GDPR-Vertreter / Artikel 27 UK-DSGVO
Einen UK-Vertreter nach der DSGVO benennen
Organisationen außerhalb des Vereinigten Königreichs benötigen unter Umständen einen im UK niedergelassenen Vertreter, wenn sie Personen im UK Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten und keine einschlägige UK-Niederlassung haben.
Eine UK-Anlaufstelle für betroffene Personen und das ICO, gestützt auf ein schriftliches Mandat und einen praktikablen Eskalationsprozess.
Benötigen Sie einen UK-Vertreter?
Die UK-Pflicht ist in der Regel relevant, wenn Ihre Organisation außerhalb des Vereinigten Königreichs ansässig ist, dort keine Zweigniederlassung, kein Büro und keine sonstige einschlägige Niederlassung hat und die UK-DSGVO anwendbar ist, weil Sie Personen im UK Waren oder Dienstleistungen anbieten oder ihr Verhalten im UK beobachten.
Die Prüfung sollte die mit der UK-Aktivität verbundene Verarbeitung betrachten. Sie darf nicht auf die Staatsangehörigkeit, eine .uk-Domain oder die Frage reduziert werden, ob eine Person im UK technisch auf eine globale Website zugreifen kann. Anhaltspunkte für gezielte Ausrichtung und Beobachtung, die Konzernstruktur und die Art der Verarbeitung sind allesamt maßgeblich.
| Prüffrage | Warum sie wichtig ist |
|---|---|
| Haben Sie eine Zweigniederlassung, ein Büro oder eine sonstige Niederlassung im UK? | Eine einschlägige UK-Niederlassung kann die Prüfung nach Artikel 27 für die mit ihrer Tätigkeit verbundene Verarbeitung verändern. |
| Bieten Sie Personen im UK Waren oder Dienstleistungen an? | Der räumliche Anwendungsbereich der UK-DSGVO kann unabhängig davon greifen, ob eine Zahlung verlangt wird. |
| Beobachten Sie Verhalten, das im UK stattfindet? | Tracking oder Profiling im Zusammenhang mit Verhalten im UK kann die betreffende Verarbeitung in den Anwendungsbereich bringen. |
| Greift eine Ausnahme? | Öffentliche Stellen sowie qualifizierende gelegentliche, risikoarme Verarbeitungen können ausgenommen sein. Die Begründung sollte dokumentiert werden. |
Was der UK-Vertreter leistet
- Handelt auf Grundlage eines schriftlichen Mandats für die erfasste Verarbeitung.
- Stellt eine UK-Anlaufstelle für betroffene Personen und den Information Commissioner bereit.
- Nimmt einschlägige Korrespondenz entgegen, protokolliert und leitet sie weiter.
- Unterstützt die Bereitstellung der Verzeichnisse und Informationen, die für die Zusammenarbeit mit der Aufsicht erforderlich sind.
- Pflegt vereinbarte Eskalationskontakte und einen prüffähigen Bearbeitungsprozess.
- Arbeitet im Rahmen des Vertretermandats erforderlichenfalls mit dem ICO zusammen.
Was er nicht leistet
- Er wird nicht zum Verantwortlichen oder Auftragsverarbeiter.
- Er übernimmt nicht die Verantwortung Ihrer Organisation nach der UK-DSGVO.
- Er ist nicht dasselbe wie die Benennung eines DSB.
- Er ersetzt nicht die Notwendigkeit rechtmäßiger Verarbeitung, transparenter Datenschutzinformationen, der Bearbeitung von Betroffenenanfragen, von Verträgen oder Sicherheitsmaßnahmen.
Leistungsumfang
- Prüfung des räumlichen UK-Anwendungsbereichs und der Vertreterpflicht.
- Schriftliche Benennung des UK-Vertreters und operative Arbeitsanweisungen.
- Freigegebene UK-Kontaktformulierung für Datenschutzinformationen und zugehörige Angaben.
- UK-Korrespondenzkanal und interne Eskalationsübersicht.
- Onboarding-Prüfung von Gesellschaften, Leistungen, UK-Verarbeitung und zentralen Verzeichnissen.
- Korrespondenzprotokollierung und Bearbeitungsnachweise im vereinbarten Umfang.
- Regelmäßige Überprüfung bei Änderungen von UK-Markt, Niederlassung oder Verarbeitung der Organisation.
Benannter UK-Vertreter
- Vertreter:
- Privacy Core UK Ltd (Company No. 17350509)
- Niederlassung:
- United Kingdom
- Anschrift:
- 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom
- Kontakt:
- privacy@mypcsuk.com (monitored)
Ablauf der Benennung
Auslöser bestätigen
Bestätigung des räumlichen UK-Auslösers und der Frage, ob eine Ausnahme realistisch in Betracht kommt.
