Wie teilt man internationale Daten richtig?

Rechtmäßige Datenübertragung von einem Land in ein anderes

Die Nutzung personenbezogener Daten von Kunden oder potenziellen Kunden durch Unternehmen ist eine weitere Aufgabe für jedes Unternehmen.

Insbesondere im Hinblick auf die Marketingaktivitäten des Unternehmens ist die korrekte Nutzung von Daten von großer Bedeutung .

Es genügt nicht mehr, einfach nur zu verkaufen, einen Marketingplan zu entwickeln oder strategische Allianzen einzugehen.

Die Datenerfassung und -analyse ermöglicht es Unternehmen, die psychologischen Profile, Vorlieben, Gewohnheiten und Verhaltensweisen ihrer Kunden zu analysieren und zukünftige Handlungen vorherzusagen.

Diese Informationen sind für Unternehmen äußerst wertvoll: Es geht um Öl. 

Tatsache: Öl im 21. Jahrhundert

Es besteht bei vielen Unternehmen ein unbestreitbarer Hunger nach Daten über ihre Kunden und potenziellen Kunden.

Dennoch streben die Regierungen einiger Länder, Aufsichtsbehörden und sogar internationale Organisationen danach, sicherzustellen, dass die Verarbeitung dieser Daten durch den Verantwortlichen ( eine natürliche oder juristische Person, eine Behörde, eine Einrichtung oder eine andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet ) transparent erfolgt und die Interessen ihrer Bürger nicht ernsthaft beeinträchtigt.

In Europa ist die EU der wichtigste Bannerträger dieses Kampfes.

Die Union konzentriert sich unter anderem auf das, was als grenzüberschreitender Datentransfer bekannt ist.

Unabhängig davon, ob Sie in Spanien ein Unternehmen besitzen oder selbstständig tätig sind, sollten Sie sich der folgenden Datenschutzgesetze bewusst sein: 

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen hinsichtlich der Verarbeitung personenbezogener Daten und des freien Datenverkehrs, wodurch die Richtlinie 95/46/EG aufgehoben wird. 
• Organgesetz 3/2018 vom 5. Dezember, zum Schutz personenbezogener Daten und zur Gewährleistung digitaler Rechte. 
• Anweisung 1/2006 vom 8. November der spanischen Datenschutzbehörde, über die Verarbeitung personenbezogener Daten zum Zwecke der Videoüberwachung durch Kamera- oder Videokamerasysteme. 

Bei RRYP Global sind wir uns bewusst, dass es nicht einfach ist, diese Verpflichtungen in allen internationalen Märkten, in denen ein Unternehmen tätig ist, zu erfüllen.

Deshalb möchten wir Sie unterstützen und beraten, damit Ihr Unternehmen die geltenden Gesetze einhält. 

Wie wirken sich Datenschutz und seine transnationalen Übermittlungen auf die ecommerces?

Manchmal tätigen wir im Laufe eines Tages mehr Online-Transaktionen als wir persönlich durchführen.

Wenn wir diese Transaktionen durchführen, geben wir dem verkaufenden Unternehmen viele unserer persönlichen Daten preis, wie zum Beispiel unsere Bankverbindung, unseren Wohnort…

Diese E-Commerce-Unternehmen sind Unternehmen und unterliegen daher auch den europäischen Vorschriften zum Datenschutz und zum transnationalen Datentransfer.

Daher müssen sie ihren eigenen Verpflichtungen nachkommen, wenn die Daten mit einem Land außerhalb des EWR geteilt werden.

Sie verwenden diese Daten häufig, um Kunden Produkte anzubieten, die sie aufgrund ihrer Such- und Kaufvorgänge interessieren könnten.

Aus diesem Grund ist es für den E-Commerce so wichtig, Daten möglichst kosteneffizient zu verwalten. 

Was sind grenzüberschreitende Datenübertragungen?

Es handelt sich um einen Datenstrom personenbezogener Daten natürlicher Personen, der von einem Land des EWR (Europäischer Wirtschaftsraum, dessen Mitglieder die EU, Island, Liechtenstein und Norwegen sind) in einen anderen Staat außerhalb dieses Raums strömt.

Somit Ein transnationaler Datentransfer kann in drei Situationen erfolgen:
– 1) Ein Verantwortlicher hat seinen Sitz im EWR und der andere Verantwortliche hat seinen Sitz außerhalb des EWR oder ist Teil einer internationalen Organisation. 
– 2) Ein Verantwortlicher ist im EWR ansässig und der Auftragsverarbeiter ist außerhalb des EWR ansässig. 
– 3) Ein Auftragsverarbeiter hat seinen Sitz im EWR und der andere Auftragsverarbeiter hat seinen Sitz außerhalb des EWR. 

In allen drei Fällen werden die Daten außerhalb des EWR übertragen, sie unterscheiden sich jedoch hinsichtlich der beteiligten Personen und der jeweils ausgeführten Funktionen.

