Benötigen Sie einen EU-DSGVO-Vertreter? Artikel 27 erklärt

Wenn Ihr Unternehmen seinen Sitz außerhalb der Europäischen Union hat, aber Produkte oder Dienstleistungen an Kunden in der EU verkauft, kann die DSGVO dennoch für Ihr Unternehmen gelten.

Eine Anforderung, die internationale Unternehmen manchmal übersehen, ist Artikel 27 der Datenschutz-Grundverordnung (DSGVO). Unter bestimmten Umständen muss ein Unternehmen ohne Niederlassung in der EU formell einen Vertreter innerhalb der Europäischen Union benennen.

Dies kann Auswirkungen auf Online-Shops, Softwareunternehmen, Dienstleister, internationale Marken und andere Unternehmen haben, die sich an europäische Kunden richten.

In diesem Leitfaden erklären wir, wann ein EU-DSGVO-Beauftragter Falls erforderlich, welche Aufgaben der Vertreter übernimmt und wie Unternehmen außerhalb der EU dieser Anforderung nachkommen können.

Was ist ein EU-DSGVO-Beauftragter?

Ein EU-DSGVO-Vertreter ist eine Person oder Organisation mit Sitz in der Europäischen Union, die von bestimmten Verantwortlichen oder Auftragsverarbeitern mit Sitz außerhalb der EU formell benannt wird.

Der Datenschutzbeauftragte stellt innerhalb der EU eine leicht zugängliche Kontaktstelle für alle Fragen im Zusammenhang mit der Verarbeitung personenbezogener Daten durch das Unternehmen dar.

Artikel 27 verlangt, dass der Vertreter benannt wird. schriftlich. Der Vertreter muss in einem EU-Mitgliedstaat ansässig sein, in dem sich die relevanten Personen befinden, deren personenbezogene Daten verarbeitet werden.

Der Vertreter kann dann von EU-Aufsichtsbehörden und betroffenen Personen in Angelegenheiten im Zusammenhang mit den Verarbeitungstätigkeiten des Unternehmens kontaktiert werden.

Warum kann die DSGVO auch für Unternehmen außerhalb der EU gelten?

Ein weit verbreiteter Irrtum ist, dass die DSGVO nur für Unternehmen gilt, die in der Europäischen Union ansässig sind.

Das ist nicht immer der Fall.

Gemäß Artikel 3 Absatz 2 DSGVO kann die Verordnung auch auf bestimmte Verarbeitungstätigkeiten von Verantwortlichen und Auftragsverarbeitern Anwendung finden, die nicht in der EU niedergelassen sind, sofern sich diese Tätigkeiten auf Folgendes beziehen:

• Warenangebot an Privatpersonen in der EU;
• Dienstleistungen für Einzelpersonen in der EU anbieten; oder
• Überwachung des Verhaltens von Personen, sofern dieses Verhalten innerhalb der EU stattfindet.

Dieser territoriale Geltungsbereich ist insbesondere für den internationalen E-Commerce relevant.

Beispiel: Ein US-amerikanischer Online-Shop verkauft nach Deutschland

Betrachten wir ein Unternehmen mit Sitz in den Vereinigten Staaten, das keine Niederlassung in der EU hat.

Das Unternehmen betreibt einen Online-Shop speziell für deutsche Kunden, nimmt Bestellungen aus Deutschland entgegen, versendet Produkte nach Deutschland und verarbeitet Kundendaten wie Namen, Adressen, E-Mail-Adressen und Bestellinformationen.

Die Tatsache, dass das Unternehmen selbst in den Vereinigten Staaten ansässig ist, führt nicht automatisch dazu, dass diese Verarbeitungstätigkeiten nicht unter die DSGVO fallen.

Wenn Artikel 3(2) Anwendung findet, sollte das Unternehmen so lange prüfen, ob es nach Artikel 27 verpflichtet ist, einen Vertreter innerhalb der Europäischen Union zu benennen.

Wer benötigt einen Vertreter gemäß Artikel 27 DSGVO?

Artikel 27 sieht grundsätzlich vor, dass ein Verantwortlicher oder Auftragsverarbeiter gemäß Artikel 3 Absatz 2 DSGVO einen Vertreter in der Europäischen Union benennen muss, es sei denn, es liegt eine Ausnahme vor.

