DSGVO-Konformität für US-Unternehmen (2026)

Wenn Sie ein US-amerikanisches Unternehmen sind, das Kunden in der EU bedient oder deren Online-Verhalten verfolgt, gilt die DSGVO wahrscheinlich für Sie. Das Gesetz ist jedoch komplex, basiert auf einem anderen Rechtssystem und stellt amerikanische Teams mit begrenzten Ressourcen oft vor große Herausforderungen. Fehler sind nicht nur riskant, sondern auch teuer: Die Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes betragen.

Dieser Blog erklärt detailliert, wie die DSGVO für US-Unternehmen gilt, erläutert die wichtigsten Anforderungen, einschließlich der Regeln für internationale Datentransfers und der zugelassenen Mechanismen für die Übermittlung personenbezogener Daten aus der EU in die USA, und gibt Ihnen Hinweise, wie Sie die DSGVO-Vorgaben einhalten können, ohne Zeit, Geld oder Nerven zu verlieren. Ob Sie gerade erst in den EU-Markt einsteigen oder Ihr Geschäft ausbauen – dieser Leitfaden hilft Ihnen, die DSGVO-Vorgaben klar und kontrolliert zu erfüllen.

Was versteht man unter DSGVO-Konformität?

Die Einhaltung der DSGVO ist der Prozess der Befolgung der Bestimmungen der Datenschutz-Grundverordnung, eines EU-Datenschutzgesetzes. Sie regelt, wie Organisationen personenbezogene Daten von EU-Bürgern erheben, speichern und verarbeiten und gewährleistet dabei Transparenz, Einwilligung und Datenschutz. Die DSGVO gilt für jedes Unternehmen – unabhängig vom Standort –, das Waren oder Dienstleistungen für EU-Bürger anbietet oder deren Online-Verhalten überwacht. Verstöße können erhebliche Bußgelder nach sich ziehen. Die DSGVO ist ein wichtiger Standard für den globalen Datenschutz.

Verantwortlicher vs. Auftragsverarbeiter: Ihre Rolle gemäß DSGVO verstehen

Bevor Sie feststellen, ob die DSGVO für Ihr US-Unternehmen gilt, ist es wichtig, eine grundlegende Unterscheidung zu verstehen, die die Verordnung zwischen zwei Arten von Unternehmen trifft:

• Regler: Die Instanz, die entscheidet warum und wie Personenbezogene Daten werden verarbeitet. Wenn Ihr Unternehmen Kundendaten erhebt, den Zweck ihrer Verwendung festlegt und entscheidet, wie sie gespeichert oder weitergegeben werden, sind Sie der Verantwortliche und tragen die primären Compliance-Pflichten.
• Prozessor: Die Stelle, die personenbezogene Daten verarbeitet im Namen von Ein Controller, der die Anweisungen des Controllers strikt befolgt. Cloud-Anbieter, Gehaltsabrechnungsplattformen und Analysetools sind gängige Beispiele.

Warum ist das wichtig?

Ihre Rolle bestimmt Ihre Pflichten. Verantwortliche müssen eine rechtmäßige Grundlage für die Verarbeitung schaffen, Aufzeichnungen führen, auf Anfragen betroffener Personen reagieren und Vertreter benennen. Auftragsverarbeiter haben zwar weniger strenge, aber dennoch wichtige Pflichten; sie dürfen nur gemäß dokumentierter Anweisungen handeln, Sicherheitsstandards einhalten und DSGVO-konforme Vereinbarungen mit den Verantwortlichen abschließen. Manche Organisationen übernehmen je nach Daten und Kontext beide Rollen.

Wenn Sie Ihre Rolle kennen, bevor Sie die Anwendbarkeit der DSGVO beurteilen, stellen Sie sicher, dass Sie von Anfang an die richtigen Verpflichtungen im Blick haben.

Weiterführende Lektüre: DSGVO-Datenverarbeiter vs. Verantwortlicher

Gilt die DSGVO auch für US-Unternehmen?

Ja, die DSGVO-Konformität gilt auch für US-Unternehmen, wenn die Art der verarbeiteten Daten Tools umfasst, die das Online-Verhalten von EU-Bürgern überwachen, wie z. B. die Verfolgung von IP-Adressen oder Cookies von Website-Besuchern.