Umfang abstecken
Identifikation der Gesellschaften, Produkte und Verarbeitungen, die die Benennung abdeckt.
Gesellschaft bestätigen
Bestätigung der im UK niedergelassenen Vertretergesellschaft und der kommerziellen Bedingungen.
Mandat unterzeichnen
Unterzeichnung des schriftlichen Mandats und Vereinbarung des Kommunikations- und Eskalationsprozesses.
Transparenzinformationen aktualisieren
Aktualisierung von Datenschutzinformationen, öffentlichen Kontaktstellen und relevanten Verzeichnissen.
Testen und überprüfen
Test des Kontaktwegs und Planung der regelmäßigen Überprüfung.
Nur UK oder EU + UK?
Eine UK-Vertreterbenennung deckt ausschließlich das UK-Regime ab. Richtet sich dieselbe Organisation auch an Personen in der EU oder beobachtet sie dort Verhalten, ohne eine einschlägige EU-Niederlassung zu haben, kann eine separate EU-Benennung erforderlich sein. Der kombinierte Service koordiniert Onboarding und Reporting und hält die beiden rechtlichen Benennungen dennoch getrennt.
| UK-Vertreter | EU-Vertreter | |
|---|---|---|
| Gebiet | Vereinigtes Königreich | Anwendungsbereich EU/EWR nach der EU-DSGVO |
| Niederlassung | Im UK niedergelassene Anlaufstelle | Niederlassung in einem geeigneten EU-Mitgliedstaat |
| Behördenkontakt | Information Commissioner | Zuständige EU-Aufsichtsbehörde oder -behörden |
| Rechtliche Benennung | Separates UK-Mandat | Separates EU-Mandat |
Umfang und Preisfaktoren
Das Angebot sollte die Zahl der juristischen Personen und Marken, Art und Umfang der UK-Verarbeitung, die erwartete Korrespondenz, den Stand der Verzeichnisse, Sprachen und etwaige weitergehende Beratung widerspiegeln. Es sollte das Vertretermandat klar von DSB-Leistungen oder umfassender operativer DSGVO-Unterstützung abgrenzen.
Sie vergleichen die Rollen? Lesen Sie DSB oder DSGVO-Vertreter.
Bereit, Ihre UK-Position zu klären?
Führen Sie die Prüfung durch oder senden Sie uns Ihre rechtliche Struktur, UK-Marktaktivität, Beobachtungsaktivitäten, Kategorien personenbezogener Daten und aktuellen Datenschutzinformationen. Wir zeigen die voraussichtliche Position auf sowie alle Punkte, die vor der Benennung rechtlich zu prüfen sind.
Häufig gestellte Fragen
Welche ausländischen Organisationen benötigen einen UK-Vertreter nach der DSGVO?
Die Pflicht greift in der Regel, wenn eine Organisation außerhalb des Vereinigten Königreichs keine einschlägige UK-Niederlassung hat, die UK-DSGVO aber anwendbar ist, weil sie Personen im UK Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet – sofern keine Ausnahme greift.
Bedeutet ein UK-Kunde automatisch, dass wir einen Vertreter benötigen?
Nicht zwingend. Die räumliche Prüfung fragt, ob Personen im UK Waren oder Dienstleistungen angeboten werden oder Verhalten im UK beobachtet wird – zusammen mit der Niederlassungs- und Ausnahmesituation. Eine dokumentierte Prüfung ist einer Schlussfolgerung auf Basis eines einzelnen Kunden vorzuziehen.
Ist der UK-Vertreter unser DSB?
Nein. Die Rollen haben unterschiedliche rechtliche Auslöser, Pflichten und Unabhängigkeitsanforderungen. Ein Vertreter ist eine UK-Anlaufstelle nach Artikel 27. Ein DSB berät und überwacht unabhängig, sofern er benannt ist.
Kann unser EU-Vertreter auch das UK abdecken?
Nicht im Rahmen einer einzigen rechtlichen Benennung. Das UK- und das EU-Regime verlangen getrennte Benennungen und Niederlassungen. Kommerziell lassen sie sich über einen kombinierten Service koordinieren.
Was muss in unsere Datenschutzinformationen aufgenommen werden?
Soweit anwendbar, nehmen Sie die Identität und die Kontaktdaten des UK-Vertreters auf und stellen Sie sicher, dass der Kontaktweg mit Ihrem Prozess für Betroffenenanfragen und Beschwerden übereinstimmt.
Was passiert, wenn wir später ein UK-Büro eröffnen?
Eine neue UK-Niederlassung kann die Vertreteranalyse verändern, klärt die Lage aber nicht automatisch für jede Verarbeitungstätigkeit. Prüfen Sie den Zusammenhang zwischen Niederlassung und Verarbeitung, bevor Sie die Benennung beenden.