Daten­schutz bei Ge­schäf­ten mit Russland

Wie gehen Sie als deut­sches Un­ter­neh­men vor, wenn Sie Ge­schäfts­be­zie­hun­gen nach Russ­land auf­bau­en möchten?

Russ­land gehört zu Europa, ist aber kein Mit­glied­staat der Eu­ro­päi­schen Union. Für den Daten­schutz be­deu­tet das, dass die Ab­kom­men mit den Ver­trags­staa­ten für die Über­mitt­lung per­so­nen­be­zo­ge­ner Daten ins Ausland keine Gül­tig­keit haben. Das Bun­des­da­ten­schutz­ge­setz (BDSG) spricht hier von Dritt­län­dern.

Laut deut­schem Recht ist das Erheben, Ver­ar­bei­ten und Nutzen von per­so­nen­be­zo­ge­nen Daten grund­sätz­lich un­zu­läs­sig. Man nennt dies den „Grund­satz des Verbots mit Er­laub­nis­vor­be­halt“, d. h. es ist ge­ne­rell ver­bo­ten, sofern nicht eine spe­zi­el­le Er­laub­nis durch Rechts­norm bzw. durch den Be­trof­fe­nen selbst erteilt wird. Ein Un­ter­neh­men, das Ge­schäfts­be­zie­hun­gen mit Russ­land un­ter­hält oder dies be­ab­sich­tigt, muss im Vorfeld die Zu­läs­sig­kei­ten der Da­ten­über­mitt­lung nach Russ­land prüfen. Dies erfolgt in einem zwei­stu­fi­gen Verfahren:

1.   Stufe: Zu­läs­sig­keit nach na­tio­na­len Da­ten­schutz­vor­schrif­ten (§§ 28, 32 BDSG)
2.  Stufe: Ein­hal­tung der be­son­de­ren An­for­de­run­gen be­züg­lich des Dritt­staa­ten­trans­fers nach den §§ 4b, 4c BDSG)

Warum diese Vor­ge­hens­wei­se? Das nach deut­schem Da­ten­schutz­recht ge­währ­leis­te­te Da­ten­schutz­ni­veau soll gewahrt bleiben. Deshalb ist die Über­mitt­lung zu­nächst durch einen Er­laub­nis­tat­be­stand (1. Stufe) zu decken. Dieses Ver­fah­ren gilt nicht nur für Russ­land, sondern grund­sätz­lich für alle Da­ten­über­mitt­lun­gen in Drittstaaten.

Das Da­ten­schutz­ge­setz in Russ­land, das seit 2011 gültig ist, ist im Prinzip dem Deut­schen ähnlich, da­hin­ge­hend dass „Ihre Daten dürfen nur mit Ihrer Er­laub­nis benutzt werden“. An und für sich ist das rus­si­sche Da­ten­schutz­ge­setz also streng, aber in der Rea­li­tät sieht es anders aus, denn es wird sehr stark „auf­ge­weicht“.

In Russ­land sind als Be­hör­den die re­gio­na­len Nie­der­las­sun­gen des Fö­de­ra­len Te­le­kom­mu­ni­ka­ti­ons­diens­tes (FTD) zu­stän­dig. Und wer auf rus­si­schem Ter­ri­to­ri­um per­sön­li­che Daten ver­ar­bei­ten will, muss sich beim FTD re­gis­trie­ren. Wer Werbung ver­sen­den möchte, muss sich vom FTD eine spe­zi­fi­sche Er­laub­nis be­sor­gen. Der FTD hat auch die Be­fug­nis, im Fall eines Da­ten­schutz­ver­sto­ßes einen „Da­ten­ver­ar­bei­ter“ zu ver­kla­gen und Buß­gel­der zu verhängen.

Wie gehen Sie als deut­sches Un­ter­neh­men nun vor, wenn Sie Ge­schäfts­be­zie­hun­gen nach Russ­land auf­bau­en möchten und Daten über­mit­telt werden? Sie können zum einen die für Ihr Un­ter­neh­men zu­stän­di­ge Lan­des­auf­sichts­be­hör­de fragen, ob der Da­ten­trans­fer er­fol­gen darf. Die ein­fa­che­re und vor allem nach­hal­ti­ge­re Vor­ge­hens­wei­se ist, Sie lassen sich von einem ex­ter­nen Da­ten­schutz­be­auf­trag­ten unterstützen.