Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden desBundes und der Länder – 8. März 2019

Informationen der Konferenz der unabhängigen Datenschutzaufsichtsbehörden zu
Datenübermittlungen aus Deutschland
in das Vereinigte Königreich Großbritannien und Nordirland
ab dem 30. März 2019
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und derLänder (DSK) weist Unternehmen, Behörden und andere Institutionen in Deutschland mit
den folgenden Informationen auf die Rechtslage bei einem Austritt („Brexit“) des Vereinigten
Königreichs Großbritannien und Nordirland (im Folgenden: VK) aus der Europäischen Union(EU) hin. Möglich sind zwei Szenarien:

1. Geregelter Austritt
Für den Fall eines geregelten Austritts („Deal-Brexit“) gilt nach den Vorgaben desvorliegenden Entwurfs eines Austrittsabkommens1 zwischen der EU und dem VK die
Datenschutz-Grundverordnung (DS-GVO) weiter. Das Abkommen sieht nämlicheinen Übergangszeitraum vom 30. März 2019 bis Ende 2020 vor (Art. 126). Während
dieser Zeit ist das EU-Recht, also auch die DS-GVO mit ihren Vorgaben fürDatenverarbeitungen, nach wie vor auch im VK anzuwenden (Art. 127), so als wäre
das Land weiterhin ein EU-Mitgliedstaat und kein Drittland im Sinne der DS-GVO.
Eine Verlängerung des Übergangszeitraums um ein bzw. zwei Jahre ist einmalig undvor dem 1. Juli 2020 möglich (Art. 132).
Während des Übergangszeitraums dürfen personenbezogene Daten in das VK unter
denselben Voraussetzungen wie bisher übermittelt werden.

2. Ungeregelter Austritt
Für den Fall eines ungeregelten Austritts („No-Deal-Brexit“) wird das VK zu einemDrittland im Sinne der DS-GVO. Verantwortliche, die personenbezogene Daten anPartner im VK übermitteln wollen, müssen ab dem 30. März 2019 ihre
Datenübermittlungen mit den besonderen Maßnahmen nach Kapitel V DS-GVOabsichern. Die DSK verweist nachdrücklich auf die vom Europäischen
Datenschutzausschuss (EDSA) veröffentlichte Information2, die von allen
datenübermittelnden Stellen unbedingt zu beachten ist.

1ABl. EU vom 19. Februar 2019, C 66 I, S. 1 ff. (198 Seiten), abrufbar unter
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ%3AC%3A2019%3A066I%3ATOC
2https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/SonstigePapiere/EDSA_Inf
o_NoDealBrexit.html?nn=5217120

Eine inoffizielle deutsche Arbeitsübersetzung3 ist ebenfalls verfügbar. Im
Wesentlichen ist demnach Folgendes zu tun:Bei einer Datenübermittlung in das Drittland VK sollten die Verantwortlichen
1. feststellen, welche Verarbeitungen eine Übermittlung personenbezogener Daten
in das Drittland VK mit sich bringen,2. das geeignete Datentransfer-Instrument für die jeweilige Situation festlegen,3. das gewählte Datentransfer-Instrument so umsetzen, dass es für den 30. März
2019 bereit ist,
4. in der internen Dokumentation vermerken, dass Übermittlungen in das Drittland
VK erfolgen werden und
5. die Datenschutzerklärung zur Information der betroffenen Personen entsprechendaktualisieren.
Konkretisierend zu den unter Schritt 4 und 5 genannten sind insbesondere folgende
Maßnahmen vorzusehen:a) Im Informationsblatt zur Datenverarbeitung und in derDatenschutzerklärung einer Webseite ist über die Datenübermittlung in dasDrittland VK und über die verwendeten geeigneten Datenschutzgarantien zuinformieren (Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lit. f DS-GVO).
b) Wenn eine betroffene Person von ihrem Auskunftsrecht Gebrauch macht, ist
sie auch über die Datenübermittlung in das Drittland VK und die verwendeten
geeigneten Datenschutzgarantien zu informieren (Art. 15 Abs. 1 lit. c, Abs. 2DS-GVO).
c) Im Verzeichnis von Verarbeitungstätigkeiten sind Datenübermittlungen indas Drittland VK als solche zu bezeichnen und die weiteren in diesem
Zusammenhang geforderten Angaben zu machen (Art. 30 Abs. 1 lit. d und lit. e
DS-GVO bzw. Art. 30 Abs. 2 lit. c DS-GVO).

Die DSK weist darauf hin, dass Verantwortliche, die personenbezogene Daten ohne
die nach Kapitel V DS-GVO notwendigen Sicherheiten in das VK übermitteln,rechtswidrig handeln. Die Aufsichtsbehörden könnten dann Datenübermittlungen perAnordnung aussetzen (Art. 58 Abs. 2 lit. j DS-GVO) und Geldbußen verhängen (Art.
83 Abs. 5 lit. c DS-GVO).

3

https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/SonstigePapiere/EDSA_Inf
o_NoDealBrexit_Arbeits%C3%BCbersetzung.html?nn=5217120

2