Dies bedeutet, dass die Anforderung potenziell Auswirkungen auf Unternehmen in Ländern wie beispielsweise folgenden haben kann:

• Vereinigte Staaten;
• Vereinigtes Königreich;
• Schweiz;
• Kanada;
• Australien;
• Japan;
• China;
• Singapur; und
• andere Länder außerhalb der EU.

Es sind die Aktivitäten und Verarbeitungsprozesse des Unternehmens, die beurteilt werden müssen, und nicht nur das Land, in dem es seinen Sitz hat.

Muss jedes Unternehmen außerhalb der EU einen Vertreter benennen?

NEIN.

Artikel 27 enthält eine Ausnahme, wenn die Verarbeitung gelegentlich, Dies umfasst nicht die Verarbeitung besonderer Kategorien personenbezogener Daten oder personenbezogener Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten in großem Umfang und führt unter Berücksichtigung der Art, des Kontextes, des Umfangs und der Zwecke der Verarbeitung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Einzelpersonen.

Öffentliche Behörden und Einrichtungen werden ebenfalls in Artikel 27 gesondert behandelt.

Die Ausnahme sollte daher nicht als allgemeine Ausnahme für Kleinunternehmen verstanden werden. Ein Unternehmen sollte seine tatsächlichen Verarbeitungstätigkeiten prüfen, bevor es zu dem Schluss kommt, dass kein Vertreter erforderlich ist.

Wo muss der EU-Vertreter seinen Sitz haben?

Nach Artikel 27 Absatz 3 muss der Vertreter in einem der EU-Mitgliedstaaten ansässig sein, in denen sich die betroffenen Personen befinden.

Wenn beispielsweise ein E-Commerce-Unternehmen außerhalb der EU aktiv an Verbraucher in Deutschland verkauft und im Zusammenhang mit diesen Verkäufen deren personenbezogene Daten verarbeitet, kann ein in Deutschland ansässiger Vertreter als geeigneter Ansprechpartner in der EU dienen.

Der Europäische Datenschutzausschuss (EDPB) empfiehlt außerdem, im Sinne bewährter Praxis den Vertreter in dem Mitgliedstaat anzusiedeln, in dem sich ein erheblicher Teil der betroffenen Personen befindet.

Was macht ein EU-DSGVO-Beauftragter?

Der Repräsentant ist mehr als nur eine Adresse, die man einfach in eine Datenschutzerklärung aufnehmen kann.

Die Stelle schafft eine EU-Kontaktstelle zwischen dem Unternehmen mit Sitz außerhalb der EU, Personen in der EU und den zuständigen Datenschutzbehörden.

1. Fungiert als EU-Kontaktstelle

Der Vertreter stellt einen identifizierbaren Ansprechpartner innerhalb der Europäischen Union für DSGVO-Angelegenheiten im Zusammenhang mit den Verarbeitungstätigkeiten des vertretenen Unternehmens bereit.

2. Erleichtert die Kommunikation mit den betroffenen Personen

EU-Bürger müssen in der Lage sein, sich bezüglich relevanter Verarbeitungsfragen und der Ausübung ihrer Rechte gemäß der DSGVO an den zuständigen Vertreter zu wenden.

Der Vertreter kann relevante Mitteilungen entgegennehmen und diese mit dem vertretenen Unternehmen abstimmen.

3. Kommuniziert mit den Aufsichtsbehörden

Der Vertreter muss auch den zuständigen EU-Aufsichtsbehörden hinsichtlich der von der Bestellung erfassten Verarbeitungstätigkeiten zur Verfügung stehen.

Dadurch steht den europäischen Behörden ein leicht zugänglicher Ansprechpartner zur Verfügung, auch wenn sich der Verantwortliche oder Auftragsverarbeiter selbst außerhalb der EU befindet.

4. Unterstützt die Verarbeitung von Datensätzen gemäß Artikel 30

Artikel 30 DSGVO verpflichtet die Verantwortlichen und gegebenenfalls deren Vertreter, Aufzeichnungen über die Verarbeitungstätigkeiten zu führen.

