Datenschutz in Georgien: Seit März 2026 ist der Rechnungshof zuständig

Georgien hat sein Datenschutzrecht 2023 neu gefasst und dabei an der DSGVO Maß genommen — aber nicht überall. Drei Abweichungen entscheiden darüber, ob ein europäisches Unternehmen in Georgien überhaupt etwas zu tun hat, und eine vierte macht die halbe Sekundärliteratur seit März 2026 falsch.

Die Aufsicht hat gewechselt

Wer heute nach der georgischen Datenschutzbehörde sucht, findet den Personal Data Protection Service. Das ist überholt. Mit Gesetz Nr. 1289 vom 17. Dezember 2025, in Kraft seit dem 2. März 2026, ist die Zuständigkeit auf den Staatlichen Rechnungshof übergegangen, vertreten durch den Generalauditor. Die Organisationsvorschriften des früheren Dienstes wurden aufgehoben; im konsolidierten Gesetzestext kommt er nur noch in einer Übergangsvorschrift vor.

Das ist keine Formalie, sondern verändert vier Adressen auf einmal:

• Meldung von Datenschutzvorfällen
• Meldung des Datenschutzbeauftragten und seiner Kontaktdaten
• Registrierung des Sonderbeauftragten ausländischer Verantwortlicher
• Vorabgenehmigung für Drittlandsübermittlungen auf Vertragsgrundlage

Untergesetzliche Akte, die der frühere Dienst erlassen hat, gelten zunächst fort — die Befugnis, sie zu ändern oder aufzuheben, liegt jetzt beim Generalauditor.

Kein Marktortprinzip

Die praktisch wichtigste Abweichung von der DSGVO steht im Anwendungsbereich. Das georgische Gesetz erfasst die Verarbeitung auf georgischem Staatsgebiet — und darüber hinaus die Verarbeitung durch einen außerhalb Georgiens registrierten Verantwortlichen, sofern er dafür technische Mittel in Georgien nutzt. Reiner Datentransit über solche Mittel ist ausgenommen.

Das ist der ältere Anknüpfungspunkt der europäischen Datenschutzrichtlinie von 1995, nicht das Marktortprinzip der DSGVO. Ein Kriterium, das an das Anbieten von Waren oder Dienstleistungen an Personen in Georgien oder an die Beobachtung ihres Verhaltens anknüpft, enthält das Gesetz nicht.

Der Sonderbeauftragte — und wer ihn nicht braucht

Löst der Anwendungsbereich aus, folgt eine Pflicht, die es in dieser Form in der DSGVO nicht gibt. Wer als im Ausland registrierter Verantwortlicher oder Auftragsverarbeiter technische Mittel in Georgien nutzt, muss vor Beginn der Verarbeitung einen Sonderbeauftragten in Georgien benennen und bei der Aufsicht registrieren lassen. Das Gesetz formuliert die Folge scharf: Das Recht zur Datenverarbeitung entsteht erst nach dieser Registrierung.

Zwei Absätze weiter steht die Ausnahme, die für europäische Mandanten fast immer greift: Die Pflicht gilt nicht für Verantwortliche und Auftragsverarbeiter, die in einem EU-Mitgliedstaat niedergelassen sind und dem dortigen Datenschutzrecht unterliegen — und ebenso wenig für solche in einem Staat, den die EU als angemessen anerkannt hat.

Übermittlung in die EU: frei

Bei der Drittlandsübermittlung ist Georgien großzügiger, als die Systematik vermuten lässt. Zulässig ist sie, wenn die Anforderungen des Gesetzes erfüllt sind und im Empfängerstaat angemessene Garantien bestehen. Daneben stehen weitere Wege: völkerrechtlicher Vertrag, ein Vertrag mit angemessenen Garantien zwischen Verantwortlichem und Empfänger, spezialgesetzliche Anordnungen, die schriftliche Einwilligung nach Aufklärung über das Fehlen von Garantien, sowie lebenswichtige und erhebliche öffentliche Interessen.

Nur der Vertragsweg ist genehmigungspflichtig — er verlangt die Vorabgenehmigung der Aufsicht.

Die entscheidende Frage ist deshalb, ob der Zielstaat auf der Angemessenheitsliste steht. Diese Liste steht nicht im Gesetz, sondern in einem Befehl des Generalauditors; sie ist mindestens alle drei Jahre zu überprüfen. Die geltende Fassung vom 14. April 2026 führt 49 Staaten auf — darunter alle 27 EU-Mitgliedstaaten einzeln sowie Island, Liechtenstein und Norwegen, dazu unter anderem das Vereinigte Königreich, die Schweiz, Japan, Kanada und Israel.

Konstellation	Georgien → EU/EWR	Georgien → nicht gelisteter Staat
Grundlage	angemessene Garantien anerkannt	Vertrag mit Garantien oder Einwilligung
Vorabgenehmigung der Aufsicht nur beim Vertragsweg
Weiterübermittlung	nur bei Zweckidentität	nur bei Zweckidentität

Der Bußgeldrahmen endet bei 10.000 Lari

Hier trennt sich das georgische Recht am deutlichsten von der DSGVO. Es arbeitet nicht mit einem Prozentsatz des Konzernumsatzes, sondern mit festen Beträgen in zwei Stufen, getrennt durch einen Jahresumsatz von 500.000 Lari. Filialen ausländischer Unternehmen sind ausdrücklich erfasst.

