REP27 · Brauchen wir einen · Nicht-EU-Unternehmen
Artikel 3(2) · Artikel 27(1) · Artikel 27(2)
Die Frage wird durch vier Tests beantwortet, in der Reihenfolge, in der die Verordnung sie festlegt, und die Antwort hängt fast nie von der Branche oder der Größe des Unternehmens ab. Es hängt davon ab, ob ein GDPR-Vertreter für ein Nicht-EU-Unternehmen ist in jedem Fall erforderlich: ob Sie in der Union ansässig sind, ob Artikel 3(2) Sie erreicht, ob Ihre Verarbeitung tatsächlich gelegentlich ist und ob Sie eine öffentliche Behörde sind. Alles andere – wo sich Ihre Server befinden, ob Sie einen DSB haben, ob eine Angemessenheitsentscheidung gilt – ist Lärm, der vorgebracht und verloren wurde.
Vereinigte Staaten Vereinigtes Königreich Indien China Hongkong Kanada Australien Brasilien
Wenn Unternehmen sie außer der Reihe beantworten, überzeugen sie sich selbst, dass sie befreit sind. Die Verordnung fragt zuerst nach der Niederlassung und erst dann danach, was Sie tun.
| Frage | Was zählt | Was nicht zählt |
|---|---|---|
| In der Union etabliert? | Ein Büro, Personal, effektive und reale Tätigkeit durch stabile Vereinbarungen. | Eine Cloud-Region, ein 3PL-Lager, ein Wiederverkäufer, ein Postfach. |
| Artikel 3(2) erreicht? | EU-Währung, Sprache, Versand, gezielte Werbung, EU-Domains. | Nur aus der Union zugänglich sein |
| Gelegentliche Verarbeitung? | Eine einmalige Veranstaltung ohne aufbewahrte Unterlagen | Eine Kundendatenbank, Bestellhistorie, einen Newsletter |
| Öffentliche Behörde? | Öffentliche Stellen gemäß Artikel 27(2)(b) | Private Unternehmen jeder Größe |
Jedes dieser Argumente wurde von einem Unternehmen vorgebracht, das später dafür bezahlt hat. Sie sind als Warnungen lesenswert, nicht als Theorie.
Die Anforderung an den EU-Vertreter ist nicht zufrieden, indem er einen Anbieter wählt. Es wird durch ein Dokument mit fünf Eigenschaften zufrieden.
Um einen EU-Vertreter zu ernennen, benötigen Sie ein Mandat, das von beiden Seiten unterzeichnet ist. Ein Lieferant, der nicht gegengezeichnet hat, ist nicht Ihr Vertreter, egal was Ihre Website sagt.
Artikel 27(3). Innerhalb der Gruppe von Ländern, in denen Ihre Nutzer sitzen, liegt die Wahl bei Ihnen.
Artikel 13(1)(a) verlangt die Identität des Vertreters in Ihrer Datenschutzerklärung. Eine unveröffentlichte Bezeichnung schützt niemanden.
Der Vertreter hält das Verzeichnis der Verarbeitungstätigkeiten für die Behörden verfügbar, was der Teil ist, den die meisten Erstkunden nie vorbereitet haben.
Eine Adresse, die antwortet. Anfragen, die in einem toten Posteingang ankommen, werden als Anfragen behandelt, die Sie nicht bearbeitet haben.
Die Durchsetzung, die Artikel 27 betrifft, beginnt selten mit Artikel 27. Sie beginnt mit einer Beschwerde über etwas anderes, und der fehlende Vertreter wird entdeckt, während die Akte geöffnet wird.
| Wie es beginnt | Was überprüft wird | Was normalerweise fehlt |
|---|---|---|
| Ein Antrag auf Zugang für betroffene Personen ignoriert | Wer den Antrag hätte erreichen sollen | Kein Kontaktpunkt innerhalb der Union |
| Eine Beschwerde über Cookies oder Tracker | Die Datenschutzerklärung | Kein Vertreter gemäß Artikel 13(1)(a) benannt |
| Eine Benachrichtigung über eine Datenpanne | Artikel 30 Aufzeichnungen | Keine Unterlagen irgendwo in der Union aufbewahrt |
| Eine Beschaffungs- oder Prüfungsüberprüfung | Die Benennung selbst | Ein nicht unterzeichnetes oder nicht verifizierbares Dokument |
Normalerweise ein SaaS- oder E-Commerce-Unternehmen, das davon ausging, dass eine EU-Cloud-Region ausreicht und dass ein DSB im Organigramm den Rest abdeckte.
Post-Brexit, ein Drittland wie jedes andere. Benötigt einen EU-Vertreter, und seine EU-Kunden sind sich oft nicht bewusst, dass sich die Position geändert hat.
Dienstleistungsexporteure, die im Auftrag von EU-Kunden verarbeiten. Auftragsverarbeiter, sodass Artikel 27 direkt auf sie zutrifft und nicht über ihre Kunden.
Verkäufer von Konsumgütern. Brauchen fast immer auch Artikel 16 und entdecken beide gleichzeitig, wenn ein Marktplatz sie blockiert.
Außerhalb der Union. Benötigt die EU-Benennung für seine EU-Kunden, plus eine separate Schweizer Regelung, die kein EU-Anbieter bereitstellen kann.
