Ist Ihr Schweizer Datenschutzrahmen für Thailand gerüstet?

Schweizer Unternehmen, die nach Thailand expandieren, verfügen häufig bereits über gut entwickelte Compliance-Strukturen auf Grundlage des Schweizer Datenschutzgesetzes und in vielen Fällen auch der DSGVO.

Die Einhaltung der DSGVO oder des Schweizer DSG bedeutet jedoch nicht automatisch, dass das Unternehmen auch die Anforderungen des thailändischen Personal Data Protection Act (PDPA) erfüllt.

Thailand verfügt über eigene Vorschriften zu den Rechtsgrundlagen der Datenverarbeitung, besonders schützenswerten Personendaten, Datenschutzbeauftragten, Auftragsverarbeitungsverträgen, der Meldung von Datenschutzverletzungen und internationalen Datenübermittlungen. Diese Anforderungen sind insbesondere dann relevant, wenn Personendaten zwischen einer thailändischen Tochtergesellschaft, der Schweizer Muttergesellschaft, europäischen Konzerngesellschaften, Cloud-Anbietern und internationalen Supportteams ausgetauscht werden.

Um Unternehmen mit Schweizer Hauptsitz dabei zu unterstützen, diese Risiken zu erkennen und angemessen zu bewältigen, hat Nomadlaw einen neuen Praxisleitfaden erstellt:

Nomadlaw-Praxisleitfaden: PDPA-Compliance für Unternehmensgruppen mit Schweizer Hauptsitz

Der Leitfaden richtet sich an Schweizer Unternehmen, die in Thailand tätig sind oder Personendaten mit einer thailändischen Tochtergesellschaft, Niederlassung, einem Dienstleister oder Geschäftspartner austauschen.

Anstatt allgemeine DSGVO-Grundsätze zu wiederholen, konzentriert sich der Leitfaden auf diejenigen Bereiche, in denen das thailändische Recht eine gesonderte Prüfung oder lokal angepasste Compliance-Massnahmen verlangt.

Was behandelt der Leitfaden?

Der Leitfaden bietet praxisorientierte Informationen zu folgenden Themen:

• den wichtigsten Unterschieden zwischen dem thailändischen PDPA, der DSGVO und dem Schweizer DSG;
• dem territorialen und extraterritorialen Anwendungsbereich des thailändischen PDPA;
• den Rechtsgrundlagen und besonders schützenswerten Personendaten nach thailändischem Recht;
• der Prüfung, ob eine thailändische Gesellschaft einen Datenschutzbeauftragten ernennen muss;
• der Integration thailändischer Anforderungen in ein bestehendes globales Datenschutzprogramm;
• Auftragsverarbeitungsverträgen, externen Dienstleistern und konzerninterner Datenverarbeitung;
• Datenschutzverletzungen und den thailändischen Meldeverfahren;
• internationalen Datenübermittlungen zwischen Thailand, der Schweiz und der EU;
• Standardvertragsklauseln, thailändischen Schutzmechanismen für Datenübermittlungen und Binding Corporate Rules;
• Transfer Risk Assessments beziehungsweise Transfer Impact Assessments sowie
• ausgewählten operativen Themen im Zusammenhang mit Mitarbeiterdaten, Überwachungssystemen und internationalen IT-Plattformen.

DSGVO-Compliance bedeutet nicht automatisch PDPA-Compliance

Das thailändische PDPA ist stark von der DSGVO beeinflusst, stellt jedoch keine einfache thailändische Kopie des europäischen Datenschutzrechts dar.

Ein Schweizer Unternehmen kann sein bestehendes DSGVO- oder DSG-Framework daher als solide Grundlage verwenden. Es sollte dieses jedoch um eine spezifische thailändische Compliance-Ebene ergänzen, die insbesondere folgende Bereiche abdeckt:

• die Rechtsgrundlagen nach thailändischem Recht;
• besonders schützenswerte Personendaten gemäss Section 26 des PDPA;
• die thailändischen Anforderungen an Datenschutzbeauftragte;
• Datenübermittlungen aus Thailand;
• lokale Eskalations- und Meldeprozesse bei Datenschutzverletzungen;
• Vereinbarungen mit Auftragsverarbeitern und externen Dienstleistern sowie
• thailändische Datenschutzerklärungen und Dokumentationspflichten.

Für die meisten internationalen Unternehmensgruppen ist dieser gezielte Ansatz effizienter, als ein vollständig separates Datenschutzprogramm für Thailand aufzubauen.

Grenzüberschreitende Datenübermittlungen erfordern eine gesonderte Prüfung

Eine der wichtigsten Fragen für Unternehmensgruppen mit Schweizer Hauptsitz betrifft die Richtung, in die Personendaten übermittelt werden.