Je nach Organisation und ihrer Rolle können diese Aufzeichnungen Informationen enthalten über:

• der Verantwortliche und Vertreter;
• Zwecke der Verarbeitung;
• Kategorien von betroffenen Personen;
• Kategorien personenbezogener Daten;
• Empfängerkategorien;
• internationale Überweisungen;
• Aufbewahrungsfristen, soweit möglich; und
• eine allgemeine Beschreibung der relevanten technischen und organisatorischen Sicherheitsmaßnahmen, soweit möglich.

Diese Aufzeichnungen müssen der zuständigen Aufsichtsbehörde auf Verlangen zur Verfügung gestellt werden.

Ist ein EU-DSGVO-Beauftragter dasselbe wie ein Datenschutzbeauftragter?

NEIN. Ein Vertreter nach Artikel 27 und ein Datenschutzbeauftragter (DSB) sind separate Funktionen im Sinne der DSGVO.

Ein EU-Vertreter handelt im Auftrag eines Verantwortlichen oder Auftragsverarbeiters außerhalb der EU und fungiert als dessen Vertreter innerhalb der Europäischen Union in allen relevanten Angelegenheiten der DSGVO.

Der Datenschutzbeauftragte hat gemäß Artikel 37 bis 39 DSGVO eine eigene Rolle und muss diese Rolle mit der erforderlichen Unabhängigkeit ausüben.

Der Europäische Datenschutzausschuss (EDPB) hat ausdrücklich darauf hingewiesen, dass die Rolle eines EU-Vertreters im Allgemeinen nicht mit der gleichzeitigen Tätigkeit als externer Datenschutzbeauftragter für dieselbe Organisation vereinbar ist.

Überträgt die Bestellung eines Vertreters die Verantwortung gemäß DSGVO?

NEIN.

Die Bestellung eines EU-Vertreters überträgt die DSGVO-Pflichten des Verantwortlichen bzw. Auftragsverarbeiters nicht auf den Vertreter.

Das Unternehmen mit Sitz außerhalb der EU bleibt weiterhin für die Einhaltung der DSGVO-Anforderungen verantwortlich, die für seine Verarbeitungstätigkeiten gelten.

Das Unternehmen muss sich beispielsweise noch mit Folgendem auseinandersetzen:

• Rechtsgrundlagen für die Verarbeitung;
• Datenschutzinformationen;
• Rechte der betroffenen Personen;
• Prozessorbeziehungen;
• internationale Datentransfers;
• Datenaufbewahrung;
• Sicherheitsmaßnahmen;
• Verpflichtungen bei Datenschutzverletzungen; und
• andere anwendbare DSGVO-Anforderungen.

Der EU-Vertreter ist somit ein Bestandteil der umfassenderen DSGVO-Konformitätsstruktur der Organisation.

Welche Informationen sollten in Ihrer Datenschutzerklärung enthalten sein?

Wurde ein EU-Vertreter ernannt, sollte die Organisation sicherstellen, dass dieser Vertreter in den DSGVO-Informationen, die den betroffenen Personen zur Verfügung gestellt werden, angemessen identifiziert wird.

Dies bedeutet in der Regel, die Identität und die Kontaktdaten des Vertreters anzugeben, damit Einzelpersonen einen leicht zugänglichen europäischen Ansprechpartner haben.

Die Angaben sollten so lange aktuell gehalten werden, wie die Ernennung besteht.

EaseCert EU GDPR-Vertretungsdienst

EaseCert bietet jetzt eine EU-DSGVO-Vertretungsdienst gemäß Artikel 27 DSGVO für berechtigte Unternehmen mit Sitz außerhalb der Europäischen Union.

EaseCert GmbH, Eine in Deutschland ansässige Person kann formell zu Ihrem EU-Vertreter ernannt werden und stellt die für die Vertretungsfunktion erforderliche europäische Kontaktstelle dar.

Der Service umfasst:

• EU-DSGVO-Vertretung: Bestellung der EaseCert GmbH zu Ihrem EU-Vertreter gemäß Artikel 27 DSGVO;
• EU-Kontaktstelle: Kommunikationsstelle für EU-Bürger und zuständige Datenschutzbehörden; und
• Aufzeichnungen gemäß Artikel 30: Einrichtung und Pflege Ihres Verarbeitungstätigkeitsregisters auf der Grundlage von Informationen, die von Ihrer Organisation bereitgestellt werden.

