Brexit und DSGVO - Datentransfer in das Vereinigte Königreich

Am 31. Januar 2020 ist das Vereinigte Königreich aus der Europäischen Union ausgetreten. Zum Jahresende ist nun auch die Brexit-Übergangszeit ausgelaufen. Während dieser Überganszeit wurden die europäischen Regelungen weiter angewendet. In sprichwörtlich letzter Sekunde haben sich das Vereinigte Königreich und die EU auf ein Handels- und Kooperationsabkommen einigen können. In diesem Vertrag wird u. a. auch der Datenschutz geregelt.

Das Abkommen sieht eine weitere Übergangsfrist für Datentransfer in das Vereinigten Königreich vor. Für zunächst vier Monate wurde vereinbart, dass das Vereinigte Königreich nicht als Drittland angesehen wird. Diese Frist verlängert sich automatisch um zwei Monate, sofern die Vertragsparteien keine Einwände erheben. Der Datentransfer wäre somit bis zum 30. April 2021 bzw. bis zum 30. Juni 2021 unverändert möglich. Zudem wurden mit Ablauf der Übergangsfrist auch die wesentlichen Regelungsinhalte der DSGVO in die neue UK-GDPR, ein britisches Datenschutzgesetz, überführt.

Die britische Regierung strebt derzeit den Erlass eines Angemessenheitsbeschlusses durch die Europäische Kommission gem. Art. 45 DSGVO an, in dem das Vereinigte Königreich als „sicheres Drittland“ eingestuft und die Gewährleistung eines angemessenen Datenschutzniveaus offiziell festgestellt wird. Datenex- und Datenimporteure könnten sich dann bei Datenübermittlungen in das betreffende Land auf diesen Angemessenheitsbeschluss berufen. Sofern allerdings ein Angemessenheitsbeschluss nicht erlassen wird, müssen Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten in das Vereinigte Königreich übermitteln wollen, selbst geeignete Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus treffen. Dies könnte u. a. mittels der Verwendung von Standarddatenschutzklauseln der EU-Kommission erreicht werden.

Der EuGH hat bezüglich der Verwendung der Standarddatenschutzklauseln bei Datentransfers in die USA jedoch festgestellt, dass diese aufgrund der amerikanischen Überwachungsgesetze nicht ohne entsprechende Überprüfung des Datenschutzniveaus zulässig sind. Eine entsprechende Risikobewertung könnte künftig auch bei der Verwendung von Standarddatenschutzklauseln für den Datentransfer in das Vereinigte Königreich erforderlich werden.

Betroffene Unternehmen sollten die weiteren Brexit-Entwicklungen weiter verfolgen und – sofern erforderlich – geeignete Maßnahmen erarbeiten, um eine Datenübermittlung in das Vereinigte Königreich weiterhin DSGVO-konform zu gewährleisten.