REP27 · Vereinigte Staaten
Artikel 27 GDPR · Vereinigte Staaten
Amerikanische Unternehmen scheitern selten aus Gleichgültigkeit an Artikel 27. Sie scheitern daran, weil sie bereits etwas getan haben, das wie Compliance aussieht — Selbstzertifizierung im Rahmen des Data Privacy Framework, Unterzeichnung von Standardvertragsklauseln, Aufbau eines CCPA-Programms — und vernünftigerweise annehmen, dass die europäische Box abgehakt ist. Das ist sie nicht. Diese Instrumente lösen Übertragungen und Landesrecht. Artikel 27 löst etwas ganz anderes.
Regelt die Rechtmäßigkeit der Übertragung von Daten auf Ihre US-Server. Enthält keine Verpflichtung, einen Ansprechpartner innerhalb der Union zu haben, und das Handelsministerium ist es nicht.
Ein Vertrag zwischen Ihnen und Ihrem Vertragspartner. Eine betroffene Person in Portugal ist keine Partei und kann nicht an ihn schreiben.
Umfasst die Bewohner von Kalifornien, Virginia, Colorado und dem Rest. Anderes Recht, andere Betroffene, anderer Regulator.
Artikel 27(1) erfordert eine schriftliche Benennung einer bestimmten Stelle. Ein Absatz, der die Einhaltung verspricht, benennt niemanden.
Artikel 3(2) hat keine Umsatzschwelle und keine Mindestanzahl europäischer Kunden. Dies sind die Momente, in denen US-Unternehmen typischerweise die Grenze überschreiten, ohne es zu bemerken.
| Vorher | Nachher |
|---|---|
| Kein Ansprechpartner in der Union | Eine benannte Stelle in Prag, ansprechbar in acht Sprachen |
| Datenschutzerklärung schweigt zu Artikel 27 | Formulierung, die den Vertreter benennt, erstellt für jede Sprache, die Ihre Seite verwendet |
| Artikel 30-Aufzeichnung nur in den USA geführt | Innerhalb der Union aufbewahrt und auf Anfrage einer Behörde vorgelegt |
| Anbieterfragebögen stocken bei der Vertreterfrage | Ein Zertifikat mit einem Code, den der Käufer ohne Kontaktaufnahme mit Ihnen überprüfen kann |
| Exposition gemäß Artikel 83(4)(a) | Der eigenständige Verstoß entfernt |
Es ist wichtig, dies klar zu sagen, da einige US-Anbieter dies verwischen. Ein Vertreter gibt keine rechtlichen Ratschläge, beantwortet keine Anfragen zum Inhalt, verhandelt nicht mit einer Behörde für Sie und kann nicht als Ihr Datenschutzbeauftragter fungieren — die EDPB-Leitlinien betrachten diese beiden Rollen als unvereinbar. Wir sind der Ansprechpartner, den die Vorschrift verlangt, ordnungsgemäß ausgeführt, und nichts weiter.
Nein, und das ist das häufigste Missverständnis unter US-Unternehmen. Die Selbstzertifizierung beim Handelsministerium betrifft Übertragungen personenbezogener Daten aus der Union in die Vereinigten Staaten. Artikel 27 regelt, ob jemand innerhalb der Union von einer betroffenen Person oder einer Behörde kontaktiert werden kann. Beide gelten unabhängig.
Überhaupt nicht. Landesdatenschutzgesetze regeln die personenbezogenen Daten von Bewohnern dieses Staates. Die DSGVO regelt die personenbezogenen Daten von Personen in der Union, und Artikel 27 verlangt einen dort ansässigen Vertreter. Programme, die für Landesgesetze entwickelt wurden, berühren dies nicht.
In der Regel ja. Geschäftskontakte sind personenbezogene Daten gemäß der DSGVO: Namen, Arbeits-E-Mails und Telefonnummern von Mitarbeitern Ihrer europäischen Kundenunternehmen zählen alle. B2B ändert, wer die betroffenen Personen sind, nicht, ob die Vorschrift gilt.
Wahrscheinlich nicht, wenn diese Tochtergesellschaft eine echte Niederlassung ist, die die Verarbeitung durchführt. Artikel 27 gilt nur, wenn Sie keine Niederlassung in der Union haben. Eine registrierte Hülle ohne Personal und ohne Aktivität qualifiziert sich nicht.
Bis zu 10 Millionen USD oder 2 % des weltweiten Jahresumsatzes gemäß Artikel 83(4)(a), bewertet gegen die Gruppe, nicht nur gegen die US-Einheit. In der Praxis ist die häufigere Kostenart kommerziell: Europäische Käufer fragen nach dem Namen des Vertreters während der Anbieter-Onboarding und verzögern den Deal ohne ihn.
Jeder, der in der Union ansässig ist, kann benannt werden, wenn er das Mandat schriftlich annimmt. Die meisten Distributor lehnen ab, da die Rolle eine direkte Exposition gegenüber Aufsichtsbehörden mit sich bringt und erfordert, dass Sie Ihre Aufzeichnungen gemäß Artikel 30 in ihren Räumlichkeiten aufbewahren.
Diejenige, in der die beschwerdeführende Person lebt, nicht die, in der Ihr Vertreter sitzt. Eine Beschwerde eines spanischen Kunden wird von der spanischen AEPD bearbeitet, die in welcher Sprache auch immer an den Vertreter schreibt.
Die Benennung erfolgt innerhalb von 24 Stunden nach einem ausgefüllten Onboarding-Formular. Die Formulierung für Ihre Datenschutzerklärung kommt mit, sodass der öffentliche Teil der Verpflichtung am selben Tag erfüllt ist.
Verwandt: der Artikel 3(2) Test · auch nach Großbritannien verkaufen? · was es kostet
Wir lesen Ihre öffentliche Datenschutzerklärung und sagen Ihnen in zehn Sekunden, ob ein Vertreter benannt ist. Wenn ja, sagen wir es und Sie schließen den Tab.
Führen Sie die kostenlose Überprüfung durch Preise ansehen