High Court of Justice: Extraterritorialer Anwendungsbereich der DSGVO

Klage gegen Forensic News wegen Verletzung der DSGVO

Der Kläger, Walter T. Soriano, ist ein britischer Staatsangehöriger, der im Vereinigten Königreich wohnhaft ist. Zu den Beklagten gehörte Forensic News, welche Investigativ-Journalismus betreibt und ihren Sitz in den USA hat. Die Klage von Walter T. Soriano hatte zehn Internetveröffentlichungen und verschiedene Social-Media-Postings (Facebook, Twitter etc.) durch Forensic News zum Gegenstand. Diese bezogen sich auf verschiedene Themen, u.a. auf die finanziellen Angelegenheiten des ehemaligen US-Präsidenten Trump und die Aktivitäten einer privaten israelischen Geheimdienstfirma in der Ukraine, die angeblich mit Herrn Soriano in Verbindung steht. Der Kläger störte sich an diesen Veröffentlichungen und klagte gegen Forensic News, wobei er sich auch auf die DSGVO stützte.

Dies gab dem Gericht die Möglichkeit, Fragen zur Anwendbarkeit der DSGVO in dem vorliegend besprochenen Urteil vom 15. Januar 2021 ([2021] EWHC 56 (QB)) zu erörtern. Es muss aber bedacht werden, dass es sich um ein sog. «service out»-Verfahren des englischen Rechts handelte, bei dem es – vereinfacht gesagt – darum geht, dass der Kläger um eine gerichtliche Bewilligung ersucht, die ihm die Einklagung im Ausland domizilierter Parteien erlaubt. Die vorliegend interessierenden Fragen wurden also im Rahmen einer ziemlich speziellen Verfahrenskonstellation aufgeworfen.

Berechtigung zur Erhebung der Klage im Vereinigten Königreich

Um festzustellen, ob der Kläger überhaupt berechtigt war, eine auf die DSGVO gestützte Klage im Vereinigten Königreich zu erheben, befasste sich das Gericht zunächst mit Art. 79 DSGVO. In dessen Abs. 2 heisst es: «(…) Wahlweise können Klagen auch bei den Gerichten des Mitgliedstaats erhoben werden, in dem die betroffene Person ihren gewöhnlichen Aufenthalt hat (…)».

Walter T. Soriano hatte seinen gewöhnlichen Aufenthalt seit 2003 im Vereinigten Königreich und war seit 2009 britischer Staatsbürger. Somit erfüllte er die Kriterien gemäss Art. 79 Abs. 2 DSGVO und war befugt, seine Klage im Vereinigten Königreich einzureichen. Gemäss dem England and Wales High Court of Justice entspreche es dem Grundgedanken der DSGVO, dass jemand, der seinen gewöhnlichen Aufenthalt in einem Mitgliedstaat habe, auch die Möglichkeit haben solle, dort zu klagen. Dies sei auch dann der Fall, wenn der Verantwortliche oder der Auftragsverarbeiter seine Niederlassung in einem anderen Staat habe. Dass das Vereinigte Königreich zumindest zum Zeitpunkt der Urteilspublikation kein EU-Mitgliedstaat mehr war, wurde im Urteil nicht thematisiert.

Nachdem das Gericht feststellte, dass Walter T. Soriano seine Klage im Vereinigten Königreich einreichen durfte, prüfte es die Begründetheit seiner Klage. Um seinen Anspruch geltend zu machen, musste der Kläger nachweisen, dass die Veröffentlichung seiner personenbezogenen Daten in den territorialen Anwendungsbereich der DSGVO nach Art. 3 Abs. 1 DSGVO oder Art. 3 Abs. 2 DSGVO fällt.

Niederlassung (Art. 3 Abs. 1 DSGVO)

Nach Art. 3 Abs. 1 DSGVO findet die DSGVO Anwendung

«auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.»

