DSGVO-Compliance in Malta: Ein praxisorientierter Leitfaden

Malta hat die Datenschutz-Grundverordnung (DSGVO) als EU-Mitgliedstaat übernommen, als sie im Mai 2018 unmittelbar anwendbar wurde. Um die Verordnung durch nationale Bestimmungen zu ergänzen, hat Malta das Datenschutzgesetz (Kapitel 586 der Gesetze Maltas) erlassen. Unternehmen, die in Malta tätig sind – einschließlich der prominenten iGaming-, Finanzdienstleistungs-, Tourismus-, Pharma- und Technologiesektoren – müssen sowohl die DSGVO als auch dieses nationale Durchführungsgesetz einhalten.

Der Informations- und Datenschutzbeauftragte (IDPC)

Die Aufsichtsbehörde in Malta ist der Informations- und Datenschutzbeauftragte (IDPC), eine unabhängige Behörde, die gemäß dem Datenschutzgesetz eingerichtet wurde. Der IDPC ist zuständig für die Überwachung und Durchsetzung der Compliance mit der DSGVO und dem nationalen Datenschutzgesetz, die Bearbeitung von Beschwerden betroffener Personen, die Durchführung von Untersuchungen und die Herausgabe von Leitlinien für Organisationen.

Der IDPC ist befugt, Bußgelder entsprechend dem Strafrahmen der DSGVO zu verhängen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für Verstöße der unteren Stufe sowie bis zu 20 Mio. Euro oder 4 % für schwerere Verstöße. Organisationen, die eine Anfrage vom IDPC erhalten, sollten dies als erhebliches Compliance-Risiko behandeln und umgehend rechtliche Beratung einholen.

Was Datenschutzgesetz Kapitel 586 zur DSGVO ergänzt

Während die DSGVO in allen EU-Mitgliedstaaten unmittelbar gilt, nutzt Kapitel 586 die von der Verordnung zugelassenen nationalen Spielräume in mehreren wichtigen Bereichen:

• Einwilligungsalter: Malta legt das digitale Einwilligungsalter auf 13 Jahre fest, sodass für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren eine elterliche Einwilligung erforderlich ist
• Beschäftigtendaten: Das Gesetz enthält spezifische Bestimmungen für die Verarbeitung von Mitarbeiterdaten im Rahmen von Beschäftigungsverhältnissen, einschließlich Einstellung, Leistungsmanagement und Kündigung
• Besondere Datenkategorien: Das Gesetz legt die Bedingungen fest, unter denen sensible Daten (Gesundheits-, Genetik-, Biometrie-, Meinungs- und Glaubensdaten, Gewerkschaftsmitgliedschaft) im maltesischen Kontext verarbeitet werden dürfen
• Meinungsfreiheit und Journalismus: Ausnahmen gelten für die Verarbeitung zu journalistischen, akademischen, künstlerischen und literarischen Zwecken
• Öffentliches Interesse und Forschung: Bedingungen für die Verarbeitung im öffentlichen Interesse, wissenschaftliche Forschung und statistische Zwecke werden geklärt

Wesentliche DSGVO-Pflichten für Unternehmen in Malta

Maltesische Unternehmen müssen alle DSGVO-Standardpflichten erfüllen. Die folgenden Bereiche werden bei Assessments am häufigsten als Lücken identifiziert:

Verzeichnis von Verarbeitungstätigkeiten

Jede Organisation mit 250 oder mehr Beschäftigten sowie solche, die Daten verarbeiten, bei denen ein Risiko für betroffene Personen wahrscheinlich ist, müssen ein Verzeichnis von Verarbeitungstätigkeiten (VVT) führen. In der Praxis sollten auch kleinere Organisationen in Malta ein VVT als grundlegende Compliance-Maßnahme unterhalten.

Auftragsverarbeitungsverträge

Jede Organisation, die einen Dritten mit der Verarbeitung personenbezogener Daten in ihrem Auftrag beauftragt, muss einen schriftlichen Auftragsverarbeitungsvertrag (AVV) geschlossen haben. Der iGaming-Sektor in Malta verlässt sich stark auf Technologieanbieter von Drittparteien, die jeweils einen konformen AVV benötigen.

