Wenn EU-Daten in Ghana landen

Was ghanaische Unternehmen wissen müssen, bevor sie personenbezogene Daten aus Europa erhalten.

Daten können innerhalb weniger Sekunden von Frankfurt (Deutschland) nach Accra (Ghana) gelangen. Die rechtliche Verantwortung reist jedoch nicht ganz so mühelos.

Für ghanaische Unternehmen, die europäische Auftraggeber betreuen, gehören Namen, Lieferanschriften, Bestelldaten oder Kundenanfragen häufig zum normalen Geschäftsalltag. Rechtlich kann jedoch in dem Augenblick, in dem diese Informationen in Ghana verfügbar werden, das Zusammenspiel zweier Regelwerke beginnen: des ghanaischen Data Protection Act (GDPR, 2012, Act 843) und der europäischen Datenschutz-Grundverordnung (DSGVO).

Die wirtschaftliche Chance ist erheblich. Doch die entscheidende Frage lautet: Ist das Unternehmen vorbereitet, bevor der europäische Kunde danach fragt?

Wann wird eine Datenübermittlung international?

Im allgemeinen Sprachgebrauch ist die Übermittlung personenbezogener Daten zwischen der Europäischen Union und Ghana ein grenzüberschreitender Datentransfer. Die DSGVO verwendet hierfür allerdings den präziseren Begriff der Übermittlung personenbezogener Daten an ein Drittland nach Kapitel V.

Davon zu unterscheiden ist die „grenzüberschreitende Verarbeitung“ nach Artikel 4 Nummer 23 DSGVO. Dieser technische Begriff betrifft hauptsächlich Verarbeitungen, die sich auf mehrere EU-Mitgliedstaaten auswirken.

Eine Drittlandübermittlung liegt grundsätzlich vor, wenn eine der DSGVO unterliegende Organisation personenbezogene Daten einem eigenständigen Verantwortlichen oder Auftragsverarbeiter in Ghana zugänglich macht. Die Daten müssen dafür nicht zwingend auf einen Server in Ghana kopiert werden. Auch ein Fernzugriff aus Ghana kann eine Übermittlung darstellen, sobald die Informationen dem ghanaischen Empfänger tatsächlich zugänglich sind.

Ghana gehört derzeit nicht zu den Staaten, für die die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat. Personenbezogene Daten können deshalb regelmäßig nicht allein auf Grundlage von Artikel 45 DSGVO aus der EU nach Ghana übermittelt werden. Erforderlich ist grundsätzlich eine geeignete Garantie nach Artikel 46 oder – in eng begrenzten Ausnahmefällen – eine Ausnahme nach Artikel 49 DSGVO.

Gilt die DSGVO auch ohne Niederlassung in Europa?

Ja – aber nicht allein deshalb, weil eine Internetseite von Europa aus aufgerufen werden kann.

Artikel 3 Absatz 2 DSGVO kann für einen ghanaischen Verantwortlichen oder Auftragsverarbeiter gelten, wenn dessen eigene Verarbeitungstätigkeiten damit zusammenhängen,

• Personen in der Europäischen Union Waren oder Dienstleistungen anzubieten oder
• ihr Verhalten zu beobachten, soweit dieses Verhalten innerhalb der EU stattfindet.

Entscheidend ist, ob sich die betroffene Person zum maßgeblichen Zeitpunkt in der EU befindet – nicht ihre Staatsangehörigkeit oder der Sitz des Unternehmens.

Erforderlich ist zudem eine erkennbare Ausrichtung auf den europäischen Markt. Eine lediglich passive Website, die zufällig auch in Europa erreichbar ist, führt nicht automatisch zur Anwendung der DSGVO. Hinweise auf eine gezielte Ausrichtung können beispielsweise Bestellungen aus EU-Staaten, europäische Währungen, gezielte Werbung, besondere Lieferangebote oder die Beobachtung des Onlineverhaltens europäischer Nutzer sein.

