Kolumbien:
Was EU-Kunden erwarten

Überblick: Handel mit der EU

Kolumbien liefert vor allem Rohstoffe und Agrarprodukte in die EU, darunter Kaffee aus Huila und dem Kaffeegürtel, Bananen aus Urabá, Schnittblumen von der Sabana de Bogotá, Avocados und Kohle. Eine Aufschlüsselung nur für Kolumbien enthält die Länderseite der Kommission nicht. Für die Andenländer zusammen nennt sie für 2025 Agrarprodukte (48,7 %), mineralische Erzeugnisse (27,1 %) und Fischerei (13,5 %).

Daneben wächst der Export von IT-Dienstleistungen. Teams in Medellín, Bogotá und Cali entwickeln Software und betreiben Support für Kunden in Spanien und anderen EU-Ländern.

Datenschutz: Ley 1581 im Vergleich zur DSGVO

Grundlage ist die Ley Estatutaria 1581 de 2012 mit ihren Verordnungen (Decreto 1377/2013 und Decreto 886/2014, heute im Decreto Único 1074/2015 zusammengefasst). Aufsicht ist die SIC (Superintendencia de Industria y Comercio) mit einer eigenen Abteilung für Datenschutz. Die SIC führt Prüfungen durch und verhängt Bußgelder.

Das kolumbianische Recht stützt sich stärker auf die Einwilligung als die DSGVO, die mehrere gleichrangige Rechtsgrundlagen kennt. Unternehmen ab einer bestimmten Größe müssen ihre Datenbanken im Registro Nacional de Bases de Datos (RNBD) eintragen. Dort werden auch Datenpannen gemeldet. Verantwortliche müssen schriftliche Richtlinien zur Datenverarbeitung haben, was in der Praxis einem Datenschutzkonzept nach DSGVO nahekommt.

Einen Angemessenheitsbeschluss der EU hat Kolumbien nicht. Ihre EU-Kunden brauchen für Übermittlungen Standardvertragsklauseln und eine Transfer-Folgenabschätzung. Umgekehrt prüft auch die SIC Übermittlungen aus Kolumbien ins Ausland. Wer Daten in beide Richtungen bewegt, muss beide Regime beachten.

Cybersicherheit im Vergleich zu NIS2

Ein Cybersicherheitsgesetz hat Kolumbien nicht. Grundlage sind das Policy-Dokument CONPES 3995 von 2020 zu digitalem Vertrauen und digitaler Sicherheit und das Decreto 338 de 2022, das die Governance der digitalen Sicherheit regelt. Eine nationale Agentur für digitale Sicherheit wird seit Jahren diskutiert, geschaffen ist sie nicht. Staatliches Notfallteam ist ColCERT beim Ministerium für IKT (MinTIC).

Verglichen mit NIS2 fehlen sektorübergreifende Pflichten zu Risikomanagement und Meldefristen. Strenger geregelt ist der Finanzsektor: Die Superintendencia Financiera verlangt von Banken und anderen beaufsichtigten Stellen Maßnahmen zur Cybersicherheit und die Meldung von Vorfällen (Circular Externa 007 de 2018, heute Teil der Circular Básica Jurídica).

Für Lieferanten europäischer Kunden kommen die Pflichten aus dem Vertrag: NIS2-Klauseln zur Lieferkette, bei Finanzkunden DORA, bei vernetzten Produkten der Cyber Resilience Act.

Meldefristen im Vergleich

Die kolumbianische Frist ist deutlich länger als die europäische. Wenn Sie für einen EU-Kunden Daten verarbeiten, gilt für Sie die Frist aus dem Vertrag, meist 24 bis 48 Stunden, damit der Kunde seine 72 Stunden halten kann.

Behörden, CSIRT, Akkreditierungsstelle

Für Zertifikate gilt: Wichtig ist weniger, wo die Zertifizierungsstelle sitzt, als wer sie akkreditiert hat. Fragen Sie vor dem Auftrag, ob die Akkreditierung durch die ONAC oder eine ausländische Stelle unter das internationale Anerkennungsabkommen der Global ACI fällt (seit dem 1. Januar 2026 Nachfolgerin von IAF und ILAC; bestehende Akkreditierungen bleiben anerkannt). Dann wird das Zertifikat bei EU-Kunden im Regelfall anerkannt. Manche Konzerne verlangen trotzdem einen bestimmten Zertifizierer. Klären Sie das, bevor Sie Geld für ein Audit ausgeben.

