Websites, Apps und SaaS, die Personen in der EU erreichen

• Regulation (EU) 2016/679 — GDPR, Article 27
• EDPB Guidelines 3/2018 on the territorial scope
• Directive 2002/58/EC — ePrivacy, for cookies and tracking

Wer muss benennen

Jeder Verantwortliche oder Auftragsverarbeiter, der nicht in der Union ansässig ist und dessen Verarbeitung unter Artikel 3(2) fällt: Waren oder Dienstleistungen für betroffene Personen in der Union anzubieten, unabhängig davon, ob eine Zahlung erforderlich ist, oder ihr Verhalten innerhalb der Union zu überwachen. Das Angebot wird nach der Absicht beurteilt, die durch Dinge wie Preisgestaltung in Euro, eine EU-Sprache, EU-Lieferoptionen, EU-zielgerichtete Werbung oder die Nennung von Mitgliedstaaten gezeigt wird. Die Überwachung umfasst Analysen, Werbe-Cookies, Verhaltensprofiling, A/B-Tests und Geräte-Fingerprinting von Nutzern, die sich in der Union befinden. Auftragsverarbeiter sind in ihrem eigenen Recht betroffen: Ein US-Hosting-Unternehmen, das im Auftrag eines EU-Kunden verarbeitet, benötigt einen eigenen Vertreter, wenn Artikel 3(2) auf es zutrifft.

Schwellen und Ausnahmen

Es gibt keine Umsatz-, Mitarbeiter- oder Volumenschwelle. Die einzige Ausnahme, in Artikel 27(2), ist eng und kumulativ: Die Verarbeitung muss gelegentlich sein, darf keine großangelegte Verarbeitung von Daten besonderer Kategorien oder von Daten zu Straftaten umfassen und darf voraussichtlich kein Risiko für Rechte und Freiheiten darstellen. Regelmäßige Website-Analysen zu EU-Besuchern sind nicht gelegentlich, sodass die Ausnahme in der Praxis fast nie auf ein operierendes Unternehmen zutrifft. Öffentliche Behörden und Stellen sind separat ausgenommen.

Was auf das Etikett gehört

Kein physisches Etikett. Die Verpflichtung besteht in der Transparenz: Die Identität und Kontaktdaten des Vertreters müssen den betroffenen Personen gemäß den Artikeln 13 und 14 mitgeteilt werden, was in der Praxis bedeutet, dass ein klar identifizierter Absatz in der Datenschutzerklärung mit dem Namen, der Postanschrift und dem Kontaktkanal des Vertreters sowie einer Erklärung, dass betroffene Personen den Vertreter in allen Fragen zur Verarbeitung ansprechen können, enthalten sein muss. Es wird kritisiert, dies in einem PDF zu verbergen oder nur eine allgemeine E-Mail-Adresse anzugeben.

Marktplatz-Felder

App-Stores verlangen einen Datenschutzkontakt, und mehrere überprüfen mittlerweile, ob ein EU-Vertreter benannt ist, wenn der Entwickler außerhalb der Union ansässig ist. Unternehmensbeschaffungsfragebögen und Sicherheitsüberprüfungen fragen routinemäßig nach der Benennung, und deren Fehlen verzögert Geschäfte. Einige Marktplätze haben begonnen, das Zertifikat mit dem öffentlichen Register des Anbieters zu überprüfen.

Unterlagen, die Sie vorhalten müssen

Die schriftliche Benennung oder das Mandat, das den Umfang der Vertretung und die abgedeckte Verarbeitung definiert. Die Aufzeichnungen über die Verarbeitungstätigkeiten gemäß Artikel 30, die der Vertreter führen und auf Anfrage der Aufsichtsbehörde zur Verfügung stellen muss — dies ist das Dokument, nach dem die Behörden zuerst fragen, und dessen Fehlen stellt einen separaten Verstoß dar. Nachweis des Übertragungsmechanismus, wenn Daten die Union verlassen, wie die Standardvertragsklauseln gemäß Beschluss (EU) 2021/914 mit einer Übertragungsfolgenabschätzung. Die veröffentlichte Datenschutzerklärung, datiert.

Normen und Prüfungen

Nicht anwendbar im Sinne von Produkttests. Stattdessen wird die Dokumentation und nachweisbare Verantwortlichkeit bewertet: ob das Verzeichnis der Verarbeitung genau ist, ob die rechtlichen Grundlagen bestehen, ob die Einwilligung für Cookies vor Beginn des Trackings eingeholt wurde und ob Anfragen von betroffenen Personen innerhalb eines Monats beantwortet werden.

Sprachanforderungen

Artikel 12 verlangt, dass Informationen in klarer und einfacher Sprache bereitgestellt werden, und der EDSA erwartet, dass der Vertreter in der Lage ist, mit betroffenen Personen und Behörden in der Sprache der Mitgliedstaaten zu kommunizieren, in denen sich die betroffenen Personen befinden. Ein Schreibtisch, der nur auf Englisch antwortet, ist eine Schwäche, wenn das Angebot beispielsweise Frankreich, Deutschland oder Polen anvisiert.