Auch der bloße Empfang europäischer Kundendaten als ausgelagerter Dienstleister bedeutet nicht automatisch, dass der ghanaische Auftragsverarbeiter selbst Artikel 3 Absatz 2 unterliegt. Seine eigenen Tätigkeiten und seine tatsächliche Rolle müssen gesondert geprüft werden. Selbst wenn die DSGVO auf den Empfänger nicht unmittelbar anwendbar ist, bleibt der europäische Datenexporteur an Kapitel V gebunden und wird zahlreiche DSGVO-Pflichten vertraglich an den Dienstleister weitergeben.

Regelt das ghanaische Recht den Datenverkehr mit Europa?

Ja. Der Act 843 enthält jedoch kein eigenständiges System für internationale Übermittlungen, das mit Kapitel V der DSGVO vergleichbar wäre.

Stattdessen erfasst das ghanaische Recht internationale Verarbeitungsvorgänge über seine allgemeinen Datenschutzprinzipien, Registrierungspflichten, Sicherheitsanforderungen und Vorgaben für Verantwortliche und Auftragsverarbeiter.

Dabei wird häufig eine wichtige Unterscheidung übersehen: Section 18(2) des Act 843 betrifft ausdrücklich ausländische personenbezogene Daten, die zur Verarbeitung nach Ghana übermittelt werden. Ein ghanaischer Verantwortlicher oder Auftragsverarbeiter muss diese Daten nach den Datenschutzvorschriften der ausländischen Rechtsordnung verarbeiten, aus der sie stammen.

Bei personenbezogenen Daten aus der EU entsteht dadurch bereits nach ghanaischem Recht ein Grund, die einschlägigen europäischen Datenschutzanforderungen ernst zu nehmen. Die DSGVO kann somit nicht nur gelten, weil der europäische Exporteur oder unter bestimmten Voraussetzungen das ghanaische Unternehmen selbst ihr unterliegt. Auch das ghanaische Gesetz verweist den Empfänger auf das Recht, das die ausländischen Daten schützt.

Für Datenübermittlungen aus Ghana heraus wirkt der Act 843 eher mittelbar. Der ghanaische Verantwortliche bleibt für Rechtmäßigkeit, Zweckbindung, Datenminimierung, Sicherheit und Rechenschaft verantwortlich. Im Registrierungsverfahren sind außerdem die Länder anzugeben, in die Daten möglicherweise übermittelt werden, sowie die vorgesehenen Schutzmaßnahmen. Die Verarbeitung durch einen Auftragsverarbeiter muss auf einem schriftlichen Vertrag beruhen und angemessene Vertraulichkeits- und Sicherheitsmaßnahmen vorsehen.

Benötigt ein ghanaisches Unternehmen einen EU-Vertreter?

Nicht jedes ghanaische Unternehmen, das Daten aus Europa erhält, muss einen Vertreter in der Europäischen Union benennen.

Die Verpflichtung entsteht grundsätzlich erst dann, wenn Artikel 3 Absatz 2 DSGVO auf die eigenen Verarbeitungstätigkeiten des Unternehmens anwendbar ist. In diesem Fall verlangt Artikel 27 regelmäßig die schriftliche Benennung eines Vertreters, der in einem EU-Mitgliedstaat niedergelassen ist, in dem sich die betroffenen Personen befinden.

Der Vertreter dient als erreichbare Kontaktstelle für betroffene Personen und europäische Aufsichtsbehörden. Seine Benennung befreit das ghanaische Unternehmen jedoch nicht von der eigenen Verantwortung.

Eine Ausnahme kann bestehen, wenn die Verarbeitung nur gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Informationen umfasst und voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Diese Voraussetzungen müssen gemeinsam erfüllt sein und sollten nachvollziehbar dokumentiert werden.

Ein ghanaischer Dienstleister sollte deshalb zwei Fragen getrennt beantworten:

1. Unterliegt das Unternehmen mit seinen eigenen Tätigkeiten Artikel 3 Absatz 2 DSGVO?
2. Falls ja: Greift die enge Ausnahme des Artikels 27 tatsächlich?

Ein europäischer Auftraggeber allein beantwortet diese Fragen bisher nicht.