Eine Definition des Begriffes «Niederlassung» findet sich dabei weder in der DSGVO noch in den Erwägungen. Das Gericht zog für die Auslegung drei Entscheidungen des EuGH zur Datenschutz-Richtlinie (Richtlinie 95/46) heran, nämlich die Entscheide in den Sachen Google Spain (C-131/12), Weltimmo (C-230/14) und VKI gegen Amazon (C-191/15). Dabei erachtete es einzig das Weltimmo-Urteil für die vorliegende Konstellation als hilfreich, da in diesem die «Niederlassung» definiert worden war. Unabhängig von der Rechtsform sei für die Annahme einer Niederlassung ein gewisser Grad an Stabilität in der Organisation («degree of stability of the arrangements») und eine tatsächliche Ausübung einer Tätigkeit in einem Mitgliedsstaat («effective exercise of activities») erforderlich.

Der High Court of Justice stellte fest, dass die Beklagten nicht im Vereinigten Königreich im Sinne der DSGVO ansässig waren und dort auch keine Mitarbeiter oder Vertreter hatten. Zum geforderten Grad an Stabilität in der Organisation i.S. der oben erläuterten Rechtsprechung anerkannte der Richter, dass Forensic News durchaus eine Leserschaft im Vereinigten Königreich habe. Jedoch stelle eine Handvoll britischer Abonnenten für eine Plattform, die Zahlungen für Dienstleistungen auf einer völlig generischen Basis verlange und die jederzeitig gekündigt werden können, keine Organisation dar, die nach Art, Anzahl und Typ ausreichend sei, um den Wortlaut und Sinn einer «Niederlassung» gem. Art. 3 Abs. 1 DSGVO zu erfüllen und die als stabil zu gelten habe.

Anbieten von Waren und Dienstleistungen (Art. 3 Abs. 2 lit. a DSGVO)

Die DSGVO kann aber bekanntermassen auch extraterritorial angewandt werden. Nach Art. 3 Abs. 2 lit. a DSGVO findet die DSGVO Anwendung

«auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht betroffenen Personen in der Union Waren und Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist.»

Der Kläger vertrat die Auffassung, dass vorliegend ein entsprechendes Angebot an Personen in der Union vorliege. Dies deshalb, weil die Veröffentlichungen der Beklagten in englischer Sprache erfolgten, ihre Website um Spenden in Pfund Sterling und in Euro bat, sie einen «Online-Store» mit eigenem Merchandising betreibt und Lieferadressen im Vereinigten Königreich akzeptierte. Ausserdem forderte ein am 7. August 2020 gesendeter Tweet die Leserschaft im Vereinigten Königreich und in der EU dazu auf, Abonnemente über eine Drittplattform zu beziehen.

Zur Beantwortung der Frage, ob diese Tätigkeiten ein Anbieten von Waren oder Dienstleistung i.S. Art. 3 Abs. 2 lit. a DSGVO darstellt, zog das Gericht die EDSA-Leitlinien zum räumlichen Anwendungsbereich der DSGVO heran (siehe dazu MLL-News vom 19. Dezember 2019). Es kam, ohne gross auf die Argumente des Klägers einzugehen, zum Schluss, dass es keine Anhaltspunkte dafür gebe, dass Forensic News seine Waren oder Dienstleistungen an Personen im Vereinigten Königreich richte. Insbesondere aus der Tatsache, dass Merchandise ins Vereinigte Königreich verschifft werde, liesse sich vorliegend nichts herleiten. Weiter erläuterte das Gericht, dass der EDSA festgestellt habe, dass ein für die Datenverarbeitung Verantwortlicher in Bezug auf einige seiner Verarbeitungstätigkeiten der DSGVO unterliegen könne und in Bezug auf andere nicht. Dabei müsse der Kläger aber gemäss dem England and Wales High Court nachweisen, dass die Tätigkeit (das Anbieten von Waren und Dienstleistungen) mit der Kerntätigkeit der Beklagten, nämlich mit dem Journalismus zusammenhänge, was in der vorliegenden Konstellation zu verneinen sei.

Verhaltensüberwachung (Art. 3 Abs. 2 lit. b DSGVO)

Nach Art. 3 Abs. 2 lit. b DSGVO findet die DSGVO Anwendung

«auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht, das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.»

Walter T. Soriano brachte vor, dass die Website Cookies auf den Geräten der Leser platzierte und deren personenbezogenen Daten unter Verwendung von Facebook und Google Analytics zum Zweck der zielgerichteten Werbung verarbeitete. Weiter habe die Beklagte Daten über ihn gesammelt sowie sein Verhalten innerhalb des Vereinigten Königreichs und der EU überwacht, um Entscheidungen über die Veröffentlichung zu treffen.