Eine wichtige Nuance ist jedoch zu beachten: Die alleinige Erfassung von IP-Adressen löst nicht automatisch die Pflichten gemäß der DSGVO aus. Entscheidend sind Absicht und Kontext der Datenerhebung. Die DSGVO greift insbesondere dann, wenn Ihre Aktivitäten auf EU-Bürger ausgerichtet sind, beispielsweise wenn Sie Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten überwachen. Allein die Tatsache, dass Besucher aus der EU Ihre Website aufrufen, ohne dass Sie den EU-Markt gezielt ansprechen, reicht möglicherweise nicht aus, um die DSGVO-Pflichten auszulösen.

DSGVO-Anforderungen für US-Unternehmen

Wenn Ihr US-Unternehmen EU-Bürger als Zielgruppe hat oder deren Online-Verhalten verfolgt, ist die Einhaltung der DSGVO zwingend erforderlich. Hier sind die fünf wichtigsten Anforderungen:

1. Rechtmäßige Datenverarbeitung
   Für die Erhebung und Nutzung personenbezogener Daten benötigen Sie eine klare Rechtsgrundlage, wie beispielsweise eine Einwilligung, einen Vertrag oder ein berechtigtes Interesse.
2. Nutzereinwilligung und Transparenz
   Die Einwilligung muss ausdrücklich, informiert und jederzeit widerrufbar sein. Ihre Datenschutzerklärung sollte die Datenverarbeitungspraktiken und die Rechte der Nutzer klar erläutern.
3. Betroffenenrechte
   EU-Bürger haben das Recht, auf ihre Daten zuzugreifen, diese zu berichtigen, zu löschen, zu übertragen, deren Verarbeitung einzuschränken und ihr zu widersprechen. Sie sind vor ausschließlich automatisierten Entscheidungen geschützt, die sie erheblich beeinträchtigen. Sie müssen diese Anfragen innerhalb strikter Fristen beantworten und einen dokumentierten Prozess für deren Bearbeitung unterhalten.
4. Lieferantenmanagement
   Alle Drittanbieter, die EU-Daten verarbeiten, müssen DSGVO-konforme Vereinbarungen unterzeichnen und die festgelegten Sicherheitsstandards einhalten.
5. Verstoßbenachrichtigung
   Datenschutzverletzungen müssen innerhalb von 72 Stunden den EU-Regulierungsbehörden und, bei hohem Risiko, den betroffenen Nutzern gemeldet werden.

Sehen Sie sich auch dieses Video zu den DSGVO-Grundsätzen an:

Wie wird die DSGVO in den USA umgesetzt? 

Die DSGVO gilt aufgrund ihrer extraterritorialen Geltung auch für US-Unternehmen. Jedes Unternehmen, das Daten von EU-Bürgern erhebt oder verarbeitet, muss die Bestimmungen einhalten, unabhängig vom Standort. Die EU-Aufsichtsbehörden sind befugt, Verstöße zu untersuchen und Bußgelder nach einem zweistufigen System zu verhängen. Schwere Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Weniger schwere Verstöße können Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen. Neben finanziellen Sanktionen können die Aufsichtsbehörden auch Korrekturmaßnahmen anordnen, wie beispielsweise die Aussetzung von Verarbeitungstätigkeiten.

Um diesen Verpflichtungen nachzukommen, müssen US-Unternehmen einen Vertreter in der EU benennen, datenschutzkonforme Verfahren gemäß der DSGVO anwenden und sicherstellen, dass ihre Systeme für die Bearbeitung von Betroffenenrechten, Meldungen von Datenschutzverletzungen und Risikobewertungen ausgelegt sind. Der Nachweis der Einhaltung der Vorschriften durch ordnungsgemäße Dokumentation und interne Kontrollen ist entscheidend, um jederzeit auf Audits vorbereitet zu sein und Strafen zu vermeiden.

EU-DSGVO vs. UK-DSGVO: Benötigen US-Unternehmen beide?

Viele US-amerikanische SaaS-Unternehmen, die sowohl Nutzer in der EU als auch in Großbritannien bedienen, gehen fälschlicherweise davon aus, dass ein einheitliches DSGVO-Rahmenwerk beide Märkte abdeckt. Nach dem Brexit hat Großbritannien eine eigene Version der DSGVO, die UK-DSGVO, erlassen, die parallel zur EU-DSGVO gilt, aber von dieser unabhängig ist.