Wie kann ein europäischer Kunde Daten rechtmäßig nach Ghana übermitteln?

Zunächst müssen die tatsächlichen Rollen der Beteiligten geklärt werden.

Bestimmt das europäische Unternehmen, warum und auf welche Weise die personenbezogenen Daten verarbeitet werden, bleibt es regelmäßig Verantwortlicher. Verarbeitet das ghanaische Unternehmen die Informationen ausschließlich auf dokumentierte Weisung des europäischen Kunden, handelt es grundsätzlich als Auftragsverarbeiter.

In dieser typischen Outsourcing-Konstellation werden die Parteien meist Modul Zwei – Verantwortlicher an Auftragsverarbeiter der Standardvertragsklauseln verwenden, die mit dem Durchführungsbeschluss (EU) 2021/914 eingeführt wurden.

Andere Rollen erfordern andere Module:

• Modul eins gilt für Übermittlungen zwischen zwei Verantwortlichen.
• Modul zwei gilt für die Übermittlung vom Verantwortlichen an einen Auftragsverarbeiter.
• Modul drei betrifft die Übermittlung von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter.
• Modul vier betrifft die Übermittlung von einem Auftragsverarbeiter an einen Verantwortlichen.

Der Vertrag muss die tatsächlichen Verhältnisse widerspiegeln. Ein ghanaisches Unternehmen wird nicht dadurch zum Auftragsverarbeiter, dass es im Vertrag so bezeichnet wird, wenn es in Wahrheit selbst über Zwecke oder wesentliche Mittel der Verarbeitung entscheidet.

Weshalb reichen Standardvertragsklauseln allein nicht aus?

Die Standardvertragsklauseln sind ein wesentliches Übermittlungsinstrument. Sie sind jedoch keine reine Unterschriftsübung.

Seit dem Urteil des Gerichtshofs der Europäischen Union in der Rechtssache Schrems II muss geprüft werden, ob Gesetze und tatsächliche Praktiken des Ziellandes die Wirksamkeit der vertraglichen Garantien beeinträchtigen könnten. Auch die aktuellen Standardvertragsklauseln verpflichten die Parteien, die Umstände der Übermittlung sowie die einschlägigen Gesetze und Praktiken des Drittlandes zu bewerten.

Diese dokumentierte Prüfung wird üblicherweise als Transfer Impact Assessment, kurz TIA, bezeichnet.

Eine belastbare Prüfung sollte unter anderem berücksichtigen:

• Art und Sensibilität der Daten;
• Zweck, Dauer und Häufigkeit der Übermittlung;
• Rolle des ghanaischen Empfängers;
• Speicherorte und Fernzugriffe;
• Unterauftragsverarbeiter und weitere Übermittlungen;
• einschlägige ghanaische Rechtsvorschriften;
• mögliche Zugriffe staatlicher Stellen;
• bisherige Erfahrungen mit behördlichen Anfragen;
• Verschlüsselung, Pseudonymisierung und Zugangskontrollen;
• Lösch- und Aufbewahrungsregeln sowie
• erforderliche zusätzliche technische, organisatorische oder vertragliche Maßnahmen.

Kann kein im Wesentlichen gleichwertiges Schutzniveau hergestellt werden, darf die Übermittlung nicht allein deshalb stattfinden, weil die Standardvertragsklauseln unterschrieben wurden.

Besitzt Ghana ein eigenes Datenschutzgesetz?

Ja. Die zentrale gesetzliche Grundlage ist weiterhin der Data Protection Act, 2012 (Act 843).

Das Gesetz errichtete die Data Protection Commission, formulierte Datenschutzprinzipien, begründete Rechte betroffener Personen und legte Pflichten für Organisationen fest, die personenbezogene Daten verarbeiten.

Ein Verantwortlicher, der personenbezogene Daten verarbeiten möchte, muss sich bei der Commission registrieren. Der Act 843 errichtet außerdem ein Data Protection Register, verbietet nicht registrierten Verantwortlichen die Verarbeitung personenbezogener Daten und verlangt eine Erneuerung der Registrierung im Abstand von zwei Jahren.

