüfen.
- Global denken. Datenschutz-Compliance nicht am Unternehmenssitz enden lassen.
Für die Geschäftsleitung
Art. 3 DSGVO reicht weit über die EU hinaus: Wer eine Niederlassung in der Union hat oder Menschen in der Union anspricht oder beobachtet, unterliegt der DSGVO. Für international tätige Unternehmen ist der räumliche Anwendungsbereich der erste Prüfstein jeder Datenschutz-Strategie.
Quellen
- [N-DSGVO-3] Art. 3 DSGVO (Räumlicher Anwendungsbereich), Abs. 1 und 2. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-27] Art. 27 DSGVO (Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern), konsolidierte Zitierstelle in `DSGVO_konsolidiert_02016R0679_Zitierstellen.md`. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