Das müssen US-Unternehmen wissen:

• Zwei unterschiedliche Rahmenwerke: Die britische DSGVO ist eng an die EU-DSGVO angelehnt, stellt aber eine separate Rechtsverpflichtung dar. Wer auch Nutzer in der EU bedient, muss beide Bestimmungen einhalten.
• Vertreter Großbritanniens: Genau wie die EU-DSGVO einen EU-Vertreter vorschreibt, verlangt die britische DSGVO einen separaten, in Großbritannien ansässigen Vertreter für Organisationen, die nicht in Großbritannien ansässig sind.
• Datenverarbeitungsvereinbarungen: Ein einziger Datenschutzvertrag kann beide Rahmenwerke abdecken, wenn er sorgfältig so formuliert wird, dass er den Anforderungen beider Rahmenwerke gerecht wird.
• Die Transfermechanismen unterscheiden sich: Das Vereinigte Königreich verfügt über eigene Transferinstrumente, die britischen Standardvertragsklauseln (UK SCCs) und den britischen Zusatz zu den EU-Standardvertragsklauseln (UK Addendum to EU SCCs), die sich von den Standardvertragsklauseln der EU unterscheiden.

Checkliste zur DSGVO-Konformität für US-Unternehmen

Diese Regeln gelten für in den USA ansässige Organisationen, die in EU-Ländern tätig werden möchten:

1. Ordnen Sie Ihre Daten zu.

Die DSGVO gilt nur, wenn Sie personenbezogene Daten von Personen verarbeiten, die unter dieses Rahmenwerk fallen. Bevor Sie Ihre Pflichten festlegen, benötigen Sie einen klaren Überblick darüber, welche Daten Sie speichern, warum Sie sie speichern und wie sie durch Ihr Unternehmen fließen. Eine interne Datenprüfung ist hierfür der erste Schritt.

Verwenden Sie die folgenden Fragen aus Vortrag 23, um die Anwendbarkeit zu bestimmen:

• Bieten Sie Waren oder Dienstleistungen sichtbar für Privatpersonen in EU-Mitgliedstaaten an?
• Verwenden Sie in Ihrem Angebot EU-Sprachen oder -Währungen?

Im Rahmen Ihrer Prüfung sollten Sie auch die Kategorien der erhobenen Daten, deren Verarbeitung und Übermittlung, die Personen, die Zugriff darauf haben, und die Dauer der Aufbewahrung ermitteln.

Besondere Kategorien von Daten

Ermitteln Sie im Rahmen Ihrer Bestandsaufnahme, ob Sie besondere Kategorien personenbezogener Daten erheben, darunter Informationen über die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung. Die Verarbeitung solcher Daten erfordert einen deutlich höheren Schutzstandard, eine ausdrückliche Einwilligung oder eine andere eng definierte rechtliche Ausnahme und in den meisten Fällen eine obligatorische Datenschutz-Folgenabschätzung (DSFA). Organisationen, die sensible Daten in großem Umfang verarbeiten, sollten zudem prüfen, ob die Bestellung eines Datenschutzbeauftragten (DSB) erforderlich ist.

Aufzeichnungen über die Verarbeitungstätigkeiten führen (Artikel 30)

Die Ergebnisse Ihrer Prüfung sollten direkt in ein Dokument über Verarbeitungstätigkeiten (ROPA) einfließen, das gemäß Artikel 30 für die meisten Organisationen verpflichtend ist. Ihr ROPA muss Folgendes dokumentieren:

• Beteiligte Controller: Die Identität aller Fluglotsen und Mitfluglotsen, wobei ihre Rollen klar spezifiziert werden, was insbesondere im Falle einer gemeinsamen Flugleitung wichtig ist.
• Verarbeitungszwecke: Warum die einzelnen Datenkategorien erhoben und verwendet werden
• Kategorien von Daten und betroffenen Personen: Welche Daten werden gespeichert und auf wen beziehen sie sich?
• Empfänger und Überweisungen: An wen Daten weitergegeben werden, einschließlich internationaler Datenübermittlungen und anwendbarer Schutzmaßnahmen
• Aufbewahrungsfristen: Wie lange jede Datenkategorie vor der Löschung aufbewahrt wird
• Sicherheitsmaßnahmen: Es wurden technische und organisatorische Maßnahmen zum Schutz der Daten getroffen.