Die Data Protection Commission veröffentlicht derzeit folgende Gebührenkategorien:

• große Organisationen: GH¢1.800;
• mittlere Organisationen: GH¢900;
• kleine Unternehmen und Start-ups: GH¢120.

Vor einer Anmeldung oder Verlängerung sollten die jeweils aktuellen Gebühren und Einstufungskriterien unmittelbar bei der Commission geprüft werden.

Zugleich befindet sich das ghanaische Datenschutzrecht in einem Reformprozess. Die Data Protection Commission hat einen Gesetzentwurf veröffentlicht; auch 2026 wurden staatliche Beratungen über verschiedene digitalrechtliche Gesetzesvorhaben fortgesetzt. Solange ein neues Gesetz nicht verabschiedet und in Kraft gesetzt wurde, bleibt der Act 843 die maßgebliche gesetzliche Grundlage.

Praxisbeispiel: Kundenservice aus Accra

Ein Unternehmen in Accra übernimmt den Kundenservice für einen deutschen Onlinehändler.

Der Händler übermittelt Namen, Lieferadressen, Bestelldaten und Beschwerdeverläufe seiner Kunden nach Ghana. Er entscheidet, weshalb die Daten erhoben werden und welche Aufgaben der Kundenservice erfüllen soll. Damit bleibt er Verantwortlicher. Das ghanaische Unternehmen verarbeitet die Informationen nach seinen Weisungen und handelt als Auftragsverarbeiter.

Vor Beginn der Übermittlung sollten die Parteien:

• einen Vertrag nach Artikel 28 DSGVO schließen;
• die Standardvertragsklauseln nach Modul Zwei vereinbaren;
• Datenkategorien, Verarbeitungszwecke, Aufbewahrungszeiten und Sicherheitsmaßnahmen präzise beschreiben;
• ein Transfer-Impact-Assessment durchführen und dokumentieren;
• genehmigte Unterauftragsverarbeiter und weitere Übermittlungen offenlegen;
• Rückgabe- und Löschverfahren für das Vertragsende festlegen und
• ein schnelles Verfahren für Sicherheitsvorfälle vereinbaren.

Das ghanaische Unternehmen sollte Nachweise über seine Registrierung, internen Datenschutzrichtlinien, Vertraulichkeitsverpflichtungen, Zugriffskontrollen, Verschlüsselungsstandards, Mitarbeiterschulungen, Unterauftragnehmer und Reaktionsprozesse bei Sicherheitsvorfällen vorlegen können.

Diese Dokumentation besitzt nicht nur rechtlichen, sondern auch wirtschaftlichen Wert. Ein europäischer Kunde wird bei seiner Dienstleisterprüfung regelmäßig den Anbieter bevorzugen, der verlässliche Antworten geben kann, ohne dadurch die Vertragsverhandlungen zu verzögern.

Was geschieht bei einer Datenschutzverletzung?

Die ersten 72 Stunden gehören nicht dem ghanaischen Auftragsverarbeiter. Sie stehen in erster Linie dem europäischen Verantwortlichen zur Verfügung.

Nach Artikel 33 DSGVO muss ein Auftragsverarbeiter den Verantwortlichen unverzüglich informieren, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Der Verantwortliche bewertet anschließend den Vorfall und meldet ihn, soweit erforderlich, unverzüglich und möglichst innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde.

Die vertragliche Meldefrist des Auftragsverarbeiters muss deshalb deutlich kürzer sein. Wartet der Dienstleister drei Tage, bevor er den Verantwortlichen informiert, kann eine rechtzeitige Bewertung und Meldung bereits unmöglich geworden sein.

Der ghanaische Auftragsverarbeiter sollte unverzüglich:

1. seinen Reaktionsplan aktivieren;
2. betroffene Systeme absichern;
3. relevante Beweismittel erhalten;
4. betroffene Daten, Personen und Datensätze ermitteln;
5. mögliche Folgen bewerten;
6. die europäischen Verantwortlichen informieren;
7. Gegenmaßnahmen dokumentieren und
8. laufend über neue Erkenntnisse berichten.

