DURCHFÜHRUNGSVERORDNUNG (EU) 2021/1772 DER KOMMISSION

vom 28. Juni 2021

gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zur Angemessenheit des Schutzes personenbezogener Daten durch das Vereinigte Königreich

(Bekannt gegeben unter Aktenzeichen C(2021) 4800)

(Text von Bedeutung für den EWR)

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (1), insbesondere auf Artikel 45 Absatz 3,

in Erwägung nachstehender Gründe:

1. EINLEITUNG

(1) Die Verordnung (EU) 2016/679 enthält die Vorschriften für die Übermittlung personenbezogener Daten durch Verantwortliche oder Auftragsverarbeiter in der Europäischen Union an Drittländer und internationale Organisationen, soweit die betreffenden Übermittlungen in ihren Anwendungsbereich fallen. Die Vorschriften für internationale Übermittlungen personenbezogener Daten sind in Kapitel V dieser Verordnung, d. h. in den Artikeln 44 bis 50, festgelegt. Der Fluss personenbezogener Daten in Drittländer und aus Drittländern ist zwar für die Ausweitung der internationalen Zusammenarbeit und des grenzüberschreitenden Handels wesentlich, dennoch darf das unionsweit gewährleistete Schutzniveau für personenbezogene Daten bei Übermittlungen in Drittländer nicht untergraben werden (2).

(2) Nach Artikel 45 Absatz 3 der Verordnung (EU) 2016/679 kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau bieten. Unter dieser Voraussetzung können personenbezogene Daten nach Artikel 45 Absatz 1 und Erwägungsgrund 103 dieser Verordnung ohne weitere Genehmigung an ein Drittland übermittelt werden.

(3) Wie in Artikel 45 Absatz 2 der Verordnung (EU) 2016/679 festgelegt, muss die Annahme eines Angemessenheitsbeschlusses auf einer umfassenden Analyse der Rechtsordnung des Drittlands beruhen, und zwar sowohl in Bezug auf die für die Datenimporteure geltenden Vorschriften als auch auf die Beschränkungen und Garantien für den Zugang der Behörden zu personenbezogenen Daten. Im Rahmen ihrer Prüfung muss die Kommission feststellen, ob das betreffende Drittland ein Schutzniveau garantiert, das dem innerhalb der Europäischen Union gewährleisteten Schutzniveau „der Sache nach gleichwertig“ ist (Erwägungsgrund 104 der Verordnung (EU) 2016/679). Die Frage, ob ein Schutzniveau „der Sache nach gleichwertig“ ist, wird anhand des Maßstabs beurteilt, der in den Rechtsvorschriften der Europäischen Union, insbesondere in der Verordnung (EU) 2016/679, festgelegt und durch die Rechtsprechung des Gerichtshofs der Europäischen Union (3) entwickelt wurde. Die vom Europäischen Datenschutzausschuss (EDPB) herausgegebene Referenzgrundlage für Angemessenheit (4) ist in diesem Zusammenhang ebenfalls von Bedeutung.

(4) Der Gerichtshof der Europäischen Union hat klargestellt, dass es dazu keines identischen Schutzniveaus bedarf (5). Insbesondere können sich die Mittel, auf die das betreffende Drittland für den Schutz personenbezogener Daten zurückgreift, von denen unterscheiden, die in der Europäischen Union herangezogen werden, sofern sie sich in der Praxis als wirksam erweisen, um ein angemessenes Schutzniveau zu gewährleisten (6). Daher erfordert die Angemessenheitsfeststellung keine Eins-zu-eins-Übereinstimmung mit den Vorschriften der Union. Die Frage ist vielmehr, ob das ausländische System insgesamt aufgrund des Wesensgehalts der Rechte auf Datenschutz sowie ihrer wirksamen Anwendung, Überwachung und Durchsetzung das erforderliche Maß an Schutz bietet (7).

(5) Die Kommission hat Recht und Praxis im Vereinigten Königreich sorgfältig analysiert. Ausgehend von den Feststellungen in den Erwägungsgründen 8 bis 270 gelangt die Kommission zu dem Schluss, dass das Vereinigte Königreich ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet, die im Rahmen der Verordnung (EU) 2016/679 aus der Europäischen Union in das Vereinigte Königreich übermittelt werden.

(6) Diese Schlussfolgerung betrifft nicht personenbezogene Daten, die zu Zwecken der Einwanderungskontrolle des Vereinigten Königreichs übermittelt werden oder aus anderen Gründen in den Anwendungsbereich der Ausnahme von bestimmten Rechte betroffener Personen zu Zwecken der Aufrechterhaltung einer wirksamen Einwanderungskontrolle (im Folgenden „Ausnahme im Bereich der Einwanderung“) gemäß Anhang 2 Nummer 4 Ziffer 1 des UK Data Protection Act fallen. Ob die im britischem Recht vorgesehene Ausnahme im Bereich der Einwanderung gültig ist und wie sie auszulegen ist, ist nach einem Beschluss des Court of Appeal in England and Wales vom 26. Mai 2021 nicht entschieden. Der Court of Appeal hat erkannt, dass die Rechte betroffener Personen zu Zwecken der Einwanderungskontrolle „als wichtiger Aspekt des öffentlichen Interesses“ grundsätzlich zwar eingeschränkt werden dürfen, die Ausnahme im Bereich der Einwanderung in ihrer jetzigen Form aber mit dem britischen Recht unvereinbar ist, da in der Gesetzgebungsmaßnahme spezifische Bestimmungen mit den in Artikel 23 Absatz 2 der Datenschutzgrundverordnung des Vereinigten Königreichs (UK GDPR) genannten Garantien fehlen (8). Deshalb sollte die Übermittlung personenbezogener Daten aus der Union in das Vereinigte Königreich, auf die die Ausnahme im Bereich der Einwanderung angewendet werden kann, aus dem Anwendungsbereich des vorliegenden Beschlusses ausgeklammert werden (9). Sobald die Unvereinbarkeit mit dem britischen Recht beseitigt ist, sollten sowohl die Ausnahme im Bereich der Einwanderung als auch die Notwendigkeit der Einschränkung des Anwendungsbereichs des vorliegenden Beschlusses erneut bewertet werden.

(7) Dieser Beschluss sollte die unmittelbare Anwendung der Verordnung (EU) 2016/679 auf Organisationen mit Sitz im Vereinigten Königreich nicht berühren, wenn die in Artikel 3 der Verordnung festgelegten Bedingungen für den räumlichen Anwendungsbereich der Verordnung erfüllt sind.

2. VORSCHRIFTEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

2.1. Der konstitutionelle Rahmen

(8) Das Vereinigte Königreich ist eine parlamentarische Demokratie, deren Staatsoberhaupt ein konstitutioneller Souverän ist. Das Land verfügt über ein souveränes Parlament, das allen anderen staatlichen Einrichtungen übergeordnet ist, eine aus dem Parlament hervorgehende und ihm gegenüber rechenschaftspflichtige Exekutive sowie eine unabhängige Justiz. Die Exekutive bezieht ihre Hoheitsgewalt daraus, dass sie das Vertrauen der gewählten Mitglieder des Unterhauses genießt; sie ist rechenschaftspflichtig gegenüber beiden Kammern des Parlaments, die für die Kontrolle der Regierung und die Erörterung sowie Verabschiedung von Gesetzesinitiativen verantwortlich sind.

(9) Das britische Parlament hat dem schottischen Parlament, dem walisischen Parlament (Senedd Cymru) und der parlamentarischen Versammlung für Nordirland die Verantwortung für die Gesetzgebung in denjenigen inneren Angelegenheiten in Schottland, Wales und Nordirland übertragen, die es sich nicht selbst vorbehalten hat. Während Datenschutzfragen dem britischen Parlament vorbehalten sind – d. h. in diesem Bereich gelten landesweit einheitliche Rechtsvorschriften –, wurden andere für diesen Beschluss relevante Politikbereiche den Parlamenten der einzelnen Landesteile übertragen. So wurde beispielsweise die Zuständigkeit für die Strafrechtssysteme Schottlands und Nordirlands, einschließlich polizeilicher Aufgaben, an das schottische Parlament bzw. die parlamentarische Versammlung für Nordirland übertragen. Das Vereinigte Königreich besitzt keine kodifizierte Verfassung im Sinne eines konkreten Verfassungsdokuments. Die Verfassungsgrundsätze haben sich im Laufe der Zeit auf der Grundlage der Rechtsprechung und insbesondere des Gewohnheitsrechts fortentwickelt. Der Verfassungsrang bestimmter Dokumente wie der Magna Carta, der Bill of Rights von 1689 und des Gesetzes über Menschenrechte von 1998 (Human Rights Act 1998) wurde von Gerichten anerkannt. Maßgeblich für die Entwicklung der Grundrechte des Einzelnen als Teil der Verfassung waren das Gewohnheitsrecht („Common Law“), die genannten Dokumente sowie internationale Verträge, insbesondere die Europäische Menschenrechtskonvention (im Folgenden „EMRK“), die das Vereinigte Königreich im Jahr 1951 ratifiziert hat. Im Jahr 1987 hat das Vereinigte Königreich außerdem das Übereinkommen des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (im Folgenden „Übereinkommen Nr. 108“) ratifiziert (10).

(10) Mit dem Human Rights Act 1998 wurden die in der Europäischen Menschenrechtskonvention verbürgten Rechte in das Recht des Vereinigten Königreichs übernommen. Durch den Human Rights Act werden jeder Person die Grundrechte und -freiheiten gewährt, die in den Artikeln 2 bis 12 und 14 der Europäischen Menschenrechtskonvention, in den Artikeln 1, 2 und 3 ihres Ersten Protokolls und in Artikel 1 ihres Dreizehnten Protokolls in Verbindung mit den Artikeln 16, 17 und 18 dieser Konvention vorgesehen sind. Dazu zählen das Recht auf Achtung des Privat- und Familienlebens (und das Recht auf Datenschutz als Teil dieses Rechts) und das Recht auf ein faires Verfahren (11). Insbesondere darf eine Behörde gemäß Artikel 8 dieser Konvention in die Ausübung des Rechts auf Privatsphäre nur eingreifen, soweit der Eingriff gesetzlich vorgesehen und in einer demokratischen Gesellschaft notwendig ist für die nationale oder öffentliche Sicherheit, für das wirtschaftliche Wohl des Landes, zur Aufrechterhaltung der Ordnung, zur Verhütung von Straftaten, zum Schutz der Gesundheit oder der Moral oder zum Schutz der Rechte und Freiheiten anderer.

(11) Gemäß dem Human Rights Act 1998 muss jede Handlung von Behörden mit einem Konventionsrecht vereinbar sein (12). Darüber hinaus sind primärrechtliche und nachrangige Bestimmungen so zu lesen und umzusetzen, dass sie mit den Konventionsrechten vereinbar sind (13).

2.2. Der Datenschutzrechtsrahmen des Vereinigten Königreichs

(12) Das Vereinigte Königreich ist zum 31. Januar 2020 aus der Europäischen Union ausgetreten. Auf der Grundlage des Abkommens über den Austritt des Vereinigten Königreichs Großbritannien und Nordirland aus der Europäischen Union und der Europäischen Atomgemeinschaft (14) fand das Unionsrecht im Vereinigten Königreich während des Übergangszeitraums bis zum 31. Dezember 2020 weiterhin Anwendung. Vor dem Austritt und während des Übergangszeitraums bestand der Rechtsrahmen für den Schutz personenbezogener Daten im Vereinigten Königreich aus den einschlägigen EU-Rechtsvorschriften (insbesondere der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (15)) sowie nationalen Rechtsvorschriften, insbesondere dem Gesetz über den Datenschutz von 2018 (Data Protection Act 2018 – im Folgenden „DPA 2018“) (16); Letzteres sah nationale Vorschriften vor, mit denen die Anwendung der Bestimmungen der Verordnung (EU) 2016/679 und der umgesetzten Richtlinie (EU) 2016/680 präzisiert und eingeschränkt wurde, soweit dies gemäß der Verordnung (EU) 2016/679 zulässig war.

(13) Zur Vorbereitung auf den Austritt aus der Europäischen Union erließ die Regierung des Vereinigten Königreichs das Gesetz über den Austritt aus der Europäischen Union von 2018 (European Union (Withdrawal) Act 2018) (17), mit dem unmittelbar geltende Rechtsvorschriften der Union in das Recht des Vereinigten Königreichs übernommen wurden (18). Dieses beibehaltene EU-Recht („retained EU law“) umfasst die Verordnung (EU) 2016/679 in all ihren Teilen (einschließlich ihrer Erwägungsgründe) (19). Laut diesem Gesetz muss das unverändert beibehaltene EU-Recht von den Gerichten des Vereinigten Königreichs gemäß der einschlägigen Rechtsprechung des Europäischen Gerichtshofs und den allgemeinen Grundsätzen des Unionsrechts ausgelegt werden, so wie sie unmittelbar vor dem Ende des Übergangszeitraums gelten (bezeichnet als „beibehaltene EU-Rechtsprechung“ („retained EU case law“) bzw. als „beibehaltene allgemeine Grundsätze des EU-Rechts“ („retained general principles of EU law“)) (20).

