Was der Brexit wirklich für den Datenschutz bedeutet

Übergangsregelung für Datenübermittlung

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) wies Unternehmen, Behörden und andere Institutionen in Deutschland kürzlich darauf hin, dass in den Schlussbestimmungen des Entwurfs eines Handels- und Zusammenarbeitsabkommens zwischen dem Vereinigten Königreich und der Europäischen Union eine neue Übergangsregelung für Datenübermittlungen vorgesehen ist, die den bisher befürchteten gravierenden Rechtsunsicherheiten vorbeugt.

Danach sollen Übermittlungen personenbezogener Daten von der EU in das Vereinigte Königreich für eine Übergangsperiode nicht als Übermittlungen in ein Drittland (Art. 44 DSGVO) angesehen werden. Diese Periode beginnt mit dem In-Kraft-Treten des Abkommens und endet, wenn die EU-Kommission das Vereinigte Königreich betreffende Adäquanzentscheidungen nach DSGVO getroffen hat, spätestens jedoch nach vier Monaten. Dieses Enddatum kann um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspricht.

Andreas Schurig, der Vorsitzende der DSK in 2020, erklärte hierzu: „Damit sind Übermittlungen in das Vereinigte Königreich vorerst weiterhin unter den bisherigen Voraussetzungen möglich. Gravierende Erschwernisse für die betroffenen Unternehmen werden so zunächst vermieden. Allerdings ist jetzt die EU-Kommission in der Pflicht, tragfähige Adäquanzentscheidungen vorzulegen, die auch die aktuelle Rechtsprechung des Europäischen Gerichtshofs berücksichtigen und von den Mitgliedstaaten genauso wie vom Europäischen Datenschutzausschuss sorgfältig zu prüfen sein werden.“

Keine Entwarnung, aber Übergangsfrist

Die in der Vergangenheit genannten Befürchtungen, dass es ohne Deal ab 1. Januar 2021 zu einer Situation kommen könnte, dass zuerst eine neue Rechtsgrundlage gefunden werden muss, wenn man personenbezogene Daten in das Vereinigte Königreich übermitteln will, sind zwar nicht mit dem Stichtag eingetreten, doch eine komplette Entwarnung kann nicht gegeben werden.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Prof. Dr. Dieter Kugelmann, erklärte „Kurz vor der Ziellinie des Brexit hat es geklappt, auch die Datenübermittlungen in das Vereinigte Königreich zu erhalten. Gravierende Erschwernisse für die betroffenen Unternehmen werden so zunächst vermieden. Aber den Unternehmen sollte nicht die Puste ausgehen. Es gilt, sich auf ein Ende der Übergangszeit vorzubereiten, um Geschäftsprozesse gegebenenfalls anzupassen.“

Während der viermonatigen Übergangsfrist ab dem 01. Januar 2021 werden Übermittlungen personenbezogener Daten von der EU in das Vereinigte Königreich Großbritannien und Nordirland für eine Übergangsperiode nicht als Übermittlungen in ein Drittland (Art. 44 DSGVO) angesehen.

Unternehmen, die die Übermittlung personenbezogener Daten in das Vereinigte Königreich vornehmen oder planen, müssen aber die Entwicklung genau im Auge behalten und die Rechtsgrundlage für ihre Datenübermittlungen entsprechend anpassen, zum Beispiel in den Datenschutzerklärungen und in verschiedenen Verträgen. Sollte es keine tragfähige Adäquanzentscheidung der EU-Kommission geben, könnte es doch noch dazu kommen, dass für die Datenübermittlungen nach UK andere Datenschutzinstrumente gesucht und gefunden werden müssen, wie im Fall der USA durch den Wegfall des Privacy Shield.

Es bleibt abzuwarten, was nun von der EU-Kommission und dann entsprechend von dem Europäischen Datenschutzausschuss (EDSA) dazu ausgesagt werden wird.