DSGVO, wenn Ihr Unternehmen amerikanisch ist
Eine US-Gesellschaft, die nach Europa verkauft, unterliegt der DSGVO. Was sich ändert, sind Papierkram, Übermittlungsgrundlage und wonach Kunden fragen.
Eine Gründung außerhalb der EU stellt Sie nicht außerhalb der DSGVO. Wer Personen in der Union Waren oder Dienste anbietet oder ihr Verhalten beobachtet, unterliegt der Verordnung — unabhängig davon, wo das Unternehmen gegründet wurde. Das überrascht viele Gründerinnen und Gründer, die sich aus Tempogründen für eine Delaware LLC entschieden haben.
Was sich tatsächlich ändert, ist die Mechanik. Sie brauchen möglicherweise eine Vertretung in der Union nach Artikel 27. Ihre Übermittlungen aus dem EWR benötigen eine Rechtsgrundlage, was seit 2023 meist das EU-US-Datenschutzrahmenwerk oder Standardvertragsklauseln mit einer Folgenabschätzung dahinter bedeutet.
Kaufmännisch beißt vor allem der Einkauf. Großkunden in Deutschland und den Niederlanden schicken Ihnen einen Auftragsverarbeitungsvertrag und einen Sicherheitsfragebogen, bevor sie Ihnen einen Vertrag schicken. Wenn Sie Ihre Unterauftragnehmer nicht benennen, den Speicherort nicht angeben und Ihre Löschfristen nicht beschreiben können, hängt der Abschluss wochenlang in der Rechtsabteilung.
Unser praktischer Rat: Schreiben Sie die langweiligen Dokumente früh. Eine Datenkarte, eine Liste der Unterauftragnehmer, ein Löschkonzept und einen AV-Vertrag, den Sie zu unterschreiben bereit sind. Zwei Tage Arbeit beseitigen den häufigsten Grund, warum europäische Abschlüsse still werden.
Und seien Sie auf der eigenen Website genau. Wir haben Seiten geprüft, deren Cookie-Richtlinie eine Analyse beschrieb, die gar nicht lief, und andere, die Google Analytics einsetzten hinter einer Richtlinie, die gar keine Cookies behauptete. Beides ist vermeidbar, und beides fällt einer Aufsichtsbehörde zuerst auf, weil die Prüfung dreißig Sekunden dauert.