Ihr ROPA ist ein lebendiges Dokument; es sollte immer dann überprüft und aktualisiert werden, wenn sich Ihre Verarbeitungstätigkeiten ändern. 

2. Transparent

„Es kommt auf die Absicht an.“ Die DSGVO ist nicht gegen die Datenerhebung gerichtet; sie regelt die rechtmäßige, faire und transparente Verarbeitung personenbezogener Daten über ihren gesamten Lebenszyklus hinweg – von der Erhebung und Speicherung bis hin zur Nutzung und Löschung. Sie können rechtliche Komplikationen vermeiden, indem Sie ausreichende Begründungen für die Verarbeitung liefern, beispielsweise:

• Sie haben die Einwilligung der betroffenen Person.
• Es ist notwendig, eine vertragliche Vereinbarung mit dem Vertragspartner zu erfüllen oder einer Anfrage des Vertragspartners nachzukommen, bevor ein Vertrag geschlossen wird. 
• Es ist Teil einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt
• Es schützt die Interessen des Betroffenen oder einer anderen Person.
• Zur Erfüllung einer Aufgabe im öffentlichen Interesse oder wenn der Verantwortliche amtliche Befugnisse ausübt
• Wenn der Verantwortliche oder ein Dritter berechtigte Interessen hat (es sei denn, diese überwiegen die Rechte der betroffenen Person),

Die Mitgliedstaaten der Union können zu einigen der oben genannten Begründungen spezifischere Regelungen einführen. 

Wenn Sie Daten auf Grundlage einer Einwilligung erheben, denken Sie daran, dass diese Einwilligung Folgendes beinhalten muss:

• Freiwillig erteilt – man kann die betroffene Person nicht zur Einwilligung zwingen. 
• Konkret – alle Verarbeitungstätigkeiten sollten klar aufgelistet werden, damit die betroffene Person jeder einzelnen zustimmen kann. 
• Aufgeklärt – die betroffene Person sollte Ihre Identität und Ihre Absicht kennen und ihr Recht auf Widerruf der Einwilligung kennen.
• Unmissverständlich – vermeiden Sie Praktiken, die den Nutzer zur Zustimmung verleiten sollen, wie beispielsweise vorausgewählte Kontrollkästchen oder Geschäftsbedingungen in kleinen Texten am unteren Rand einer Seite.  
• Widerruf – Betroffene können ihre Einwilligung jederzeit widerrufen.

Schließlich müssen Sie gemäß Artikel 12 vollständige Transparenz über Ihre Aktivitäten gewährleisten. Dies erfordert, dass Sie Ihre Datenschutzerklärung stets auf dem neuesten Stand halten.

Was in Ihre Datenschutzerklärung aufgenommen werden sollte

Die Transparenzpflichten beschränken sich nicht nur auf die direkte Datenerhebung von Einzelpersonen. Werden personenbezogene Daten von Dritten erhoben, müssen die betroffenen Personen innerhalb einer angemessenen Frist informiert werden, sofern keine spezifische Ausnahme vorliegt.

Ihre Datenschutzerklärung sollte Folgendes klar erläutern:

• Zweck der Verarbeitung: Warum die Daten erhoben werden und wie sie verwendet werden
• Rechtsgrundlage: Die rechtliche Grundlage, auf der die Daten verarbeitet werden
• Aufbewahrungsfristen: Wie lange die Daten vor der Löschung aufbewahrt werden
• Internationale Transfers: Ob Daten außerhalb der EU übermittelt werden und welche Schutzmaßnahmen getroffen werden.
• Individuelle Rechte: Welche Rechte Einzelpersonen an ihren Daten haben und wie sie diese ausüben können

3. Rechte der betroffenen Personen und Auskunftsersuchen für betroffene Personen

EU-Bürger haben verschiedene Rechte an ihren personenbezogenen Daten, die Ihre Organisation operativ erfüllen muss:

• Zugang und Portabilität: Das Auskunftsrecht gemäß Artikel 15 DSGVO Die Verpflichtungen verpflichten Organisationen, innerhalb von 30 Tagen nach einer Anfrage vollständige Datenkopien, Verarbeitungszwecke und Empfängerlisten bereitzustellen.
• Korrektur und Löschung: Unrichtige Daten müssen auf berechtigte Anfrage hin korrigiert und gelöscht werden.
• Einschränkung und Einspruch: Einzelpersonen können die Verwendung ihrer Daten einschränken oder deren Verarbeitung widersprechen, insbesondere für Direktmarketingzwecke.
• Automatisierte Entscheidungssicherungen: Einzelpersonen dürfen nicht ausschließlich automatisierten Entscheidungen unterworfen werden, die sie erheblich betreffen, ohne menschliche Aufsicht, ohne die Möglichkeit, ihre Meinung zu äußern, und ohne das Recht, das Ergebnis anzufechten.

Beantwortung von DSARs

Anfragen müssen innerhalb eines Kalendermonats bearbeitet werden. In komplexen Fällen kann die Frist um zwei Monate verlängert werden. Die betroffene Person muss innerhalb des ursprünglichen Zeitraums benachrichtigt werden. Vor der Beantwortung ist die Identität des Anfragenden zu überprüfen. Anfragen sind – sofern nicht übermäßig – kostenlos zu bearbeiten. Alle Anfragen und ergriffenen Maßnahmen sind zu Prüfungszwecken zu protokollieren.

Automatisierte Entscheidungsfindung und Profiling

Wenn Ihre Organisation KI oder Algorithmen für Entscheidungen wie Kreditgenehmigungen oder Eignungsprüfungen einsetzt, stellen Sie sicher, dass menschliche Überprüfungsmechanismen, Transparenz bei der Entscheidungsfindung und Erklärbarkeit in Ihre Systeme integriert sind.

4. Risikobewertung

Werden Daten in der Cloud oder über Drittsysteme bereitgestellt, sind sie einer Reihe von Sicherheits- und Datenschutzbedrohungen ausgesetzt. Als Datenverantwortlicher ist die Minderung dieser Risiken keine Option, sondern eine zentrale Pflicht gemäß DSGVO.

Datenschutz-Folgenabschätzung (DPIA)

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein strukturierter Prozess zur Identifizierung und Minimierung von Datenschutzrisiken, bevor diese eintreten. DSFAs sind verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Einzelpersonen birgt, beispielsweise bei der Nutzung neuer Technologien, der Verarbeitung sensibler Daten in großem Umfang oder der Durchführung systematischer Überwachung. Auch wenn eine DSFA nicht zwingend vorgeschrieben ist, gilt sie als bewährte Sicherheitsmaßnahme und zeugt von proaktiver Verantwortlichkeit.

Technische und organisatorische Maßnahmen (TOMs)

Die DSGVO verpflichtet Organisationen zur Implementierung geeigneter Sicherheitsmaßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Dazu gehören:

• Technische Maßnahmen: Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Zugriffskontrollen und regelmäßige Sicherheitstests
• Organisatorische Maßnahmen: Mitarbeiterschulungen, interne Richtlinien zum Umgang mit Daten, Verfahren zur Reaktion auf Sicherheitsvorfälle und klare Verantwortlichkeitsstrukturen

Die Implementierung von TOMs ist keine einmalige Angelegenheit; sie sollten regelmäßig überprüft und aktualisiert werden, um sich entwickelnden Bedrohungen und Veränderungen in Ihren Verarbeitungstätigkeiten Rechnung zu tragen.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

Wenn Sie ein neues Projekt starten oder ein neues System einführen, das personenbezogene Daten verarbeitet, verpflichtet die DSGVO Sie, Datenschutzmaßnahmen von Anfang an zu integrieren und nicht erst im Nachhinein zu berücksichtigen. Das bedeutet:

• Anwendung von Sicherheitsmaßnahmen wie Pseudonymisierung, Verschlüsselung und Datenminimierung bereits in der Entwurfsphase
• Die Erfassung, Speicherung, der Zugriff und die Verarbeitung von Daten werden auf das beschränkt, was für den angegebenen Zweck unbedingt erforderlich ist.
• Sicherstellen, dass standardmäßig nur die minimal erforderliche Menge an personenbezogenen Daten verarbeitet wird
• Dokumentation und Nachweis der Einhaltung durch DSGVO-Zertifizierung, sofern zutreffend

