Wenn Ihre Organisation ihren Sitz außerhalb der EU/des EWR hat, aber personenbezogene Daten von Personen in der Europäischen Union verarbeitet, müssen Sie möglicherweise einen EU-Vertreter nach Artikel 27 GDPR benennen.
Beantworten Sie fünf Fragen und erhalten Sie eine erste Einschätzung, ob die Pflicht zur Benennung eines Vertreters nach Artikel 27 voraussichtlich für Ihre Organisation gilt.
Geschätzte Bearbeitungszeit: 1 Minute
Was macht ein EU-Vertreter?
Ein EU-Vertreter dient als Anlaufstelle in der Union für bestimmte GDPR-bezogene Mitteilungen.
Nach Artikel 27 wird der Vertreter schriftlich benannt und kann als Anlaufstelle dienen für:
- Betroffene Personen
- Aufsichtsbehörden
- Weitere relevante Stellen
Der Vertreter handelt im Rahmen der schriftlichen Beauftragung im Namen des Verantwortlichen oder Auftragsverarbeiters.
Durch die Benennung eines Vertreters geht die GDPR-Verantwortung oder -Haftung des Verantwortlichen oder Auftragsverarbeiters nicht auf den Vertreter über.
EU-Vertreter vs. DPO
Ein EU-Vertreter ist nicht dasselbe wie ein Data Protection Officer (DPO).
| EU-Vertreter | Data Protection Officer |
|---|---|
| Vor allem für bestimmte Organisationen relevant, die nicht in der EU niedergelassen sind | Nur unter den in der GDPR genannten Umständen erforderlich |
| Handelt auf Grundlage einer schriftlichen Beauftragung | Muss die DPO-Aufgaben mit angemessener Unabhängigkeit wahrnehmen |
| Dient als Anlaufstelle für bestimmte GDPR-Angelegenheiten | Berät, überwacht und unterstützt die GDPR-Compliance |
| Kann mit betroffenen Personen und Aufsichtsbehörden kommunizieren | Hat besondere gesetzliche DPO-Aufgaben |
| Ersetzt nicht die Verantwortung des Verantwortlichen/Auftragsverarbeiters | Ersetzt nicht die Verantwortung des Verantwortlichen/Auftragsverarbeiters |
Der EDPB hat ausdrücklich festgestellt, dass die Funktion des Vertreters wegen der unterschiedlichen Aufträge und Unabhängigkeitsanforderungen nicht mit der Rolle eines externen DPO vereinbar ist.
Wo sollte ein EU-Vertreter niedergelassen sein?
Artikel 27 verlangt, dass der Vertreter in einem der EU-Mitgliedstaaten niedergelassen ist, in denen sich die betroffenen Personen befinden, denen Waren oder Dienstleistungen angeboten werden oder deren Verhalten beobachtet wird.
Eine Organisation, die in mehreren EU-Ländern tätig ist, benötigt nicht zwingend einen eigenen Vertreter in jedem Mitgliedstaat.
Aus den Leitlinien des EDPB geht hervor, dass ein Vertreter für mehrere Verarbeitungstätigkeiten handeln kann, die unter Artikel 3 Absatz 2 fallen, sofern die geltenden Anforderungen erfüllt sind.
Brauche ich einen EU-Vertreter, wenn ich nur wenige EU-Kunden habe?
Nicht unbedingt.
Die Zahl der EU-Kunden ist nur ein Faktor. Entscheidend ist, ob Artikel 3 Absatz 2 anwendbar ist und ob die Ausnahme nach Artikel 27 Absatz 2 greift.
Eine geringe Kundenzahl begründet die Pflicht nicht automatisch und lässt sie auch nicht automatisch entfallen.
Macht ein EU-Vertreter mein Unternehmen GDPR-compliant?
Nein.
Ein EU-Vertreter ist ein Element der GDPR-Governance, wenn Artikel 27 anwendbar ist.
Ihre Organisation bleibt für ihre GDPR-Pflichten verantwortlich, darunter:
- Rechtmäßige Verarbeitung
- Transparenz
- Rechte betroffener Personen
- Sicherheit
- Management von Datenschutzverletzungen
- Internationale Übermittlungen
- Management von Auftragsverarbeitern
- Rechenschaftspflicht
Die Pflicht zur Benennung eines Vertreters sollte daher als Teil eines umfassenderen GDPR-Compliance-Programms betrachtet werden.
Was passiert, wenn ich einen erforderlichen Vertreter nicht benenne?
Wird eine anwendbare Anforderung nach Artikel 27 nicht erfüllt, kann dies zu regulatorischen Compliance-Risiken führen.
Ein EU-Vertreter hebt die zugrunde liegenden GDPR-Pflichten nicht auf. Ist Artikel 27 jedoch anwendbar, sollten Organisationen die Benennung dokumentieren und sicherstellen, dass der Vertreter über eine angemessene schriftliche Beauftragung verfügt.
Lassen Sie Ihre Pflicht zur Benennung eines EU-Vertreters prüfen
Sie sind nicht sicher, ob Artikel 27 für Ihre Organisation gilt?
RegulatoryBridge kann Sie dabei unterstützen:
- Den räumlichen Anwendungsbereich der GDPR zu prüfen
- Die Anwendbarkeit von Artikel 27 festzustellen
- Die Ausnahmen nach Artikel 27 Absatz 2 zu prüfen
- Einen EU-Vertreter zu benennen
- Die Dokumentation zum Vertreter vorzubereiten
- Datenschutzhinweise zu aktualisieren
- Prozesse für die Kommunikation mit betroffenen Personen einzurichten
- Die Kommunikation mit Aufsichtsbehörden zu begleiten
- Laufende GDPR-Anforderungen zu beobachten
Kennen Sie Ihre Pflicht. Benennen Sie mit Sicherheit.