Verantwortlicher für die Datenverarbeitung ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet.

Der Datenverarbeiter hingegen ist die natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die personenbezogene Daten im Auftrag des Datenverantwortlichen verarbeitet.

Wie übertrage ich Daten korrekt außerhalb des EWR?

Die DSGVO legt Beschränkungen für die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) fest, um sicherzustellen, dass das Schutzniveau für Einzelpersonen dem in dieser Verordnung vorgesehenen Niveau entspricht.

Die Übermittlung personenbezogener Daten an Länder außerhalb des EWR oder an internationale Organisationen ist nur unter Einhaltung der in Kapitel V der DSGVO festgelegten Bedingungen zulässig.

Zusätzlich zu diesen spezifischen Bedingungen muss jede Übertragung den übrigen allgemeinen Bestimmungen der DSGVO entsprechen.

Hierzu gehört beispielsweise die Einhaltung der Grundsätze der Datenverarbeitung, die Gewährleistung einer angemessenen Rechtsgrundlage, die Umsetzung geeigneter Sicherheitsmaßnahmen und die Sicherstellung, dass nur unbedingt erforderliche Daten übermittelt werden (Minimierungsprinzip). Handelt der Empfänger der personenbezogenen Daten als Auftragsverarbeiter, muss ein entsprechender Vertrag abgeschlossen werden, wie dies auch mit einem Auftragsverarbeiter innerhalb des EWR der Fall wäre.

Die DSGVO sieht zwei Hauptwege für die Übermittlung personenbezogener Daten in Länder außerhalb des EWR oder an internationale Organisationen vor.

Eine Möglichkeit ist ein Angemessenheitsbeschluss , in dem die Europäische Kommission feststellt, dass das Empfängerland ein angemessenes Schutzniveau bietet.

Andernfalls muss die Übertragung auf angemessenen Garantien beruhen , wie etwa Rechtsmechanismen, die den Schutz der Rechte der beteiligten Parteien gewährleisten.

Wenn kein Angemessenheitsbeschluss vorliegt oder keine angemessenen Garantien bestehen, sieht die DSGVO in bestimmten Situationen Ausnahmen vor.

Angemessenheitsbeschluss

Die Europäische Kommission kann entscheiden, ob ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) oder eine internationale Organisation ein mit der EU vergleichbares Datenschutzniveau aufweist.

Stellt sie dies fest, erlässt sie einen „Angemessenheitsbeschluss“, der die Übermittlung der Daten in das jeweilige Land ohne weitere Anforderungen ermöglicht.

Um diese Entscheidung treffen zu können, analysiert die Kommission verschiedene Aspekte , wie die Achtung des Gesetzes, den Schutz der Menschenrechte, die Möglichkeit der Bürger, ihre Rechte geltend zu machen, das Vorhandensein einer unabhängigen Datenschutzbehörde und die Frage, ob das Land internationale Abkommen zum Datenschutz unterzeichnet hat.

Wenn ein Land einen Angemessenheitsbeschluss erhält, können Unternehmen innerhalb des EWR personenbezogene Daten an Organisationen in diesem Land übermitteln, ohne zusätzliche Sicherheitsmaßnahmen ergreifen zu müssen.

Dies bedeutet, dass Datenübertragungen ähnlich wie innerhalb des EWR gehandhabt werden. Das datenübertragende Unternehmen bleibt jedoch für die Einhaltung der allgemeinen Regeln der DSGVO verantwortlich.

Diese Entscheidungen können für ein ganzes Land oder nur für eine bestimmte Region gelten und können je nach Art des Sektors oder der Tätigkeit alle oder nur bestimmte Datenübertragungen abdecken.

Länder mit Angemessenheitsbeschluss

Bisher hat die Europäische Kommission Angemessenheitsbeschlüsse erlassen für:

• Andorra,
• Argentinien,
• Kanada (Handelsorganisationen),
• Färöer Inseln,
• Guernsey,
• Israel,
• Insel Man,
• Japan,
• Jersey,
• Neuseeland,
• Republik Korea,
• Schweiz,
• Reino Unido,
• USA (kommerzielle Organisationen, die am EU-US-Datenschutzrahmenprogramm teilnehmen),
• Uruguay.

Angemessene Garantien

Liegt kein Angemessenheitsbeschluss vor , können Organisationen personenbezogene Daten dennoch in andere Länder übermitteln, sofern sie garantieren, dass die empfangende Stelle die Daten angemessen schützt.

Darüber hinaus müssen die Menschen ihre Rechte wahrnehmen können und im Problemfall über wirksame Rechtsmittel verfügen.

Artikel 46 der DSGVO beschreibt verschiedene Möglichkeiten, die Unternehmen nutzen können, um Daten sicher außerhalb des EWR zu übermitteln.

