Implikationen für Verträge zwischen Nicht-EU-Unternehmen
Als Mitglied der internen Rechtsabteilung einer internationalen Unternehmensgruppe hatte ich das Vergnügen, zahlreiche grenzüberschreitende Verträge mit Unternehmen innerhalb und außerhalb der EU auszuhandeln, insbesondere im Bereich von Softwareverträgen wie Software-as-a-Service (SaaS)-Vereinbarungen. Dieser Artikel analysiert die Anwendbarkeit der DSGVO in einer vertraglichen Beziehung zwischen US-Unternehmen.
Die Frage, ob die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016, allgemein bekannt als Datenschutz-Grundverordnung (DSGVO), den Abschluss eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 Abs. 3 DSGVO zwischen zwei US-Unternehmen erforderlich macht, hat mein Interesse geweckt. Dies kam auf, als mehrere US-Unternehmen ein verstärktes Interesse am Abschluss von AVVs für den Bezug von Software von einem US-Softwareanbieter äußerten. Anfangs war meine Reaktion ablehnend – warum sollten sich zwei Nicht-EU-Unternehmen mit der DSGVO befassen? Die Antwort ist jedoch nicht so einfach. Typischerweise richten sich Anfragen auf den sachlichen Anwendungsbereich der DSGVO anstatt auf ihren räumlichen Anwendungsbereich, was oft übersehen wird, wenn es um zwei Nicht-EU-Unternehmen geht. Dieser Umstand unterstreicht die Notwendigkeit einer differenzierteren Analyse.
Erlauben Sie mir, das folgende Szenario zu teilen:
In einer Business-to-Business (B2B)-Beziehung verkauft ein US-Softwareanbieter Software (SaaS) an Softwarekunden in den USA. Ein AVV wird nur in einer Verantwortlicher-Auftragsverarbeiter-Beziehung relevant. Sowohl Verantwortliche als auch Auftragsverarbeiter haben ihre eigenen (unterschiedlichen) Verantwortlichkeiten. Art. 28 Abs. 3 DSGVO erfordert den Abschluss eines AVV nur zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Im vorliegenden Fall agiert der SaaS-Kunde als unabhängiger Verantwortlicher, da er entscheidet, was mit den Daten geschehen soll, und den Softwareanbieter mit dem Hosting seiner Daten beauftragt. Der US-Softwareanbieter, ein SaaS-Dienstleister, ist in der Regel beides, sowohl Verantwortlicher als auch Auftragsverarbeiter. Nach Ansicht des Europäischen Datenschutzausschusses (EDSA) sind sie Verantwortliche in Situationen, in denen sie über die Zwecke und Mittel der Verarbeitung entscheiden (z. B. bei ihrer Website, Nutzerdatenbanken, Newsletter, Marketing, Zahlungsdaten usw.) und Auftragsverarbeiter, wenn sie auf Anweisung ihrer Kunden handeln (z. B. bei B2B-Aktivitäten, wenn sie personenbezogene Daten der Kunden ihrer Klienten verarbeiten). Letzteres trifft auf das beschriebene Szenario zu, in dem der Softwareanbieter zudem einen Dritten, einen sogenannten Unterauftragsverarbeiter, in der EU für die Erbringung seiner Hosting-Dienste einsetzt und somit die Daten innerhalb einer EU-Rechtsordnung verortet. Solche Kundendaten können (müssen aber nicht) personenbezogene Daten von betroffenen Personen aus der EU enthalten. Für die Zwecke des Anwendungsbereichs der DSGVO spielt es keine Rolle, ob solche Daten öffentlich zugänglich sind oder nicht. Alles, was für die Anwendbarkeit der DSGVO zählt, ist, dass personenbezogene Daten verarbeitet werden. Somit umfasst das beschriebene Szenario drei Parteien.
Aus der Perspektive des internationalen Datentransfers ist die primäre Frage, ob ein Datenexporteur und ein Datenimporteur existieren und ob die DSGVO auf den Datenexporteur Anwendung findet – den EU-Rechenzentrumsanbieter. In diesem Zusammenhang qualifiziert sich der EU-Rechenzentrumsanbieter als Datenexporteur, der Daten an den in den USA ansässigen Softwareanbieter als Datenimporteur übermittelt. Folglich sind sowohl der sachliche Anwendungsbereich (Art. 2 DSGVO) als auch der räumliche Anwendungsbereich (Art. 3 DSGVO) der DSGVO erfüllt. Somit qualifiziert sich die Transaktion als internationaler Datentransfer, was angemessene Schutzmaßnahmen in Ermangelung eines Angemessenheitsbeschlusses für das Empfängerland, in diesem Fall die USA, erforderlich macht. Damit ein Datentransfer an ein US-Unternehmen als sicher gilt, muss der US-Softwareanbieter entweder nach dem Data Privacy Framework (DPF) zertifiziert sein oder es müssen EU-Standardvertragsklauseln (SCCs) abgeschlossen werden. Da sowohl der EU-Rechenzentrumsanbieter als auch der US-Softwareanbieter Auftragsverarbeiter sind, müssen die SCCs gemäß deren Modul 3 (Auftragsverarbeiter-zu-Auftragsverarbeiter-SCCs) abgeschlossen werden.
