Webinar: Was Unternehmen bei der Verarbeitung personenbezogener Daten in Kenia beachten müssen

Paul-Jasper Dittrich vom BMDS begrüßte die Teilnehmenden und unterstrich die Bedeutung der Einhaltung von Datenschutzbestimmungen für Unternehmen, die Daten in Kenia verarbeiten möchten.

"Sobald ein deutsches Unternehmen nach Kenia kommt, werden seine Datenherausforderungen für Kenia relevant."

Valerie Kutima und Boniface Gathee vom ODPC stellten den kenianischen Rechtsrahmen für den Datenschutz vor. Sie erklärten, dass das kenianische Datenschutzgesetz der DSGVO sehr ähnlich ist und beide Gesetze auf den Grundprinzipien des Datenschutzes basieren. Der Hauptunterschied besteht darin, dass es im kenianischen Recht keinen Grundsatz der Rechenschaftspflicht gibt. Weitere wesentliche Unterschiede zwischen dem kenianischen Datenschutzgesetz (DPA) und der DSGVO sind:

1. Kommerzielle Nutzung/Direktmarketing: Kenia ist eher auf Einwilligung ausgerichtet und schränkt die kommerzielle Nutzung personenbezogener Daten ausdrücklich ein.
2. Übermittlungen: Kenia legt den Schwerpunkt auf den "Nachweis gegenüber dem ODPC"; die DSGVO stützt sich auf formelle Instrumente, oft ohne vorherige Genehmigung.
3. Lokalisierung: Kenia verfügt über einen expliziten Lokalisierungsmechanismus für bestimmte Verarbeitungsvorgänge.
4. Anträge auf Datenübertragbarkeit: In Kenia müssen Anträge auf Datenübertragbarkeit „zu angemessenen Kosten” (und innerhalb von 30 Tagen) erfüllt werden, während die DSGVO vorsieht, dass solche Anträge von betroffenen Personen standardmäßig kostenlos bearbeitet werden sollten.
5. Sanktionen: Die Obergrenze für Verwaltungsstrafen in Kenia liegt weit unter dem Höchststrafenmodell der DSGVO.

Was deutsche Unternehmen zur Einhaltung der Vorschriften vorbereiten können

Das ODPC stuft Unternehmen, die mit personenbezogenen Daten umgehen, als Datenverarbeiter oder Datenverantwortliche ein. Diese Unternehmen müssen sich beim ODPC registrieren lassen, wenn die von ihnen verarbeiteten Daten von Personen mit Wohnsitz in Kenia stammen. Dies gilt unabhängig davon, ob sich der Datenverarbeiter in Kenia befindet.

Die Registrierung kann vollständig online über dataportal.odpc.go.ke vorgenommen werden, und Unternehmen können innerhalb von zwei Wochen mit einer Entscheidung des ODPC rechnen. Die Registrierungsgebühr richtet sich nach dem Gesamtumsatz und der Anzahl der Mitarbeitenden, für die Nachweise vorgelegt werden müssen, und es wird eine Registrierungsbescheinigung ausgestellt, die zwei Jahre lang gültig ist.

Unternehmen sollen selbst Datenschutzbeauftragte ernennen

Das ODPC erwartet von den Unternehmen, dass sie aktiv Maßnahmen zum Schutz der Daten ergreifen. Es fördert die Selbstregulierung und bietet Schulungen an, um Unternehmen in die Lage zu versetzen, die Datenschutzgesetze selbstständig einzuhalten. Darüber hinaus wird erwartet, dass jedes Unternehmen, das die obligatorische Registrierungsschwelle des ODPC erreicht, einen Datenschutzbeauftragten ernennt, der über Datenschutzverletzungen berichtet. Die Nichteinhaltung der Datenschutzbestimmungen führt zu einer Mitteilung des ODPC und muss innerhalb von 60 Tagen behoben werden, um Strafen zu vermeiden.

Auf Fragen der Teilnehmenden hin stellte das ODPC klar, dass der Schutz personenbezogener Daten auch für ausländische Personen und Unternehmen gilt, die in Kenia tätig sind.

Zusammenfassend hat das ODPC-Webinar deutschen Unternehmen praktisches Wissen vermittelt, damit sie reibungslos und verantwortungsbewusst in der kenianischen Digitallandschaft agieren können.