Ab wann es gilt

Die Benennung muss vor Beginn der Verarbeitung, die Artikel 3(2) auslöst, erfolgen. Die Ernennung eines Vertreters nach einer Beschwerde heilt den früheren Zeitraum nicht, und Aufsichtsbehörden haben speziell für den Zeitraum, in dem kein Vertreter existierte, Geldstrafen verhängt. Anfragen von betroffenen Personen, die vom Vertreter weitergeleitet werden, laufen auf der Uhr gemäß Artikel 12(3): ein Monat ab Erhalt durch den Verantwortlichen, verlängerbar um zwei Monate für komplexe Anfragen, wenn die betroffene Person innerhalb des ersten Monats informiert wird.

Aufbewahrungsfristen

Die Benennung und die Artikel 30 Aufzeichnungen so lange aufbewahren, wie die Vertretung besteht, plus Nachweise über den danach abgedeckten Zeitraum, da eine spätere Untersuchung fragen wird, wann das Mandat begann und endete. Aufzeichnungen über erhaltene und weitergeleitete Anfragen sollten als Nachweis aufbewahrt werden, dass der Vertreter seine Aufgabe erfüllt hat.

Was bei Verstößen passiert

Bis zu 10 Millionen € oder 2 % des gesamten weltweiten Jahresumsatzes für das Versäumnis, einen Vertreter zu benennen. Der EDSA behandelt das Fehlen eines Vertreters als einen eigenen Verstoß, unabhängig von anderen Verstößen, und mehrere Behörden haben allein auf dieser Grundlage Geldstrafen verhängt. Über die Geldstrafe hinaus besteht das praktische Risiko, dass eine Beschwerde über etwas anderes — Cookies, eine Anfrage von betroffenen Personen, einen Verstoß — die fehlende Benennung sofort ans Licht bringt, da das erste, wonach eine Behörde sucht, ist, wen sie ansprechen kann.

Wer kontrolliert

Die Aufsichtsbehörde eines Mitgliedstaates, in dem sich die betroffenen Personen befinden. Es gibt keinen One-Stop-Shop für Verantwortliche außerhalb der Union: Jede der 27 Behörden kann handeln, was bedeutet, dass eine französische Beschwerde an die CNIL geht, eine deutsche an die zuständige Landesbeauftragte, und beide können parallel vorgehen.

Wo die Grenze verläuft

Die Ernennung eines Vertreters erfüllt einen Artikel; sie macht die restliche Verarbeitung nicht rechtmäßig und schützt den Verantwortlichen nicht, da Artikel 27(5) rechtliche Schritte gegen den Verantwortlichen selbst aufrechterhält. Ein Vertreter, der in einem Mitgliedstaat ansässig ist, deckt die gesamte Union und die EWR-Staaten Island, Norwegen und Liechtenstein ab. Artikel 27 DSGVO, Artikel 13 DSA, Artikel 16 GPSR und der CRA-Vertreter sind vier separate Ernennungen: die Inhaberschaft eines davon erfüllt nicht die anderen, selbst wenn derselbe Anbieter sie alle innehat. Das Vereinigte Königreich verlangt seit dem Brexit einen eigenen Vertreter gemäß dem UK DSGVO, und eine EU-Benennung deckt dies nicht ab.

Häufige Fragen

Wird der Vertreter für unsere Verarbeitung haftbar?

Der Vertreter ist der Ansprechpartner und kann von Behörden und betroffenen Personen zusätzlich oder anstelle des Verantwortlichen angesprochen werden. Die Verantwortung für die Verarbeitung selbst bleibt beim Verantwortlichen oder Auftragsverarbeiter gemäß Artikel 27(5). Wofür der Vertreter direkt verantwortlich ist, ist die Führung des Verzeichnisses der Verarbeitung und die Zusammenarbeit mit der Behörde.

Wir haben bereits einen DSB — reicht das aus?

Nein. Es sind unterschiedliche Rollen mit unterschiedlichen rechtlichen Grundlagen. Ein DSB berät und überwacht intern und kann überall angesiedelt sein; ein Vertreter gemäß Artikel 27 muss in der Union ansässig sein und existiert, damit Behörden und betroffene Personen dort jemanden ansprechen können.

Wir verwenden nur Google Analytics für EU-Besucher — zählt das?

Ja. Das Überwachen des Verhaltens von betroffenen Personen in der Union bringt Sie unter Artikel 3(2), und Analysen sind das Lehrbuchbeispiel, das der EDSA gibt. Es bringt auch die Einwilligungsanforderung gemäß ePrivacy mit sich, die eine separate Verpflichtung von der DSGVO ist.

Kann unsere EU-Rechtsanwaltskanzlei oder Wiederverkäufer als Vertreter fungieren?

Jeder, der in der Union ansässig ist, kann dies tun, vorausgesetzt, er akzeptiert ein schriftliches Mandat und kann die Rolle tatsächlich ausführen: Anfragen entgegennehmen, die Artikel 30 Aufzeichnungen führen und mit Behörden zusammenarbeiten. Das Risiko bei einer ad-hoc-Vereinbarung besteht darin, dass niemand das Postfach überwacht, wenn eine Aufsichtsbehörde schreibt.