Nach über dreieinhalb Jahren des Ziehens und Zurrens um das beste Stück vom Kuchen, ist der Brexit nun tatsächlich vollzogen. Das Vereinigte Königreich ist am 31. Januar 2020 um 24 Uhr aus der Europäischen Union (EU) ausgetreten und ist damit der erste Staat, welcher diesen Schritt gewagt hat. Dieses neue Szenario bringt automatisch Unsicherheiten mit sich: Was bedeutet dies für Datenübermittlungen in das Vereinigte Königreich?
Aktueller Stand
Zunächst mal heißt es: „Ruhe bewahren!“
Die EU und das Vereinigte Königreich haben einen harten Brexit vorläufig verhindern können und damit einen chaotischen Ausstieg abgewendet. Das verhandelte Austrittsabkommen zwischen den Parteien sieht zunächst eine Übergangsphase vor, die bis zum 31. Dezember 2020 andauern soll. Während dieser Übergangsphase soll nun ein Abkommen ausgehandelt werden, welches die Beziehung zwischen der EU und dem Vereinigten Königreich nach der Übergangsphase regeln soll. Bis zum Ende der Übergangsphase wird das Vereinigte Königreich noch wie ein normaler EU-Mitgliedsstaat behandelt. Das heißt alle europäischen Regelungen behalten vorerst ihre Gültigkeit, also auch die Datenschutz-Grundverordnung (DS-GVO). Zum jetzigen Zeitpunkt besteht also noch kein akuter Handlungsbedarf und Datenübermittlungen in das Vereinigte Königreich sind nach wie vor möglich.
Was passiert nach der Übergangsphase?
Wie die Faktenlage nach der Übergangsphase aussieht, hängt ganz davon ab, wie die Verhandlungen zwischen dem Vereinigten Königreich und der Europäischen Union enden. Denkbar sind 2 Szenarien:
- Die Übergangsphase endet geregelt und mit einem Abkommen, das auch datenschutzrechtliche Belange regelt. Grundsätzlich gilt die DS-GVO nur für EU-Mitgliedstaaten. Jedoch könnte eine entsprechende Regelung auch das Vereinigte Königreich dazu verpflichten, dass die DS-GVO dort gilt. Eine solche Vereinbarung gibt es bereits mit den Nicht-EU-Mitgliedsstaaten Norwegen, Island und Lichtenstein. Dort findet die DS-GVO genauso Anwendung wie in der Europäischen Union. So wie Datenübermittlungen auch in diese Länder bedenkenlos stattfinden können, wären dann auch Datenübermittlungen in das Vereinigte Königreich möglich.
- Die Übergangsphase endet ohne die Vereinbarung eines Abkommens. In diesem Fall wäre dann der harte Brexit endgültig besiegelt. Ist dies der Fall, ist das Vereinigte Königreich in der Sekunde des Ablaufs der Übergangsphase als Drittland zu behandeln. Im Vereinigten Königreich gilt die DS-GVO dann nicht mehr und es müssen spezielle Voraussetzungen vorliegen, damit eine Datenübermittlung dorthin möglich ist.
Voraussetzungen für die Datenübermittlung in das Vereinigte Königreich als Drittland
Wenn der Brexit ungeregelt endet, finden für Datenübermittlungen in das Vereinigte Königreich unmittelbar die Artt. 44 ff. DS-GVO Anwendung, welche Datenübermittlungen in Drittländer regeln. Gemäß Art. 44 DS-GVO ist eine Übermittlung der Daten in ein Drittland nur dann zulässig, wenn der Auftragsverarbeiter die Bedingungen für Drittstaaten und sonstige Bedingungen der DS-GVO einhält. Demnach ist eine Übermittlung in das Vereinigte Königreich als Drittstaat dann nur unter folgenden Bedingungen zulässig:
- Gemäß Art. 45 DS-GVO muss ein Angemessenheitsbeschluss der Europäischen Kommission vorliegen, der bestätigt, dass im Vereinigte Königreich ein angemessenes Schutzniveau vorliegt.
- Gemäß Art. 46 DS-GVO ist eine Datenübermittlung in ein Drittland auch zulässig, sofern der Auftragsverarbeiter geeignete Garantien bietet und den betroffenen Personen durchsetzbare und wirksame Rechtsbehelfe zur Verfügung stehen. Liegen diese Voraussetzungen vor, können Datenübermittlung stattfinden, da diese datenschutzrechtlich abgesichert sind. Diese Garantien können zum Beispiel durch interne Datenschutzvorschriften erbracht werden, die innerhalb eines Unternehmens gelten, oder durch von der Kommission geprüfte Standarddatenschutzklauseln, die zwischen den beiden Unternehmen gelten.
- In Art. 49 DS-GVO sind noch Ausnahmetatbestände geregelt, die die Übermittlung personenbezogener Daten in Drittländer erlauben können, wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien vorliegen. Demnach ist die Datenübermittlung zum Beispiel beim Vorliegen einer Einwilligung des Betroffenen zulässig oder wenn die Datenübermittlung aus wichtigen Gründen des öffentlichen Interesses notwendig ist.
Ausblick
Zum aktuellen Zeitpunkt ist noch nicht absehbar, zu welchem Ergebnis die Verhandlungen zwischen dem Vereinigte Königreich und der EU führen werden. Zum einen ist es fraglich, ob 11 Monate überhaupt reichen, um ein Abkommen auszuhandeln. Eine Verlängerung der Frist um maximal zwei Jahre ist zwar einmalig möglich, wenn diese bis zum 01. Juli 2020 beantragt wird, jedoch scheint dies zum aktuellen Zeitpunkt ausgeschlossen zu sein. Premierminister Boris Johnson ist fest entschlossen, die Frist einzuhalten und die Übergangsphase am 31. Dezember 2020 zu beenden – mit oder ohne Abkommen.
Zum Zweiten hat das Säbelrasseln zwischen den beiden Parteien bereits begonnen. Premierminister Boris Johnson hat angekündigt, dass das Vereinigte Königreich keine EU-Standards akzeptieren wird, die EU will dem Vereinigten Königreich in den Verhandlungen ebenfalls nicht mehr als nötig entgegenkommen. Insofern scheint ein harter Brexit durchaus denkbar, wenngleich ein solches Verhalten vor Verhandlungen durchaus normal sein dürfte.
Sollte es zum harten Brexit kommen und das Vereinigte Königreich den Status eines Drittlandes annehmen, so stehen die Chancen dennoch nicht schlecht, dass die Datenübermittlung in das Vereinigte Königreich immer noch möglich ist. Die Tatsache, dass das Vereinigte Königreich sich bereits an den Standard der DS-GVO anpassen musste, lässt den Schluss zu, dass das Datenschutzniveau dort auch weiterhin ausreichend hoch sein wird. Es ist daher durchaus denkbar, dass die Europäische Kommission dies dann mit einem Angemessenheitsbeschluss bestätigt. Wenn nicht, so ist es dennoch wahrscheinlich, dass britische Unternehmen geeignete Garantien bieten, die eine Datenübermittlung erlauben. Auch Unternehmen haben sich der DS-GVO bereits angepasst und würden mit Herabsenkung des Datenschutzniveaus einen Imageverlust und einen Verlust bereits bestehender Kunden riskieren.
Daher gilt für Datenübermittlungen in das Vereinigte Königreich: Keine Panik! Aber es gilt natürlich, die Situation weiter zu beobachten und zum Ende des Jahres dann zu sehen, wie mit Datenübermittlungen in das Vereinigte Königreich umzugehen ist.
von Bastian Maute
Bildquelle: Bild von Alexas_Fotos auf pixabay