Das Marktortprinzip (Art. 3 Abs. 2 DSGVO) sorgt dafür, dass die DSGVO auch für Unternehmen außerhalb der EU gilt, die sich an den europäischen Markt richten.
Zwei Anküpfungspunkte
Die DSGVO gilt für nicht in der EU niedergelassene Verantwortliche, wenn die Datenverarbeitung im Zusammenhang steht mit:
Angebot von Waren oder Dienstleistungen an Personen in der EU (Art. 3 Abs. 2 lit. a DSGVO) - auch bei kostenlosen Angeboten wie sozialen Netzwerken.
Verhaltensbeobachtung von Personen in der EU (Art. 3 Abs. 2 lit. b DSGVO) - z.B. durch Tracking-Cookies, Browser Fingerprinting oder Profiling.
Was ist KEIN ausreichender Anknüpfungspunkt?
Die blosse Abrufbarkeit einer Website, eine allgemeine E-Mail-Adresse oder die Verwendung einer Sprache, die auch im Sitzstaat des Unternehmens gebräuchlich ist, genügen nicht (EG 23 DSGVO, DSK-Kurzpapier Nr. 7).
Indizien für EU-Ausrichtung
Sprache oder Währung eines EU-Mitgliedstaats mit Bestellmöglichkeit, Erwähnung von EU-Kunden, landesspezifische Top-Level-Domains (z.B. .de, .fr), Flaggen-Icons oder geographische Referenzen sprechen für eine Ausrichtung auf den EU-Markt. Disclaimer können die Anwendbarkeit NICHT wirksam außchließen.
Pflicht zur Vertreterbestellung
Unternehmen, die unter das Marktortprinzip fallen, müßen schriftlich einen Vertreter in der EU benennen (Art. 27 DSGVO). Verstöße sind bußgeldbewährt (Art. 83 Abs. 4 lit. a DSGVO).