Kontrollen zur Datenaufbewahrung und -löschung

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Organisationen müssen Aufbewahrungsfristen auf Grundlage rechtlicher, vertraglicher und geschäftlicher Erfordernisse festlegen und sicherstellen, dass Daten gelöscht oder anonymisiert werden, sobald sie nicht mehr benötigt werden. Aufbewahrungsrichtlinien sollten Folgendes berücksichtigen:

• Zeiträume nach Datenkategorie festlegen
• Sichern Sie nicht nur Live-Systeme, sondern auch Backups und archivierte Daten.
• Integrieren Sie nach Möglichkeit automatisierte Löschmechanismen.

Eine unzureichende Aufbewahrungsverwaltung ist eine der häufigsten und am einfachsten vermeidbaren Lücken bei der Einhaltung der DSGVO. Aufbewahrungsfristen sollten dokumentiert und regelmäßig überprüft werden, um sicherzustellen, dass sie weiterhin Ihren aktuellen Verarbeitungstätigkeiten und rechtlichen Verpflichtungen entsprechen.

5. Lieferantenvereinbarung

Nicht nur böswillige Akteure gefährden Ihre Kundendaten. Auch Drittanbieter und Geschäftspartner, die in Ihrem Auftrag auf personenbezogene Daten zugreifen oder diese verarbeiten, stellen ein erhebliches und oft unterschätztes Compliance-Risiko dar. Eine Auftragsverarbeitungsvereinbarung (AVV) ist das wichtigste Instrument zur Risikominimierung. Sie ist ein rechtsverbindlicher Vertrag, der die Verarbeitung personenbezogener Daten durch die Anbieter regelt und die Einhaltung der DSGVO-Vorgaben sicherstellt.

Was eine konforme Datenschutzvereinbarung abdecken muss

Eine konforme Datenschutzvereinbarung sollte Folgendes klar definieren:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Die Arten der betroffenen personenbezogenen Daten
• Die betroffenen Personengruppen

Es sollte außerdem von den Prozessoren Folgendes verlangen:

• Datenverarbeitung nur gemäß dokumentierter Anweisung des Controllers
• Setzen Sie geeignete technische und organisatorische Maßnahmen (TOMs) um, um die Datensicherheit zu gewährleisten.
• Vor der Beauftragung von Unterauftragnehmern ist eine schriftliche Genehmigung einzuholen.
• Unterstützen Sie den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen und der Bearbeitung von Meldungen über Datenschutzverletzungen.
• Alle personenbezogenen Daten werden nach Beendigung der Dienstleistungen zurückgegeben oder sicher gelöscht.

Das Führen eines Verzeichnisses aller Lieferantenverträge und deren regelmäßige Überprüfung stärkt die Verantwortlichkeit und stellt sicher, dass keine Geschäftsbeziehung außerhalb Ihres Compliance-Rahmens liegt.

Wie man DPAs und SCCs operativ verfolgt

Die Existenz von Datenschutzvereinbarungen und Standardvertragsklauseln ist nur die halbe Miete; deren operative Nachverfolgung und Pflege ist ebenso wichtig. Organisationen sollten:

• Führen Sie ein DPA-Register: Alle aktiven Lieferantenverträge, einschließlich Gültigkeitsdatum, Verlängerungsdatum und Umfang der abgedeckten Verarbeitung, sind zu protokollieren.
• Verwendete Track SCC-Vorlagen: Halten Sie fest, welche SCC-Version für jede Übertragungsbeziehung gilt, insbesondere da die Vorlagen von den Aufsichtsbehörden aktualisiert werden.
• Überprüfen Sie die Transfermechanismen regelmäßig: Stellen Sie sicher, dass die Rechtsgrundlage für jede internationale Datenübermittlung gültig und aktuell bleibt.
• Regulatorische Aktualisierungen im Auge behalten: Bleiben Sie über Änderungen der Standardvertragsklauseln, Angemessenheitsentscheidungen und Transferrahmen, die bestehende Vereinbarungen betreffen könnten, informiert.

Die Integration dieser operativen Ebene in Ihren Lieferantenmanagementprozess wandelt die DSGVO-Konformität von einer rein rechtlichen Checkliste in ein lebendiges, überprüfbares System.

