Ändert ein VPN den Geltungsbereich der DSGVO? Eine Checkliste, kein IP-Test

Die Frage kommt meist als die, ob die Nutzung eines VPN den Geltungsbereich der DSGVO ändert. Sie ist nicht aus einer IP-Adresse zu beantworten. Der Geltungsbereich folgt der Verarbeitung: wer verantwortlich ist, in welchem Kontext und wessen Verhalten oder Angebot beteiligt ist. Arbeiten Sie die Checkliste unten der Reihe nach ab und halten Sie beim ersten Punkt an, der die Frage für Ihre Tätigkeit entscheidet.

Ein VPN ändert den scheinbaren Standort einer Verbindung. Es ändert nicht den Verantwortlichen, den Zweck oder die Personen, auf die abgezielt wird.

Prüfung eins: Wer ist der Verantwortliche und wo

Benennen Sie die für die Verarbeitung verantwortliche Stelle und jeden Auftragsverarbeiter, der für sie tätig ist. Halten Sie die Niederlassung fest, die entscheidet, warum und wie die Daten verarbeitet werden. Auf dieser Tatsache ruht der Rest der Analyse.

Ist die Stelle in der EU niedergelassen, fahren Sie mit Prüfung zwei fort. Wenn nicht, gehen Sie zu Prüfung drei.

Prüfung zwei: Ist die Verarbeitung an eine EU-Niederlassung geknüpft

Artikel 3(1) erfasst die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, auch wenn die Verarbeitung selbst außerhalb der Union stattfindet. Der Test ist die Verbindung zwischen der Verarbeitung und den Tätigkeiten dieser Niederlassung.

Ein europäisches Büro zieht nicht automatisch jeden Vorgang eines multinationalen Unternehmens in den Geltungsbereich. Ebenso wenig beseitigt das Leiten des Datenverkehrs über einen Ausgang außerhalb der EU diese Verbindung. Die Niederlassungsprüfung betrifft die Verarbeitung, nicht den Paketweg.

Greift diese Prüfung, halten Sie an: Der VPN-Ausgang ist für den Geltungsbereich unerheblich, auch wenn er für andere Übermittlungs- oder Sicherheitsfragen relevant sein kann.

Prüfung drei: Personen in der Union anbieten oder überwachen

Ohne EU-Niederlassung gilt Artikel 3(2) für das Anbieten von Waren oder Dienstleistungen an Personen in der Union oder für die Überwachung ihres Verhaltens dort. Die bloße Erreichbarkeit einer Website genügt nicht. Die Leitlinien des EDPB zu Artikel 3 suchen eine gezielte Ausrichtung auf Personen in der Union.

Die Anwesenheit der Person zum maßgeblichen Zeitpunkt zählt auf diesem Weg, nicht Staatsangehörigkeit oder Wohnsitz allein. Ein anschaulicher Besucher außerhalb der EU, der eine EU-IP zu nutzen scheint, erfüllt das Merkmal des Ortes nicht allein durch diese Tatsache. Entscheidend ist, ob das Angebot oder die Überwachung auf Personen in der Union gerichtet war. Ein einzelner Besuch von einer scheinbar EU-Adresse ist für sich genommen ein schwacher Beleg.

Greift weder Niederlassung noch Ausrichtung, hat der VPN-Ausgang keinen Geltungsbereich geschaffen. Greift die Ausrichtung, hat der Ausgang sie nicht beseitigt.

Prüfung vier: Was der VPN-Ausgang ändert und was nicht

Ein anderer Ausgang ändert die scheinbare Quelle einer Verbindung. Er kann ändern, was eine Website anzeigt, was eine Umsetzungsentscheidung ist. Er ändert nicht, wer der Verantwortliche ist, was der Verarbeitungszweck ist oder ob das Angebot auf Personen in der Union gerichtet war.

Behandeln Sie Geolokalisierung als begrenztes Signal und dokumentieren Sie die Unsicherheit. Machen Sie aus einem unbekannten Standort keine Ausnahme.

Führen Sie den Nachweis

Für einen Diensteanbieter halten Sie die verantwortliche Stelle, die Niederlassung, den Zweck, das beabsichtigte Publikum und jede Überwachung fest. Beurteilen Sie die territorialen Kriterien mit qualifizierter Datenschutzberatung. Für eine Einzelperson beginnen Sie mit der Datenschutzerklärung und der Stelle, die Ihre Informationen verarbeitet.

Beurteilen Sie Regeln zu Cookies und Gerätespeicherung getrennt von der Frage nach Artikel 3. Übertragen Sie eine Schlussfolgerung aus einer Verarbeitungstätigkeit nicht auf jede Tracking-Regel, und verschmelzen Sie die Rahmen der EU und des Vereinigten Königreichs nicht zu einem undifferenzierten Recht. Der Nachweis sollte sagen, welchen Rahmen Sie geprüft haben und warum.