(14) Gemäß dem European Union (Withdrawal) Act 2018 sind die Minister des Vereinigten Königreichs befugt, im Wege von Verordnungen abgeleitete Rechtsvorschriften einzuführen, um die Änderungen am beibehaltenen Recht der Europäischen Union vorzunehmen, die infolge des Austritts des Vereinigten Königreichs aus der Europäischen Union notwendig geworden sind. Sie übten diese Befugnis durch den Erlass der Verordnungen von 2019 über Datenschutz, Privatsphäre und elektronische Kommunikation (Änderungen usw.) (EU-Austritt) (Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 – im Folgenden „DPPEC Regulations“) aus (21). Durch die DPPEC Regulations wurde die Verordnung (EU) 2016/679, die durch den European Union (Withdrawal) Act 2018, den DPA 2018 und andere Datenschutzgesetze in das britische Recht übernommen wurde, geändert, um sie an den nationalen Kontext anzupassen (22).

(15) Folglich besteht der rechtliche Rahmen für den Schutz personenbezogener Daten im Vereinigten Königreich nach dem Ende der Übergangszeit aus folgenden Elementen: — UK GDPR, wie sie durch den European Union (Withdrawal) Act 2018 in das Recht des Vereinigten Königreichs übernommen und durch die DPPEC Regulations geändert wurde (23), und — DPA 2018 (24), wie er durch die DPPEC Regulations geändert wurde.

(16) Da die UK GDPR auf einem EU-Rechtsakt basiert, geben die Datenschutzvorschriften im Vereinigten Königreich in vielen Aspekten weitgehend die entsprechenden innerhalb der Europäischen Union geltenden Vorschriften wieder.

(17) Zusätzlich zu den Befugnissen, die dem Secretary of State (Minister des Kabinetts) durch den European Union (Withdrawal) Act 2018 eingeräumt wurden, geben mehrere Bestimmungen des DPA 2018 dem Secretary of State die Befugnis, abgeleitete Rechtsvorschriften zu erlassen, um einzelne Bestimmungen des Gesetzes zu ändern oder ergänzende sowie zusätzliche Vorschriften einzuführen (25). Der Secretary of State hat bisher nur von der Befugnis nach Paragraf 137 DPA 2018 Gebrauch gemacht und die Verordnungen von 2019 über Datenschutz (Gebühren und Informationen) (Änderung) (Data Protection (Charges and Information) (Amendment) Regulations 2019) erlassen, in denen festgelegt ist, unter welchen Umständen Verantwortliche eine jährliche Gebühr an die unabhängige Datenschutzbehörde des Vereinigten Königreichs, den Information Commissioner, zahlen müssen.

(18) Weitere Hinweise zu den Datenschutzgesetzen des Vereinigten Königreichs finden sich schließlich in den Verhaltenskodizes und anderen vom Information Commissioner verabschiedeten Leitlinien. Obwohl sie formal nicht rechtsverbindlich sind, sind diese Leitlinien maßgeblich für Zwecke der Auslegung und legen dar, wie die Datenschutzgesetze in der Praxis angewendet und vom Commissioner durchgesetzt werden. Insbesondere ist der Information Commissioner gemäß den Paragrafen 121 bis 125 DPA 2018 verpflichtet, Verhaltenskodizes zu Datenaustausch, Direktwerbung, altersgerechter Gestaltung und altersgerechtem Datenschutz sowie Journalismus zu erstellen.

(19) Somit ist der britische Rechtsrahmen für Daten, die gemäß diesem Beschluss übermittelt werden, seiner Struktur und seinen wesentlichen Bestandteilen nach dem in der Europäischen Union geltenden Rechtsrahmen sehr ähnlich. Dazu gehört auch, dass dieser Rahmen nicht nur auf Verpflichtungen beruht, die im innerstaatlichen Recht festgelegt sind und durch EU-Recht geprägt wurden, sondern auch auf völkerrechtlichen Verpflichtungen, die das Vereinigte Königreich insbesondere durch seinen Beitritt zur EMRK und zum Übereinkommen Nr. 108 sowie durch die Anerkennung der Gerichtsbarkeit des Europäischen Gerichtshofs für Menschenrechte eingegangen ist. Diese sich aus rechtsverbindlichen internationalen Instrumenten ergebenden Verpflichtungen, die insbesondere den Schutz personenbezogener Daten betreffen, sind daher ein besonders wichtiges Element des Rechtsrahmens, der in diesem Beschluss bewertet wird.

2.3. Sachlicher und räumlicher Anwendungsbereich

(20) Ähnlich wie die Verordnung (EU) 2016/679 gilt die UK GDPR für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten oder für andere Arten der Verarbeitung, wenn die personenbezogenen Daten in einem Dateisystem gespeichert sind (26). Die Begriffsbestimmungen der Begriffe „personenbezogene Daten“ („personal data“), „betroffene Person“ („data subject“) und „Verarbeitung“ („processing“) der UK GDPR sind identisch mit denen der Verordnung (EU) 2016/679 (27). Darüber hinaus gilt die UK GDPR für die manuelle, unstrukturierte Verarbeitung personenbezogener Daten (28), die sich im Besitz bestimmter Behörden des Vereinigten Königreichs befinden (29), wenngleich die Grundsätze und Rechte der UK GDPR, die für derartige personenbezogene Daten nicht relevant sind, durch die Paragrafen 24 und 25 DPA 2018 außer Kraft gesetzt werden. Ähnlich wie die Verordnung (EU) 2016/679 gilt die UK GDPR nicht für die Verarbeitung personenbezogener Daten durch eine Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten (30).

(21) Der Anwendungsbereich der UK GDPR erstreckt sich zudem auf die Verarbeitung zur Ausübung einer Tätigkeit, die unmittelbar vor dem Ende des Übergangszeitraums nicht im Anwendungsbereich des Unionsrechts lag (z. B. nationale Sicherheit) (31) oder in den Anwendungsbereich von Titel 5 Kapitel 2 des Vertrags über die Europäische Union fiel (Tätigkeiten der Gemeinsamen Außen- und Sicherheitspolitik) (32). Wie im System der Europäischen Union gilt die UK GDPR nicht für die Verarbeitung personenbezogener Daten durch eine zuständige Behörde zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit („Zwecke der Strafverfolgung“ („law enforcement purposes“)) – eine derartige Verarbeitung wird stattdessen durch Teil 3 des DPA 2018 geregelt, so wie es nach dem Recht der Europäischen Union auch für die Richtlinie (EU) 2016/680 der Fall ist – oder für die Verarbeitung personenbezogener Daten durch Nachrichtendienste (den Security Service, den Secret Intelligence Service und die Government Communications Headquarters), die Gegenstand von Teil 4 des DPA 2018 ist (33).

(22) Der räumliche Anwendungsbereich der UK GDPR ist in Artikel 3 der UK GDPR festgelegt (34) und erstreckt sich auf die Verarbeitung personenbezogener Daten (unabhängig davon, wo sie stattfindet), soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters im Vereinigten Königreich erfolgt, sowie auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich im Vereinigten Königreich aufhalten, wenn die Verarbeitungstätigkeiten mit dem Angebot von Waren oder Dienstleistungen für diese betroffenen Personen oder der Beobachtung ihres Verhaltens im Zusammenhang stehen (35). Dies entspricht dem Ansatz von Artikel 3 der Verordnung (EU) 2016/679.

2.4. Bestimmung der Begriffe „personenbezogene Daten“ sowie „Verantwortlicher“ und „Auftragsverarbeiter“

(23) Die Definitionen der Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“ und „Auftragsverarbeiter“ sowie die Definition des Begriffs „Pseudonymisierung“, die in der Verordnung (EU) 2016/679 festgelegt sind, wurden ohne wesentliche Änderungen in die UK GDPR übernommen (36). Darüber hinaus sind in Artikel 9 Absatz 1 UK GDPR besondere Kategorien von Daten in gleicher Weise definiert wie in der Verordnung (EU) 2016/679 („Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie […] genetische[n] Daten, biometrische[n] Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“). In Paragraf 205 DPA 2018 sind die Ausdrücke „biometrische Daten“ („biometric data“) (37), „Gesundheitsdaten“ („data concerning health“) (38) und „genetische Daten“ („genetic data“) (39) definiert.

2.5. Garantien, Rechte und Pflichten

2.5.1. Rechtmäßigkeit der Verarbeitung und Verarbeitung nach Treu und Glauben

(24) Die Verarbeitung personenbezogener Daten sollte rechtmäßig und nach Treu und Glauben erfolgen.

(25) Die Grundsätze der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben sowie der Transparenz und die Gründe für eine rechtmäßige Verarbeitung werden im Recht des Vereinigten Königreichs durch Artikel 5 Absatz 1 Buchstabe a und Artikel 6 Absatz 1 der UK GDPR gewährleistet, die mit den entsprechenden Bestimmungen der Verordnung (EU) 2016/679 identisch sind (40) Paragraf 8 DPA 2018 ergänzt Artikel 6 Absatz 1 Buchstabe e; darin ist vorgesehen, dass die Verarbeitung personenbezogener Daten gemäß Artikel 6 Absatz 1 Buchstabe e UK GDPR (die zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt durch den Verantwortlichen erfolgt, erforderlich ist) auch die Verarbeitung personenbezogener Daten umfasst, die erforderlich ist für die Rechtspflege, die Ausübung einer Funktion einer der beiden Kammern des Parlaments, die Ausübung einer Funktion, die einer Person durch einen Rechtsetzungsakt oder eine Rechtsvorschrift übertragen wurde, die Ausübung einer Funktion der Krone, eines Ministers der Krone oder eines Ministeriums oder eine Aktivität, die demokratisches Engagement unterstützt oder fördert.

(26) In Bezug auf die Einwilligung (einer der Gründe für eine rechtmäßige Verarbeitung) behält die UK GDPR ebenfalls die in Artikel 7 der Verordnung (EU) 2016/679 vorgesehenen Bedingungen unverändert bei. Somit gilt Folgendes: Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat; ein schriftliches Ersuchen zur Einwilligung muss in einer klaren und einfachen Sprache erfolgen; die betroffene Person muss das Recht haben, ihre Einwilligung jederzeit zu widerrufen; und bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, sollte dem Umstand Rechnung getragen werden, ob die Erfüllung eines Vertrags von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind. Darüber hinaus ist gemäß Artikel 8 der UK GDPR im Zusammenhang mit der Bereitstellung von Diensten der Informationsgesellschaft die Einwilligung eines Kindes nur dann rechtmäßig, wenn das Kind mindestens 13 Jahre alt ist. Dieses Alter liegt innerhalb der Altersgrenze, die in Artikel 8 der Verordnung (EU) 2016/679 festgelegt ist.

2.5.2. Verarbeitung besonderer Kategorien von personenbezogenen Daten

(27) Wenn besondere Kategorien („special categories“) von Daten verarbeitet werden, sollten besondere Garantien vorhanden sein.

(28) Die UK GDPR und der DPA 2018 enthalten spezifische Vorschriften für die Verarbeitung besonderer Kategorien personenbezogener Daten; diese sind in Artikel 9 Absatz 1 der UK GDPR auf die gleiche Weise definiert wie in der Verordnung (EU) 2016/679 (siehe Erwägungsgrund 23 oben). Gemäß Artikel 9 UK GDPR ist die Verarbeitung besonderer Datenkategorien grundsätzlich verboten, es sei denn, es gilt eine spezifische Ausnahme.

(29) Diese (in Artikel 9 Absätze 2 und 3 der UK GDPR aufgeführten) Ausnahmen unterscheiden sich inhaltlich nicht von den Ausnahmen gemäß Artikel 9 Absätze 2 und 3 der Verordnung (EU) 2016/679. Sofern die betroffene Person nicht ausdrücklich in die Verarbeitung dieser personenbezogenen Daten eingewilligt hat, ist die Verarbeitung besonderer Kategorien personenbezogener Daten nur unter bestimmten und begrenzten Umständen zulässig. In den meisten Fällen muss die Verarbeitung sensibler Daten für einen bestimmten, in der entsprechenden Bestimmung festgelegten Zweck erforderlich sein (siehe Artikel 9 Absatz 2 Buchstaben b, c, f, g, h, i und j).

(30) Ferner gilt: Wenn eine Ausnahme gemäß Artikel 9 Absatz 2 UK GDPR eine gesetzliche Genehmigung erfordert oder sich auf das öffentliche Interesse bezieht, sind in Paragraf 10 DPA 2018 in Verbindung mit Anhang 1 des DPA 2018 die Bedingungen festgelegt, die erfüllt sein müssen, damit die Ausnahmen geltend gemacht werden können. Beispielsweise ist für den Fall der Verarbeitung sensibler Daten zum Schutz der öffentlichen Gesundheit („public health“) (Artikel 9 Absatz 2 Buchstabe i UK GDPR) in Anhang 1 Teil 1 Nummer 3 Buchstabe b festgelegt, dass zusätzlich zur Erforderlichkeitsprüfung eine solche Verarbeitung „von medizinischem Fachpersonal oder unter dessen Verantwortung“ oder „von einer anderen Person, die aufgrund eines Rechtsetzungsaktes oder einer Rechtsvorschrift [einschließlich gemäß der etablierten gewohnheitsrechtlichen Pflicht zur Vertraulichkeit] zur Vertraulichkeit verpflichtet ist“, durchgeführt werden muss.