Artikel 27 und Artikel 30 definieren zusammen den Job, und er ist enger und konkreter, als die meisten Erstkunden erwarten.
| Pflicht | Woher es kommt | In der Praxis |
|---|---|---|
| Als Kontaktstelle fungieren | Artikel 27(4) | Behörden und betroffene Personen wenden sich zusätzlich zu Ihnen oder anstelle von Ihnen an den Vertreter. |
| Das Verzeichnis der Verarbeitung führen | Artikel 30(1) und 30(2) | Das Protokoll wird auf Anfrage von den Behörden aufbewahrt und zur Verfügung gestellt. |
| Mit den Aufsichtsbehörden zusammenarbeiten | Artikel 31 | Anfragen werden am selben Arbeitstag beantwortet, protokolliert und an Sie weitergeleitet. |
| In der richtigen Sprache erreichbar sein | Praxis, nicht Text | Acht Sprachen, damit eine Beschwerde nicht zu einer zweiten Beschwerde wird. |
Registrierter Name, Nummer und Adresse in Ihrem eigenen Land. Keine Apostille, keine Notarisierung, keine Übersetzung.
Jemand, der das Unternehmen binden kann. Ein Direktor oder ein Offizier; ein Marketingmanager wird später befragt.
Was Sie sammeln, von wem in der Union, warum und wer sonst damit in Berührung kommt. Eine Seite reicht aus und wird Ihr Artikel 30-Protokoll.
Einen Posteingang an Ihrem Ende, der tatsächlich gelesen wird, weil alles, was der Schreibtisch erhält, dort weitergeleitet wird.
So kann die veröffentlichte Identität des Vertreters mit der Bezeichnung überprüft werden.
Unternehmen, die mit einem einmonatigen Onboarding rechnen, denken normalerweise an eine Zertifizierung. Dies ist eine Benennung: ein Formular, eine Gegensignatur, ein veröffentlichter Absatz.
Nein. Erwägungsgrund 22 verlangt nach effektiven und realen Aktivitäten durch stabile Vereinbarungen. Das Mieten von Infrastruktur ist das nicht, und das Argument wurde vorgebracht und abgelehnt.
Nein. Ein DSB berät Sie gemäß Artikel 37. Ein Vertreter ist ein Ansprechpartner innerhalb der Union gemäß Artikel 27. Unterschiedliche Rollen, beide möglicherweise erforderlich.
Nur eine schriftliche Benennung, die von einer in der Union ansässigen Stelle unterzeichnet ist, schafft einen Vertreter. Eine kommerzielle Beziehung tut dies nicht, egal wie eng sie ist.
Es gibt keinen Schwellenwert. Eine Kundenliste plus eine Bestellhistorie plus ein Newsletter ist kontinuierliche Verarbeitung und verstößt sofort gegen Artikel 27(2)(a), selbst bei kleinen Mengen.
Nein. Die Angemessenheit regelt Übertragungen. Sie hat keine Auswirkungen auf Artikel 27, und Unternehmen in angemessenen Ländern benennen zu genau denselben Bedingungen.
Artikel 83(4)(a) stuft es in die Kategorie bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes ein, und dessen Fehlen wird regelmäßig als erschwerender Faktor in anderen Verfahren behandelt.
Es kann eine natürliche oder juristische Person sein, die in der Union ansässig ist, aber Behörden und Unternehmenskunden erwarten ein Unternehmen mit einer überprüfbaren Registrierung.
Innerhalb von 24 Stunden nach einem ausgefüllten Onboarding-Formular. Das Zertifikat und der Verifizierungscode werden gleichzeitig ausgestellt, sodass Sie am selben Tag einen Nachweis an einen Kunden senden können.
Nein. Eine Benennung deckt die betroffenen Personen in allen 27 ab. Was Artikel 27(3) regelt, ist, wo der Vertreter selbst ansässig ist.
Die unterschriebene Benennung, die Datenschutzerklärung, die den Vertreter gemäß Artikel 13(1)(a) zeigt, und das Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30. Diese drei, in dieser Reihenfolge.
Wenn eine Gruppeneinheit, die in der Union ansässig ist, die Verarbeitung als Verantwortlicher durchführt, ändert sich die Analyse vollständig. Wenn sie lediglich existiert, während die nicht-EU-Mutter alles entscheidet, benötigt die Mutter dennoch einen Vertreter.
Nicht dafür. Die Verpflichtung wird durch das Anbieten von Dienstleistungen oder das Überwachen von Verhalten ausgelöst, nicht durch die Dauer, wie lange Sie die Daten danach aufbewahren.
Es ist dieselbe Idee in einem separaten Gesetz. Das Bedienen beider Gebiete bedeutet zwei Benennungen, eine in der Union und eine im Vereinigten Königreich.
Zugehörig: die kurze Version dieses Tests · eine Tochtergesellschaft anstelle eines Vertreters
Europe Services, SE in Prag, aktiv seit 2018, als Ihr Vertreter gemäß Artikel 27 in allen 27 Mitgliedstaaten, mit einem Zertifikat, das einen Verifizierungscode und einen Anfrage-Schalter in acht Sprachen trägt.
Sehen Sie die Pläne