Eine Übermittlung von der Schweiz nach Thailand muss nach dem Schweizer Datenschutzrecht und gegebenenfalls nach der DSGVO beurteilt werden. Eine Übermittlung von Thailand in die Schweiz ist dagegen anhand der eigenen Vorschriften des thailändischen PDPA für Datenübermittlungen ins Ausland zu prüfen. Bestehende europäische oder schweizerische Standardvertragsklauseln können zwar eine hilfreiche Grundlage darstellen. Sie lösen jedoch nicht automatisch sämtliche rechtlichen Fragen bei der Übermittlung von Personendaten, die ihren Ursprung in Thailand haben.

Der Leitfaden zeigt auf, wie Unternehmen konzerninterne Datenübermittlungen effizienter strukturieren können, indem sie bestehende Schutzmechanismen nach der DSGVO oder dem Schweizer DSG mit einem geeigneten thailändischen Übermittlungsmechanismus kombinieren.

Muss die thailändische Tochtergesellschaft separat prüfen, ob sie einen DPO benötigt?

Die Tatsache, dass eine Schweizer oder europäische Muttergesellschaft bereits über einen Datenschutzbeauftragten verfügt, beantwortet nicht automatisch die Frage, ob auch die thailändische Tochtergesellschaft einen solchen ernennen muss.

Jede thailändische Gesellschaft sollte ihre eigenen Tätigkeiten prüfen. Dabei ist insbesondere zu berücksichtigen:

• ob eine regelmässige und systematische Überwachung zu ihren Kerntätigkeiten gehört;
• ob sie Personendaten in grossem Umfang verarbeitet;
• ob besonders schützenswerte Personendaten für ihre Tätigkeiten von zentraler Bedeutung sind;
• ob ein bereits bestehender Konzerndatenschutzbeauftragter die thailändische Gesellschaft wirksam betreuen kann.

Ein konzernweit tätiger DPO kann unter Umständen auch für die thailändische Tochtergesellschaft zuständig sein. Die konkrete Ausgestaltung muss jedoch in der Praxis funktionieren und den Anforderungen des thailändischen Rechts entsprechen.

Ein Praxisleitfaden für internationale Compliance-Teams

Der Leitfaden soll Rechts-, Compliance-, HR-, IT- und Managementteams dabei unterstützen, zu erkennen, in welchen Bereichen ihr bestehendes internationales Datenschutz-Framework an die thailändischen Anforderungen angepasst werden muss.

Er ist insbesondere relevant für:

• Schweizer Unternehmen mit einer Tochtergesellschaft oder Niederlassung in Thailand;
• Unternehmensgruppen, die gemeinsame HR-, Finanz-, CRM- oder IT-Systeme verwenden;
• Unternehmen, die Mitarbeiter- oder Kundendaten zwischen Thailand und der Schweiz übermitteln;
• Datenschutzbeauftragte, die für internationale Tochtergesellschaften verantwortlich sind;
• Schweizer Unternehmen, die den Aufbau einer Geschäftstätigkeit in Thailand vorbereiten;
• Organisationen, die globale Cloud-Anbieter oder regionale Supportzentren nutzen.

Praxisleitfaden zur PDPA-Compliance herunterladen

Laden Sie hier den Nomadlaw-Praxisleitfaden: PDPA-Compliance für Unternehmensgruppen mit Schweizer Hauptsitz herunter.

Der Leitfaden dient der allgemeinen praktischen Information. Die geeigneten Compliance-Massnahmen müssen stets unter Berücksichtigung der konkreten Unternehmensstruktur, Branche, Systeme, Belegschaft und Datenflüsse beurteilt werden.

Benötigen Sie Unterstützung beim Datenschutz zwischen Thailand und der Schweiz?

Nomadlaw unterstützt Schweizer Unternehmen bei der Koordination und Umsetzung grenzüberschreitender Datenschutzfragen, unter anderem in folgenden Bereichen:

• Überprüfung der Compliance mit dem thailändischen PDPA;
• Analyse von Datenflüssen und internationalen Datenübermittlungen;
• konzerninterne Datenübermittlungsvereinbarungen;
• Überprüfung von Verträgen mit Auftragsverarbeitern und externen Dienstleistern;
• Prüfung von DPO-Anforderungen;
• Erstellung und Anpassung von Datenschutzdokumentationen;
• Koordination mit Rechtsberatern in Thailand und der Schweiz.

Als eine zentrale Anlaufstelle für Rechts- und Compliance-Fragen in der Schweiz und in Thailand.