Strafe für Fehlen der EU-Vertretung: Sind Sie gut aufgestellt?

Die DSGVO spricht Betroffenen Rechte im Umgang mit ihren Daten zu. Damit Betroffene diese auch tatsächlich wahrnehmen können, müssen Organisationen ohne Niederlassung in der EU eine Vertretung bestellen, wenn sie vom Marktortprinzip betroffen sind – dazu gleich mehr. Ohne entsprechende EU-Vertretung können mitunter hohe Strafen auf Organisationen zukommen.

Wir haben für Sie zusammengefasst, wer eine EU-Vertretung benötigt, wie genau sie funktioniert und welche Strafen bei Nichteinhaltung zu erwarten sind. 

Für Verantwortliche und Auftragsverarbeitende aus Drittstaaten sieht Art. 3 Abs. 2 DSGVO das sogenannte Marktortprinzip vor. Dies besagt, dass Organisationen eine Vertretung in der EU bestellen müssen, wenn sie Waren oder Dienstleistungen in der EU anbieten oder Personen dort beobachten (z.B. Tracking oder Profiling) und im Zuge dessen personenbezogene Daten verarbeiten.

Die Vertretung muss in einem der Mitgliedsstaaten niedergelassen sein, in dem sich die betroffenen Personen befinden.

Allerdings gibt es einige Ausnahmen:

• Behörden oder öffentliche Stellen
• Nur gelegentliche Verarbeitung
• Keine umfangreiche Verarbeitung besonderer Datenkategorien
• Umfangreiche Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO 

Die Ausnahmen gelten allerdings nur dann, wenn sich aus der Art, den Umständen, dem Umfang und dem Zweck der Verarbeitung voraussichtlich keine Risiken für die Rechte und Freiheiten natürlicher Personen ergeben. 

Unternehmen aus Drittländern, die trotz einer Pflicht keine EU-Vertretung bestellen, müssen unter Umständen mit hohen Geldstrafen von bis zu zehn Millionen Euro und teuren Klagen rechnen. Das ist auch der Website locatefamily.com passiert.

Nach dutzenden Beschwerden erteilte die niederländische Aufsichtsbehörde eine Geldbuße von 525.000€, weil die Firma keine EU-Vertretung bestellt und personenbezogene Daten ohne Einverständnis veröffentlicht hat.