Diese Frage stellen sich insb. Schweizer Unternehmen, die nur wenige B2B-Kunden oder -Kontakte in der EU haben. In diesem Beitrag gibt’s die Antwort inkl. praktischen Lösungen.
Auch wenn euer Unternehmen ausschliesslich im B2B-Bereich tätig ist und nur wenige, nicht besonders heikle Personendaten aus der EU bearbeitet, besteht in der Regel die Pflicht zur Benennung eines EU-Datenschutz-Vertreters gemäss Art. 27 DSGVO.
Warum das auch für B2B-Unternehmen relevant ist
Die Europäische Datenschutzgrundverordnung (DSGVO) unterscheidet nicht zwischen B2B und B2C: Sobald ihr Personendaten von Personen in der EU bearbeitet, fällt die Datenbearbeitung unter die Verordnung – auch wenn es sich lediglich um Kontaktdaten eurer Geschäftspartner handelt. Diese gelten als personenbezogene Daten im Sinne der DSGVO. Die Regelungen greifen also, selbst wenn ihr keine Endkundendaten verarbeitet.
Die Pflicht zur Bestellung eines EU-Vertreters
Wenn ein Unternehmen mit Sitz ausserhalb der EU Personendaten von in der EU befindlichen Personen bearbeitet, verpflichtet Art. 27 DSGVO in der Regel zur Benennung eines EU-Vertreters.
Ausnahmefälle: Wann kein EU-Vertreter nötig ist
Art. 27 Abs. 2 lit. a DSGVO sieht eine Ausnahme vor, wenn:
- Die Bearbeitung nur gelegentlich erfolgt,
- keine sensiblen Daten (z. B. Gesundheitsdaten, politische Meinungen, biometrische Daten etc.) oder Daten zu Straftaten verarbeitet werden, und
- kein hohes Risiko für die Rechte der betroffenen Personen besteht.
Auch wenn Punkt 2 und 3 im B2B-Bereich oft zutreffen dürften, ist „gelegentlich“ streng auszulegen: Eine Datenbearbeitung gilt nur dann als gelegentlich, wenn sie nicht regelmässig erfolgt und nicht zur Kerntätigkeit des Unternehmens zählt. Die gesetzliche Ausnahme ist nicht besonders klar formuliert, aber in vielen Fällen fällt die Bearbeitung eher unter die Kerntätigkeit des Unternehmens als nicht.
Unsere Empfehlung
Wenn ein Unternehmen prüfen lassen will, ob im Einzelfall die Ausnahme greift, ist der Aufwand für eine saubere rechtliche Beurteilung und Dokumentation meist höher als die einfache Bestellung eines EU-Vertreters.
Die Umsetzung ist zudem mit überschaubarem Aufwand möglich. Auch wenn das Risiko einer behördlichen Prüfung im B2B-Bereich mit wenig umfangreicher Bearbeitung in der Regel eher gering ist, empfehlen wir dennoch, einen Vertreter zu ernennen – dies insbesondere wegen:
- Sicherstellung der Einhaltung gesetzlicher Anforderungen,
- Dadurch Reduktion eines unnötigen rechtlichen Risikos, und
- - nicht zu unterschätzen – der positiven Signalwirkung gegenüber Geschäftspartnern in der EU.
Einfache und kostengünstige Umsetzung
Es gibt diverse Anbieter, die die EU-Vertretung schnell, unkompliziert und zu überschaubaren Kosten als Dienstleistung übernehmen.
Fazit
Wer mit EU-Kontakten arbeitet, sollte einen EU-Datenschutz-Vertreter bestellen – auch im B2B. Die Anforderungen der DSGVO gelten auch bei minimaler Datenbearbeitung. Die Umsetzung ist unkompliziert und von überschaubarem finanziellen Aufwand. Ein EU-Vertreter sorgt nicht nur für Compliance, sondern stärkt auch das Vertrauen eurer Partner.
