Französische Vorschriften zum Datenschutzrecht

Die Pflicht, sich als deutscher Onlinehändler bei der französischen Datenschutzbehörde in einem komplizierten Verfahren und in einer für ihn fremden Sprache zu registrieren, kann eine enorme abschreckende Wirkung haben. Es ist daher sicher eine gute Nachricht, dass die Mehrzahl der deutschen Onlinehändler, die ihre Produkte nach Frankreich vertreiben, nicht von dieser Registrierungspflicht betroffen sind. Warum das so ist und in welchen Fällen die Registrierungspflicht greift, können Sie dem folgenden Beitrag entnehmen.

Frage: Unterliegen deutsche Onlinehändler, die ihren Onlinehandel mit Frankreich über eine Niederlassung in Frankreich abwickeln, dem französischen Datenschutzrecht?

Ja, deutsche Onlinehändler, die eine Niederlassung in Frankreich haben, sind verpflichtet, bei der französischen Datenschutzbehörde (Commission nationale de l’informatique et des libertés, „CNIL“) eine Datenschutzerklärung abzugeben. Die Datenschutzerklärung betrifft u.a. Informationen zum Impressum, Zahlungsverkehr, wirtschaftliche und finanzielle Lage, Archivierung von Kundendaten.

Frage: Kann der deutsche Onlinehändler, der seinen Onlinehandel in Frankreich über eine Niederlassung in Frankreich abwickelt, sich für die Zwecke der Registrierung bei der französischen Datenschutzbehörde eines externen Datenschutzbeauftragten bedienen?

Dies hängt von der Größe der Niederlassung ab.

Die französische Datenschutzbehörde CNIL empfiehlt in Frankreich niedergelassenen Unternehmen, einen Datenschutzbeauftragten seines Unternehmens (Correspondant Informatique et Libertés „CIL“) zu ernennen, der Ansprechpartner seines Unternehmens gegenüber der Datenschutzbehörde CNIL ist. Der Datenschutzbeauftragte muss nach der etwas vagen Aussage des französischen Datenschutzgesetzes über die notwendige Qualifikation für seine Aufgabe verfügen „Le correspondant est une personne bénéficiant des qualifications requises pour exercer ses missions“ (Artikel 22, Loi n. 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés).

Die französische Datenschutzbehörde schreibt dazu in ihrem Leitfaden für den Datenschutzbeauftragten, es sollte sich hier um den im Unternehmen Verantwortlichen für die Datenverarbeitung und –Archivierung handeln. Der Datenschutzbeauftragte muss zwar nicht über ein entsprechendes Diplom verfügen, er muss aber über IT-Kenntnisse und Kenntnisse des einschlägigen französischen Datenschutzrechts verfügen. Falls der Datenschutzbeauftragte diese Kenntnisse nicht nachweisen kann, muss er diese Kenntnisse in Weiterbildungsseminaren der französischen Datenschutzbehörde erwerben (s. o.g. Leitfaden für den Datenschutzbeauftragten).

Entsprechend dem genannten Leitfaden für den Datenschutzbeauftragen, der von der französischen Datenschutzbehörde herausgegeben wird, ist es Betrieben bis zu 50 Beschäftigten ist es freigestellt, einen externen Datenschutzbeauftragten zu ernennen. Betriebe über 50 Beschäftigten sind gehalten, einen Datenschutzbeauftragten aus dem eigenen Unternehmen ernennen. Für die Mehrheit der deutschen Onlinehändler mit Niederlassung in Frankreich gilt daher, dass Sie einen externen Datenschutzbeauftragten ernennen können.

Leider gibt es in Frankreich keine Verbandsorganisation für externe Datenschutzbeauftragte. Die meisten Regionalverwaltungen oder Handelskammern in Frankreich veröffentlichen keine entsprechenden Adressenlisten. Die Suche nach einem geeigneten externen Datenschutzbeauftragten kann sich daher als aufwändig herausstellen.

Frage: Welchen Sanktionen setzt sich der deutsche Onlinehändler mit Niederlassung in Frankreich aus, der sich pflichtwidrig nicht bei der französischen Datenschutzbehörde registriert?

Die Nichtregistrierung kann mit bis zu 5 Jahren Freiheitsstrafe und bis zu 300.000 Euro Geldstrafe geahndet werden (Article 226-24 Code pénal, Article 45-47, Loi no. 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés). Zusätzlich kann die Niederlassung zwangsweise geschlossen oder konfisziert werden (Article 131-21 Code pénal).

Frage: Muss sich der deutsche Onlinehändler, der seinen Handel mit Frankreich direkt von Deutschland aus betreibt, bei der französischen Datenschutzbehörde CNIL registrieren?

Nein, er muss sich nicht bei der französischen Datenschutzbehörde CNIL registrieren. Es gilt für ihn das deutsche Datenschutzrecht. Die französische Datenschutzbehörde CNIL hat das in ihren Merkblättern ausdrücklich festgestellt.

« Vous êtes établi uniquement dans un autre Etat membre de l’Union européenne (UE)
La loi française n’est pas applicable : pas de déclaration à faire à la CNIL.
Si le responsable de traitement est établi uniquement dans un autre Etat membre de l’Union européenne (la notion d’établissement suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable), c’est la loi nationale du pays de l’UE dans lequel est établi le responsable du traitement qui s’applique aux traitements de données, même si elles sont collectées en France.
Les déclarations éventuelles devront être réalisées dans le pays de l’UE dans lequel le responsable de traitement est établi.
Les mentions d’information des personnes devront être rédigées en faisant référence à la loi nationale de l’autre Etat membre de l’UE. »

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.