Angeglichene Datenschutzstandards in der EU
Hinter § 1 Abs. 5 Satz 1 BDSG steht der Gedanke, dass es innerhalb des Geltungsbereichs der EU-Datenschutzrichtlinie keinen Unterschied machen dürfe, welches nationale Datenschutzrecht auf den Einzelfall Anwendung findet, weil dieses aufgrund der für alle EU-Mitgliedsstaaten verpflichtenden Wirkung der EU-Datenschutzrichtlinie ohnehin weitgehend harmonisiert ist und es nur gilt, Kollisionen verschiedener nationaler Datenschutzgesetze mit annähernd gleichem Schutzniveau zu vermeiden.
Nicht-EU-Ausland
Anders verhält es sich, wenn die Hauptniederlassung außerhalb des Anwendungsbereichs der EU-Datenschutzrichtlinie liegt und deshalb nicht von einem harmonisierten Schutzniveau ausgegangen werden darf. Hier gibt das BDSG seine Schutzwirkung nicht so bereitwillig preis. Es gilt dann § 1 Abs. 5 Satz 2 BDSG. Dieser lautet:
"Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. (…)."
Datenverarbeitung "im Inland"
Anknüpfungskriterium ist nach jetzigem Rechtsstand die Datenerhebung, -verarbeitung oder -nutzung "im Inland." Dafür verlangt die EU-Datenschutzrichtlinie in Artikel 4 Absatz 1 Buchstabe c, dass auf im Hoheitsgebiet des betreffenden Mitgliedsstaats belegene, automatisierte oder nicht automatisierte Mittel zurück gegriffen wird. Das kann etwa der Einwahlknoten eines Internetproviders, der Server eines Anbieters, der private PC des Nutzers eines Online-Dienstes oder der darauf installierte Browser sein. Ob und unter welchen Umständen nutzereigene Geräte und Programme als "Mittel" im Sinne des Artikel 4 Absatz Buchstabe c gelten dürfen, ist nicht abschließend geklärt. Bei einigen Internetdiensten ist aber gerade diese Einordnung wesentlich:
Beispiel Datenverarbeitung "im Inland"?: Facebook-Like-Button
Der Facebook-Like-Button ist ein sogenanntes "Social Plug-in" auf Webseiten privater und kommerzieller Betreiber. Die Einbindung des Facebook-Like-Buttons durch den Betreiber einer Webseite löst (bei gleichzeitiger Zuordnung zu einem Faebook-Account des aufrufenden PCs) eine direkte Verbindung und Datentransfer zwischen dessen Browser und den Facebook-Servern aus. Das dafür eingesetzte Mittel, der Browser des Internetnutzers, befindet sich zwar "im Inland", der die Datenverarbeitung steuernde Rechner vermutlich aber nicht.
Beispiel Datenverarbeitung "im Inland"?: Facebook Gesichtserkennung
Hierbei werden die Fotos der Nutzer nach biometrischen Kriterien analysiert und entsprechend gespeichert. So kann, wenn die Person auf einem anderen Bild "erkannt" wird, ein entsprechender Markierungsvorschlag erfolgen. Es ist möglich, diese Vorschlagsfunktion abzuschalten, der Analyse der abgebildeten Gesichter und der Speicherung der dabei gesammelten biometrischen Daten kann allerdings derzeit nicht widersprochen werden.
Die von den Nutzern hochgeladenen Bilder befinden sich auf vermutlich global gestreuten Servern, so dass nicht ohne Weiteres feststellbar ist, ob bei der biometrischen Analyse eine Datenverarbeitung "im Inland" erfolgt. An die Server übermittelt werden die Daten aber vom Computer des Nutzers aus.
Die Anwendbarkeit des BDSG zu begründen dürfte den deutschen Datenschutzbehörden schwer fallen, solange Facebook keinen Einblick in die internen Abläufe gewährt. Diese Schwierigkeit suchen sie zu umgehen, indem sie den zweifellos im Inland belegenen PC oder Browser des Nutzers als "Mittel" im Sinne des Artikel 4 Absatz 1 Buchstabe c der Datenschutzrichtlinie qualifizieren, wobei der Bundesdatenschutzbeauftragte Peter Schaar durchaus nicht leicht zu entkräftende Zweifel einräumt.