REP27 · Durchsetzung
Artikel 83(4)(a) · Durchsetzung
Artikel 27 ist unter den DSGVO-Pflichten ungewöhnlich: Er kann von außen, im Browser, in etwa zehn Sekunden überprüft werden. Es ist nicht notwendig, Ihre Systeme zu prüfen oder Ihre Verträge zu lesen — entweder nennt Ihre Datenschutzerklärung eine in der Union ansässige Stelle oder nicht. Diese Sichtbarkeit ist der Grund, warum die fehlende Bezeichnung so oft in der Durchsetzung auftaucht und warum sie als eigenständiger Verstoß behandelt wird.
Das ist der praktische Grund, warum die Formulierung auf Ihrer Seite ebenso wichtig ist wie das Mandat dahinter. Eine Bezeichnung, die existiert, aber nicht veröffentlicht ist, ist genau für die Personen unsichtbar, für die sie geschaffen wurde.
Artikel 83(2) listet die Faktoren auf. Vier davon werden direkt davon beeinflusst, wie schnell Sie handeln.
| Faktor | Was das hier bedeutet |
|---|---|
| Natur und Schwere | Ob betroffene Personen überhaupt einen Weg hatten, Sie zu erreichen |
| Dauer | Wie lange die Verarbeitung ohne Bezeichnung lief |
| Vorsätzlich oder fahrlässig | Ob die Verpflichtung bekannt war und unbeachtet blieb |
| Mildernde Schritte | Schnelles Bestellen, sobald es identifiziert wurde, zählt hier |
| Kooperation | Antworten über einen funktionierenden Kontaktpunkt statt Schweigen |
| Frühere Verstöße | Ob die gleiche Lücke zuvor angesprochen wurde |
Nach unserer Erfahrung ist der Regulierer selten die erste Konsequenz. Ein europäischer Unternehmenskäufer fragt in einem Sicherheitsfragebogen nach dem Namen des Vertreters, das Feld bleibt leer, und die Akte geht an die Rechtsabteilung. Der Deal stirbt nicht — er rutscht, und der Rutsch wird in Quartalen gemessen.
Das ist das Argument, das Finanzteams überzeugt: nicht die theoretische Obergrenze nach Artikel 83, sondern der Vertrag, der aufgrund einer fehlenden Zeile in einer Datenschutzerklärung nicht mehr vorankam.
Aufsichtsbehörden haben begrenzte Ressourcen und ein großes Mandat. Was sie kostengünstig überprüfen können, wird häufiger überprüft — und Artikel 27 ist das günstigste Element in der Verordnung, um es zu verifizieren.
Festzustellen, ob die Sicherheitsmaßnahmen eines Unternehmens gemäß Artikel 32 angemessen sind, erfordert eine Untersuchung, technische Expertise und Monate. Festzustellen, ob eine Datenschutzerklärung einen in der Union ansässigen Vertreter nennt, erfordert einen Browser und eine Minute, in jeder Sprache, ohne jemanden zu benachrichtigen. Eine Behörde kann an einem Nachmittag hundert Nicht-EU-Websites, die ihren Markt bedienen, überprüfen.
Diese Asymmetrie prägt die Durchsetzung auf eine Weise, die es wert ist, verstanden zu werden. Die fehlende Bezeichnung ist selten der Grund, warum eine Untersuchung beginnt, aber sie ist sehr oft das erste, was aufgezeichnet wird, sobald eine begonnen hat, weil sie bereits vor dem ersten Schreiben festgestellt wurde. Sie färbt auch alles, was folgt: Ein Unternehmen, das nie einen Kontaktpunkt bereitgestellt hat, ist schwerer als gewissenhaft in Bezug auf die anderen Faktoren von Artikel 83(2) zu charakterisieren.
Das Gegenteil ist ebenso wahr. Eine klar veröffentlichte, unabhängig verifizierbare und von Anfang an vorhandene Bezeichnung ist der günstigste Nachweis von gutem Glauben, der in der gesamten Verordnung verfügbar ist.
Ja. Artikel 83(4)(a) listet Artikel 27 unter den Bestimmungen auf, deren Verletzung die niedrigere Stufe von Bußgeldern nach sich zieht, und die EDPB-Leitlinien 3/2018 besagen, dass das Fehlen einer Bezeichnung ein eigenständiger Verstoß ist. Es muss nicht mit einem Datenverstoß oder einem anderen Versagen einhergehen.
Bis zu 10 Millionen €, oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Der Umsatz wird auf Gruppenebene bewertet, nicht für die Einheit, die zufällig den Vertrag unterzeichnet hat.
Ja. Mehrere Aufsichtsbehörden haben Strafen verhängt, wenn der fehlende Vertreter unter den festgestellten Verstößen war, und es ist ein Standardbefund bei Untersuchungen von Nicht-EU-Websites. Es ist auch eine der einfachsten Dinge, die eine Behörde feststellen kann: die Datenschutzerklärung ist öffentlich.
In der Regel eine Beschwerde von einer betroffenen Person, die niemanden finden konnte, an den sie sich wenden kann, oder eine Überprüfung durch eine Behörde, die Datenschutzerklärungen in ihrem eigenen Markt liest. Beide beginnen mit dem, was Ihre Seite öffentlich sagt.
Es stoppt den fortdauernden Verstoß, was wichtig ist: Behörden gewichten die Dauer des Verstoßes und die ergriffenen Maßnahmen. Es löscht nicht den Zeitraum, in dem keine Benennung existierte.
Für die meisten Unternehmen kommen die kommerziellen Kosten zuerst. Europäische Käufer fragen während der Anbieteranmeldung nach dem Vertreter, und eine fehlende Antwort verzögert Verträge lange, bevor eine Behörde schreibt.
Die Obergrenze ist verhältnismäßig, da 2 % eines kleinen Umsatzes eine kleine Zahl sind, aber die Alternative von 10 Millionen € gilt, wenn sie höher ist. Behörden berücksichtigen auch die Zusammenarbeit und die Dauer, weshalb eine zeitnahe Ernennung wichtiger ist als die Größe.
Benennung innerhalb von 24 Stunden unterzeichnet, mit der Formulierung, die Ihre Mitteilung benötigt, und einem Zertifikat, das jeder überprüfen kann.
Ernennen Sie uns Überprüfen Sie zuerst Ihre Mitteilung