(31) Für Fälle, in denen sensible Daten aus Gründen eines erheblichen öffentlichen Interesses verarbeitet werden (Artikel 9 Absatz 2 Buchstabe g UK GDPR), enthält Anhang 1 Teil 2 des DPA 2018 eine erschöpfende Liste von Zwecken, die als erhebliches öffentliches Interesse angesehen werden können, sowie für jeden dieser Zwecke spezifische zusätzliche Bedingungen. So gilt beispielsweise die Förderung der kulturellen und ethnischen Vielfalt in der Führungsebene von Organisationen als erhebliches öffentliches Interesse. Die Verarbeitung sensibler Daten für diesen speziellen Zweck unterliegt genauen Anforderungen; unter anderem muss die Verarbeitung als Teil eines Prozesses zur Ermittlung geeigneter Personen für die Besetzung von Führungspositionen erfolgen sowie zur Förderung der kulturellen und ethnischen Vielfalt erforderlich sein und darf nicht die Gefahr bestehen, dass der betroffenen Person erheblicher Schaden oder erhebliches Leid zugefügt wird.

(32) In Paragraf 11 Absatz 1 DPA 2018 sind die Bedingungen für die Verarbeitung personenbezogener Daten unter den in Artikel 9 Absatz 3 UK GDPR aufgeführten Umständen in Bezug auf die Geheimhaltungspflicht festgelegt. Dazu zählen Umstände, in denen die Verarbeitung von medizinischem oder sozialem Fachpersonal oder unter dessen Verantwortung oder von einer anderen Person, die unter den gegebenen Umständen aufgrund eines Rechtsetzungsakts oder einer Rechtsvorschrift zur Vertraulichkeit verpflichtet ist, durchgeführt wird.

(33) Darüber hinaus erfordern zahlreiche der Ausnahmen, die in Artikel 9 Absatz 2 UK GDPR aufgeführt sind, geeignete und spezifische Garantien, damit sie geltend gemacht werden können. Je nach Art der Verarbeitung und der Höhe des Risikos für die Rechte und Freiheiten der betroffenen Personen umfassen die in Anhang 1 des DPA 2018 vorgesehenen Bedingungen für die Verarbeitung unterschiedliche Garantien. In Anhang 1 wiederum sind die Bedingungen für jede Verarbeitungssituation aufgeführt.

(34) In einigen Fällen regelt und begrenzt der DPA 2018 die Art der sensiblen Daten, die verarbeitet werden dürfen, damit eine bestimmte Rechtsgrundlage erfüllt ist. Gemäß Anhang 1 Nummer 8 beispielsweise ist die Verarbeitung sensibler Daten zum Zweck der Förderung der Chancengleichheit oder der Gleichbehandlung zulässig. Diese Verarbeitungsbedingung kann nur dann geltend gemacht werden, wenn aus den Daten die rassische oder ethnische Herkunft, religiöse oder philosophische Überzeugungen oder die sexuelle Orientierung hervorgehen oder wenn es sich um Gesundheitsdaten handelt.

(35) In einigen Fällen enthält der DPA 2018 eine Einschränkung dahin gehend, welche Art von Verantwortlichen die Verarbeitungsbedingung geltend machen darf. In Anhang 1 Nummer 23 beispielsweise ist die Verarbeitung sensibler Daten im Zusammenhang mit Antworten gewählter Vertreter an die Öffentlichkeit vorgesehen. Diese Verarbeitungsbedingung kann nur dann geltend gemacht werden, wenn der Verantwortliche der gewählte Vertreter ist oder unter dessen Aufsicht handelt.

(36) In einigen anderen Fällen enthält der DPA 2018 Beschränkungen bezüglich der Kategorien von betroffenen Personen, für die eine bestimmte Verarbeitungsbedingung geltend gemacht werden darf. In Anhang 1 Nummer 21 ist beispielsweise die Verarbeitung sensibler Daten für betriebliche Altersversorgungssysteme geregelt. Diese Bedingung kann nur dann geltend gemacht werden, wenn es sich bei der betroffenen Person um ein Geschwister-, Eltern-, Großeltern- oder Urgroßelternteil des Versorgungsanwärters handelt.

(37) Darüber hinaus muss der Verantwortliche, wenn er die Ausnahmen in Artikel 9 Absatz 2 UK GDPR geltend macht, die in Paragraf 10 DPA 2018 in Verbindung mit Anhang 1 des DPA 2018 weiter spezifiziert werden, in den meisten Fällen eine angemessene Dokumentation („appropriate policy document“) vorlegen. Darin sind die Verfahren zu beschreiben, mit denen der Verantwortliche die Einhaltung der Grundsätze nach Artikel 5 UK GDPR gewährleistet. Darüber hinaus müssen die Verfahren zur Speicherung und Löschung dargelegt und die wahrscheinliche Speicherdauer angegeben werden. Die Verantwortlichen müssen diese Dokumentation überprüfen und gegebenenfalls aktualisieren. Der Verantwortliche muss die Dokumentation nach Abschluss der Verarbeitung noch sechs Monate aufbewahren und dem Information Commissioner auf Anfrage zur Verfügung stellen (41).

(38) Gemäß Anhang 1 Nummer 41 des DPA 2018 muss die Dokumentation stets auch ein erweitertes Verzeichnis der Verarbeitungstätigkeiten umfassen. Darin sind die in der Dokumentation enthaltenen Verpflichtungen darzulegen, d. h., ob Daten in Übereinstimmung mit den Strategien gelöscht oder gespeichert werden. Wenn die Strategien nicht befolgt wurden, müssen in diesem Verzeichnis die Gründe dafür festgehalten werden. Ferner ist darin anzugeben, inwieweit die Verarbeitung Artikel 6 UK GDPR (Rechtmäßigkeit der Verarbeitung) und der spezifischen geltend gemachten Bedingung in Anhang 1 des DPA 2018 entspricht.

(39) Schließlich enthält die UK GDPR ebenso wie die Verordnung (EU) 2016/679 auch allgemeine Garantien für bestimmte Verarbeitungsvorgänge im Zusammenhang mit besonderen Kategorien von Daten. Gemäß Artikel 35 UK GDPR ist eine Datenschutz-Folgenabschätzung vorgeschrieben, wenn besondere Kategorien von Daten in großem Umfang verarbeitet werden. Nach Artikel 37 UK GDPR muss ein Verantwortlicher oder ein Auftragsverarbeiter einen Datenschutzbeauftragten benennen, wenn seine Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht.

(40) In Bezug auf die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten ist Artikel 10 UK GDPR identisch mit Artikel 10 der Verordnung (EU) 2016/679. Demnach darf die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem innerstaatlichen Recht, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist.

(41) Wenn die Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten nicht unter behördlicher Aufsicht erfolgt, gilt nach Paragraf 10 Absatz 5 DPA 2018, dass eine solche Verarbeitung nur für die spezifischen Zwecke/in den spezifischen Situationen erfolgen kann, die in Anhang 1 Teile 1, 2 und 3 des DPA 2018 aufgeführt sind, und dass die Verarbeitung den spezifischen Anforderungen unterliegt, die für jeden dieser Zwecke/jede dieser Situationen aufgeführt sind. So können beispielsweise Daten über strafrechtliche Verurteilungen von Organisationen ohne Gewinnerzielungsabsicht verarbeitet werden, wenn die Verarbeitung a) auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und b) unter der Voraussetzung erfolgt, dass i) sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und ii) die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden.

(42) Darüber hinaus sind in Anhang 1 Teil 3 des DPA 2018 weitere Umstände aufgeführt, unter denen Daten über strafrechtliche Verurteilungen verwendet werden dürfen; diese Umstände entsprechen den Rechtsgrundlagen für die Verarbeitung sensibler Daten in Artikel 9 Absatz 2 der Verordnung (EU) 2016/679 und der UK GDPR (z. B. Einwilligung der betroffenen Person, lebenswichtige Interessen einer Person, wenn die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben, wenn die Daten von der betroffenen Person bereits offensichtlich öffentlich gemacht wurden, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist usw.).

2.5.3. Zweckbindung, Richtigkeit, Datenminimierung, Speicherbegrenzung und Datensicherheit

(43) Personenbezogene Daten sollten für einen bestimmten Zweck verarbeitet und anschließend nur verwendet werden, soweit dies mit dem Zweck der Verarbeitung nicht unvereinbar ist.

(44) Dieser Grundsatz ist in Artikel 5 Absatz 1 Buchstabe b der Verordnung (EU) 2016/679 festgehalten und wurde unverändert in Artikel 5 Absatz 1 Buchstabe b UK GDPR übernommen. Die Bedingungen für die mit dem ursprünglichen Erhebungszweck vereinbare Weiterverarbeitung gemäß Artikel 6 Absatz 4 der Verordnung (EU) 2016/679 wurden ebenfalls ohne wesentliche Änderungen in Artikel 6 Absatz 4 Buchstaben a bis e UK GDPR übernommen.

(45) Darüber hinaus müssen Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Ferner müssen sie dem Zweck angemessen und dafür erheblich sein und dürfen das für die Zwecke der Verarbeitung notwendige Maß nicht überschreiten und sollten grundsätzlich nicht länger gespeichert werden, als dies für den Zweck, zu dem sie verarbeitet werden, erforderlich ist.

(46) Diese Grundsätze der Datenminimierung, Richtigkeit und Speicherbegrenzung sind in Artikel 5 Absatz 1 Buchstaben c bis e der Verordnung (EU) 2016/679 dargelegt und wurden ohne Änderungen in Artikel 5 Absatz 1 Buchstaben c bis e UK GDPR übernommen.

(47) Personenbezogene Daten müssen zudem in einer Weise verarbeitet werden, die ihre Sicherheit gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Zu diesem Zweck müssen Unternehmer geeignete technische oder organisatorische Maßnahmen treffen, um personenbezogene Daten vor möglichen Bedrohungen zu schützen. Diese Maßnahmen müssen unter Berücksichtigung des Stands der Technik und der damit verbundenen Kosten bewertet werden.

(48) Die Datensicherheit ist im Recht des Vereinigten Königreichs durch den Grundsatz der Integrität und Vertraulichkeit in Artikel 5 Absatz 1 Buchstabe f UK GDPR sowie in Artikel 32 UK GDPR über die Sicherheit der Verarbeitung verankert. Diese Bestimmungen sind identisch mit den entsprechenden Bestimmungen der Verordnung (EU) 2016/679. Darüber hinaus verlangt die UK GDPR unter den gleichen Bedingungen wie denen in den Artikeln 33 und 34 der Verordnung (EU) 2016/679 die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Artikel 33 UK GDPR) und die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person (Artikel 34 UK GDPR).

2.5.4. Transparenz

(49) Betroffene Personen müssen über die Hauptmerkmale der Verarbeitung ihrer personenbezogenen Daten unterrichtet werden.

(50) Dies wird durch die Artikel 13 und 14 UK GDPR sichergestellt, die neben einem allgemeinen Grundsatz der Transparenz auch Vorschriften dazu enthalten, welche Informationen der betroffenen Person zur Verfügung gestellt werden müssen (42). Mit der UK GDPR wurden keine wesentlichen Änderungen dieser Vorschriften gegenüber den entsprechenden Artikeln der Verordnung (EU) 2016/679 eingeführt. Wie in der Verordnung (EU) 2016/679 unterliegen die Transparenzanforderungen dieser Artikel jedoch einer Reihe von Ausnahmen, die im DPA 2018 festgelegt sind (siehe Erwägungsgründe 55 bis 72).

2.5.5. Rechte des Einzelnen

(51) Betroffene Personen sollten bestimmte Rechte besitzen, die gegenüber dem Verantwortlichen oder dem Auftragsverarbeiter durchgesetzt werden können, insbesondere ein Auskunftsrecht, das Recht, der Verarbeitung zu widersprechen, und das Recht auf Berichtigung und Löschung von Daten. Gleichzeitig können diese Rechte Beschränkungen unterliegen, soweit diese Beschränkungen zur Aufrechterhaltung der öffentlichen Sicherheit oder zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses notwendig und verhältnismäßig sind.

2.5.5.1 Die substanziellen Rechte

(52) Die UK GDPR gewährt Einzelpersonen die gleichen durchsetzbaren Rechte wie die Verordnung (EU) 2016/679. Die Bestimmungen zu den Rechten des Einzelnen wurden ohne wesentliche Änderungen in der UK GDPR beibehalten.

(53) Zu diesen Rechten zählen das Auskunftsrecht der betroffenen Person (Artikel 15 UK GDPR), das Recht auf Berichtigung (Artikel 16 UK GDPR), das Recht auf Löschung (Artikel 17 UK GDPR), das Recht auf Einschränkung der Verarbeitung (Artikel 18 UK GDPR), eine Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Artikel 19 UK GDPR), das Recht auf Datenübertragbarkeit (Artikel 20 UK GDPR) und das Widerspruchsrecht (Artikel 21 UK GDPR) (43). Letzteres umfasst auch das in Artikel 21 Absätze 2 und 3 der Verordnung (EU) 2016/679 vorgesehene Recht einer betroffenen Person, Widerspruch gegen die Verarbeitung personenbezogener Daten für Zwecke der Direktwerbung einzulegen. Darüber hinaus muss der Information Commissioner gemäß Paragraf 122 DPA 2018 einen Verhaltenskodex (Code of Practice) für die Durchführung von Direktwerbung entsprechend den Anforderungen der Datenschutzgesetze (und der Datenschutzverordnung sowie der Richtlinie über elektronische Kommunikation von 2003) sowie andere derartige Leitlinien zur Förderung der guten Praxis im Bereich der Direktwerbung erstellen, die er für angemessen hält. Das Büro des Information Commissioner Office arbeitet derzeit einen entsprechenden Kodex für Direktwerbung aus (44).