Die ursprüngliche Frage betrifft jedoch die Beziehung zwischen dem US-Softwareanbieter und dem US-Softwarekunden. Wir wissen bereits, dass der Datentransfer zwischen den beiden in den sachlichen Anwendungsbereich der DSGVO fällt. In drei von vier Fällen ist jedoch der räumliche Anwendungsbereich der DSGVO nicht erfüllt – warum?
Art. 3 Abs. 1 DSGVO findet keine Anwendung, da weder der Auftragsverarbeiter (US-Softwareanbieter) noch der Verantwortliche (US-Softwarekunde) über eine Niederlassung in der EU verfügt.
Art. 3 Abs. 2 DSGVO erfordert eine genauere Betrachtung, da er die DSGVO auf die Verarbeitung personenbezogener Daten von betroffenen Personen anwendet, die sich in der Union befinden, selbst wenn der Verantwortliche oder Auftragsverarbeiter nicht in der EU niedergelassen ist. Der räumliche Anwendungsbereich von Buchstabe (b) des Art. 3 Abs. 2 DSGVO wäre erfüllt, wenn das Ziel des SaaS-Geschäfts darin bestünde, das Verhalten von betroffenen Personen in der EU zu beobachten. Dies würde beispielsweise für eine von einem US-Unternehmen in der EU installierte Videoüberwachungskamera zutreffen. Im vorliegenden Fall betrachten wir jedoch Software, die lediglich Daten in der EU hostet.
Daher ist die entscheidende Frage, ob der in den USA ansässige Softwarekunde als unabhängiger Verantwortlicher in den Anwendungsbereich der DSGVO fällt. Gemäß Art. 3 Abs. 1 Buchstabe a DSGVO wäre dies der Fall, wenn "die Verarbeitung im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen, unabhängig davon, ob eine Zahlung der betroffenen Person erforderlich ist, an solche betroffenen Personen in der Union steht." Im Wesentlichen unterläge der US-Softwarekunde nur dann dem räumlichen Anwendungsbereich der DSGVO, wenn er Dienstleistungen für Einzelpersonen anbietet, die ihren Wohnsitz in der EU haben.
Wenn die angebotenen Softwaredienstleistungen nicht für Einzelpersonen mit Wohnsitz in der EU bestimmt sind, fällt nichts davon in den Anwendungsbereich der DSGVO, und es besteht keine Notwendigkeit, einen AVV zwischen dem US-Softwareanbieter und seinen US-Kunden abzuschließen. Umgekehrt, wenn die Dienstleistungen des Anbieters spezifisch für Einzelpersonen mit Wohnsitz in der EU angeboten werden, wird der räumliche Anwendungsbereich der DSGVO ausgelöst, was den US-Softwareanbieter dazu verpflichtet, einen AVV mit seinen US-basierten Kunden abzuschließen.
Fazit
Während die DSGVO auf die Daten von Einzelpersonen in der EU beschränkt sein mag, ist sie nicht auf europäische Unternehmen beschränkt. Nicht-EU-Unternehmen müssen ebenso wie in Europa ansässige Organisationen in Übereinstimmung mit der DSGVO handeln, sofern sie in den Anwendungsbereich von Art. 3 Abs. 2 DSGVO fallen.
Zusammenfassend ist es sehr ratsam, jedes in Art. 3 DSGVO skizzierte Szenario bezüglich des räumlichen Anwendungsbereichs sorgfältig zu bewerten, bevor DSGVO-Verpflichtungen bei Transaktionen mit Nicht-EU-Unternehmen ausgeschlossen werden. Eine solche Sorgfalt stellt die umfassende Einhaltung des regulatorischen Rahmens der DSGVO sicher.
Falls ein Nicht-EU-Unternehmen zu dem Schluss kommt, dass die DSGVO gemäß Art. 3 Abs. 2 DSGVO anwendbar ist, sollte die Bestellung eines EU-Vertreters gemäß Art. 27 DSGVO in Betracht gezogen werden. Dieser Abschnitt der DSGVO besagt, dass Nicht-EU-Unternehmen, die Waren oder Dienstleistungen für Einzelpersonen in der EU anbieten und/oder das Verhalten von Einzelpersonen in der EU beobachten, einen EU-Vertreter benennen müssen, der in ihrem Namen handelt.