DSGVO: Personendaten aus der EU in Südamerika

Kurz erklärt

Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen: Namen, E-Mail-Adressen, Kundennummern, Standortdaten, Gesundheitsdaten und alles, was sich einer Person zuordnen lässt. Sie gilt seit 25.05.2018 in allen Mitgliedstaaten unmittelbar.

Für Unternehmen außerhalb der EU gibt es zwei Wege, auf denen die DSGVO greift. Der erste ist das Marktortprinzip in Artikel 3 Abs. 2: Wer Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, etwa über Tracking auf einer Website, unterliegt der DSGVO direkt. Der zweite Weg ist häufiger. Ein EU-Unternehmen beauftragt Sie, Daten für es zu verarbeiten, und darf das nur, wenn ein Vertrag nach Artikel 28 besteht und die Übermittlung in Ihr Land nach Kapitel V (Art. 44 bis 50) zulässig ist.

Kapitel V kennt mehrere Grundlagen. Am einfachsten ist ein Angemessenheitsbeschluss der Kommission nach Artikel 45: Dann gilt Ihr Land als sicher, und Daten fließen wie innerhalb der EU. Fehlt er, braucht der EU-Kunde geeignete Garantien nach Artikel 46, in der Praxis fast immer die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914).

Die Aufsichtsbehörden können Bußgelder bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5). Für Unternehmen außerhalb der EU ist die Durchsetzung schwieriger, für Ihren EU-Kunden aber nicht. Deshalb prüft er genau, wem er Daten anvertraut, und lässt sich im Vertrag Haftung und Kontrollrechte zusichern. Ein Datenleck bei einem Dienstleister in Lima fällt rechtlich auf den Auftraggeber in Madrid zurück.

Wen es in Südamerika trifft

Direkt betroffen sind Online-Shops, SaaS-Anbieter, Reiseveranstalter, Sprachschulen oder App-Anbieter, die gezielt Kunden in der EU ansprechen. Ein Hotel in Cusco mit einer deutschsprachigen Buchungsseite und Preisen in Euro gehört dazu. Diese Unternehmen müssen nach Artikel 27 einen Vertreter in der EU benennen. Ausgenommen ist nur eine gelegentliche Verarbeitung ohne umfangreiche sensible Daten (Art. 27 Abs. 2).

Indirekt betroffen sind alle Auftragsverarbeiter: Callcenter in Bogotá für einen spanischen Telekomanbieter, IT-Support aus Córdoba, Lohnabrechnung, Softwareentwicklung mit echten Kundendaten, Datenanalyse, Cloud-Hosting.

Der Beschluss für Brasilien ist gegenseitig: Die brasilianische Datenschutzbehörde ANPD hat ihrerseits die EU als angemessen anerkannt. Er deckt den öffentlichen und den privaten Sektor ab. Für ein Softwarehaus in Florianópolis entfallen seit dem Beschluss vom 26.01.2026 bei Übermittlungen aus der EU die Standardvertragsklauseln und die Transfer-Folgenabschätzung. Das spart einen großen Teil der Papierarbeit, die vorher mit jedem EU-Kunden anfiel.

Fristen

Die DSGVO gilt seit 2018 unverändert. Neue Termine betreffen vor allem die Region: der Angemessenheitsbeschluss für Brasilien vom 26.01.2026 und neue nationale Gesetze, etwa in Chile und Paraguay, die noch nicht voll anwendbar sind.

Die Kommission hat im November 2025 ein „Digital Omnibus“ vorgeschlagen, das auch Teile der DSGVO ändern soll. Solange der Vorschlag nicht verabschiedet ist, gilt die DSGVO in der bekannten Fassung. Planen Sie deshalb mit dem geltenden Recht.

Fristen im Alltag gibt es trotzdem. Eine Datenpanne muss der EU-Verantwortliche binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33). Als Auftragsverarbeiter müssen Sie ihn „unverzüglich“ informieren, und viele Verträge setzen dafür 24 oder 48 Stunden an.

Was EU-Kunden konkret verlangen

• Einen Auftragsverarbeitungsvertrag (AVV, englisch DPA) nach Artikel 28, meist auf dem Muster des Kunden.
• Bei Ländern ohne Angemessenheit die Standardvertragsklauseln, in der Regel Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter).
• Eine Transfer-Folgenabschätzung (Transfer Impact Assessment), die bewertet, ob Behörden in Ihrem Land auf die Daten zugreifen können.
• Eine Beschreibung Ihrer technischen und organisatorischen Maßnahmen (TOM) nach Artikel 32.
• Eine Liste Ihrer Unterauftragsverarbeiter, etwa Cloud-Anbieter und Ticketsysteme.
• Ein Verzeichnis der Verarbeitungstätigkeiten für die Daten des Kunden.
• Als Beleg für die TOM häufig ein Zertifikat nach ISO/IEC 27001, manchmal ergänzt um ISO/IEC 27701 für Datenschutz.

Wer Kunden in der EU direkt anspricht, braucht zusätzlich eine DSGVO-konforme Datenschutzerklärung, eine Rechtsgrundlage für jede Verarbeitung, einen Prozess für Auskunfts- und Löschanfragen und gegebenenfalls den EU-Vertreter nach Artikel 27.

Erste Schritte

1. Stellen Sie fest, ob Sie Personen in der EU direkt ansprechen oder nur für EU-Unternehmen Daten verarbeiten. Davon hängt ab, ob Sie einen EU-Vertreter brauchen.
2. Listen Sie auf, welche personenbezogenen Daten Sie von EU-Kunden erhalten, wo sie gespeichert sind und wer Zugriff hat.
3. Prüfen Sie die Rechtslage Ihres eigenen Landes. Die LGPD in Brasilien und die Gesetze in Argentinien und Uruguay sind der DSGVO ähnlich, in anderen Ländern fehlt einiges. Details stehen auf den Länderseiten.
4. Bereiten Sie eine TOM-Beschreibung vor, die Sie jedem Kunden geben können. Für den Teil zu Ihren aus dem Internet erreichbaren Systemen kann ein Bericht von veyrisk als Beleg dienen.
5. Legen Sie einen Ablauf für Datenpannen fest, mit Meldung an den Kunden binnen der vertraglichen Frist.
6. Machen Sie den kostenlosen EU-Readiness-Check, um Lücken zu sehen.

Eine GRC-Plattform wie Sightadel hilft, Verzeichnis, TOM und Verträge für viele Kunden aktuell zu halten.

Bezug zu Zertifikaten

Die DSGVO kennt eigene Zertifizierungen nach Artikel 42, die in der Praxis selten sind. EU-Kunden greifen deshalb auf ISO/IEC 27001 zurück, um die Sicherheit der Verarbeitung nach Artikel 32 zu belegen. SaaS-Anbieter mit US-Kunden haben oft einen SOC-2-Bericht, den viele EU-Kunden ebenfalls annehmen. Arbeiten Sie mit KI und personenbezogenen Daten, lohnt der Blick auf die KI-Verordnung. Für IT-Dienstleister von Banken kommt DORA hinzu, für viele andere NIS2.

Ein Zertifikat ersetzt keine Prüfung des Einzelfalls. Es zeigt aber, dass Zugriffsrechte, Verschlüsselung, Protokollierung und der Umgang mit Vorfällen geregelt sind und regelmäßig von außen geprüft werden. Genau diese Punkte fragt der Kunde in seiner TOM-Prüfung ab. Wer das Zertifikat hat, beantwortet sie mit einem Verweis statt mit zwanzig Seiten Erklärung.

FAQ