(54) Das in Artikel 22 DSGVO vorgesehene Recht der betroffenen Person, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wurde ebenfalls ohne wesentliche Änderungen in der UK GDPR beibehalten. Allerdings wurde ein neuer Absatz 3A eingefügt, in dem darauf hingewiesen wird, dass Paragraf 14 DPA 2018 Garantien für die Rechte, Freiheiten und berechtigten Interessen der betroffenen Personen für Fälle enthält, in denen die Verarbeitung gemäß Artikel 22 Absatz 2 Buchstabe b UK GDPR erfolgt. Diese Bestimmung gilt nur, wenn die Grundlage für eine solche Entscheidung eine Genehmigung oder Anforderung nach britischem Recht ist; sie gilt nicht, wenn die Entscheidung im Rahmen eines Vertrags erforderlich ist oder mit der ausdrücklichen Einwilligung der betroffenen Person getroffen wird. Findet Paragraf 14 DPA 2018 Anwendung, muss der Verantwortliche der betroffenen Person so rasch wie nach vernünftigem Ermessen möglich schriftlich mitteilen, dass eine Entscheidung getroffen wurde, die ausschließlich auf einer automatisierten Verarbeitung beruht. Die betroffene Person hat das Recht zu verlangen, dass der Verantwortliche binnen eines Monats nach Erhalt der Mitteilung die Entscheidung überprüft oder eine neue Entscheidung trifft, die nicht ausschließlich auf einer automatisierten Verarbeitung beruht. Der Secretary of State ist befugt, weitere Garantien in Bezug auf die automatisierte Entscheidungsfindung zu erlassen. Von dieser Befugnis wurde bislang noch kein Gebrauch gemacht.

2.5.5.2. Beschränkungen der Rechte des Einzelnen und andere Bestimmungen

(55) Im DPA 2018 sind mehrere Beschränkungen der Rechte des Einzelnen vorgesehen, die sich in den Rahmen von Artikel 23 der UK GDPR einfügen. Mit diesem Rahmen werden keine Beschränkungen des in Artikel 21 Absätze 2 und 3 UK GDPR vorgesehenen Rechts auf Widerspruch gegen Direktwerbung oder des in Artikel 22 UK GDPR vorgesehenen Rechts, keiner automatisierten Entscheidungsfindung unterworfen zu werden, eingeführt.

(56) Die Beschränkungen sind in den Anhängen 2 bis 4 des DPA 2018 aufgeführt. Nach Angaben der britischen Behörden orientieren sich diese Beschränkungen an zwei Grundsätzen, und zwar dem Grundsatz der Spezifizität (ein detaillierter Ansatz, bei dem allgemeine Beschränkungen in verschiedene spezifischere Bestimmungen aufgeteilt werden) und dem Grundsatz der Konditionalität (jede Bestimmung wird durch Garantien in Form von Einschränkungen oder Bedingungen zur Verhinderung von Missbrauch ergänzt) (45).

(57) Die in Artikel 23 Absatz 1 UK GDPR vorgesehenen Beschränkungen sind dergestalt, dass sie nur unter bestimmten Umständen gelten, wenn sie in einer demokratischen Gesellschaft notwendig sind und in einem angemessenen Verhältnis zu dem mit ihnen verfolgten legitimen Ziel stehen. Darüber hinaus kann in Übereinstimmung mit der ständigen Rechtsprechung zur Auslegung von Beschränkungen eine Ausnahme von den Datenschutzvorschriften in einem bestimmten Fall nur dann angewandt werden, wenn dies erforderlich und verhältnismäßig ist (46). Bei der Prüfung der Erforderlichkeit muss „streng vorgegangen werden, und jeder Eingriff in die Rechte der betroffenen Person muss in einem angemessenen Verhältnis zur Schwere der Bedrohung des öffentlichen Interesses stehen. Daher umfasst diese Prüfung eine klassische Analyse der Verhältnismäßigkeit“ (47).

(58) Die mit diesen Beschränkungen verfolgten Ziele entsprechen den in Artikel 23 der Verordnung (EU) 2016/679 aufgeführten Zielen, mit Ausnahme der Beschränkungen in Bezug auf die nationale Sicherheit und Verteidigung, die in Paragraf 26 DPA 2018 geregelt sind, jedoch denselben Anforderungen bezüglich Notwendigkeit und Verhältnismäßigkeit unterliegen (siehe Erwägungsgründe 63 bis 66).

(59) Bei einigen der Beschränkungen, z. B. denjenigen, die sich auf die Verhütung oder Aufdeckung von Straftaten, die Ergreifung oder Verfolgung von Straftätern und die Festsetzung oder Erhebung von Steuern oder Abgaben beziehen (48), können sämtliche Rechte des Einzelnen und Transparenzpflichten eingeschränkt werden (mit Ausnahme der Rechte nach Artikel 21 Absatz 2 und Artikel 22). Anderer Beschränkungen beziehen sich ausschließlich auf Transparenzpflichten und Auskunftsrechte, z. B. die Beschränkungen in Bezug auf die Vertraulichkeit der anwaltlichen Korrespondenz (49), in Bezug auf das Recht auf Freiheit von der Informationspflicht, wenn man sich dadurch selbst belasten würde (50), und in Bezug auf Unternehmensfinanzierung, insbesondere die Verhinderung von Insiderhandel (51). Nur wenige Beschränkungen erlauben eine Einschränkung der Pflicht des Verantwortlichen, einer betroffenen Person eine Datenschutzverletzung mitzuteilen, oder eine Einschränkung der Grundsätze der Zweckbindung und der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben sowie der Transparenz der Verarbeitung (52).

(60) Einige der Beschränkungen gelten automatisch in vollem Umfang („in full“) für eine bestimmte Art der Verarbeitung personenbezogener Daten (beispielsweise finden Transparenzpflichten und die Rechte des Einzelnen keine Anwendung, wenn personenbezogene Daten zum Zweck der Beurteilung der Eignung einer Person für ein richterliches Amt verarbeitet werden oder wenn personenbezogene Daten von Gerichten, Tribunalen oder Personen verarbeitet werden, die im Rahmen ihrer justiziellen Tätigkeit handeln).

(61) In den meisten Fällen jedoch besagt die betreffende Nummer in Anhang 2 des DPA 2018, dass die Beschränkung nur dann gilt, wenn (und soweit) durch Anwendung der Bestimmungen das mit dieser Beschränkung verfolgte legitime Ziel „voraussichtlich beeinträchtigt würde“ („would be likely to prejudice“): So gelten etwa die in der UK GDPR aufgeführten Bestimmungen nicht für personenbezogene Daten, die zur Verhütung oder Aufdeckung von Straftaten, Ergreifung oder Verfolgung von Straftätern oder Festsetzung oder Erhebung von Steuern oder Abgaben verarbeitet werden, sofern eines dieser Ziele „durch Anwendung dieser Bestimmungen voraussichtlich beeinträchtigt würde“ (53).

(62) Die Norm der „voraussichtlichen Beeinträchtigung“ wurde von britischen Gerichten stets dahin gehend ausgelegt, dass „eine erhebliche und schwerwiegende Gefahr bestehen muss, dass ein bestimmtes öffentliches Interesse beeinträchtigt wird“ (54). Eine der Beeinträchtigungsprüfung unterliegende Beschränkung kann daher nur dann und insoweit in Anspruch genommen werden, als eine erhebliche und schwerwiegende Gefahr besteht, dass die Einräumung eines bestimmten Rechts das betreffende öffentliche Interesse beeinträchtigen würde. Der Verantwortliche muss auf Einzelfallbasis beurteilen, ob diese Bedingungen erfüllt sind (55).

(63) Zusätzlich zu den in Anhang 2 des DPA 2018 enthaltenen Beschränkungen ist in Paragraf 26 DPA 2018 eine Ausnahme vorgesehen, die auf gewisse Bestimmungen der UK GDPR und des DPA 2018 angewendet werden kann, wenn diese Ausnahme zum Schutz der nationalen Sicherheit oder für Verteidigungszwecke erforderlich ist. Diese Ausnahme gilt für die Datenschutzgrundsätze (mit Ausnahme des Grundsatzes der Rechtmäßigkeit), die Transparenzpflichten, die Rechte der betroffenen Person, die Pflicht zur Mitteilung einer Datenschutzverletzung, die Vorschriften über internationale Übermittlungen, einige der Pflichten und Befugnisse des Information Commissioner sowie die Vorschriften über Rechtsbehelfe, Haftung und Sanktionen, mit Ausnahme der Bestimmung über die allgemeinen Bedingungen für die Verhängung von Geldbußen gemäß Artikel 83 UK GDPR und der Bestimmung über Sanktionen gemäß Artikel 84 UK GDPR. Des Weiteren wird in Paragraf 28 DPA 2018 die Anwendung von Artikel 9 Absatz 1 dahin gehend geändert, dass die Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 Absatz 1 UK GDPR ermöglicht wird, sofern die Verarbeitung zum Schutz der nationalen Sicherheit oder für Verteidigungszwecke und mit geeigneten Garantien für die Rechte und Freiheiten der betroffenen Personen durchgeführt wird (56).

(64) Die Ausnahme kann nur insoweit angewendet werden, als dies zum Schutz der nationalen Sicherheit oder für Verteidigungszwecke erforderlich ist. Wie auch die anderen Ausnahmen, die im DPA 2018 vorgesehen sind, muss diese Ausnahme vom Verantwortlichen auf Einzelfallbasis geprüft und darf nur im Einzelfall geltend gemacht werden. Des Weiteren müssen bei jeder Anwendung der Ausnahme die (durch den Human Rights Act 1998 untermauerten) Menschenrechtsstandards beachtet werden, wonach jeder Eingriff in die Rechte auf Privatsphäre in einer demokratischen Gesellschaft notwendig und verhältnismäßig sein sollte (57).

(65) Diese Auslegung der Ausnahme wird durch das ICO bestätigt, das ausführliche Leitlinien über die Anwendung der Ausnahme zum Schutz der nationalen Sicherheit oder für Verteidigungszwecke herausgegeben hat, aus denen klar hervorgeht, dass die Ausnahme vom Verantwortlichen auf Einzelfallbasis geprüft werden muss und nur im Einzelfall angewandt werden darf (58). In den Leitlinien wird insbesondere hervorgehoben, dass es sich nicht um eine pauschale Ausnahme handelt und dass es nicht ausreicht, dass die Daten zu Zwecken der nationalen Sicherheit verarbeitet werden, um die Ausnahme geltend machen zu können. Der Verantwortliche, der sich darauf stützt, muss hingegen belegen, dass eine echte Möglichkeit einer nachteiligen Wirkung auf die nationale Sicherheit besteht, und erforderlichenfalls dem ICO Beweise für die Gründe vorlegen, aus denen er diese Ausnahmeregelung in Anspruch genommen hat. Die Leitlinien enthalten eine Checkliste und eine Reihe von Beispielen, um die Bedingungen für die Inanspruchnahme dieser Ausnahmeregelung zu veranschaulichen.

(66) Die Tatsache, dass die Daten für Zwecke der nationalen Sicherheit oder der Verteidigung verarbeitet werden, reicht somit für sich genommen nicht aus, um die Ausnahme anzuwenden. Ein Verantwortlicher muss die tatsächlichen Folgen für die nationale Sicherheit berücksichtigen, wenn er die jeweilige Datenschutzbestimmung einhalten müsste. Die Ausnahme darf nur auf die Bestimmungen angewendet werden, von denen das Risiko erwiesenermaßen ausgeht, und muss so restriktiv wie möglich angewendet werden (59).

(67) Diese Verfahrensweise wurde vom Informationsgericht (Information Tribunal) bestätigt (60). In der Rechtssache Baker/Secretary of State for the Home Department („Baker/Secretary of State“) stellte das Gericht fest, dass es rechtswidrig war, die Ausnahme zum Schutz der nationalen Sicherheit als pauschale Ausnahme auf die von den Nachrichtendiensten erhaltenen Zugriffsanträge anzuwenden. Stattdessen hätte die Ausnahme auf Einzelfallbasis angewandt werden müssen, indem jeder Antrag für sich und im Hinblick auf das Recht des Einzelnen auf Achtung seines Privatlebens geprüft wird (61).

2.5.6. Beschränkungen für personenbezogene Daten, die zu journalistischen, künstlerischen, wissenschaftlichen und literarischen Zwecken sowie zu Archiv- und Forschungszwecken verarbeitet werden

(68) Gemäß Artikel 85 Absatz 2 UK GDPR können personenbezogene Daten, die zu journalistischen, künstlerischen, wissenschaftlichen und literarischen Zwecken verarbeitet werden, von mehreren Bestimmungen der UK GDPR ausgenommen werden. In Anhang 2 Teil 5 des DPA 2018 sind die für die Verarbeitung zu diesen Zwecken geltenden Ausnahmen festgelegt. Hierzu zählen Ausnahmen von den Datenschutzgrundsätzen (mit Ausnahme des Grundsatzes der Integrität und Vertraulichkeit), den Rechtsgrundlagen für die Verarbeitung (einschließlich besonderer Datenkategorien und Daten über strafrechtliche Verurteilungen usw.), den Bedingungen für die Einwilligung, den Transparenzpflichten, den Rechten der betroffenen Personen, der Pflicht zur Mitteilung von Datenschutzverletzungen und der Pflicht zur Konsultation des Information Commissioner vor einer risikoreichen Verarbeitung sowie den Vorschriften für internationale Übermittlungen (62). Diesbezüglich weicht die UK GDPR nicht wesentlich von der Verordnung (EU) 2016/679 ab, nach deren Artikel 85 ebenfalls die Möglichkeit besteht, Verarbeitungen zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken von einer Reihe von Anforderungen der Verordnung (EU) 2016/679 auszunehmen. Die Bestimmungen des DPA 2018, insbesondere Anhang 2 Teil 5, sind mit der UK GDPR vereinbar.