6. Internationale Datenübertragung

Wenn Ihr US-Unternehmen personenbezogene Daten aus der EU in die USA oder ein anderes Drittland übermittelt, müssen Sie einen rechtmäßigen Übermittlungsmechanismus implementieren. Die Übermittlung von Daten ohne ausreichende Rechtsgrundlage zählt zu den häufigsten Verstößen gegen die DSGVO, die mit Sanktionen belegt werden. Zulässige Mechanismen sind beispielsweise:

• EU-US-Datenschutzrahmen (DPF): US-Organisationen können sich gemäß DPF selbst zertifizieren, um rechtmäßig personenbezogene Daten aus der EU zu erhalten.
• Standardvertragsklauseln (SCCs): Von der Europäischen Kommission genehmigte vertragliche Schutzmaßnahmen, die in Vereinbarungen mit Datenimporteuren aufgenommen werden können
• Verbindliche Unternehmensregeln (BCRs): Für multinationale Organisationen, die Daten innerhalb einer Unternehmensgruppe übertragen
• Transferfolgenabschätzungen (TIAs): Nach dem Schrems-II-Urteil müssen Organisationen prüfen, ob die Gesetze des Ziellandes, insbesondere ausländische Überwachungsgesetze, den durch Standardvertragsklauseln oder andere Mechanismen gebotenen Schutz untergraben könnten, und gegebenenfalls zusätzliche Schutzmaßnahmen implementieren.

Eine regelmäßige Überprüfung Ihrer Transfermechanismen ist unerlässlich, da sich die regulatorischen Anforderungen in diesem Bereich ständig weiterentwickeln.

7. Einen Vertreter ernennen

Organisationen außerhalb der EU müssen einen Vertreter innerhalb der EU benennen, wenn Artikel 3 auf sie Anwendung findet, d. h. wenn sie Waren oder Dienstleistungen für EU-Bürger anbieten oder deren Verhalten überwachen. Der Vertreter muss in dem EU-Mitgliedstaat ansässig sein, in dem sich die Personen befinden, deren Daten verarbeitet werden.

Wann ist ein Vertreter erforderlich?

Nicht alle Organisationen außerhalb der EU sind automatisch verpflichtet, einen Vertreter zu benennen. Eine Ausnahme kann gelten, wenn:

• Die Verarbeitung erfolgt sporadisch und nicht systematisch.
• Es beinhaltet keine umfangreiche Verarbeitung sensibler Daten.
• Es ist unwahrscheinlich, dass es ein signifikantes Risiko für Einzelpersonen darstellt.

Die meisten Organisationen, die EU-Bürgern regelmäßig Waren oder Dienstleistungen anbieten, müssen jedoch einen Vertreter benennen. Da die meisten US-amerikanischen SaaS-Unternehmen in diese Kategorie fallen, sollte man nicht ohne sorgfältige rechtliche Prüfung von einer Ausnahme ausgehen.

EU-Vertreter vs. Vertreter Großbritanniens

Es ist wichtig zu beachten, dass die EU-DSGVO und die britische DSGVO separate Rahmenwerke mit jeweils eigenen Anforderungen an die Repräsentation darstellen:

• EU-Vertreter: Gemäß EU-DSGVO erforderlich, wenn Sie Daten von Personen mit Wohnsitz in den EU-Mitgliedstaaten verarbeiten
• Vertreter in Großbritannien: Wenn Sie auch Daten von Einwohnern des Vereinigten Königreichs verarbeiten, kann gemäß der britischen DSGVO ein separater, im Vereinigten Königreich ansässiger Vertreter erforderlich sein.

Organisationen, die sowohl EU- als auch britische Nutzer betreuen, können sich nicht auf einen einzigen Vertreter verlassen, um beiden Verpflichtungen nachzukommen; jede Jurisdiktion muss unabhängig behandelt werden.

Rolle und Verantwortlichkeiten

Der Datenschutzbeauftragte fungiert als Ansprechpartner für betroffene Personen und Aufsichtsbehörden in allen Fragen der DSGVO-Konformität. Seine Bestellung erfolgt unbeschadet etwaiger direkt gegen den Verantwortlichen oder Auftragsverarbeiter erhobener Klagen. Er ist verpflichtet, uneingeschränkt mit den zuständigen Aufsichtsbehörden zusammenzuarbeiten, um die Einhaltung der Datenschutzbestimmungen zu gewährleisten.