Diesbezüglich führte das Gericht aus, dass keine Anhaltspunkte vorliegen würden, dass die Verwendung von Cookies irgendetwas mit derjenigen «Überwachung» zu tun habe, die die Grundlage für die eigentliche Klage des Klägers bilde. Denn die journalistische Tätigkeit der Beklagten werde nicht durch den Einsatz dieser Cookies gefördert, sondern durch die Nutzung des Internets als Rechercheinstrument. Die Überwachung, über die sich der Kläger beschwere, sei keine Verhaltensbeobachtung i.S.v. Art. 3 Abs. 2 lit. b DSGVO, da die Überwachung, die tatsächlich unter diese Bestimmung falle (d.h. die Erstellung von Verhaltensprofilen, die in die Auswahl von Werbemassnahmen einfliessen) in keinem Zusammenhang mit der strittigen Verarbeitung stehe.

Zusammenfassend kam das Gericht zum Schluss, dass Walter T. Soriano aus der DSGVO nichts zu seinen Gunsten herleiten konnte.

Fazit und Würdigung

Der Entscheid thematisiert für international tätige Unternehmen sehr relevante Aspekte. Bedauerlicherweise musste sich das Gericht in der vorliegenden Konstellation nicht allzu detailliert mit praxisrelevanten Fragen auseinandersetzen.

Die Ausführungen zum Begriff der Niederlassung sind überzeugend, wäre es doch in Anbetracht der Weltimmo-Rechtsprechung abwegig gewesen, eine Niederlassung vorliegend zu bejahen. Es kommt also weiterhin insbesondere auf die faktischen Kriterien einer tatsächlichen Ausübung einer Tätigkeit in einem Mitgliedsstaat mit einer stabilen Organisation an, damit eine Niederlassung vorliegt und die DSGVO anwendbar wird.

Interessant sind auch die Ausführungen dazu, dass die Anwendbarkeit der DSGVO für jede Tätigkeit gesondert geprüft werden muss. Vorliegend hatte der eigentliche Streitgegenstand (Datenbeschaffung im Rahmen des internationalen Investigativ-Journalismus) aber auch nur einen entfernten Bezug mit den vorgebrachten Datenbearbeitungen. Man kann sich, wie das Gericht, zu Recht fragen, ob die DSGVO auf solche Konstellation anwendbar sein will und sein soll.

Die Beurteilung muss aber immer in Anbetracht der Umstände des Einzelfalls erfolgen. Gerade auch der Blick auf die Haltung der Datenschutzbehörden zeigt, dass durchaus auch vermeintlich entfernte Zusammenhänge zwischen der konkreten Datenbearbeitung und dem auf die EU ausgerichteten Angebot oder der Verhaltensbeobachtung als hinreichend betrachtet werden. Im Alltag grenzüberschreitend tätiger Unternehmen führt daher letztlich nichts daran vorbei, die konkrete Ausgestaltung der relevanten Datenbearbeitungen daraufhin zu prüfen, ob sie der DSGVO unterstehen. Der Entscheid zeigt auch, dass Unternehmen sich dabei insbesondere an den Leitlinien des EDSA ausrichten sollten, denn diese dürften nicht nur für die Gerichte im Vereinigten Königreich eine Auslegungshilfe darstellen. Gerade der Einsatz von Cookies zur Verhaltensüberwachung wird, wie das Gericht vorliegend festhält, meistens in den Anwendungsbereich der DSGVO fallen, wenn Nutzer aus der EU getrackt werden.

Weitere Informationen:

• MLL-News vom 19. Dezember 2019: «EU-Datenschützer (EDSA) veröffentlichen definitive Leitlinien zum räumlichen Anwendungsbereich der DSGVO»
• MLL-News vom 15. Dezember 2010: «EuGH: Abrufbarkeit einer Website bedeutet noch kein Ausrichten»
• MLL-News vom 27. November 2019: «EuGH zum DSGVO-Löschungsrecht: Google muss Informationen aus Ergebnislisten EU-weit und nicht weltweit entfernen»