(69) Die zentrale Abwägung, die nach Artikel 85 UK GDPR zu treffen ist, bezieht sich auf die Frage, ob eine Ausnahme von den Erwägungsgrund 68 genannten Datenschutzvorschriften „erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen“ (63). Um diese Abwägung zu treffen, prüft das Vereinigte Königreich gemäß Anhang 2 Nummer 26 Ziffern 2 und 3 des DPA 2018, ob nach vernünftigem Ermessen von einem bestimmten Sachverhalt ausgegangen werden kann („Reasonable belief“-Prüfung). Damit eine Ausnahme gerechtfertigt ist, muss der Verantwortliche nach vernünftigem Ermessen davon ausgehen, i) dass die Veröffentlichung im öffentlichen Interesse liegt und ii) dass die Anwendung der entsprechenden Bestimmung der GDPR mit journalistischen, wissenschaftlichen, künstlerischen oder literarischen Zwecken unvereinbar wäre. Wie durch die Rechtsprechung bestätigt wurde (64), besitzt die „Reasonable belief“-Prüfung sowohl eine subjektive als auch eine objektive Komponente: Es reicht nicht aus, wenn der Verantwortliche nachweist, dass er selbst davon ausgegangen ist, dass die Einhaltung einer bestimmten Vorschrift unvereinbar war. Seine Einschätzung muss vernünftig sein, d. h., sie könnte von einer vernünftigen Person in Kenntnis der relevanten Fakten geglaubt werden. Der Verantwortliche muss daher bei der Bildung seiner Einschätzung die erforderliche Sorgfalt walten lassen, um die Vernünftigkeit nachweisen zu können. Laut den Erläuterungen der britischen Behörden muss die „Reasonable belief“-Prüfung für jede Ausnahme einzeln durchgeführt werden (65). Sind die Bedingungen erfüllt, gilt die Ausnahme als notwendig und verhältnismäßig nach britischem Recht.

(70) Gemäß Paragraf 124 DPA 2018 soll das ICO einen Verhaltenskodex zu Datenschutz und Journalismus erstellen. Die Arbeiten an diesem Kodex laufen derzeit noch. Im Rahmen des Data Protection Act 1998 wurden Leitlinien zu diesem Thema herausgegeben; darin wird insbesondere betont, dass es für die Inanspruchnahme dieser Ausnahme nicht ausreicht, lediglich festzustellen, dass die Einhaltung einer Bestimmung für Journalisten eine Unannehmlichkeit darstellen würde, sondern dass es ein klares Argument dafür geben muss, dass die betreffende Bestimmung ein Hindernis für einen verantwortungsvollen Journalismus darstellt (66). Die britische Telekommunikationsaufsicht OFCOM und die BBC (in ihren redaktionellen Leitlinien) haben zudem Anwendungsleitlinien zur Prüfung des öffentlichen Interesses und zur Abwägung zwischen dem öffentlichen Interesse und dem Interesse des Einzelnen an Privatsphäre veröffentlicht (67). Die Leitlinien enthalten insbesondere Beispiele dafür, welche Informationen als im öffentlichen Interesse liegend angesehen werden können; ferner wird erläutert, dass man in der Lage sein muss, nachzuweisen, dass das öffentliche Interesse unter den besonderen Umständen des Falles die Rechte auf Privatsphäre überwiegt.

(71) Ähnlich wie in Artikel 89 DSGVO vorgesehen, können personenbezogene Daten, die zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken verarbeitet werden, ebenfalls von einer Reihe gelisteter Bestimmungen der UK GDPR ausgenommen werden (68). In den Bereichen Forschung und Statistik sind Ausnahmen von den Bestimmungen der UK GDPR in Bezug auf Folgendes möglich: Bestätigung der Verarbeitung und Auskunft über Daten und Garantien für Übermittlungen an Drittländer; Recht auf Berichtigung; Einschränkung der Verarbeitung und Widerspruch gegen die Verarbeitung. In Bezug auf die Archivierung im öffentlichen Interesse sind auch Ausnahmen von der Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung sowie vom Recht auf Datenübertragbarkeit möglich.

(72) Gemäß Anhang 2 Nummer 27 Ziffer 1 und Nummer 28 Ziffer 1 des DPA 2018 sind die Ausnahmen von den Bestimmungen der UK GDPR möglich, wenn die Anwendung der Bestimmungen das Erreichen der betreffenden Zwecke „verhindern oder ernsthaft beeinträchtigen“ würde (69).

(73) Angesichts ihrer Bedeutung für eine wirksame Ausübung der Rechte des Einzelnen werden alle relevanten Entwicklungen bezüglich der Auslegung der vorgenannten Ausnahmen und ihrer Anwendung in der Praxis (zusätzlich zu der Ausnahme im Zusammenhang mit der Aufrechterhaltung einer wirksamen Einwanderungskontrolle, wie in Erwägungsgrund 6 erläutert), einschließlich aller Weiterentwicklungen in der Rechtsprechung sowie der Leitlinien und Durchsetzungsmaßnahmen des ICO, im Kontext der kontinuierlichen Überwachung dieses Beschlusses gebührend berücksichtigt (70).

2.5.7. Beschränkungen für Weiterübermittlungen

(74) Das Schutzniveau für personenbezogene Daten, die aus der Europäischen Union an Verantwortliche oder Auftragsverarbeiter im Vereinigten Königreich übermittelt werden, darf nicht durch die Weiterübermittlung dieser Daten an Empfänger in einem Drittland beeinträchtigt werden. Solche Weiterübermittlungen („onward transfers“), die aus Sicht des britischen Verantwortlichen oder Auftragsverarbeiters internationale Übermittlungen aus dem Vereinigten Königreich darstellen, sollten nur dann zulässig sein, wenn der spätere Empfänger außerhalb des Vereinigten Königreichs selbst Vorschriften unterliegt, die ein ähnliches Schutzniveau gewährleisten, wie es in der Rechtsordnung des Vereinigten Königreichs garantiert ist. Aus diesem Grund ist die Anwendung der Vorschriften der UK GDPR und des DPA 2018 auf die internationale Übermittlung personenbezogener Daten ein wichtiger Faktor, um die Kontinuität des Schutzes für Fälle zu gewährleisten, in denen personenbezogene Daten im Rahmen dieses Beschlusses aus der Europäischen Union an das Vereinigte Königreich übermittelt werden.

(75) Die Bestimmungen zu internationalen Übermittlungen personenbezogener Daten aus dem Vereinigten Königreich finden sich in den Artikeln 44 bis 49 UK GDPR, ergänzt durch den DPA 2018, und entsprechen inhaltlich den Bestimmungen in Kapitel V der Verordnung (EU) 2016/679 (71). Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation dürfen nur auf der Grundlage von Angemessenheitsvorschriften („adequacy regulations“ – dem britischen Äquivalent eines Angemessenheitsbeschlusses gemäß der Verordnung (EU) 2016/679) erfolgen; liegen keine Angemessenheitsvorschriften vor, dürfen solche Übermittlungen nur dann erfolgen, wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien gemäß Artikel 46 UK GDPR vorgesehen hat. In Ermangelung von Angemessenheitsvorschriften und geeigneten Garantien darf kann eine Übermittlung nur auf der Grundlage von Ausnahmen gemäß Artikel 49 UK GDPR erfolgen.

(76) Die vom Secretary of State erlassenen Angemessenheitsvorschriften können vorsehen, dass ein Drittland (oder ein Gebiet oder ein Sektor in einem Drittland), eine internationale Organisation oder eine Beschreibung (72) eines solchen Landes, Gebiets, Sektors oder einer solchen Organisation ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet. Bei der Prüfung der Angemessenheit des gebotenen Schutzniveaus muss der Secretary of State exakt dieselben Elemente berücksichtigen, die die Kommission gemäß Artikel 45 Absatz 2 Buchstaben a bis c der Verordnung (EU) 2016/679 in Verbindung mit dem Erwägungsgrund 104 der Verordnung (EU) 2016/679 und der beibehaltenen Rechtsprechung der EU zu beurteilen hat. Das bedeutet, dass bei der Beurteilung der Angemessenheit des Schutzniveaus eines Drittlandes die Frage maßgeblich sein wird, ob das betreffende Drittland ein Schutzniveau gewährleistet, das dem innerhalb des Vereinigten Königreichs garantierten Schutzniveau „der Sache nach gleichwertig“ ist.

(77) Was das Verfahren betrifft, so gelten für Angemessenheitsvorschriften die „allgemeinen“ („general“) Verfahrensmodalitäten gemäß Paragraf 182 DPA 2018. Nach diesem Verfahren muss der Secretary of State bei einem Vorschlag zum Erlass von Angemessenheitsvorschriften den Information Commissioner konsultieren (73). Nach ihrer Verabschiedung durch den Secretary of State werden die Vorschriften dem Parlament vorgelegt und dort dem negativen Abstimmungsverfahren („negative resolution procedure“) unterzogen, bei dem beide Kammern des Parlaments die Vorschriften prüfen können und die Möglichkeit haben, innerhalb einer Frist von 40 Tagen einen Antrag auf deren Aufhebung zu stellen (74).

(78) Gemäß Paragraf 17B Absatz 1 DPA 2018 müssen die Angemessenheitsvorschriften mindestens alle vier Jahre überprüft werden; ferner muss der Secretary of State laufend die Entwicklungen in Drittländern und internationalen Organisationen beobachten, die sich auf Entscheidungen über den Erlass, die Änderung oder die Aufhebung von Angemessenheitsvorschriften auswirken könnten. Stellt der Secretary of State fest, dass ein bestimmtes Land oder eine bestimmte Organisation kein angemessenes Schutzniveau für personenbezogene Daten mehr gewährleistet, muss er, soweit erforderlich, die Vorschriften ändern oder aufheben und Konsultationen mit dem betreffenden Drittland oder der betreffenden internationalen Organisation aufnehmen, um dem Fehlen eines angemessenen Schutzniveaus abzuhelfen. Diese verfahrenstechnischen Aspekte stehen ebenfalls im Einklang mit den entsprechenden Anforderungen der Verordnung (EU) 2016/679.

(79) Liegen keine Angemessenheitsvorschriften vor, können internationale Übermittlungen erfolgen, wenn der Verantwortliche oder Auftragsverarbeiter geeignete Garantien gemäß Artikel 46 UK GDPR vorgesehen hat. Diese Garantien ähneln denen, die in Artikel 46 der Verordnung (EU) 2016/679 festgelegt sind. Sie umfassen rechtlich bindende und durchsetzbare Dokumente zwischen den Behörden oder öffentlichen Stellen, verbindliche interne Datenschutzvorschriften (75), Standarddatenschutzklauseln, genehmigte Verhaltensregeln, genehmigte Zertifizierungsverfahren und – mit Genehmigung des Information Commissioner – Vertragsklauseln für Verträge zwischen Verantwortlichen (oder Auftragsverarbeitern) oder Verwaltungsvereinbarungen zwischen Behörden. Die Bestimmungen wurden jedoch verfahrenstechnisch geändert und an den Rechtsrahmen des Vereinigten Königreichs angepasst; so können gemäß dem DPA 2018 insbesondere die Standarddatenschutzklauseln vom Secretary of State (Paragraf 17C) oder vom Information Commissioner (Paragraf 119A) angenommen werden.

(80) Falls weder ein Angemessenheitsbeschluss noch geeignete Garantien bestehen, kann eine Übermittlung nur auf der Grundlage von Ausnahmen gemäß Artikel 49 der UK GDPR erfolgen (76). Mit der UK GDPR wurden keine wesentlichen Änderungen der Ausnahmen gegenüber den entsprechenden Vorschriften der Verordnung (EU) 2016/679 eingeführt. Gemäß der UK GDPR, wie auch gemäß der Verordnung (EU) 2016/679, können bestimmte Ausnahmen nur dann geltend gemacht werden, wenn die Übermittlung gelegentlich erfolgt (77). Darüber hinaus stellt das ICO in seinen Leitlinien zu internationalen Übermittlungen Folgendes klar: „Diese Regelungen sind nur als echte ‚Ausnahmen‘ von der allgemeinen Regel anzuwenden, wonach eine eingeschränkte Übertragung nur dann vorgenommen werden sollte, wenn diesbezüglich ein Angemessenheitsbeschluss vorliegt oder geeignete Garantien bestehen“ (78). In Bezug auf Übermittlungen, die aus wichtigen Gründen des öffentlichen Interesses notwendig sind (Artikel 49 Absatz 1 Buchstabe d) kann der Secretary of State Verordnungen erlassen, um die Umstände festzulegen, unter denen eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation aus wichtigen Gründen des öffentlichen Interesses erforderlich nicht erforderlich ist. Darüber hinaus kann der Secretary of State im Wege von Verordnungen die Übermittlung einer Kategorie personenbezogener Daten an ein Drittland oder eine internationale Organisation einschränken, wenn die Übermittlung aufgrund von Angemessenheitsvorschriften nicht erfolgen kann und der Secretary of State die Einschränkung aus wichtigen Gründen des öffentlichen Interesses für erforderlich hält. Bislang wurden noch keine derartigen Verordnungen verabschiedet.