Auch das ghanaische Recht verlangt eine Benachrichtigung der Data Protection Commission und der betroffenen Personen, sobald vernünftige Gründe für die Annahme bestehen, dass Unbefugte auf personenbezogene Daten zugegriffen oder diese erlangt haben. Die Meldung hat so bald zu erfolgen, wie dies vernünftigerweise möglich ist.

Welche Folgen drohen bei Verstößen?

Verstöße gegen die Regeln der DSGVO für internationale Datenübermittlungen fallen unter die obere Bußgeldstufe: bis zu 20 Millionen Euro oder bei Unternehmen bis zu vier Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist.

Verstöße gegen die Meldepflichten bei Datenschutzverletzungen können der gesonderten Bußgeldstufe für Pflichten von Verantwortlichen und Auftragsverarbeitern unterliegen. Diese reicht bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Der zugrunde liegende Sicherheitsmangel oder eine rechtswidrige Verarbeitung kann zusätzliche Sanktionen auslösen.

Aufsichtsbehörden können außerdem die Verarbeitung untersagen oder den Datenfluss in ein Drittland aussetzen. Für einen Outsourcing-Dienstleister kann die unmittelbare wirtschaftliche Folge daher schwerer wiegen als ein Bußgeld: der Verlust des Auftrags.

Nach dem Act 843 ist auch die Verarbeitung ohne vorgeschriebene Registrierung strafbar. Das Gesetz erfasst zudem bestimmte Formen des unrechtmäßigen Erlangens oder Offenlegens personenbezogener Daten sowie deren Verkauf oder Bewerbung zum Verkauf.

Der praktische Bereitschaftscheck

Bevor ein ghanaisches Unternehmen personenbezogene Daten eines EU-Kunden entgegennimmt, sollte es folgende Fragen beantworten können:

1. Gilt Artikel 3 Absatz 2 DSGVO für unsere eigenen Tätigkeiten?
2. Sind wir bei der ghanaischen Data Protection Commission registriert und ist die Registrierung aktuell?
3. Welche europäischen Daten erhalten wir, von wem, zu welchem Zweck und für welchen Zeitraum?
4. Handeln wir als Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortlicher oder Unterauftragsverarbeiter?
5. Welchem Modul der Standardvertragsklauseln entspricht diese Rolle?
6. Wurde die Übermittlung in einem dokumentierten TIA bewertet?
7. Können wir das einschlägige ghanaische Recht und unsere Sicherheitsmaßnahmen nachvollziehbar erläutern?
8. Nutzen wir Cloudanbieter, Unterauftragnehmer oder Beschäftigte in weiteren Ländern?
9. Sind sämtliche weiteren Übermittlungen genehmigt und dokumentiert?
10. Müssen wir einen EU-Vertreter nach Artikel 27 benennen?
11. Können wir Anfragen auf Auskunft, Berichtigung oder Löschung bearbeiten?
12. Legt unser Notfallplan Verantwortliche, Ansprechpartner und Meldefristen fest?
13. Können wir unsere Compliance durch Richtlinien, Aufzeichnungen, Schulungen und technische Nachweise belegen?

Wer diese Fragen vor Beginn der Vertragsverhandlungen beantworten kann, reduziert nicht nur sein rechtliches Risiko. Er präsentiert sich als verlässlicher internationaler Geschäftspartner.

Häufig gestellte Fragen

Gilt die DSGVO für ein ghanaisches Unternehmen ohne Büro in Europa?

Das ist möglich. Artikel 3 Absatz 2 kann gelten, wenn das Unternehmen gezielt Waren oder Dienstleistungen für Menschen in der EU anbietet oder ihr Verhalten dort beobachtet. Eine physische Niederlassung in Europa ist nicht erforderlich. Die eigenen Tätigkeiten des Unternehmens müssen jedoch die Voraussetzungen des räumlichen Anwendungsbereichs erfüllen.

Darf ein europäisches Unternehmen personenbezogene Daten nach Ghana senden?

