Datenübermittlung ins Ausland: wann das georgische Recht eine Genehmigung verlangt
Veröffentlicht
Viele Websites und Geschäftsanwendungen übermitteln personenbezogene Daten ins Ausland, ohne dass ihre Betreiber es merken: über Hosting, Content-Delivery-Netze, Webanalyse, CAPTCHAs oder E-Mail-Dienste. Nach dem georgischen Gesetz über den Schutz personenbezogener Daten kann eine solche Übermittlung eine Genehmigung der Aufsichtsbehörde voraussetzen. Dieser Artikel erklärt, wann das der Fall ist – und wie Sie es vermeiden.
Was als Übermittlung gilt
Das Gesetz gilt für personenbezogene Daten, die in Georgien verarbeitet werden. Eine Übermittlung ist jeder Fall, in dem Daten Georgien in Richtung eines anderen Staates oder einer im Ausland registrierten Organisation verlassen. Es zählt der Sitz des Empfängers, nicht nur der Standort seiner Server: Ein Rechenzentrum eines ausländischen Anbieters in Tiflis ändert nichts daran, wer die Daten erhält.
Die IP-Adresse ist ein personenbezogenes Datum. Sobald eine Website oder App den Browser mit einem Server im Ausland verbindet, erfährt dieser Server die IP-Adresse – die Daten sind übermittelt. Genau so hat die Aufsichtsbehörde in einem veröffentlichten Fall entschieden: Eine Fahrdienst-App verband sich mit Servern in einem anderen Staat, die dadurch die IP-Adressen der Geräte erhielten. Die Behörde verweigerte die beantragte Genehmigung, verhängte ein Bußgeld und ordnete an, die Übermittlung einzustellen.
Staaten auf der Liste: keine Genehmigung nötig
Ohne weitere Schritte zulässig ist eine Übermittlung, wenn im Empfängerstaat angemessene Garantien für den Datenschutz bestehen (Art. 37 Abs. 1). Welche Staaten das sind, legt die Aufsichtsbehörde – seit dem 2. März 2026 das State Audit Office – in einer Liste fest. Die aktuelle Liste (Anordnung Nr. 007 vom 14. April 2026) nennt 49 Staaten, darunter alle Mitgliedstaaten der EU, Norwegen, Island, Liechtenstein, die Schweiz und das Vereinigte Königreich, außerdem Kanada, Japan, Israel und die Republik Korea.
Die USA stehen nicht auf der Liste – ebenso wenig zum Beispiel die Türkei, Russland, die Vereinigten Arabischen Emirate, Singapur oder Indien.
Andere Staaten: Vertrag und Genehmigung
Für einen Staat, der nicht auf der Liste steht, ist der übliche Weg ein Vertrag mit dem Empfänger, der angemessene Garantien schafft. Eine solche Übermittlung ist erst nach einer Genehmigung des State Audit Office zulässig (Art. 37 Abs. 2 und 3). Das Verfahren (Anordnung Nr. 012 vom 18. Mai 2026) verlangt unter anderem:
- einen Antrag auf Georgisch, mit notariell beglaubigten Übersetzungen aller fremdsprachigen Unterlagen,
- den Vertrag mit dem Empfänger,
- aktuelle Registerauszüge beider Seiten – den des Empfängers aus seinem eigenen Staat, höchstens einen Monat alt.
Die Behörde entscheidet innerhalb von bis zu drei Monaten. Bis zur Genehmigung dürfen keine Daten übermittelt werden.
Warum eine Einwilligung selten hilft
Das Gesetz erlaubt eine Übermittlung auch mit schriftlicher Einwilligung der betroffenen Person, nachdem sie über die fehlenden Garantien und die Risiken informiert wurde. Die Behörde sieht darin aber eine Ausnahme: In einem veröffentlichten Fall erklärte sie die Übermittlung einer Bank an ihre Muttergesellschaft für rechtswidrig, obwohl die Kunden eingewilligt hatten – die Bank hätte zuerst Vertrag und Genehmigung anstreben müssen.
Für eine Website kommt eine Einwilligung ohnehin zu spät: Die erste Anfrage erreicht den Server im Ausland, bevor ein Besucher irgendetwas anklicken kann.
Was ein Verstoß kostet
Eine Übermittlung entgegen Art. 37 führt zu einer Verwarnung oder einem Bußgeld von 2.000 Lari – 4.000 Lari bei Unternehmen mit mehr als 500.000 Lari Jahresumsatz oder bei erschwerenden Umständen (Art. 85). Zusätzlich kann die Behörde anordnen, die Übermittlung einzustellen. Für eine Website, die über ein ausländisches Auslieferungsnetz läuft, heißt das: abschalten.
Wo Daten unbemerkt das Land verlassen
- Hosting, Content-Delivery-Netze und DDoS-Schutz
- Webanalyse und Tag-Manager
- CAPTCHAs und Formulardienste
- Schriften, Skripte und Karten von fremden Servern
- E-Mail-, Newsletter- und Chatdienste
- Sicherungen und Cloud-Speicher
Prüfen Sie bei jedem dieser Dienste, wer Vertragspartner ist, wo er registriert ist und wo er die Daten verarbeitet.
Wie wir es lösen
Die Server von epicsoft networks stehen in Finnland und Deutschland – beide auf der Liste. Unsere Website lädt nichts von fremden Anbietern; Besucherstatistik und Spamschutz für Formulare laufen auf unserem eigenen Server (so funktioniert unser Formularschutz). Hosting bei uns braucht deshalb keine Genehmigung für die Übermittlung.
Dieser Artikel fasst die Rechtslage mit Stand Oktober 2026 zur allgemeinen Information zusammen. Er ist keine Rechtsberatung. Das Gesetz: Gesetz Georgiens über den Schutz personenbezogener Daten (englische Fassung).