(81) Dieser Rahmen für internationale Übermittlungen ist mit Ende des Übergangszeitraums in Kraft getreten (79). Allerdings sieht Nummer 4 des (durch die DPPEC Regulations eingeführten) Anhangs 21 des DPA 2018 vor, dass bestimmte Übermittlungen personenbezogener Daten ab dem Ende des Übergangszeitraums so behandelt werden, als ob sie auf Angemessenheitsvorschriften beruhten. Hierzu zählen Übermittlungen an einen EWR-Staat, an das Gebiet Gibraltar, an ein Organ, eine Einrichtung, ein Amt oder eine Agentur der Union, das/die durch den EU-Vertrag oder auf der Grundlage des EU-Vertrags errichtet wurde, sowie an Drittländer, für die am Ende des Übergangszeitraums ein Angemessenheitsbeschluss der EU vorlag. Folglich können Übermittlungen an diese Länder weiterhin wie vor dem Austritt des Vereinigten Königreichs aus der Union durchgeführt werden. Nach dem Ende des Übergangszeitraums muss der Secretary of State innerhalb von vier Jahren, d. h. bis Ende Dezember 2024, eine Überprüfung dieser Angemessenheitsfeststellungen vornehmen. Laut den Erläuterungen der britischen Behörden muss der Secretary of State zwar bis Ende Dezember 2024 eine solche Überprüfung durchführen, allerdings umfassen die Übergangsbestimmungen keine „Sunset“-Klausel und die entsprechenden Übergangsbestimmungen treten nicht automatisch außer Kraft, wenn die Überprüfung nicht bis Ende Dezember 2024 abgeschlossen ist.

(82) Was die künftige Entwicklung der britischen Bestimmungen zu internationalen Übermittlungen – durch die Annahme neuer Angemessenheitsvorschriften, den Abschluss internationaler Übereinkünfte oder die Einführung neuer Übertragungsmechanismen – angeht, so wird die Kommission die Lage genau verfolgen, bewerten, ob die verschiedenen Übertragungsmechanismen in einer Weise angewandt werden, die die Kontinuität des Schutzes gewährleistet, und erforderlichenfalls geeignete Maßnahmen treffen, um gegen etwaige nachteilige Auswirkungen für diese Kontinuität vorzugehen (siehe Erwägungsgründe 278 bis 287). Da die Vorschriften der EU und des Vereinigten Königreichs über internationale Übermittlungen vergleichbar sind, wird davon ausgegangen, dass problematische Unterschiede auch durch Zusammenarbeit, Informations- und Erfahrungsaustausch einschließlich zwischen dem ICO und dem EDPB vermieden werden können.

2.5.8. Rechenschaftspflicht

(83) Nach dem Grundsatz der Rechenschaftspflicht müssen Daten verarbeitende Unternehmen geeignete technische und organisatorische Maßnahmen treffen, um ihren Datenschutzverpflichtungen wirksam nachzukommen und dies, insbesondere gegenüber der zuständigen Aufsichtsbehörde, nachweisen zu können.

(84) Der in der Verordnung (EU) 2016/679 vorgesehene Grundsatz der Rechenschaftspflicht wurde in Artikel 5 Absatz 2 UK GDPR ohne wesentliche Änderungen beibehalten; dasselbe gilt für Artikel 24 über die Verantwortung des für die Verarbeitung Verantwortlichen, Artikel 25 über Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen und Artikel 30 über das Verzeichnis von Verarbeitungstätigkeiten. Artikel 35 über die Datenschutz-Folgenabschätzung und Artikel 36 über die vorherige Konsultation der Aufsichtsbehörde wurden ebenfalls beibehalten. Auch die Artikel 37 bis 39 der Verordnung (EU) 2016/679 über die Benennung und die Aufgaben des Datenschutzbeauftragten wurden ohne wesentliche Änderungen in die UK GDPR übernommen. Des Weiteren wurden die Bestimmungen der Artikel 40 und 42 der Verordnung (EU) 2016/679 über Verhaltensregeln und Zertifizierung in der UK GDPR beibehalten (80).

2.6 Aufsicht und Durchsetzung

2.6.1. Unabhängige Aufsicht

(85) Um sicherzustellen, dass in der Praxis ein angemessenes Datenschutzniveau gewährleistet ist, sollte eine unabhängige Aufsichtsbehörde mit der Befugnis zur Überwachung und Durchsetzung der Einhaltung der Datenschutzvorschriften eingerichtet werden. Diese Behörde sollte bei der Erfüllung ihrer Aufgaben und der Ausübung ihrer Befugnisse vollkommen unabhängig und unparteiisch handeln.

(86) Im Vereinigten Königreich ist der Information Commissioner für die Überwachung und Durchsetzung der Einhaltung der UK GDPR und des DPA 2018 zuständig. Der Information Commissioner ist eine „Corporation Sole“, d. h. ein eigenständiges Rechtssubjekt, das aus einer einzigen Person besteht. Der Information Commissioner wird bei seiner Arbeit von einem Büro unterstützt. Am 31. März 2020 waren im Büro des Information Commissioner 768 Festangestellte tätig (81). Der Information Commissioner wird vom britischen Ministerium für Digitales, Kultur, Medien und Sport gefördert (82).

(87) Die Unabhängigkeit des Information Commissioner ist in Artikel 52 UK GDPR ausdrücklich verankert, der keine inhaltlichen Änderungen im Vergleich zu Artikel 52 Absätze 1 bis 3 DSGVO umfasst. Bei der Erfüllung seiner Aufgaben und der Ausübung seiner Befugnisse gemäß der UK GDPR muss der Information Commissioner völlig unabhängig handeln; er darf weder direkter noch indirekter Beeinflussung von außen unterliegen und weder um Weisung ersuchen noch Weisungen entgegennehmen. Zudem muss er von allen mit den Aufgaben seines Amtes nicht zu vereinbarenden Handlungen absehen und darf während seiner Amtszeit keine andere mit seinem Amt nicht zu vereinbarende entgeltliche oder unentgeltliche Tätigkeit ausüben.

(88) Die Bedingungen für die Ernennung und Abberufung des Information Commissioner sind in Anhang 12 des DPA 2018 festgelegt. Der Information Commissioner wird von Ihrer Majestät auf Empfehlung der Regierung im Wege eines fairen und offenen Auswahlverfahrens ernannt. Der Kandidat muss über geeignete Qualifikationen, Fähigkeiten und Kompetenzen verfügen. Gemäß dem Kodex der Regierung über die Besetzung öffentlicher Ämter (Governance Code on Public Appointments) (83) erstellt ein beratendes Bewertungsgremium eine Liste mit infrage kommenden Kandidaten. Bevor der Secretary of State im Ministerium für Digitales, Kultur, Medien und Sport seine Entscheidung trifft, muss der zuständige Sonderausschuss des Parlaments im Vorfeld der Ernennung eine Prüfung durchführen. Die entsprechende Stellungnahme des Ausschusses wird veröffentlicht (84).

(89) Die Amtszeit des Information Commissioner dauert bis zu sieben Jahre. Nach einer Amtszeit kann er nicht wiederernannt werden. Der Information Commissioner kann von Ihrer Majestät nach einer Meinungsäußerung („Address“ (85)) beider Kammern des Parlaments seines Amtes enthoben werden. Ein Antrag auf Entlassung des Information Commissioner kann nur dann einer der beiden Kammern des Parlaments vorgelegt werden, wenn ein Minister einen Bericht vorgelegt hat, nach dem er der Auffassung ist, dass der Information Commissioner sich eines schweren Fehlverhaltens schuldig gemacht hat und/oder nicht mehr die Voraussetzungen für die Ausübung seiner Funktionen erfüllt (86).

(90) Der Information Commissioner bezieht seine finanziellen Mittel aus drei Quellen: i) von den Verantwortlichen entrichtete Datenschutzgebühren, die durch Verordnungen des Secretary of State (87) (Data Protection (Charges and Information) Regulations 2018) festgelegt werden und 85 % bis 90 % des Jahreshaushalts des Büros des Information Commissioner ausmachen (88), ii) Zuschüsse der Regierung an den Information Commissioner, die hauptsächlich der Finanzierung der Betriebskosten des Information Commissioner für nicht datenschutzbezogene Aufgaben dienen (89), und iii) für Dienstleistungen erhobene Gebühren (90). Derzeit werden keine derartigen Gebühren erhoben.

(91) Die allgemeinen Aufgaben des Information Commissioner in Bezug auf die Verarbeitung personenbezogener Daten, die im Anwendungsbereich der UK GDPR liegen, sind in Artikel 57 UK GDPR festgelegt, der weitgehend im Einklang mit den entsprechenden Bestimmungen der Verordnung (EU) 2016/679 steht. Seine Aufgaben umfassen die Überwachung und Durchsetzung der UK GDPR, die Sensibilisierung der Öffentlichkeit, die Bearbeitung von Beschwerden betroffener Personen, die Durchführung von Untersuchungen usw. Darüber hinaus sind in Paragraf 115 DPA 2018 weitere allgemeine Aufgaben des Information Commissioner festgelegt, darunter die Pflicht, das Parlament, die Regierung und andere Einrichtungen und Gremien über legislative und administrative Maßnahmen zum Schutz der Rechte und Freiheiten des Einzelnen in Bezug auf die Verarbeitung personenbezogener Daten zu beraten, sowie die Befugnis, zu allen Fragen, die im Zusammenhang mit dem Schutz personenbezogener Daten stehen, von sich aus oder auf Anfrage Stellungnahmen an das Parlament, die Regierung oder an sonstige Einrichtungen und Stellen sowie an die Öffentlichkeit zu richten. Damit die Unabhängigkeit der Justiz gewahrt bleibt, ist der Information Commissioner nicht befugt, seine Aufgaben im Zusammenhang mit der Verarbeitung personenbezogener Daten durch eine Person, die im Rahmen einer justiziellen Tätigkeit handelt, oder ein Gericht oder Tribunal, das im Rahmen seiner justiziellen Tätigkeit handelt, auszuüben. Die Aufsicht über die Justiz wird jedoch durch spezialisierte Stellen gewährleistet (siehe Erwägungsgründe 99 bis 103).

2.6.2. Durchsetzung, einschließlich Sanktionen

(92) Die Befugnisse des Information Commissioner sind in Artikel 58 UK GDPR festgelegt, der keine wesentlichen Änderungen gegenüber dem entsprechenden Artikel der Verordnung (EU) 2016/679 umfasst. Der DPA 2018 enthält ergänzende Vorschriften dazu, wie diese Befugnisse ausgeübt werden können. Der Information Commissioner hat insbesondere die Befugnis, a) im Wege eines Informationsbescheides („information notice“) den Verantwortlichen und den Auftragsverarbeiter (und unter bestimmten Umständen jede andere Person) anzuweisen, erforderliche Informationen bereitzustellen (91), b) Untersuchungen und Überprüfungen durchzuführen, indem er einen Bewertungsbescheid („assessment notice“) erlässt, mit dem der Verantwortliche oder der Auftragsverarbeiter aufgefordert werden kann, dem Information Commissioner zu gestatten, bestimmte Räumlichkeiten zu betreten, Dokumente oder Ausrüstung in Augenschein zu nehmen oder zu prüfen, Personen zu befragen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten, usw. (92), c) anderweitig Zugriff auf Dokumente usw. von Verantwortlichen und Auftragsverarbeitern zu erhalten und Zugang zu deren Räumlichkeiten gemäß Paragraf 154 DPA 2018 zu erhalten („powers of entry and inspection“), d) Abhilfebefugnisse auszuüben, unter anderem durch Warnungen und Verwarnungen, oder im Wege eines Durchsetzungsbescheides Anweisungen zu erteilen, um Verantwortliche bzw. Auftragsverarbeiter aufzufordern, bestimmte Maßnahmen zu ergreifen oder zu unterlassen, einschließlich der Anweisung an den Verantwortlichen oder Auftragsverarbeiter, alle Maßnahmen zu ergreifen, die in Artikel 58 Absatz 2 Buchstaben c bis g und j UK GDPR aufgeführt sind („enforcement notice“) (93), e) im Wege eines Bußgeldbescheides Geldbußen zu verhängen („penalty notice“) (94). Letztere können auch verhängt werden, wenn eine Behörde gegen die Bestimmungen der UK GDPR verstoßen haben (95).

(93) In den Leitlinien des ICO zu regulatorischen Maßnahmen (Regulatory Action Policy (96)) ist festgelegt, unter welchen Umständen es einen Informations-, Bewertungs- Durchsetzungs- oder Bußgeldbescheid erteilt. Ein Durchsetzungsbescheid, der als Reaktion auf ein Versäumnis eines Verantwortlichen oder Auftragsverarbeiters erteilt wird, darf nur Forderungen enthalten, die der Information Commissioner für die Behebung des Versäumnisses für angemessen hält. Durchsetzungs- und Bußgeldbescheide können einem Verantwortlichen oder einem Auftragsverarbeiter aufgrund von Verstößen gegen Kapitel II der UK GDPR (Grundsätze der Verarbeitung), Artikel 12 bis 22 (Rechte der betroffenen Person), Artikel 25 bis 39 (Pflichten der Verantwortlichen und Auftragsverarbeiter) und Artikel 44 bis 49 (internationale Übermittlungen) der UK GDPR erteilt werden. Ein Durchsetzungsbescheid kann zudem dann erteilt werden, wenn ein Verantwortlicher einer Aufforderung gemäß den Verordnungen nach Paragraf 137 DPA 2018 zur Zahlung einer Gebühr nicht nachgekommen ist. Darüber hinaus kann eine Überwachungsstelle nach Artikel 41 oder einer Zertifizierungsstelle einen Durchsetzungsbescheid erhalten, wenn sie ihren Verpflichtungen im Rahmen der UK GDPR nicht nachkommt. Ferner kann ein Bußgeldbescheid einer Person erteilt werden, die einem Informationsbescheid, einem Bewertungsbescheid oder einem Durchsetzungsbescheid nicht nachgekommen ist.

