Der Brexit kommt – am 31.12.2020 um 24.00 Uhr wird UK ausscheiden

Die EU und Großbritannien haben fleißig verhandelt. Doch gleich, wie der Deal aussieht, eins steht fest: Die Übergangsphase im Verhältnis zwischen EU und UK endet mit dem Jahreswechsel. Der Brexit steht also vor der Tür.

UK wird zum EU-Drittland

Auch aus datenschutzrechtlicher Sicht bedeutet der Brexit: Jetzt handeln. Denn Großbritannien wird mit dem Jahreswechsel automatisch zum EU-Drittland.

Das wirkt sich dann aus, wenn Sie mit oder über Großbritannien Daten austauschen. Denn der Transfer von personenbezogenen Daten ist nur innerhalb der Europäischen Union und dem europäischen Wirtschaftsraum unproblematisch.

Den Drittstaatentransfer regeln die Artikel 44 ff. DSGVO. Was Drittstaatentransfer bedeutet, haben wir alle anhand des bedeutsamen Privacy-Shield-Urteils des EuGH erlebt: Ein Datentransfer aus der EU heraus braucht eine gesonderte Rechtfertigung.

Wie der Datentransfer trotz Brexit weitergehen kann

Eine mögliche Rechtfertigung ist das Vorliegen eines Angemessenheitsbeschlusses der EU-Kommission. Wird also so offiziell festgestellt, dass ein bestimmtes Land „im Wesentlichen“ die EU-Datenschutzstandards einhält, darf auf Basis dieses Beschlusses ein Datentransfer in dieses Land stattfinden.

Das Problem: Für Großbritannien liegt ein solcher Beschluss (noch) nicht vor. Es wird nach allem, was man hört, auch noch eine Weile dauern, bis ein solcher Beschluss ergeht.

Bis dahin muss also eine andere Rechtsgrundlage gefunden werden.

Wie mit dem US-Transfer auch, kommen hier in Betracht:

  • Die Vereinbarung der EU-Standarddatenschutzklauseln zwischen Datenimporteur und Datenexporteur,
  • Das Vorliegen von verbindlichen Unternehmensrichtlinien, die von der zuständigen Datenschutzaufsichtsbehörde genehmigt wurden,
  • Das Vorliegen einer Ausnahme nach Artikel 49 DSGVO, bspw. einer ausdrücklichen Einwilligung der Betroffenen im Einzelfall.

Fest steht: Handeln erforderlich

Fest steht damit also: Wer Daten nach Großbritannien transferieren möchte, muss handeln und die Datenübermittlung auf neue, rechtmäßige Beine stellen.

Timo Schutt
Fachanwalt für IT-Recht
Ihr DatenschutzPartner