Zu den wichtigsten Tools, die privaten Organisationen zur Verfügung stehen, gehören:

• Standardvertragsklauseln (SCC): Von der Europäischen Kommission genehmigte Standardverträge, die den Datenschutz gewährleisten.
• Binding Corporate Rules (BCR): Innerhalb großer Unternehmen oder multinationaler Konzerne gelten interne Regeln zum Schutz personenbezogener Daten.
• Verhaltenskodizes: Von einem bestimmten Sektor vereinbarte Standards zur Einhaltung der DSGVO.
• Zertifizierungsmechanismen: Verifizierungssysteme, die bestätigen, dass eine Organisation die Datenschutzstandards einhält.
• Maßgeschneiderte Vertragsklauseln: Spezifische Vereinbarungen zwischen Unternehmen, die entsprechende Datenschutzmaßnahmen beinhalten.

Mit diesen Tools können Datenübertragungen sicher und gesetzeskonform durchgeführt werden.

Ausnahmen

Neben Angemessenheitsbeschlüssen und den Instrumenten des Artikels 46 der DSGVO gibt es eine dritte Möglichkeit zur Übermittlung personenbezogener Daten unter bestimmten Umständen.

Unter bestimmten Voraussetzungen ist es möglich, Übermittlungen auf der Grundlage einer der in Artikel 49 der DSGVO aufgeführten Ausnahmen durchzuführen.

Sie können nicht als Standardverfahren zur Rechtfertigung von Datenübertragungen außerhalb des EWR herangezogen werden.

Grundsätzlich gilt weiterhin, dass Daten nur übermittelt werden dürfen, wenn das Empfängerland ein angemessenes Schutzniveau gewährleistet oder entsprechende Garantien getroffen wurden.

Gemäß Artikel 49 der DSGVO kann eine Übermittlung oder eine Reihe von Übermittlungen vorgenommen werden, wenn sie eine der folgenden Bedingungen erfüllen:

• Ausdrückliche Einwilligung: Die betroffene Person hat in die Übermittlung eindeutig und informiert eingewilligt.
• Auswurf eines Vertrags: Die Übermittlung ist erforderlich, um einen Vertrag zwischen der betroffenen Person und der Organisation zu erfüllen oder um auf Anfrage der betroffenen Person vorvertragliche Maßnahmen zu ergreifen.
• Vertragsinteresse Dritter: Die Übermittlung ist erforderlich, um einen Vertrag zwischen dem Verantwortlichen und einer anderen Partei zugunsten der betroffenen Person abzuschließen.
• Öffentliches Interesse: Es ist aus wichtigen Gründen des öffentlichen Interesses erforderlich.
• Rechtsansprüche: Die Übermittlung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.
• Schutz lebenswichtiger Interessen: Es ist notwendig, um das Leben oder die Sicherheit der Person oder anderer zu schützen, insbesondere wenn die Person aufgrund körperlicher oder rechtlicher Unfähigkeit nicht in der Lage ist, ihre Einwilligung zu geben.
• Allgemein zugängliche Information: Die Übermittlung erfolgt aus einem öffentlichen Register, das gemäß nationalem oder EU-Recht für den Zugriff durch die breite Öffentlichkeit oder durch Personen mit einem berechtigten Interesse am Zugriff bestimmt ist.

Beispiel für eine Strafe bei Nichteinhaltung

Im Jahr 2021 wurde Amazon jedoch von der luxemburgischen Datenschutzbehörde (CNPD) zur Zahlung von 746 Millionen Euro verurteilt, weil das Unternehmen gegen EU-Datenschutzbestimmungen verstoßen hatte.

Ihnen wurde vorgeworfen, Kunden- und Partnerdaten genutzt zu haben, um den Wettbewerb zu verzerren und sich dadurch einen unfairen Vorteil auf dem Markt zu verschaffen.

Das Unternehmen legte gegen die Sanktion Berufung beim luxemburgischen Verwaltungsgericht ein.

Wenn Sie also ein E-Commerce-Unternehmen besitzen, müssen Sie den Geschäftspraktiken Ihres Unternehmens in diesem Bereich besondere Aufmerksamkeit schenken.

Schlussfolgerung zur legalen Datenübertragung von einem Land in ein anderes

Jedes Unternehmen und jede selbstständige Person, die in der EU einer beruflichen oder geschäftlichen Tätigkeit nachgeht, muss die europäischen Datenschutzbestimmungen einhalten.

Wenn Sie ein internationales Unternehmen haben, sollten Sie bei der grenzüberschreitenden Übermittlung personenbezogener Daten besonders vorsichtig sein, da die Nichteinhaltung der Gesetze zu schweren Strafen für Ihr Unternehmen führen kann. 

Online-Unternehmen müssen dieser Regelung besondere Aufmerksamkeit schenken, da sie eine große Menge sensibler Kundendaten speichern.

Häufig gestellte Fragen

RRYP Global , auf internationales Recht spezialisierte Rechtsanwälte.