UK GDPR-Vertreter für Unternehmen außerhalb des Vereinigten Königreichs

• UK GDPR, Article 27
• Data Protection Act 2018
• Privacy and Electronic Communications Regulations 2003

Wer muss benennen

Jeder Verantwortliche oder Auftragsverarbeiter, der nicht im Vereinigten Königreich ansässig ist und Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbietet oder deren Verhalten dort überwacht. Seit dem Brexit umfasst dies Unternehmen, die in der Europäischen Union ansässig sind, was der Punkt ist, den die meisten EU-Unternehmen übersehen: Eine EU-Niederlassung deckt das Vereinigte Königreich nicht ab, und eine UK-Niederlassung deckt die EU nicht ab.

Schwellen und Ausnahmen

Die Ausnahme spiegelt die EU-Ausnahme wider und ist ebenso eng gefasst: gelegentliche Verarbeitung, keine großangelegte Verarbeitung von besonderen Kategorien oder strafrechtlichen Daten und unwahrscheinlich, dass sie ein Risiko zur Folge hat. Regelmäßige Analysen von Besuchern aus dem Vereinigten Königreich qualifizieren sich nicht. Öffentliche Behörden sind ausgenommen.

Was auf das Etikett gehört

Die Identität und Kontaktdaten des Vertreters müssen den betroffenen Personen in der Datenschutzerklärung mitgeteilt werden, ebenso wie gemäß der EU GDPR, und müssen für das Informationskommissariat leicht zugänglich sein.

Marktplatz-Felder

UK-ausgerichtete Marktplätze und Unternehmenskäufer verlangen im Rahmen der Due Diligence nach dem UK-Vertreter. Es ist auch das erste, wonach das ICO sucht, wenn es eine Beschwerde über ein Unternehmen ohne UK-Niederlassung bearbeitet.

Unterlagen, die Sie vorhalten müssen

Die schriftliche Bezeichnung. Das Verzeichnis der Verarbeitungstätigkeiten, die sich auf die Verarbeitung im Vereinigten Königreich beziehen, das der Vertreter führen und dem ICO zur Verfügung stellen muss. Übertragungsdokumentation, die seit dem Brexit das UK International Data Transfer Agreement oder den UK Addendum zu den EU-Standardklauseln bedeutet, nicht nur die EU-Klauseln.

Normen und Prüfungen

Nicht anwendbar. Bewertet wird die Dokumentation und die Fähigkeit, dem ICO und den betroffenen Personen zu antworten.

Sprachanforderungen

Englisch.

Ab wann es gilt

Vor Beginn der Verarbeitung, die die UK-Jurisdiktion auslöst. Eine Ernennung nach einer Beschwerde heilt den früheren Zeitraum nicht.

Aufbewahrungsfristen

Die Bezeichnung und die UK-Verarbeitungsunterlagen für die Dauer der Vertretung sowie Nachweise über den abgedeckten Zeitraum aufbewahren.

Was bei Verstößen passiert

Bis zu 17,5 Millionen £ oder 4 % des weltweiten Umsatzes gemäß dem UK-Regime. Das ICO war in Bezug auf die Vertreteranforderung spezifisch weniger aggressiv als mehrere EU-Behörden, betrachtet jedoch das Fehlen als ein erschwerendes Merkmal bei der Untersuchung anderer Angelegenheiten.

Wer kontrolliert

Das Informationskommissariat.

Wo die Grenze verläuft

Es sind zwei separate Ernennungen erforderlich, um beide Gebiete abzudecken, und ein Anbieter kann beide halten, muss jedoch für jede separat benannt werden. Das Vereinigte Königreich weicht auch im Detail ab: Die Übertragungsunterlagen unterscheiden sich, die Cookie-Regeln werden vom ICO gemäß PECR durchgesetzt, und das Vereinigte Königreich hat seinen eigenen altersgerechten Designcode für Dienste, die voraussichtlich von Kindern genutzt werden.

Häufige Fragen

Wir sind ein EU-Unternehmen – benötigen wir einen UK-Vertreter?

Wenn Sie UK-Nutzer ansprechen oder deren Verhalten überwachen und keine UK-Niederlassung haben, ja. Der Brexit hat das Vereinigte Königreich für diesen Zweck in beide Richtungen zu einem Drittland gemacht.

Kann der EU-Vertreter auch für das Vereinigte Königreich tätig sein?

Der gleiche Anbieter kann dies tun, aber die Bezeichnung muss separat gemäß dem UK GDPR erfolgen, und der Vertreter muss im Vereinigten Königreich ansässig sein.