GDPR-Vertreter / EU- und UK-Abdeckung nach Artikel 27
Koordinierter EU- und UK-GDPR-Vertreterservice
Zwei rechtsordnungsspezifische Benennungen, ein koordinierter Onboarding- und Reporting-Prozess – für Organisationen, die außerhalb beider Gebiete tätig sind.
Getrennte EU- und UK-Mandate und Kontaktwege, gesteuert über ein praktikables gemeinsames Betriebsmodell.
Wer benötigt beide Benennungen?
Ein kombinierter Service ist relevant, wenn eine Organisation außerhalb von EU und UK ansässig ist, in keinem der beiden Gebiete eine einschlägige Niederlassung hat und den räumlichen Auslöser für Verarbeitungen mit Bezug zu Personen in jedem der beiden Märkte jeweils eigenständig erfüllt.
Die Antwort kann je nach Produkt, Gesellschaft oder Verarbeitungstätigkeit unterschiedlich ausfallen. Eine Organisation kann eine EU-Vertretung benötigen, aber keine UK-Vertretung – oder umgekehrt. Die Prüfung muss daher zu zwei Ergebnissen kommen, statt EU- und UK-Abdeckung als einen einzigen Test zu behandeln. Betrifft Sie nur ein Markt, sehen Sie sich den reinen EU-Service oder den reinen UK-Service an.
Ein Service, zwei rechtliche Benennungen
Die kommerzielle Abwicklung lässt sich koordinieren, die rechtliche Struktur bleibt jedoch getrennt. Der EU-Vertreter muss die EU-Niederlassungsanforderung erfüllen. Der UK-Vertreter muss im UK niedergelassen sein. Jeder handelt auf Grundlage eines eigenen Mandats und mit eigenen Kontaktdaten.
| Element | EU-Benennung | UK-Benennung | Koordinierte Ebene |
|---|---|---|---|
| Rechtsgrundlage | Artikel 3 Abs. 2 und Artikel 27 EU-DSGVO | Räumlicher Anwendungsbereich der UK-DSGVO und Artikel 27 | Ein Aufnahme- und Governance-Prozess |
| Niederlassung | Geeigneter EU-Mitgliedstaat | Vereinigtes Königreich | Zentrale Kundenkontakte und Reporting |
| Behördenkontakt | Zuständige EU-Aufsichtsbehörde oder -behörden | Information Commissioner | Gemeinsame Eskalationsstandards |
| Öffentliche Angabe | Identität/Kontakt des EU-Vertreters | Identität/Kontakt des UK-Vertreters | Konsistentes Projekt zur Aktualisierung der Hinweise |
| Mandat | Separate EU-Benennung | Separate UK-Benennung | Koordinierte Verlängerung und Überprüfung |
Leistungsumfang
- Getrennte Prüfungen des räumlichen Anwendungsbereichs für EU und UK.
- Dokumentierte Ergebnisse zu beiden Vertreterpflichten und Ausnahmen.
- Auswahl der EU- und UK-Gesellschaften und Benennungsdokumentation.
- Ein Onboarding-Inventar von Gesellschaften, Produkten, Märkten, Verarbeitungen und internen Ansprechpartnern.
- Rechtsordnungsspezifische Formulierungen für Datenschutzhinweise und öffentliche Kontaktdaten.
- Koordinierte Korrespondenzprotokollierung und Eskalation, bei Bedarf mit rechtsordnungsspezifischer Bearbeitung.
- Kombiniertes Kundenreporting, das die Trennung von EU- und UK-Vorgängen wahrt.
- Regelmäßige Überprüfung bei Änderungen von Märkten, Niederlassungen oder Verarbeitung.
Benannter EU-Vertreter
- Vertreter:
- Privacy Core Services Ltd (C 95774)
- Niederlassung:
- Malta (EU Member State)
- Anschrift:
- 124, 21st September Avenue, Naxxar NXR 1015, Malta
- Kontakt:
- privacy@privacycoreservices.com (monitored)
Benannter UK-Vertreter
- Vertreter:
- Privacy Core UK Ltd (Company No. 17350509)
- Niederlassung:
- United Kingdom
- Anschrift:
- 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom
- Kontakt:
- privacy@mypcsuk.com (monitored)
So läuft das Onboarding ab
Einmalige Aufnahme
Einmalige Erfassung von Gesellschaftsstruktur, Niederlassungen, Märkten, Produkten, Beobachtungsaktivitäten und aktuellen Datenschutzinformationen.
Doppelte Prüfung
Getrennte Anwendung des EU- und des UK-Tests und Dokumentation etwaiger Ausnahmebegründungen.
