Die Entwicklungen im Auge behalten: Brexit und der Transfer personenbezogener Daten nach Großbritannien

Am 31.1.2020 ist Großbritannien aus der Europäischen Union ausgetreten. Für den Transfer personenbezogener Daten nach Großbritannien bleibt aber zunächst alles beim Alten: Das Austrittsabkommen zwischen den EU und Großbritannien sieht bis zum Ende der Übergangsperiode am 31.12.2020 vor, dass die Regelungen der Datenschutz-Grundverordnung (DS-GVO) weiter gelten. Wer also bereits befürchtet hat, nun zügig tätig werden zu müssen, um den Datentransfer nach Großbritannien DS-GVO-konform abzusichern, kann zunächst ein wenig beruhigt werden. Allerdings sollten Unternehmen die Entwicklungen aufmerksam verfolgen und vorausschauend planen.

Ein angemessenes Datenschutzniveau sicherstellen

Die Europäische Kommission hat die Möglichkeit, zu bestimmen, ob ein Land, in dem die DS-GVO nicht umzusetzen ist – ein sog. Drittland –, ein angemessenes Datenschutzniveau bietet. Ein solcher Angemessenheitsbeschluss bewirkt, dass beispielsweise der Datenaustausch zwischen einem in der EU ansässigen Unternehmen und einem Unternehmen in dem Empfängerland wie ein solcher innerhalb der EU behandelt wird. Es bedarf daher keiner zusätzlichen Maßnahmen, um den Datentransfer abzusichern, aber die Übermittlung der Daten muss natürlich mit den sonstigen datenschutzrechtlichen Regelungen der DS-GVO übereinstimmen. Angemessenheitsbeschlüsse gibt es beispielsweise für die Schweiz und Israel, ferner für die USA unter den Bedingungen des Privacy-Shield-Abkommens.

Liegt kein solcher Angemessenheitsbeschluss vor, dürfen personenbezogene Daten nur dann in ein Drittland übermittelt werden, wenn weitere Instrumente garantieren, dass der Transfer datenschutzkonform ist. Zu diesen Instrumenten gehören beispielsweise die sog. Standardvertragsklauseln, welche die EU-Kommission erlassen hat, oder sog. Binding Corporate Rules. Aber Achtung: Eine Standardvertragsklausel ersetzt nicht die Vereinbarung zur Auftragsverarbeitung mit einem Dienstleister. Der Abschluss der Standardvertragsklauseln ist ein zusätzliches Instrument, um den Datentransfer entsprechend den Vorgaben der DS-GVO weitgehender abzusichern.

Was heißt das nun für den Datentransfer nach Großbritannien? Sollte die EU-Kommission in diesem Jahr Großbritannien per Angemessenheitsbeschluss als sicheres Drittland bestimmen, bleibt alles beim Alten. Sollte jedoch kein Angemessenheitsbeschluss ergehen, wird Großbritannien zum 1.1.2021 zum Drittland und Unternehmen müssen den Datentransfer zusätzlich absichern. Unternehmen sind also gehalten, den Fortgang in Sachen Brexit und Datenschutz aufmerksam zu verfolgen und unter Umständen bereits jetzt für den Abschluss von Standardvertragsklauseln mit Vertragspartnern in Großbritannien vorausschauend zu planen, sollte dies notwendig werden.

To be continued…

Ansprechpartner: Jost Eder/Nils Langeloh/Alexander Bartsch/Thomas Schmeding