Ein Verstoß gegen einen Verarbeitungsgrundsatz kostet in der Grundstufe 1.000 oder 2.000 Lari, bei erschwerenden Umständen 1.500 oder 3.000. Verarbeitung ohne Rechtsgrundlage liegt gleichauf. Der teuerste Tatbestand im Gesetz ist die unterlassene Information Betroffener über einen Vorfall: 3.000 oder 5.000 Lari, unter erschwerenden Umständen bis 10.000 Lari. Das ist der Höchstbetrag des gesamten Gesetzes — nach aktuellem Kurs ein niedriger vierstelliger Eurobetrag.

Zwei Tatbestände fallen aus dem Rahmen, weil sie zunächst gar kein Bußgeld vorsehen: Wer keinen Datenschutzbeauftragten bestellt, wird nur verwarnt; erst eine Wiederholung binnen eines Jahres nach der Sanktion kostet 3.000 Lari. Beim fehlenden Sonderbeauftragten liegt die Wiederholung bei 5.000 Lari.

Der Gegenpunkt zur niedrigen Geldsanktion steht bei den Befugnissen: Die Aufsicht darf die Verarbeitung vorübergehend oder dauerhaft untersagen, Löschung oder Vernichtung anordnen und die Drittlandsübermittlung verbieten. Ihr Herausgabeverlangen erstreckt sich ausdrücklich auf Staats-, Steuer-, Bank-, Geschäfts- und Berufsgeheimnisse, und sie hat ein Betretungsrecht. Wer das Verfahren an der Bußgeldhöhe misst, misst am falschen Ende. Zeitlich begrenzt ist die Verfolgung allerdings scharf: vier Monate ab Tat, bei Dauerverstoß ab Entdeckung.

Wer einen Datenschutzbeauftragten braucht

Die Pflicht ist branchenbasiert und damit an einer Stelle weiter als die DSGVO: Öffentliche Einrichtungen, Versicherungen, Geschäftsbanken, Mikrofinanzorganisationen, Kreditbüros, Telekommunikationsunternehmen, Fluggesellschaften, Flughäfen und medizinische Einrichtungen brauchen einen — unabhängig von Umfang oder Risiko der Verarbeitung.

Hinzu kommt der bekannte Auffangtatbestand: wer Daten einer großen Zahl von Betroffenen verarbeitet oder deren Verhalten systematisch und in großem Umfang überwacht. Einen Zahlenwert für „große Zahl“ nennt das Gesetz nicht; es delegiert die Abgrenzung an einen Akt des Generalauditors.

Ein externer Dienstleister ist zulässig, ebenso ein gemeinsamer Beauftragter für mehrere Verantwortliche. Identität und Kontaktdaten sind der Aufsicht binnen zehn Arbeitstagen zu melden und zusätzlich auf der Website zu veröffentlichen.

Wer Personal in Georgien beschäftigt und dabei Beschäftigtendaten verarbeitet, findet die arbeitsvertragliche Seite in Arbeitsvertrag in Georgien; wer wissen will, wer in Georgien beraten darf, in Wer darf Sie in Georgien beraten.

Datenschutz Georgien — häufige Fragen

Wer ist die georgische Datenschutzaufsicht?

Seit dem 2. März 2026 der Staatliche Rechnungshof, vertreten durch den Generalauditor. Bis dahin war es der Personal Data Protection Service; dessen Organisationsvorschriften wurden aufgehoben. Von der alten Behörde erlassene untergesetzliche Akte gelten vorerst fort, die Befugnis zu ihrer Änderung ist übergegangen.

Gilt das Gesetz für mein Unternehmen im Ausland?

Nur wenn Sie zur Verarbeitung technische Mittel in Georgien nutzen — reiner Datentransit zählt nicht. Ein Äquivalent zum Marktortprinzip der DSGVO, das an das Anbieten von Leistungen oder an Verhaltensbeobachtung anknüpft, enthält das georgische Gesetz nicht.

Brauche ich einen Vertreter in Georgien?

Wer als im Ausland registrierter Verantwortlicher technische Mittel in Georgien nutzt, muss vor Beginn der Verarbeitung einen Sonderbeauftragten benennen und registrieren lassen — das Verarbeitungsrecht entsteht erst mit dieser Registrierung. Ausgenommen sind Verantwortliche mit Niederlassung in einem EU-Mitgliedstaat sowie in Staaten, die die EU als angemessen anerkannt hat.

Darf ich Daten aus Georgien in die EU übermitteln?

Ja, ohne Vorabgenehmigung. Die Angemessenheitsliste des Generalauditors führt alle 27 EU-Mitgliedstaaten und die drei EWR-Staaten einzeln auf. Die Genehmigungspflicht betrifft nur den Vertragsweg in Staaten, die nicht gelistet sind.

Wie hoch sind die Bußgelder?

Deutlich niedriger als nach der DSGVO. Das Gesetz arbeitet mit festen Beträgen in zwei Umsatzstufen, Schwelle 500.000 Lari Jahresumsatz. Der höchste im Gesetz genannte Betrag sind 10.000 Lari — für die unterlassene Information Betroffener über einen Vorfall unter erschwerenden Umständen.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts- oder Steuerberatung dar. Belegt sind das Datenschutzgesetz in georgischer Fassung (Publikation 9, konsolidiert 10. Juni 2026), das Änderungsgesetz Nr. 1289 und der Befehl des Generalauditors Nr. 007. Die Angemessenheitsliste ist ein untergesetzlicher Akt und wird mindestens dreijährlich überprüft — vor einer Übermittlung ist die dann geltende Fassung zu prüfen. Ob und wann der Generalauditor die übrigen Akte des früheren Dienstes ersetzt, ist offen. Stand: August 2026.