Antwort und Beispiele: Die Datenschutz-Grundverordnung gilt für
- ein Unternehmen oder eine Einrichtung, welches oder welche personenbezogene Daten im Rahmen der Tätigkeiten einer in der EU ansässigen Zweigstelle verarbeitet, unabhängig davon, wo die Datenverarbeitung stattfindet; oder
- ein Unternehmen, das ausserhalb der EU ansässig ist und Waren/Dienstleistungen (bezahlt oder unentgeltlich) anbietet oder das Verhalten von Personen in der EU beobachtet.
Wenn Ihr Unternehmen ein kleines oder mittleres Unternehmen (KMU) ist, das personenbezogene Daten gemäss den oben genannten Beschreibungen verarbeitet, müssen Sie die Bestimmungen der Datenschutz-Grundverordnung erfüllen. Wenn die Verarbeitung personenbezogener Daten jedoch nicht zu den Kerntätigkeiten Ihres Unternehmens gehört und Ihre Tätigkeit keinerlei Risiko für Personen darstellt, gelten einige der Pflichten der Datenschutz-Grundverordnung für Sie nicht verbindlich (zum Beispiel die Ernennung eines Datenschutzbeauftragten). Beachten Sie, dass die „Kerntätigkeiten“ Tätigkeiten umfassen sollten, bei denen die Verarbeitung von Daten einen untrennbaren Teil der Tätigkeiten des Verantwortlichen oder Auftragsverarbeiters bilden muss.
Beispiele:
Anwendungsbereich der Verordnung eröffnet
Ihr Unternehmen ist ein kleines Unternehmen im Bereich der Hochschulbildung und ist mit einer Niederlassung mit Sitz ausserhalb der EU online tätig. Es hat in erster Linie Universitäten mit spanischer und portugiesischer Sprache in der EU als Zielgruppe. Es bietet kostenlose Beratung für eine Reihe von Studiengängen, und die Studenten benötigen für den Zugriff auf Ihre Online-Materialien einen Benutzernamen und ein Kennwort. Ihr Unternehmen stellt diesen Benutzernamen und das Kennwort bereit, sobald die Studenten ein Anmeldeformular ausgefüllt haben.
Anwendungsbereich der Verordnung nicht eröffnet
Ihr Unternehmen ist ein Dienstleister mit Sitz ausserhalb der EU. Es bietet Kunden ausserhalb der EU Dienstleistungen an. Seine Kunden können seine Dienste nutzen, wenn sie in andere Länder reisen, auch innerhalb der EU. Sofern Ihr Unternehmen seine Dienste nicht gezielt auf Personen in der EU ausrichtet, fällt es nicht unter die Vorschriften der Datenschutz-Grundverordnung.
Europäische Kommission; BOW; 30.01.2018
https://ec.europa.eu/info/strategy/justice-and-fundamental-rights/data-protection/reform/rules-business-and-organisations/application-regulation/who-does-data-protection-law-apply_de