Eine einmalige Gebühr anstelle eines weiteren Jahresabonnements

Internationale Unternehmen sehen sich bereits beim Markteintritt in Europa mit zahlreichen wiederkehrenden Kosten konfrontiert.

EaseCert bietet daher seinen standardmäßigen EU-DSGVO-Vertreterdienst über eine einfache Schnittstelle an. Einmalgebührenmodell.

Für den Standard-Service gibt es kein Jahresabonnement.

So funktioniert der Terminvergabeprozess bei EaseCert

Schritt 1: Geben Sie Ihre Bestellung auf

Bestellen Sie den EU-DSGVO-Vertreter-Service und geben Sie Ihre Unternehmensinformationen an.

Schritt 2: Geben Sie Ihre Verarbeitungsinformationen an

Wir erfassen die Informationen, die erforderlich sind, um Ihre EU-Aktivitäten und die im Rahmen der Beauftragung erfassten Verarbeitungsvorgänge zu verstehen.

Schritt 3: Überprüfung und Mandatserteilung

EaseCert prüft die bereitgestellten Informationen und erstellt die für die Vertretungsbeziehung erforderlichen Unterlagen.

Schritt 4: Formelle Terminvereinbarung

Mit dem schriftlichen Mandat wird die EaseCert GmbH formell als Ihr EU-Vertreter gemäß Artikel 27 DSGVO benannt.

Schritt 5: Aktualisieren Sie Ihre Datenschutzinformationen

Wir stellen Ihnen die Kontaktdaten Ihres EaseCert-Vertreters zur Verfügung, damit Sie Ihren EU-Vertreter in Ihre Datenschutzdokumentation aufnehmen können.

Schritt 6: Pflegen Sie Ihre Informationen

Ihre Organisation muss EaseCert über wesentliche Änderungen der von der Beauftragung abgedeckten Verarbeitungstätigkeiten auf dem Laufenden halten, damit die entsprechenden Vertreterunterlagen auf dem neuesten Stand bleiben.

EU-Produktkonformität und Datenschutz unter einem Dach

Für international tätige E-Commerce-Unternehmen ist die DSGVO oft nur ein Aspekt beim Markteintritt in Europa.

Je nach Produkt und Land können Unternehmen auch mit Anforderungen in Bezug auf Produktsicherheit, EU-Verantwortliche Personen, Bevollmächtigte, Produktkennzeichnung, technische Dokumentation, erweiterte Herstellerverantwortung (EPR) und andere Marktzugangsverpflichtungen konfrontiert werden.

EaseCert unterstützt internationale Unternehmen mit praktischen EU-Compliance-Dienstleistungen durch seine deutsche Niederlassung und ermöglicht es Unternehmen, mehrere europäische Compliance-Anforderungen über einen einzigen Anbieter zu koordinieren.

Bereiten Sie sich vor, bevor Sie mit dem Verkauf an EU-Kunden beginnen.

Wenn Ihr Unternehmen außerhalb der Europäischen Union ansässig ist und Sie Kunden in der EU ansprechen möchten, prüfen Sie vor dem Markteintritt, ob Artikel 27 Anwendung findet.

Sofern ein EU-Vertreter erforderlich ist, bedeutet die frühzeitige Ernennung, dass die entsprechenden Vertreterdaten von Anfang an in Ihre Datenschutzdokumentation aufgenommen werden können.

Die EaseCert GmbH bietet berechtigten Unternehmen außerhalb der EU gegen eine einmalige Gebühr eine Vertretung nach der EU-DSGVO aus Deutschland an.

Offizielle Referenzen

• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) – EUR-Lex
• Europäischer Datenschutzausschuss – Leitlinien 3/2018 zum territorialen Anwendungsbereich der DSGVO

Dieser Artikel bietet allgemeine Informationen zur EU-DSGVO-Vertreterpflicht. Ob Artikel 27 Anwendung findet, hängt von den Gegebenheiten der jeweiligen Organisation und ihren Verarbeitungstätigkeiten ab. Der Service von EaseCert gemäß Artikel 27 ist ein EU-Vertreterdienst und stellt keine Rechtsberatung oder Datenschutzbeauftragten-Dienstleistungen dar.