News
Brexit: Übergangslösung für Datentransfers sorgt für Erleichterung – aber ist ein Angemessenheitsbeschluss realistisch?
Im Falle einer Einigung sind Datentransfers in das Vereinigte Königreich zunächst für mindestens vier weitere Monate möglich, ohne dass das europäische Datenschutzrecht dem entgegensteht. Diese Frist wird zudem um zwei weitere Monate automatisch verlängert, wenn nicht von einer Seite widersprochen wird. Im Ergebnis können personenbezogene Datentransfers damit für eine Übergangszeit von bis zu sechs Monaten auch ohne Angemessenheitsbeschluss der Europäischen Kommission bzw. ohne geeignete Garantien seitens der Unternehmen weiter ermöglicht werden.
Der BVDW begrüßt diese Entwicklung, warnt jedoch auch vor verfrühter Euphorie. Es ist zum einen fraglich, wie realistisch ein Angemessenheitsbeschluss innerhalb dieser kurzen Übergangszeit ist. Zum anderen stellen Datenübermittlungen auf Grundlage geeigneter Garantien die Digitale Wirtschaft noch immer vor große Herausforderungen.
Nach wie vor wird von beiden Seiten bekräftigt, dass Datenübermittlungen zukünftig auf der Grundlage eines Angemessenheitsbeschluss nach Art. 45 DS-GVO ermöglicht werden sollen. Eine Übermittlung von personenbezogenen Daten darf hierbei vorgenommen werden, wenn das Vereinigte Königreich ein angemessenes Schutzniveau bietet.
Die beiderseitigen Bemühungen sind positiv hervorzuheben. Die EU hat von Anfang an auf das hohe europäische Datenschutzniveau gedrängt, gleichzeitig hat das Vereinigte Königreich entsprechende Anpassung des britischen Datenschutzrechts an die Datenschutz-Grundverordnung weiter vorangebracht. Gerade hierdurch konnte auch die vorliegende Übergangslösung erzielt werden und ein wichtiger Schritt für einen weiterhin freien digitalen Handel und Datenverkehr für die Digitale Wirtschaft gemacht werden.
Nach wie vor Sorge bereitet jedoch die Tatsache, dass noch kein Angemessenheitsbeschluss vorliegt. Zwar arbeitet die Europäische Kommission seit März 2020 intensiv an einem Angemessenheitsbeschluss für das Vereinigte Königreich und es wird mit der vorliegenden Übergangsregelung auch noch einmal deutlich der Wille zum Ausdruck gebracht, dass ein Angemessenheitsbeschluss die Grundlage für Datenübermittlungen in das Vereinigte Königreich bilden soll.
Ein Angemessenheitsbeschluss wird jedoch von der EU-Kommission grundsätzlich von einem zuvor geschlossenen Handelsabkommen abhängig gemacht. Zudem dauerten Verfahren hin zu einem Angemessenheitsbeschluss bislang im Durchschnitt mehr als zwei Jahre, sodass dieses Vorhaben mit dem Vereinigten Königreich nach wie vor ambitioniert erscheint. Ferner werden auch die hohen Anforderungen aus der Rechtsprechung des Europäischen Gerichtshofs (EuGH) zu berücksichtigen sein. Nicht nur seit der im Juli 2020 ergangenen „Schrems II“-Entscheidung (EuGH, Urteil vom 16.07.2020, C 311/18) muss vor einer verfrühten Euphorie gewarnt werden. Erst vor Kurzem urteilte der EuGH auch, dass die umfassenden Datenverarbeitungsbefugnisse britischer Geheimdienste unzulässig sind (Urteil vom 06.10.2020, C 623/17). Ein Angemessenheitsbeschluss für Datenübermittlungen in das Vereinigte Königreich könnte hierdurch trotz aller Bestrebungen in weite Ferne rücken.
Kann am Ende kein Angemessenheitsbeschluss vorgewiesen werden, ist die Digitale Wirtschaft gehalten, allen voran geeignete Garantien wie beispielsweise über Standardvertragsklauseln oder Binding Corporate Rules vorzuweisen (Art. 46 DS-GVO). Und auch dabei wird die Rechtsprechung des EuGH zu berücksichtigen sein, wodurch die Unternehmen bereits heute vor enorme Herausforderungen gestellt sind. Unternehmen sollten sich daher auch weiterhin auf diesen Ernstfall vorbereiten.
Zudem sollten Unternehmen klären, ob und gegebenenfalls inwieweit die Vorgaben des britischen Datenschutzrechts zu berücksichtigen sind. Auch wenn die britische Regierung darauf verweist, dass für Übermittlungen von personenbezogenen Daten aus dem Vereinigten Königreich in die EU keine zusätzlichen Schutzmaßnahmen getroffen werden müssen, kann das britische Datenschutzrecht neben der DS-GVO Anwendung finden und zu beachten sein. So ist etwa zu prüfen, ob ein Vertreter im Vereinigten Königreich nach britischem Datenschutzrecht benannt werden muss.
Datenschutz ist im Ressort „Data Economy“ ein zentrales Schwerpunktthema des BVDW. Wir laden Sie ein, sich hieran zu beteiligen.
Christian Dürschmied, Referent Datenschutz: duerschmied@bvdw.org