Bestätigung der Gesellschaften
Auswahl der EU-Niederlassung und der im UK niedergelassenen Vertreterlösung.
Getrennte Mandate
Unterzeichnung rechtsordnungsspezifischer Benennungen, Leistungsumfänge und Kontaktanweisungen.
Aktualisierung von Hinweisen und Verzeichnissen
Aufnahme beider Kontakte, soweit anwendbar, und Abstimmung der Verfahren für Betroffenenrechte und Eskalation.
Operativer Start
Test beider Kontaktwege und Bereitstellung einer kombinierten Governance-Sicht für den Kunden.
Wenn die Vertretung nur ein Teil der Antwort ist
Vertreterbenennungen erfüllen die Anforderungen an lokale Anlaufstellen. Sie vervollständigen nicht das weitere DSGVO-Programm. Organisationen, die beide Märkte erschließen, benötigen häufig zusätzlich aktualisierte Datenschutzhinweise, Verzeichnisse nach Artikel 30, Workflows für Betroffenenanfragen, Dienstleisterverträge, Transfer-Assessments, DSFA, Sicherheitsnachweise und gegebenenfalls einen DSB. Siehe DSGVO-Leistungen für das weitere Programm oder den Leitfaden DSB oder DSGVO-Vertreter für Rollenentscheidungen.
Umfang und Preise
Das kombinierte Angebot sollte zeigen, was durch koordinierte Aufnahme und koordiniertes Reporting eingespart wird, und zugleich jede rechtliche Benennung transparent halten. Preisfaktoren sind unter anderem die einbezogenen Gesellschaften, der EU-Mitgliedstaat, die UK-Lösung, der Marktfußabdruck, das Verarbeitungsrisiko, die erwartete Korrespondenz, Sprachen, der Stand der Verzeichnisse und weitergehende Beratung.
Bereit, beide Märkte zu koordinieren?
Senden Sie uns Ihre rechtliche Struktur, Niederlassungen, EU- und UK-Marktaktivität, Beobachtungsaktivitäten, Verarbeitungen und vorhandenen Datenschutzinformationen. Wir bestätigen, ob beide Benennungen erforderlich erscheinen, und identifizieren etwaige Abhängigkeiten, bevor wir ein Angebot erstellen.
Häufig gestellte Fragen
Kann eine einzige rechtliche Benennung EU und UK zugleich abdecken?
Nein. Der Service lässt sich koordinieren, aber EU und UK verlangen getrennte Benennungen und Niederlassungen. Jede Anlaufstelle muss zutreffend offengelegt und nach dem jeweiligen Regime betrieben werden.
Brauchen wir beide Leistungen, wenn wir nur gelegentlich UK-Kunden haben?
Möglicherweise nicht – die Antwort hängt vom räumlichen UK-Test und der eng gefassten Ausnahme ab. Die Prüfung sollte berücksichtigen, ob sich die Tätigkeit an Personen im UK richtet, ob Verhalten beobachtet wird, wie häufig und riskant die Verarbeitung ist und ob eine UK-Niederlassung besteht.
In welchem EU-Land wird der EU-Vertreter niedergelassen sein?
Der EU-Vertreter muss in einem Mitgliedstaat niedergelassen sein, in dem sich die betroffenen Personen befinden. Der gewählte Staat sollte Ihre tatsächlichen Märkte und die betroffene Personengruppe widerspiegeln und muss vor der Benennung bestätigt werden.
Kann Privacy Core auch als unser DSB auftreten?
Das erfordert eine separate Prüfung des DSB-Auslösers und möglicher Interessenkonflikte. Die beiden Rollen haben unterschiedliche Pflichten. Wird derselbe Anbieter erwogen, müssen Unabhängigkeit, Weisungen, Entscheidungswege und Eskalation geprüft und dokumentiert werden.
Was passiert, wenn wir einen Markt nicht mehr gezielt bedienen?
Vor Beendigung einer Benennung sollte die Organisation die betreffende Verarbeitung, Kunden, Beobachtung, fortbestehende Pflichten und laufende Korrespondenz prüfen. Der Stopp des Neugeschäfts beendet nicht zwangsläufig jede Verarbeitung mit Bezug zu Personen in diesem Markt.
Können wir später die Schweiz oder eine andere Rechtsordnung ergänzen?
Zusätzliche Rechtsordnungen erfordern eine eigene rechtliche und leistungsbezogene Prüfung. Sie sollten nicht als Erweiterung der EU- oder UK-Benennung nach Artikel 27 dargestellt werden, sofern das einschlägige Recht und die Servicevereinbarung diesen Schluss nicht tragen.