(94) Ein Bußgeldbescheid verpflichtet eine Person, einen im Bescheid genannten Betrag an den Information Commissioner zu zahlen. Bei der Entscheidung, ob und in welcher Höhe ein Bußgeldbescheid erteilt wird, muss der Information Commissioner die in Artikel 83 Absätze 1 und 2 UK GDPR aufgeführten Punkte berücksichtigen, die mit den entsprechenden Bestimmungen der Verordnung (EU) 2016/679 identisch sind (97). Gemäß Artikel 83 Absätze 4 und 5 liegen die Höchstbeträge der Geldbußen im Falle der Nichteinhaltung der in diesen Bestimmungen genannten Verpflichtungen bei 8 700 000 GBP bzw. 17 500 000 GBP. Im Falle eines Unternehmens kann der Information Commissioner auch Geldbußen in Form eines Prozentsatzes des weltweiten Jahresumsatzes verhängen, falls dieser höher ist. Wie in den entsprechenden Bestimmungen der Verordnung (EU) 2016/679 liegen diese Beträge gemäß Artikel 83 Absätze 4 und 5 bei 2 % bzw. 4 %. Wird einem Informationsbescheid, Bewertungsbescheid oder Durchsetzungsbescheid nicht nachgekommen, liegt der Höchstbetrag der Geldbuße, die durch einen Bußgeldbescheid verhängt werden kann, bei 17 500 000 GBP oder im Falle eines Unternehmens bei 4 % des weltweiten Jahresumsatzes, je nachdem, welcher der Beträge höher ist.

(95) Die Befugnisse des Information Commissioner wurden durch die UK GDPR in Verbindung mit dem DPA 2018 auch gestärkt. So hat er beispielsweise nun die Möglichkeit, im Rahmen von Bewertungsbescheiden obligatorische Überprüfungen bei sämtlichen Verantwortlichen und Auftragsverarbeitern durchzuführen, während er diese Befugnis nach der vorherigen Rechtsvorschrift, dem Data Protection Act 1998, nur in Bezug auf die Zentralregierung und Gesundheitsorganisationen ausüben konnte und andere der Überprüfung zustimmen mussten.

(96) Seit der Einführung der Verordnung (EU) 2016/679 bearbeitet das ICO rund 40 000 Beschwerden von betroffenen Personen pro Jahr (98) und führt darüber hinaus etwa 2 000 Untersuchungen von Amts wegen durch (99). Ein Großteil der Beschwerden betrifft das Recht auf Auskunft und auf Offenlegung von Daten. Im Anschluss an seine Untersuchungen ergreift der Information Commissioner Durchsetzungsmaßnahmen in einer Vielzahl unterschiedlicher Bereiche. Konkret hat er laut seinem letzten Jahresbericht (2019–2020) (100) während des Berichtszeitraums 54 Informationsbescheide, acht Bewertungsbescheide und sieben Durchsetzungsbescheide erteilt, vier Verwarnungen ausgesprochen, in acht Fällen eine Strafverfolgung eingeleitet und in 15 Fällen Geldbußen verhängt (101).

(97) Hierzu zählten mehrere beträchtliche Geldbußen, die im Rahmen der Verordnung (EU) 2016/679 und des DPA 2018 verhängt wurden. So verhängte der Information Commissioner im Oktober 2020 eine Geldstrafe in Höhe von 20 Mio. GBP gegen eine britische Fluggesellschaft wegen einer Datenschutzverletzung, von der mehr als 400 000 Kunden betroffen waren. Ende Oktober 2020 wurde gegen eine internationale Hotelkette eine Geldbuße von 18,4 Mio. GBP verhängt, weil sie die personenbezogenen Daten von Millionen von Kunden nicht sicher aufbewahrt hatte, und im November 2020 wurde ein britischer Dienstleister, der Veranstaltungstickets im Internet verkauft, mit einer Geldbuße von 1,25 Mio. GBP belegt, weil er die Zahlungsdaten seiner Kunden nicht geschützt hatte (102).

(98) Zusätzlich zu den in Erwägungsgrund 92 beschriebenen Durchsetzungsbefugnissen des Information Commissioner stellen bestimmte Verstöße gegen die Datenschutzvorschriften Straftaten dar und können daher strafrechtlich geahndet werden (Paragraf 196 DPA 2018). Hierzu zählen beispielsweise die wissentliche oder leichtfertige Erlangung oder Offenlegung personenbezogener Daten ohne Zustimmung des Verantwortlichen, die Veranlassung der Offenlegung personenbezogener Daten gegenüber einer anderen Person ohne Zustimmung des Verantwortlichen (103), die Re-Identifizierung von anonymisiert vorliegenden personenbezogenen Daten ohne Zustimmung des für die Anonymisierung der personenbezogenen Daten zuständigen Verantwortlichen (104), die vorsätzliche Behinderung des Information Commissioner bei der Ausübung seiner Befugnisse in Bezug auf die Einsichtnahme in personenbezogene Daten gemäß internationalen Verpflichtungen (105), die Abgabe falscher Erklärungen bei der Erwiderung auf einen Informationsbescheid oder die Vernichtung von Informationen im Zusammenhang mit Informations- und Bewertungsbescheiden (106).

2.6.3. Aufsicht über die Justiz

(99) Die Aufsicht über die Verarbeitung personenbezogener Daten durch die Gerichte und die Justiz erfolgt über zwei Wege. Wenn ein Inhaber eines richterlichen Amtes oder ein Gericht nicht im Rahmen seiner justiziellen Tätigkeit handelt, wird die Aufsichtsfunktion durch das ICO wahrgenommen. Wenn der Verantwortliche im Rahmen einer justiziellen Tätigkeit handelt, kann das ICO seine Aufsichtsfunktionen nicht wahrnehmen (107) und die Aufsicht erfolgt durch spezielle Stellen. Dies entspricht dem Ansatz gemäß Artikel 55 Absatz 3 der Verordnung (EU) 2016/679.

(100) Insbesondere im zweiten Szenario – für die Gerichte von England und Wales sowie die First-tier und Upper Tribunals von England und Wales – wird diese Aufsichtsfunktion durch ein richterliches Datenschutzgremium (Judicial Data Protection Panel) wahrgenommen (108). Darüber hinaus haben der Lordoberrichter (Lord Chief Justice) und der Leitende Präsident der Tribunale (Senior President of Tribunals) eine Datenschutzerklärung herausgegeben (109), in der dargelegt ist, wie die Gerichte in England und Wales personenbezogene Daten für eine richterliche Funktion verarbeiten. Die Justizbehörden in Nordirland (110) und Schottland (111) haben ähnliche Erklärungen herausgegeben.

(101) In Nordirland hat der Lord Chief Justice of Northern Ireland zudem einen Richter des High Court zum Richter für Datenaufsicht (Data Supervisory Judge – DSJ) ernannt (112). Darüber hinaus erhielt die nordirische Justiz Leitlinien dazu, was im Falle eines Datenverlustes oder eines potenziellen Datenverlustes zu tun ist und wie mit den daraus resultierenden Problemen umzugehen ist (113).

(102) In Schottland hat der Lord President einen Data Supervisory Judge ernannt, der sämtliche Beschwerden aus Gründen des Datenschutzes untersucht. Dies ist in den Vorschriften für gerichtliche Beschwerden geregelt, die denen für England und Wales entsprechen (114).

(103) Schließlich wird einer der Richter des Supreme Court ernannt, um die Aufsicht über den Datenschutz zu führen.

2.6.4. Rechtsmittel

(104) Um einen angemessenen Schutz und insbesondere die Durchsetzung der Rechte des Einzelnen zu gewährleisten, sollten der betroffenen Person wirksame behördliche und gerichtliche Rechtsbehelfe, einschließlich Schadensersatz, zur Verfügung stehen.

(105) Erstens hat eine betroffene Person das Recht auf Beschwerde beim Information Commissioner, wenn sie der Ansicht ist, dass im Zusammenhang mit sie betreffenden personenbezogenen Daten ein Verstoß gegen die UK GDPR vorliegt (115). Die diesbezüglichen Vorschriften von Artikel 77 der Verordnung (EU) 2016/679 wurden in der UK GDPR ohne wesentliche Änderungen beibehalten. Das Gleiche gilt für Artikel 57 Absatz 1 Buchstabe f und Absatz 2, in denen die Aufgaben des Information Commissioner in Bezug auf die Bearbeitung von Beschwerden festgelegt sind. Wie in den Erwägungsgründen 92 bis 98 oben beschrieben, hat der Information Commissioner die Befugnis, die Einhaltung der UK GDPR und des DPA 2018 durch den Verantwortlichen und den Auftragsverarbeiter zu bewerten, sie im Falle der Nichteinhaltung aufzufordern, notwendige Maßnahmen zu ergreifen oder zu unterlassen, und Geldbußen zu verhängen.

(106) Zweitens besteht gemäß der UK GDPR und dem DPA 2018 das Recht auf einen Rechtsbehelf gegen den Information Commissioner. Nach Artikel 78 Absatz 1 UK GDPR hat eine Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss des Information Commissioner. Im Rahmen der gerichtlichen Überprüfung untersucht der Richter den Beschluss, der in der Klage angefochten wird, und prüft, ob der Information Commissioner rechtmäßig gehandelt hat. Darüber hinaus hat der Beschwerdeführer gemäß Artikel 78 Absatz 2 UK GDPR Zugang zu einem gerichtlichen Rechtsbehelf, wenn der Information Commissioner eine Beschwerde der betroffenen Person nicht angemessen bearbeitet (116). Er kann bei einem First-tier Tribunal beantragen, den Information Commissioner anzuweisen, geeignete Schritte zur Beantwortung der Beschwerde zu unternehmen oder den Beschwerdeführer über den Stand der Bearbeitung der Beschwerde zu informieren (117). Darüber hinaus kann jede Person, die vom Information Commissioner einen der oben genannten Bescheide (Informations-, Bewertungs-, Durchsetzungs- oder Bußgeldbescheid) erhält, beim First-tier Tribunal Widerspruch einlegen (118). Ist das Gericht der Ansicht, dass der Beschluss des Information Commissioner rechtswidrig ist oder dieser seinen Ermessensspielraum anders hätte nutzen sollen, muss es dem Widerspruch stattgeben oder den beanstandeten Beschluss durch einen anderen Bescheid oder Beschluss ersetzen, den der Information Commissioner hätte erlassen können.

(107) Drittens können natürliche Personen gemäß Artikel 79 UK GDPR und Paragraf 167 DPA 2018 unmittelbar vor den Gerichten Rechtsbehelfe gegen Verantwortliche und Auftragsverarbeiter einlegen. Wenn ein Gericht aufgrund einer Beschwerde einer betroffenen Person zu der Überzeugung gelangt, dass eine Verletzung der Rechte der betroffenen Person gemäß den Datenschutzvorschriften vorliegt, kann es anordnen, dass der Verantwortliche oder ein Auftragsverarbeiter, der im Namen dieses Verantwortlichen handelt, die in der Anordnung genannten Maßnahmen zu ergreifen oder zu unterlassen hat.

(108) Darüber hinaus hat jede Person, der wegen eines Verstoßes gegen die UK GDPR ein materieller oder immaterieller Schaden entstanden ist, nach Artikel 82 UK GDPR und Paragraf 168 DPA 2018 Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Die Vorschriften zu Schadenersatz und Haftung in Artikel 82 Absätze 1 bis 5 UK GDPR sind identisch mit den entsprechenden Vorschriften der Verordnung (EU) 2016/679. Gemäß Paragraf 168 DPA 2018 umfassen immaterielle Schäden auch seelisches Leid. Gemäß Artikel 80 UK GDPR hat die betroffene Person zudem das Recht, ein Vertretungsorgan oder eine Organisation zu beauftragen, die Beschwerde in ihrem Namen (gemäß Artikel 77 UK GDPR) beim Commissioner einzureichen und die Rechte nach Artikel 78 (Recht auf wirksamen gerichtlichen Rechtsbehelf gegen den Commissioner), Artikel 79 (Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter) und Artikel 82 (Haftung und Recht auf Schadenersatz) der UK GDPR in ihrem Namen auszuüben.