Was EU-Kunden typischerweise verlangen

Exporteure von Kaffee, Kakao und Palmöl müssen die EUDR erfüllen: Geodaten der Fincas, Nachweis entwaldungsfreier Erzeugung nach dem 31.12.2020, Nachweis legaler Produktion. Kolumbien ist als Land mit Standardrisiko eingestuft. Für eine Kooperative in Huila mit Hunderten kleiner Betriebe ist die Sammlung der Polygone der größte Aufwand. Bananen- und Blumenexporteure werden nach Zertifikaten wie GLOBALG.A.P. oder nach Lebensmittelstandards gefragt.

IT-Dienstleister bekommen Standardvertragsklauseln, einen Sicherheitsfragebogen und oft die Frage nach ISO 27001. Wer ein Managementsystem für Informationssicherheit aufbauen will, kann Richtlinien, Risiken und Nachweise in einer GRC-Plattform wie Sightadel führen.

Im Vertrag finden sich diese Punkte meist als Anhänge: Standardvertragsklauseln, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Meldefristen und Prüfrechte. Für die Transfer-Folgenabschätzung fragt Ihr EU-Kunde nach Speicherorten, Zugriffen und Verschlüsselung. Da Sie in Kolumbien bereits Richtlinien zur Datenverarbeitung führen und Datenbanken im RNBD melden, haben Sie einen Teil der Antworten schon dokumentiert. Liegen diese Unterlagen neben den Anforderungen der DSGVO an einem Ort, etwa in Sightadel, geht die Antwort an jeden weiteren Kunden schneller.

Ein sinnvoller Einstieg für kolumbianische Unternehmen:

1. Klären Sie, welche Ihrer Kunden in der EU sitzen und welche Regeln für sie gelten.
2. Gleichen Sie Ihre Richtlinien nach Ley 1581 mit den Anforderungen der DSGVO ab, besonders bei Rechtsgrundlagen und Löschfristen.
3. Verkürzen Sie Ihre interne Meldefrist für Vorfälle deutlich unter die 15 Werktage der SIC.
4. Sammeln Sie für Kaffee, Kakao und Palmöl die Geodaten aller Flächen, auch die Ihrer Zulieferer.
5. Prüfen Sie, ob ein Zertifikat nach ISO 27001 oder ein Lebensmittelstandard viele Einzelfragen auf einmal beantwortet.

Wo Sie heute stehen, zeigt der kostenlose EU-Readiness-Check.

Abkommen mit der EU

Kolumbien ist mit dem Mercosur assoziiert, aber nicht Teil des EU-Mercosur-Abkommens. Mit der EU gilt das Handelsübereinkommen mit Kolumbien, Peru und Ecuador. Es wird mit Kolumbien seit dem 01.08.2013 vorläufig angewendet. Für die Zollpräferenz brauchen Sie einen Ursprungsnachweis. Das Abkommen enthält ein Kapitel zu Handel und nachhaltiger Entwicklung mit Verweisen auf die Kernarbeitsnormen der ILO und internationale Umweltabkommen.

Für die Praxis heißt das: Prüfen Sie für jede Ware den Zollsatz und die Ursprungsregel im Portal Access2Markets der Europäischen Kommission, nach Warennummer sortiert. Viele Agrar- und Industrieprodukte sind seit Jahren zollfrei, für einige Waren gelten Kontingente oder Übergangsregeln. Bei verarbeiteten Waren entscheidet die Ursprungsregel, ob genug Wertschöpfung im Land stattgefunden hat. Ihr Importeur in der EU kann helfen, den Ursprungsnachweis korrekt auszustellen. Halten Sie die Unterlagen dazu mehrere Jahre bereit, denn der Zoll kann nachträglich prüfen.

FAQ