Artikel 27 UK GDPR · Deutschland

UK-Vertreter für deutsche Unternehmen

Deutsche Exporteure sind die Gruppe, die diese Pflicht am meisten überrascht, weil sie in der Union niedergelassen sind und annehmen, Artikel 27 könne für sie nicht gelten. Er gilt spiegelverkehrt: Ein Unternehmen in Hamburg, das an Käufer in Großbritannien verkauft, ist ein Unternehmen außerhalb des Vereinigten Königreichs, das Menschen dort Waren anbietet — und das UK GDPR verlangt einen in Großbritannien niedergelassenen Vertreter.

Eine EU-Niederlassung hilft Ihnen hier nicht

Nach der EU-DSGVO sind Sie in der Union niedergelassen, Artikel 27 galt also nie für Sie. Nach dem UK GDPR sind Sie ein Verantwortlicher aus einem Drittland. Die Verordnung ist derselbe Text mit anderer Geografie, und in Düsseldorf zu sitzen wiegt vor der ICO nicht schwerer als in Denver zu sitzen. Ihr Datenschutzbeauftragter, Ihr deutscher Anwalt und Ihr Eintrag im Handelsregister ändern die Antwort nicht.

Übermittlungen sind geklärt, die Vertretung ist es nicht

Personenbezogene Daten dürfen ohne zusätzliche Garantien vom Vereinigten Königreich nach Deutschland fließen, weil das Vereinigte Königreich den EWR als angemessen anerkennt. Dort endet die Prüfung oft — und sie endet einen Schritt zu früh. Die Angemessenheit regelt, wohin Daten dürfen. Artikel 27 regelt, wer einer britischen Behörde antwortet, und dazu sagt die Angemessenheit nichts.

Worauf das Mittelstandsmodell stößt

Ein Hersteller, der über einen britischen Vertriebspartner verkauft, nimmt oft an, dieser decke alles ab. Er tut es nicht: Der Vertriebspartner ist ein eigenes Unternehmen, das seine eigenen Kunden betreut. Verkaufen Sie zusätzlich direkt, betreiben Sie einen Webshop in Pfund oder ein Garantieportal, in dem sich britische Eigentümer registrieren, dann verarbeiten Sie die Daten von Menschen in Großbritannien im eigenen Namen — und der Vertreter muss Ihrer sein.

Zwei Benennungen, eine Bestellung

Deutsche Unternehmen, die auch außerhalb des EWR verkaufen, brauchen manchmal sowohl einen UK-Vertreter als auch, für anderswo eingetragene Konzerngesellschaften, einen europäischen. Wir stellen beide zusammen aus: zwei unterzeichnete Benennungen, zwei Zertifikate, zwei Prüfcodes und zwei getrennte Zeilen für Ihre Datenschutzerklärung. Keine ist eine Kopie der anderen, denn keine Behörde würde eine Kopie akzeptieren.

Was in die Datenschutzerklärung gehört

Deutsche Datenschutzerklärungen sind meist gründlich, was die Lücke leicht sichtbar macht, sobald man danach sucht. Unter der Überschrift für den Vertreter steht entweder eine im Vereinigten Königreich niedergelassene Stelle oder eben nicht. Wir liefern den Absatz auf Deutsch und auf Englisch, mit REP27 LTD, der Handelsregisternummer und der Anschrift in Suffolk, sodass er sich ohne Umschreiben in die bestehende Struktur einfügen lässt. An Ihrem europäischen Text ändert sich nichts, denn einen europäischen Vertreter brauchen Sie überhaupt nicht.

Was für ein in Deutschland niedergelassenes Unternehmen gilt

Der Fall, der Hersteller überrascht

Ein deutscher Hersteller verkauft über einen britischen Vertriebspartner und hält den Markt für abgedeckt. Dann startet er ein Registrierungsportal für Garantiefälle, oder einen Ersatzteilshop, oder einen Newsletter für Installateure in Großbritannien. Jedes davon erhebt personenbezogene Daten von Menschen im Vereinigten Königreich im eigenen Namen des Herstellers, unabhängig von der Vertriebsbeziehung. Die Konformität des Vertriebspartners reicht nicht nach oben, und der Hersteller entdeckt die Pflicht über das Portal, nicht über den Vertriebsvertrag.

Fragen deutscher Unternehmen

Weiterlesen

Unternehmen anderswo, dieselbe Pflicht

Was sich von Land zu Land ändert, ist nicht die Regel, sondern der Weg dorthin: die Übermittlungsgrundlage, die Behörde, die Sie bereits kennen, und wie britische Kunden zu Ihnen gelangen.