§ 12 Grenzüberschreitender Verkehr von Beschäftigtendaten / II. Marktortprinzip (Art. 3 Abs. 2 DSGVO)

Rz. 5

Art. 3 Abs. 2 DSGVO erstreckt den räumlichen Anwendungsbereich der DSGVO auf das sog. "Targeting" von Personen, die sich innerhalb der EU befinden. Danach findet die DSGVO auf zwei Fälle Anwendung, in denen ein außereuropäisches Unternehmen^[10] personenbezogene Daten verarbeitet:

[10] Paal/Pauly/Ernst, Art. 3 Rn 14.

1. Anbieten von Waren und Dienstleistungen

Rz. 6

Einerseits genügt für die Anwendbarkeit der DSGVO, "Personen in der Union Waren oder Dienstleistungen anzubieten" und in diesem Zusammenhang personenbezogene Daten zu verarbeiten.^[11] Der Waren- und Dienstleistungsbegriff ist hierbei im Sinne der Art. 28 f., 56 ff. AEUV weit zu verstehen. Entscheidend ist, dass die Nicht-EU-Niederlassung über die bloße Zugänglichkeit einer Website hinaus offensichtlich beabsichtigt, Personen in der EU ihre Leistungen anzubieten.^[12] Dies muss im Einzelfall etwa anhand der verwendeten Sprache, Währung oder der zu Werbezwecken erwähnten Kunden ermittelt werden.

Crowdsourcing einer Nicht-EU-Niederlassung wird vom insoweit eindeutigen Wortlaut des Art. 3 Abs. 2 lit. a DSGVO nicht erfasst. Denn über die Crowdsourcing-Plattform werden dem Crowdworker gerade keine Dienstleistung angeboten. Im Gegenteil: Über die Plattform sollen Leistungen vom Crowdworker ­erworben werden.

[11] Art. 3 Abs. 2 lit. a DSGVO.

[12] Dazu Erwägungsgrund 23 DSGVO.

2. Verhaltensbeobachtung

Rz. 7

Andererseits kommt die DSGVO zu Anwendung, wenn im Zusammenhang mit der Datenverarbeitung Personen beobachtet werden, deren Verhalten in der EU erfolgt.^[13] An die Annahme einer solchen Verhaltensbeobachtung sind hohe Anforderungen zu stellen. Einmalige und punktuelle Maßnahmen reichen nicht aus.^[14] Vielmehr muss die Internetaktivität einer Person nachvollzogen und hiermit ein individuelles Profil erstellt werden, anhand dessen persönliche Vorlieben, Verhaltensweisen und Gepflogenheiten analysiert und vorausgesagt werden sollen.^[15] Mit anderen Worten muss die digitale Spur des Betroffenen systematisch nachverfolgt und aufbereitet werden.

Zweck der Beobachtung und Staatsangehörigkeit der Beobachteten sind irrelevant. Daher werden von Art. 3 Abs. 2 lit. b DSGVO auch solche Nicht-EU-Niederlassungen erfasst, die eine betroffene Person vorübergehend in der EU beschäftigten und diese dabei (vom Ausland aus) ausreichend intensiv beobachten. Dies könnte z.B. auf asiatische Unternehmen zutreffen, die ihre möglicherweise digital gläsernen Mitarbeiter zu einem Messebesuch nach Deutschland schicken.

Ob Crowdsourcing durch eine Nicht-EU-Niederlassung unter Art. 3 Abs. 2 lit. b DSGVO fällt, hängt im Einzelfall von der Intensität der Verhaltensbeobachtung sowie etwa der Länge der Vertragsbeziehung ab. Besteht der Mehrwert für die Crowdsourcing-Plattform gerade darin, dass Vorlieben des Crowdworkers in eine Analyse einfließen – z.B. bei Test-Spielern oder Produkt-Bewertern, kommt Art. 3 Abs. 2 lit. b DSGVO eher in Betracht. Keine Verhaltensbeobachtung ist dagegen anzunehmen, wenn es der Crowdsourcing-Plattform allein auf mechanische oder objektiv messbare Arbeitsergebnisse ankommt, die nicht von persönlichen Befindlichkeiten geprägt sein sollen – z.B. Textübersetzung oder Softwareprogrammierung.

[13] Art. 3 Abs. 2 lit. b DSGVO.

[14] Kühling/Buchner/Klar, Art. 3 Rn 95.

[15] Dazu Erwägungsgrund 24 S. 2 DSGVO.