Das Marktortprinzip gilt, wenn ein Unternehmen ohne Niederlassung in der EU Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten in der EU beobachtet (Art. 3 Abs. 2 DSGVO). Dann muss es die DSGVO einhalten wie ein europäisches Unternehmen und in der Regel einen Vertreter in der EU benennen. Für Unternehmen mit Niederlassung in der EU gilt die DSGVO ohnehin (Art. 3 Abs. 1 DSGVO).
Zwei Anknüpfungspunkte
Die DSGVO gilt für nicht in der EU niedergelassene Verantwortliche, wenn die Datenverarbeitung im Zusammenhang steht mit:
Angebot von Waren oder Dienstleistungen an Personen in der EU (Art. 3 Abs. 2 lit. a DSGVO), auch bei kostenlosen Angeboten wie sozialen Netzwerken.
Verhaltensbeobachtung von Personen in der EU (Art. 3 Abs. 2 lit. b DSGVO), z. B. durch Tracking-Cookies, Browser Fingerprinting oder Profiling.
Was ist kein ausreichender Anknüpfungspunkt?
Die bloße Abrufbarkeit einer Website, eine allgemeine E-Mail-Adresse oder die Verwendung einer Sprache, die auch im Sitzstaat des Unternehmens gebräuchlich ist, genügen nicht (EG 23 DSGVO, DSK-Kurzpapier Nr. 7).
Indizien für EU-Ausrichtung
Sprache oder Währung eines EU-Mitgliedstaats mit Bestellmöglichkeit, Erwähnung von EU-Kunden, landesspezifische Top-Level-Domains (z. B. .de, .fr), Flaggen-Icons oder geographische Referenzen sprechen für eine Ausrichtung auf den EU-Markt. Disclaimer können die Anwendbarkeit nicht wirksam ausschließen.
Pflicht zur Vertreterbestellung
Unternehmen, die unter das Marktortprinzip fallen, müssen schriftlich einen Vertreter in der EU benennen (Art. 27 DSGVO). Verstöße sind bußgeldbewehrt (Art. 83 Abs. 4 lit. a DSGVO).
Auch Unternehmen, für die das Marktortprinzip gilt, müssen prüfen, ob sie einen Datenschutzbeauftragten benennen müssen (Art. 37 DSGVO). Der Vertreter nach Art. 27 DSGVO ersetzt den Datenschutzbeauftragten nicht.