Peru:
Was EU-Kunden erwarten

Überblick: Handel mit der EU

Peru exportiert vor allem Bergbau- und Agrarprodukte in die EU: Kupfer- und Zinkkonzentrate aus den Anden, Heidelbeeren, Avocados und Trauben von der Küste, Kaffee aus Cajamarca und Junín, dazu Fischmehl. Die Kommission veröffentlicht die Zahlen nur für die Andenländer zusammen. 2025 entfielen davon 48,7 % auf Agrarprodukte, 27,1 % auf mineralische Erzeugnisse und 13,5 % auf Fischerei.

Für Kaffee- und Kakaoexporteure ist die EUDR die größte neue Pflicht. Bergbauunternehmen werden vor allem zu Umwelt, Arbeitsbedingungen und Emissionen befragt.

Datenschutz: Ley 29733 im Vergleich zur DSGVO

Grundlage ist die Ley Nº 29733 zum Schutz personenbezogener Daten von 2011. Das neue Reglament, Decreto Supremo Nº 016-2024-JUS, ist seit dem 30.03.2025 in Kraft und ersetzt die alte Verordnung von 2013. Es nähert das peruanische Recht deutlich an die DSGVO an: Datenschutzbeauftragte für bestimmte Verantwortliche, Pflichten bei grenzüberschreitenden Übermittlungen, Regeln für Auftragsverarbeiter und vor allem eine feste Meldefrist für Datenpannen. Aufsicht ist die Autoridad Nacional de Protección de Datos Personales (ANPD) beim Justizministerium.

Die Meldefrist ist mit 48 Stunden kürzer als die 72 Stunden der DSGVO. Wann genau eine Meldung fällig ist, legen Fachleute unterschiedlich aus. Im Zweifel melden Sie lieber. Ein peruanischer Dienstleister, der für einen EU-Kunden Daten verarbeitet, muss also seinem Kunden und der ANPD gegenüber schnell sein.

Einen Angemessenheitsbeschluss der EU hat Peru nicht. EU-Kunden brauchen für Übermittlungen Standardvertragsklauseln und eine Transfer-Folgenabschätzung.

Cybersicherheit im Vergleich zu NIS2

Mit der Ley Nº 30999 (Ley de Ciberdefensa) von 2019 hat Peru ein Gesetz zur Cyberverteidigung des Staates. Es regelt Aufgaben von Streitkräften und Staat, nicht die Pflichten von Unternehmen. Ein Cybersicherheitsgesetz, das wie NIS2 Unternehmen verpflichtet, gibt es nicht, im Kongress liegen nur Entwürfe. Grundlage ist der Marco de Confianza Digital (Decreto de Urgencia Nº 007-2020) zusammen mit dem Gesetz über digitale Verwaltung (Decreto Legislativo 1412). Das Reglament dazu, Decreto Supremo Nº 126-2025-PCM, wurde im November 2025 veröffentlicht. Danach müssen Anbieter digitaler Dienste in Sektoren wie Finanzen, Grundversorgung, Gesundheit, Verkehr, Internetzugang und Bildung kritische Vorfälle an das Centro Nacional de Seguridad Digital (CNSD) melden.

Das ähnelt NIS2 im Ansatz: Pflichten für wichtige Sektoren, eine zentrale Meldestelle, kurze Fristen. NIS2 geht weiter, etwa bei Pflichten zum Risikomanagement, zur Lieferkette und zur persönlichen Verantwortung der Geschäftsleitung. Banken und Versicherer haben außerdem eigene Vorgaben der Aufsichtsbehörde SBS zu Informations- und Cybersicherheit.

Für Lieferanten europäischer Kunden kommen dazu die vertraglichen Anforderungen: NIS2-Klauseln zur Lieferkette, bei Finanzkunden DORA, bei vernetzten Produkten der Cyber Resilience Act.

Meldefristen im Vergleich

Ein Vorfall mit personenbezogenen Daten kann beide Meldungen auslösen, an die ANPD und an das CNSD. Planen Sie das in Ihrem Prozess ein, mit klarer Zuständigkeit für jede Meldung.