Rechte betroffener Personen

Organisationen müssen über dokumentierte Verfahren verfügen, um Anfragen betroffener Personen innerhalb der vorgeschriebenen Frist von einem Monat zu beantworten. Der iGaming- und Finanzdienstleistungssektor in Malta verarbeitet hohe Mengen an Spieler- und Kundendaten, was robuste Verfahren unabdingbar macht.

Meldung von Datenpannen

Verletzungen personenbezogener Daten, die voraussichtlich ein Risiko für natürliche Personen darstellen, müssen dem IDPC innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden. Maltesische Unternehmen sollten ein dokumentiertes Erkennungs- und Meldeverfahren einrichten, bevor ein Vorfall eintritt.

Sektoren mit erhöhtem Risiko in Malta

• iGaming und Online-Glücksspiel: Malta ist eines der größten Zentren für Online-Glücksspiel in Europa, reguliert durch die Malta Gaming Authority (MGA). Betreiber verarbeiten umfangreiche Spielerdaten einschließlich Identitäts-, Finanz- und Verhaltensdaten
• Finanzdienstleistungen: Von der MFSA regulierte Investmentfirmen, Banken und Zahlungsinstitute verarbeiten erhebliche Mengen an Kundendaten. DSGVO-Pflichten überlagern sich mit MiFID-II-, DORA- und AML-Anforderungen
• Tourismus und Gastgewerbe: Hotels, Fluggesellschaften und Reisebüros erfassen umfangreiche personenbezogene Daten. Die saisonale und internationale Natur des maltesischen Tourismus schafft spezifische Compliance-Herausforderungen
• Pharma und Biowissenschaften: Malta verfügt über einen wachsenden Pharmasektor. Die Verarbeitung von Gesundheits- und klinischen Studiendaten erfordert zusätzliche Schutzmaßnahmen
• Technologie und Fintech: Malta hat sich als Blockchain- und Technologiezentrum positioniert. Produktorientierte Unternehmen müssen Privacy by Design von Beginn an einbetten

Grenzüberschreitende Datentransfers aus Malta

Maltesische Unternehmen übertragen personenbezogene Daten häufig in Drittländer, insbesondere im Kontext von iGaming-Betrieben, Finanzdienstleistungen und IT-Outsourcing. Solche Transfers sind nur zulässig, wenn ein angemessenes Schutzniveau gewährleistet ist – durch einen EU-Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche unternehmensinterne Datenschutzvorschriften oder einen anderen genehmigten Mechanismus.

Praktische Maßnahmen für Unternehmen in Malta

1. Daten-Mapping durchführen: Identifizieren Sie jede Kategorie verarbeiteter personenbezogener Daten, den Zweck, die Rechtsgrundlage, die Aufbewahrungsfrist und etwaige Weitergabe an Dritte
2. Datenschutzhinweise prüfen und aktualisieren: Hinweise müssen prägnant und transparent sein
3. Lieferantenverträge prüfen: Stellen Sie sicher, dass AVVs mit allen Auftragsverarbeitern vorhanden sind
4. Verfahren für Betroffenenanfragen einführen: Verantwortlichkeiten zuweisen und sicherstellen, dass Antworten innerhalb eines Monats erteilt werden
5. Datenpannen-Reaktionsplan erstellen: Den 72-Stunden-IDPC-Meldeworkflow festlegen
6. Personal schulen: Alle Mitarbeiter, die personenbezogene Daten verarbeiten, sollten regelmäßig eine Datenschutz-Sensibilisierungsschulung erhalten
7. DSB-Pflicht prüfen: Bestimmen Sie, ob Ihre Verarbeitungstätigkeiten einen Datenschutzbeauftragten erfordern, und erwägen Sie externe DSB-Dienstleistungen

Fazit

DSGVO-Compliance in Malta erfordert, dass Organisationen sowohl die Verordnung selbst als auch die nationalen Bestimmungen des Datenschutzgesetzes Kapitel 586 berücksichtigen. Der IDPC hat aktives Engagement mit der Datenschutzgemeinschaft und Bereitschaft zur Durchsetzung gezeigt. Ein strukturiertes Compliance-Programm – unterstützt durch ordnungsgemäße Dokumentation, geschultes Personal und die richtige Technologie – ist der wirksamste Weg, das regulatorische Risiko zu managen.