Anwendung der Datenschutz-Grundverordnung auf ukrainische Unternehmen

• Art 4 DSGVO: Wichtige Begriffe » 

• Räumlicher Anwendungsbereich der DSGVO » 

• Im Fall einer Geltungsausweitung der DSGVO: Wichtigste Massnahmen für ukrainische Unternehmen » 

• Fazit » 

   

Art. 4 DSGVO: Wichtige Begriffe

„Personenbezogene Daten” sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden: „betroffene Person” bzw. „natürliche Person”) beziehen. Personenbezogene Daten umfassen insbesondere: Namen und Telefonnummer, Standortdaten, Online-Kennungen (IP-Adresse, Cookies), sog. „sensible” personenbezogene Daten (rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Mitgliedschaft in einer Gewerkschaft, genetische und biometrische Daten) – also jede Information, die die Identifizierung einer Person ermöglicht.
 
„Verarbeitung” bedeutet, jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Depersonalisierung, das Löschen oder die Vernichtung.
 
„Verantwortlicher” ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; der „Auftragsverarbeiter” ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (im Folgenden: „Verantwortlicher” bzw. Auftragsverarbeiter – Gesellschaft).
 
„Betroffene Personen in der EU” sind alle natürlichen Personen, die sich in der EU aufhalten – unabhängig von ihrer Nationalität oder ihrem Wohnort, d.h. Bürger, Einwohner, Touristen und andere Personen, die sich in der EU aufhalten, ungeachtet dessen, ob sie Bürger eines EU-Mitgliedstaats sind (im Folgenden: „natürliche Personen in der EU”). 
 
Die „Aufsichtsbehörde” ist eine von einem Mitgliedstaat eingerichtete, unabhängige staatliche Stelle, die für die Überwachung der Anwendung der DSGVO zuständig sein wird, um die Grundrechte und Freiheiten natürlicher Personen in der EU bei der Verarbeitung ihrer personenbezogenen Daten zu schützen.
 
„Profiling” ist jede Art der automatisierten Verarbeitung personenbezogener Daten, mit Hilfe derer bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, bewertet werden. Ziel dabei ist es, insbesondere Informationen zur wirtschaftlichen Situation, Gesundheit, persönliche Vorlieben, Interessen, Verhalten, Aufenthaltsort oder Ortswechsel der natürlichen Person zu analysieren oder vorherzusagen.
 
„Pseudonymisierung” ist die Verarbeitung personenbezogener Daten in der Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.
 

Räumlicher Anwendungsbereich der DSGVO 

• betroffenen Personen in der EU Waren oder Dienstleistungen gegen Entgelt oder unentgeltlich anzubieten; oder
• das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der EU erfolgt.
   

2. Beobachtung des Verhaltens natürlicher Personen in der EU.
 

1. Anbieten von Waren oder Dienstleistungen an natürliche Personen in der EU

Um festzustellen, ob die nicht in der EU ansässige Gesellschaft Waren oder Dienstleistungen natürlichen Personen in der EU anbietet, sollte es offensichtlich sein, dass die Gesellschaft ein solches Angebot von Waren oder Dienstleistungen für natürliche Personen in einem oder mehreren EU-Mitgliedstaaten vorgesehen hat.
 

• Verwendung der Sprache oder Währung, die üblicherweise in einem oder mehreren EU-Mitgliedstaaten genutzt wird, mit der Möglichkeit, Waren und Dienstleistungen unter Verwendung der jeweiligen Sprache und Währung bei einer solchen nicht in der EU ansässigen Gesellschaft zu bestellen;
• Angabe von Informationen über Kunden mit Sitz in der EU zu Marketingzwecken auf der Website einer solchen nicht in der EU ansässigen Gesellschaft.

Als ein Beispiel des Angebots von Waren oder Dienstleistungen für natürliche Personen in der EU kann das Vorhandensein einer Webseite der ukrainischen Gesellschaft betrachtet werden, die Waren auf Deutsch, Französisch und Englisch anbietet, die Bezahlung in Euro und die Lieferung solcher Waren an Kunden in der EU ermöglicht.    
 

2. Zur Beobachtung des Verhaltens natürlicher Personen in der EU

Die Verarbeitung von Daten wird als Beobachtung des Verhaltens natürlicher Personen angesehen, wenn sie im Internet zur Analyse und Vorhersage persönlicher Vorlieben und des Verhaltens für Marketingzwecke verfolgt werden (einschließlich des Profilings). 
 
Bspw. kann als Beobachtung des Verhaltens natürlicher Personen in der EU eine Hotelbuchungsseite gelten, die Vorlieben (Suchergebnisse) früherer Kunden in der EU mithilfe von Cookies im Internet verfolgt, um diesen Kunden entsprechende Werbung für Hotels anzubieten.
 

Im Fall einer Geltungsausweitung der DSGVO: Wichtigste Maßnahmen für ukrainische Unternehmen

Benennung eines Vertreters in der EU 

Die nicht in der EU ansässigen Gesellschaften, die Waren oder Dienstleistungen anbieten bzw. das Verhalten natürlicher Personen in der EU beobachten, werden verpflichtet sein, einen Vertreter in der EU schriftlich zu benennen. Der Vertreter (eine in der EU ansässige natürliche oder juristische Person) wird in einem der EU-Mitgliedstaaten ernannt, in dem sich natürliche Personen befinden, deren personenbezogene Daten verarbeitet werden.
 

• sensible personenbezogene Daten in großem Umfang oder personenbezogene Daten zur Verurteilung zur strafrechtlichen Bestrafung nicht verarbeitet werden; und
• die Verarbeitung keine Gefahr für die Rechte und Freiheiten natürlicher Personen unter Berücksichtigung von Charakter, Kontext, Bereich und Zweck der Verarbeitung darstellt. 

 
Die Hauptaufgabe eines Vertreters in der EU besteht darin, gegenüber den Kontrollbehörden und den natürlichen Personen in der EU Ansprechperson der Gesellschaft hinsichtlich der Einhaltung der DSGVO zu sein. Ein solcher Vertreter ist auch eine Ansprechperson, die in erster Linie bei einem Verstoß gegen die Bestimmungen der DSGVO durch die Gesellschaft angesprochen wird, während die Bestellung eines Vertreters die Aufnahme eines direkten Kontakts mit der Gesellschaft nicht ausschließt. Das heißt, die Kontrollorgane und natürliche Personen können den Vertreter zusätzlich oder anstelle der Gesellschaft in allen mit der Verarbeitung verbundenen Fragen ansprechen, um die Einhaltung der DSGVO sicherzustellen.
 
Vor diesem Hintergrund muss die ukrainische Gesellschaft zuerst feststellen, ob sie unter die Ausnahme fällt. Wenn nicht, gilt es zu erwägen, in welchem der EU-Mitgliedsstaaten der Vertreter ernannt werden soll.
 

Benennung eines Datenschutzbeauftragten