Ja. Da für Ghana derzeit kein Angemessenheitsbeschluss besteht, benötigt der Exporteur regelmäßig eine geeignete Garantie nach Artikel 46 DSGVO. In vielen Geschäftsbeziehungen werden dafür die Standardvertragsklauseln von 2021, eine dokumentierte Transferprüfung und gegebenenfalls zusätzliche Schutzmaßnahmen verwendet.

Welchen Vertrag unterschreibt ein ghanaischer Outsourcing-Dienstleister gewöhnlich?

Bleibt der europäische Kunde Verantwortlicher und verarbeitet der ghanaische Anbieter die Daten ausschließlich nach dessen Weisungen, ist regelmäßig Modul zwei der Standardvertragsklauseln einschlägig. Zusätzlich ist ein Vertrag nach Artikel 28 DSGVO erforderlich, wobei die Standardvertragsklauseln bereits zahlreiche Auftragsverarbeiterpflichten abdecken können.

Was ist ein Transfer Impact Assessment?

Ein TIA ist die dokumentierte Prüfung, ob Gesetze und Praktiken des Ziellandes die Wirksamkeit des gewählten Übermittlungsinstruments beeinträchtigen könnten. Außerdem werden die konkreten Umstände der Übermittlung und mögliche zusätzliche technische, organisatorische oder vertragliche Schutzmaßnahmen untersucht.

Wie schnell muss eine Datenschutzverletzung gemeldet werden?

Der europäische Verantwortliche verfügt möglicherweise über höchstens 72 Stunden, um eine meldepflichtige Verletzung an seine Aufsichtsbehörde zu melden. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Seine interne Frist ist deshalb regelmäßig erheblich kürzer.

Muss sich ein ghanaisches Unternehmen bei der Data Protection Commission registrieren?

Ein Verantwortlicher, der personenbezogene Daten verarbeiten möchte, muss sich nach dem Act 843 registrieren. Die aktuellen Hinweise der Commission sehen außerdem die Registrierung von Verantwortlichen und Auftragsverarbeitern sowie eine Erneuerung im Abstand von zwei Jahren vor.

Wird das ghanaische Datenschutzrecht bald geändert?

Der Reformprozess dauert an und ein Gesetzentwurf wurde veröffentlicht. Bis ein neues Gesetz verabschiedet und in Kraft gesetzt ist, sollten Unternehmen weiterhin den Act 843 einhalten und einen künftigen Rechtsrahmen nicht so behandeln, als gelte er bereits.

Fazit: Vorbereitung kann den Auftrag entscheiden

Europäische Kunden stellen Fragen zu Datenschutz und Informationssicherheit zunehmend früher als Fragen zum Preis.

Ein ghanaisches Unternehmen, das Kunden aus der EU gewinnen möchte, sollte deshalb seine rechtliche Rolle bestimmen, den Registrierungsstatus überprüfen, die verarbeiteten Daten erfassen, das passende Vertragsinstrument auswählen und Nachweise über seine technischen und organisatorischen Schutzmaßnahmen vorbereiten.

Der entscheidende Moment ist nicht erst erreicht, wenn die Daten in Accra eintreffen. Er kommt bereits dann, wenn der europäische Kunde fragt, ob das Unternehmen bereit ist, sie zu empfangen.

Eine verspätete Antwort kann den Vertragsabschluss verzögern. Eine unvollständige Antwort kann die Verhandlung beenden. Eine überzeugende Antwort kann zum Wettbewerbsvorteil werden.

Autor

Yeboah Osei-Kwabena

LLB, Wisconsin International University College
Professional Law Course, Ghana School of Law
Mitglied der Ghana Bar Association seit Oktober 2024
Associate bei Lartey Badombie & Co.

Tätigkeitsschwerpunkte: Immobilienrecht, regulatorische Compliance, digitale Transaktionen und wirtschaftsrechtliche Beratung.

Dieser Artikel dient der allgemeinen Information und stellt keine individuelle Rechtsberatung dar. Jede Datenübermittlung muss anhand der Rollen der Beteiligten, der betroffenen Daten und der konkreten Verarbeitungsumstände geprüft werden.