8. Meldung von Datenschutzverletzungen

Egal wie gut Ihre Sicherheitsvorkehrungen sind, ein hundertprozentiger Schutz vor Sicherheitsverletzungen ist nicht möglich. Richten Sie Ihre Infrastruktur so ein, dass sie nicht nur vorbeugt, sondern auch auf Notfälle vorbereitet ist. Im Falle einer Infektion müssen umgehend zwei Parteien benachrichtigt werden: die zuständige Behörde und die betroffene Person.

Bitte beachten Sie bei der Benachrichtigung der Aufsichtsbehörde Folgendes: 

• Die Benachrichtigung muss innerhalb von 72 Stunden nach dem Verstoß erfolgen, es sei denn, es besteht keine Gefahr, dass die Rechte und Freiheiten der betroffenen Person beeinträchtigt werden. 
• Die Meldung sollte die Art des Verstoßes, die Anzahl der betroffenen Personen und deren Kategorien beschreiben. 
• Sie sollte die Kontaktdaten der zuständigen Datenschutzbehörde, die möglichen Folgen der Datenschutzverletzung sowie die zur Behebung und Minderung des Schadens ergriffenen Maßnahmen enthalten.
• Dokumentieren Sie die Einzelheiten des Verstoßes, seine Auswirkungen und die zur Minderung der Auswirkungen ergriffenen Maßnahmen. 

Stellen Sie bei der Benachrichtigung der betroffenen Person Folgendes sicher:

• Benachrichtigen Sie die betroffenen Personen unverzüglich, wenn ein hohes Risiko der Verletzung ihrer Rechte und Freiheiten besteht. 
• Das oben Genannte ist nicht erforderlich, wenn die Daten für Personen mit unbefugtem Zugriff unverständlich sind, wenn Sie angemessene Maßnahmen ergreifen, um sicherzustellen, dass keine Beeinträchtigung von Rechten und Freiheiten erfolgt, oder wenn es wahrscheinlich zu nachteiligen Folgen führen wird. 
• Erläutern Sie den Verstoß und die Korrekturmaßnahmen in klaren und einfachen Worten. 

9. Datenschutzbeauftragter

Wenn Ihr Unternehmen große Datenmengen und verschiedene Datentypen verarbeitet, kann es für die Mitarbeitenden eine große Herausforderung sein, alle Aufgaben im Zusammenhang mit der DSGVO zu bewältigen. Sie könnten die Ernennung eines Datenschutzbeauftragten (DSB) in Erwägung ziehen. Die DSGVO verpflichtet Unternehmen jedoch zur Bestellung eines DSB, wenn:

• Die Daten werden von einer öffentlichen Stelle oder Behörde verarbeitet. Dies gilt nicht für Gerichte und unabhängige Justizbehörden. 
• Die Verarbeitung und Überwachung personenbezogener Daten in großem Umfang ist von zentraler Bedeutung für Ihre Geschäftstätigkeit.
• Verarbeitung spezielle Datenkategorien im großen Maßstab ist dies von zentraler Bedeutung für Ihre Geschäftstätigkeit.

DSGVO, ganz einfach erklärt

Die DSGVO ist nicht einfach – aber auch keine Wahl. Giganten wie Facebook, Google oder Amazon können Millionen an Schadensersatz zahlen, lassen kleinere Unternehmen aber im Stich. 

Eine Studie von PwC ergab, dass US-Unternehmen jährlich zwischen 1 und über 10 Millionen US-Dollar für die Einhaltung der DSGVO ausgeben. Glücklicherweise gibt es eine günstigere und schnellere Alternative, die Sie nur einen Bruchteil der Zeit und des Geldes kostet. Die Sprinto-Lösung automatisiert den gesamten Prozess – von der Beweissicherung über die Risikoüberwachung und Audits bis hin zu Schulungen – alles, was Sie benötigen, um Bußgelder aufgrund der DSGVO zu vermeiden.

Lassen Sie uns heute über Ihre Bedürfnisse sprechen.

Häufig gestellte Fragen