(109) Viertens kann jede Person zusätzlich zu den vorgenannten Rechtsbehelfen auf der Grundlage des Human Rights Act 1998 einen Rechtsbehelf vor den Gerichten des Vereinigten Königreichs einlegen, wenn sie der Ansicht ist, dass ihre Rechte, einschließlich der Rechte auf Privatsphäre und Datenschutz, von Behörden verletzt wurden (119). Ist eine Person der Ansicht, dass eine Behörde in einer Weise gehandelt hat (oder zu handeln beabsichtigt), die mit einem Konventionsrecht unvereinbar und folglich gemäß Paragraf 6 Absatz 1 des Human Rights Act 1998 rechtswidrig ist, kann sie die Behörde vor dem zuständigen Gericht verklagen oder sich in einem Gerichtsverfahren auf die betreffenden Rechte berufen, wenn sie Opfer der rechtswidrigen Handlung ist (oder wäre).

(110) Befindet das Gericht eine Handlung einer Behörde für rechtswidrig, so kann es im Rahmen seiner Befugnisse den Rechtsbehelf oder die Abhilfe gewähren oder die Anordnung treffen, die es für gerecht und angemessen hält (120). Des Weiteren kann das Gericht eine Bestimmung des Primärrechts für unvereinbar mit einem Konventionsrecht befinden.

(111) Schließlich kann eine Person, wenn alle nationalen Rechtsmittel ausgeschöpft wurden, vor dem Europäischen Gerichtshof für Menschenrechte aufgrund der Verletzung ihrer nach der Europäischen Menschenrechtskonvention garantierten Rechte Rechtsbehelfe einlegen.

3. ZUGANG ZU UND VERWENDUNG VON AUS DER EUROPÄISCHEN UNION ÜBERMITTELTEN PERSONENBEZOGENEN DATEN DURCH BEHÖRDEN IM VEREINIGTEN KÖNIGREICH

(112) Die Kommission bewertete auch den Rechtsrahmen des Vereinigten Königreichs für die Erhebung und anschließende Verwendung personenbezogener Daten, die britische Behörden im öffentlichen Interesse, insbesondere zu Zwecken der Strafverfolgung und der nationalen Sicherheit, an Unternehmer im Vereinigten Königreich übermitteln („government access“) (im Folgenden als „staatlicher Zugriff“ bezeichnet). Bei der Beurteilung der Frage, ob die Bedingungen für den staatlichen Zugriff auf Daten, die gemäß diesem Beschluss an das Vereinigte Königreich übermittelt werden, das Kriterium der „wesentlichen Gleichwertigkeit“ nach Artikel 45 Absatz 1 der Verordnung (EU) 2016/679 in der Auslegung des Gerichtshofs der Europäischen Union im Lichte der Charta der Grundrechte erfüllen würden, hat die Kommission insbesondere die folgenden Kriterien berücksichtigt.

(113) Erstens muss jede Einschränkung des Rechts auf den Schutz personenbezogener Daten gesetzlich vorgesehen sein, und die gesetzliche Grundlage für den Eingriff in dieses Recht muss selbst den Umfang der Einschränkung der Ausübung des betreffenden Rechts festlegen (121).

(114) Zweitens: Um dem Erfordernis der Verhältnismäßigkeit zu genügen, wonach Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten nur insoweit gelten dürfen, als dies in einer demokratischen Gesellschaft zur Verwirklichung spezifischer Ziele von allgemeinem Interesse, die den von der Union anerkannten Zielen gleichwertig sind, unbedingt erforderlich ist, muss die Rechtsvorschrift des betreffenden Drittlands, nach der der Eingriff zulässig ist, klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen, sodass die Personen, deren Daten übermittelt wurden, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer personenbezogenen Daten vor Missbrauchsrisiken ermöglichen (122). In der Rechtsvorschrift muss insbesondere angegeben sein, unter welchen Umständen und unter welchen Voraussetzungen eine Maßnahme, die die Verarbeitung solcher Daten vorsieht, getroffen werden darf (123); ferner muss die Erfüllung dieser Anforderungen einer unabhängigen Aufsicht unterliegen (124).

(115) Drittens muss diese Rechtsvorschrift nach innerstaatlichem Recht rechtsverbindlich sein, und diese rechtlichen Anforderungen müssen für die Behörden nicht nur verbindlich sein, sondern gegenüber den Behörden auch gerichtlich durchsetzbar sein (125). Insbesondere müssen betroffene Personen die Möglichkeit haben, Rechtsbehelfe vor einem unabhängigen und unparteiischen Gericht einzulegen, um Zugang zu den sie betreffenden personenbezogenen Daten zu erlangen oder die Berichtigung oder Löschung solcher Daten zu erwirken (126).

3.1. Allgemeiner Rechtsrahmen

(116) Als eine Ausübung einer Befugnis durch eine Behörde muss der staatliche Zugriff im Vereinigten Königreich unter uneingeschränkter Einhaltung des Gesetzes erfolgen. Das Vereinigte Königreich hat die Europäische Menschenrechtskonvention ratifiziert (siehe Erwägungsgrund 9), und alle Behörden im Vereinigten Königreich sind verpflichtet, in Übereinstimmung mit der Konvention zu handeln (127). Nach Artikel 8 der Konvention muss jeder Eingriff in die Privatsphäre im Einklang mit dem Gesetz und im Interesse eines der in Artikel 8 Absatz 2 genannten Ziele erfolgen und im Hinblick auf dieses Ziel verhältnismäßig sein. Darüber hinaus wird in Artikel 8 verlangt, dass der Eingriff „vorhersehbar“ („foreseeable“) ist, d. h., eine klare, zugängliche gesetzliche Grundlage hat, und dass das Gesetz geeignete Garantien umfasst, um Missbrauch zu verhindern.

(117) Des Weiteren hat der Europäische Gerichtshof für Menschenrechte in seiner Rechtsprechung klargestellt, dass jeder Eingriff in die Rechte auf Schutz der Privatsphäre und Datenschutz der wirksamen, unabhängigen und unparteiischen Aufsicht durch einen Richter oder eine andere unabhängige Stelle (z. B. eine Verwaltungsbehörde oder ein parlamentarisches Gremium) unterliegen muss (128).

(118) Darüber hinaus muss dem Einzelnen ein wirksamer Rechtsbehelf zur Verfügung stehen, und der Europäische Gerichtshof für Menschenrechte hat klargestellt, dass der Rechtsbehelf von einer unabhängigen und unparteiischen Stelle bereitgestellt werden muss, die sich eine eigene Geschäftsordnung gegeben hat und die aus Mitgliedern besteht, die ein hohes richterliches Amt bekleiden oder bekleidet haben oder erfahrene Juristen sind, und dass keine Beweisführungslast gelten darf, um einen Antrag bei dieser Stelle einzureichen. Bei der Untersuchung von Beschwerden natürlicher Personen sollte die unabhängige und unparteiische Stelle außerdem Zugriff auf alle relevanten Informationen, einschließlich geheim gehaltener Materialien, haben. Und schließlich sollte sie befugt sein, bei Rechtsverletzungen Abhilfe zu schaffen (129).

(119) Das Vereinigte Königreich hat zudem das Übereinkommen des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten („Übereinkommen Nr. 108“) und 2018 auch das Protokoll zur Änderung des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (bekannt als „Übereinkommen Nr. 108+“) unterzeichnet (130). Nach Artikel 9 des Übereinkommens Nr. 108 sind Ausnahmen von den allgemeinen Datenschutzgrundsätzen (Artikel 5 – Datenqualität), den Vorschriften über besondere Kategorien von Daten (Artikel 6 – Besondere Kategorien von Daten) und den Rechten der betroffenen Person (Artikel 8 – Zusätzliche Garantien für die betroffene Person) nur dann zulässig, wenn eine solche Ausnahme im Recht der Vertragspartei vorgesehen ist und eine Maßnahme darstellt, die in einer demokratischen Gesellschaft im Interesse des Schutzes der staatlichen Sicherheit, der öffentlichen Sicherheit, der finanziellen Interessen des Staates oder der Bekämpfung von Straftaten oder zum Schutz der betroffenen Person oder der Rechte und Freiheiten anderer notwendig ist (131).

(120) Daher unterliegt das Vereinigte Königreich durch die Mitgliedschaft im Europarat, den Beitritt zur Europäischen Menschenrechtskonvention und die Anerkennung der Gerichtsbarkeit des Europäischen Gerichtshofs für Menschenrechte einer Reihe von völkerrechtlich verankerten Verpflichtungen, die den Rahmen für sein System des staatlichen Zugriffs bilden, und zwar auf der Grundlage von Grundsätzen, Garantien und individuellen Rechten, die denen ähnlich sind, die im EU-Recht garantiert sind und für die Mitgliedstaaten gelten. Wie in Erwägungsgrund 19 hervorgehoben, ist die kontinuierliche Einhaltung dieser Instrumente daher ein besonders wichtiges Element der Bewertung, auf die sich dieser Beschluss stützt.

(121) Darüber hinaus werden durch den DPA 2018 besondere Datenschutzgarantien und -rechte für Fälle gewährleistet, in denen Daten durch Behörden, einschließlich Strafverfolgungsbehörden und nationaler Sicherheitsorgane, verarbeitet werden.

(122) So ist insbesondere die Regelung für die Verarbeitung personenbezogener Daten im Rahmen der Strafverfolgung in Teil 3 des DPA 2018 festgelegt, der zur Umsetzung der Richtlinie (EU) 2016/680 erlassen wurde. Teil 3 des DPA 2018 gilt für die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit (132).

(123) Als zuständige Behörde im Sinne der Begriffsbestimmung in Paragraf 30 DPA 2018 gelten die in Anhang 7 des DPA 2018 aufgeführten Personen sowie jede andere Person, soweit sie gesetzlich festgelegte Aufgaben für die Zwecke der Strafverfolgung ausübt (133). Wie nachstehend erläutert (siehe Erwägungsgrund 139) können bestimmte zuständige Behörden (z. B. die National Crime Agency) unter bestimmten Voraussetzungen von den im Gesetz über Ermittlungsbefugnisse von 2016 (Investigatory Powers Act, IPA 2016) vorgesehenen Befugnissen Gebrauch machen. In diesem Fall gelten die im IPA 2016 vorgesehenen Garantien zusätzlich zu den in Teil 3 des DPA 2018 vorgesehenen. Die Nachrichtendienste (Secret Intelligence Service, Security Service und die Government Communications Headquarters) gelten nicht als „zuständige Behörden“ („competent authorities“) (134), die unter Teil 3 des DPA 2018 fallen, und die dort festgelegten Regeln finden daher auf deren Tätigkeiten keine Anwendung. Ein besonderer Teil des DPA 2018 (Teil 4) behandelt die Verarbeitung personenbezogener Daten durch Nachrichtendienste (siehe Erwägungsgrund 125 für weitere Einzelheiten).

(124) Analog zur Richtlinie (EU) 2016/680 sind in Teil 3 des DPA 2018 die Grundsätze der Rechtmäßigkeit und der Verarbeitung nach Treu und Glauben (135), der Zweckbindung (136), der Datenminimierung (137), der Richtigkeit (138), der Speicherbegrenzung (139) und der Sicherheit (140) festgelegt. Gemäß dem DPA 2018 gelten bestimmte Transparenzpflichten (141) und für Einzelpersonen das Recht auf Auskunft (142), Berichtigung und Löschung (143) sowie das Recht, keiner automatisierten Entscheidungsfindung unterworfen zu werden (144). Zudem sind die zuständigen Behörden verpflichtet, den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umzusetzen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen sowie für bestimmte Verarbeitungen Datenschutz-Folgenabschätzungen durchzuführen und den Information Commissioner vorab zu konsultieren (145). Nach Paragraf 56 DPA 2018 müssen die zuständigen Behörden, die Einhaltung dieser Bestimmungen nachweisen. Darüber hinaus sind sie verpflichtet, geeignete Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung zu ergreifen (146), und unterliegen im Falle einer Datenschutzverletzung besonderen Pflichten, wie der Meldung solcher Verletzungen an den Information Commissioner und die betroffenen Personen (147). Wie im Rahmen der Richtlinie (EU) 2016/680 ist ebenfalls vorgesehen, dass der Verantwortliche (sofern es sich nicht um ein Gericht oder eine andere Justizbehörde handelt, die im Rahmen einer justiziellen Tätigkeit handelt) einen Datenschutzbeauftragten benennen muss (148), der den Verantwortlichen bei der Einhaltung seiner Pflichten unterstützt und diese Einhaltung überwacht (149). Ferner gelten besondere Anforderungen bezüglich internationaler Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen zu Strafverfolgungszwecken, um die Kontinuität des Schutzes zu gewährleisten (150). Am Tag der Annahme dieses Beschlusses hat die Kommission einen weiteren Angemessenheitsbeschluss auf der Grundlage von Artikel 36 Absatz 3 der Richtlinie (EU) 2016/680 angenommen, nach dem die für die Verarbeitung durch britische Strafverfolgungsbehörden geltende Datenschutzregelung ein Schutzniveau gewährleistet, das der Sache nach dem durch die Richtlinie (EU) 2016/680 garantierten Schutzniveau gleichwertig ist.

(125) Teil 4 des DPA 2018 gilt für jede Verarbeitung durch Nachrichtendienste oder in deren Namen. Konkret ist darin Folgendes geregelt: die wesentlichen Datenschutzgrundsätze (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben sowie Transparenz (151), Zweckbindung (152), Datenminimierung (153), Richtigkeit (154), Speicherbegrenzung (155) und Sicherheit (156)), die Bedingungen für die Verarbeitung besonderer Kategorien von Daten (157), die Rechte der betroffenen Person (158), die Verpflichtung zum Datenschutz durch Technikgestaltung (159) und internationale Übermittlungen personenbezogener Daten (160). Das ICO hat kürzlich deta