Behörden, CSIRT, Akkreditierungsstelle

Für Zertifikate gilt: Wichtig ist weniger, wo die Zertifizierungsstelle sitzt, als wer sie akkreditiert hat. Fragen Sie vor dem Auftrag, ob die Akkreditierung durch die INACAL oder eine ausländische Stelle unter das internationale Anerkennungsabkommen der Global ACI fällt (seit dem 1. Januar 2026 Nachfolgerin von IAF und ILAC; bestehende Akkreditierungen bleiben anerkannt). Dann wird das Zertifikat bei EU-Kunden im Regelfall anerkannt. Manche Konzerne verlangen trotzdem einen bestimmten Zertifizierer. Klären Sie das, bevor Sie Geld für ein Audit ausgeben.

Was EU-Kunden typischerweise verlangen

Ein Kaffeeexporteur aus Junín braucht für die EUDR die Geodaten aller Parzellen seiner Lieferanten und den Nachweis, dass dort nach dem 31.12.2020 nicht entwaldet wurde. Peru ist als Land mit Standardrisiko eingestuft. Obstexporteure werden nach IFS, BRCGS oder FSSC 22000 und GLOBALG.A.P. gefragt, Bergbauunternehmen häufig nach ISO 14001.

IT- und Outsourcing-Dienstleister bekommen Standardvertragsklauseln, Sicherheitsfragebögen und die Frage nach ISO 27001. Viele EU-Kunden prüfen auch, welche Systeme ihrer Lieferanten offen im Internet stehen. Mit veyrisk sehen Sie diese Angriffsfläche selbst, bevor der Kunde danach fragt.

Im Vertrag stehen diese Punkte meist in Anhängen: Standardvertragsklauseln, Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, Meldefristen und Prüfrechte. Für die Transfer-Folgenabschätzung fragt Ihr EU-Kunde nach Speicherorten, Zugriffen und Verschlüsselung. Hier hilft Ihnen, dass das peruanische Recht mit dem neuen Reglament bereits eine kurze Meldefrist und Pflichten für Auftragsverarbeiter kennt.

Ein sinnvoller Einstieg für peruanische Unternehmen:

1. Prüfen Sie, ob Sie als Anbieter digitaler Dienste unter das DS 126-2025-PCM fallen.
2. Gleichen Sie Ihre Dokumentation nach dem DS 016-2024-JUS mit den Anforderungen der DSGVO ab. Vorlagen für die DSGVO-Seite bietet etwa Sightadel.
3. Bauen Sie einen Meldeprozess, der ANPD, CNSD und Ihre EU-Kunden in derselben Frist bedient.
4. Sammeln Sie für Kaffee und Kakao die Geodaten aller Parzellen, auch die Ihrer Zulieferer.
5. Prüfen Sie, welches Zertifikat Ihre Kunden am häufigsten verlangen, und planen Sie das Audit mit einer anerkannten Stelle.

Einen ersten Überblick gibt der kostenlose EU-Readiness-Check.

Abkommen mit der EU

Peru ist mit dem Mercosur assoziiert, aber nicht Teil des EU-Mercosur-Abkommens. Mit der EU gilt das Handelsübereinkommen mit Kolumbien, Peru und Ecuador, mit Peru vorläufig angewendet seit dem 01.03.2013. Für die Zollpräferenz brauchen Sie einen Ursprungsnachweis. Das Kapitel zu Handel und nachhaltiger Entwicklung verweist auf die Kernarbeitsnormen der ILO und internationale Umweltabkommen.

Für die Praxis heißt das: Prüfen Sie für jede Ware den Zollsatz und die Ursprungsregel im Portal Access2Markets der Europäischen Kommission, nach Warennummer sortiert. Viele Agrar- und Industrieprodukte sind seit Jahren zollfrei, für einige Waren gelten Kontingente oder Übergangsregeln. Bei verarbeiteten Waren entscheidet die Ursprungsregel, ob genug Wertschöpfung im Land stattgefunden hat. Ihr Importeur in der EU kann helfen, den Ursprungsnachweis korrekt auszustellen. Halten Sie die Unterlagen dazu mehrere Jahre bereit, denn der Zoll kann nachträglich prüfen.

FAQ