Source: https://www.datenschutz.rlp.de/de/themenfelder-themen/brexit/
Timestamp: 2019-04-21 22:35:45+00:00

Document:
datenschutz.rlp.de | Brexit |
Die Verhandlungen zwischen der Europäischen Kommission und der britischen Regierung rund um den Austritt des Vereinigten Königreichs (UK) aus der Europäischen Union (EU) sind gescheitert. Damit ist klar, dass das UK datenschutzrechtlich wie ein „gewöhnliches“ Drittland zu behandeln ist. Zwar steht nun im Raum, dass der Brexit verschoben werden könnte, um einen geordneten Austritt zu ermöglichen. In Sachen Datenschutz sollten betroffene öffentliche und nicht-öffentliche Stellen dennoch spätestens jetzt tätig werden und Maßnahmen in die Wege leiten, die einen datenschutzkonformen Datentransfer in das UK auch nach dem Brexit ermöglichen. Hier finden Sie dazu einige Handlungsempfehlungen.
Fakt ist, dass das Vereinigte Königreich (UK) nach Austritt aus der Europäischen Union (EU) ab dem 30. März 2019 zu einem „Drittland“ im Sinne der Datenschutz-Grundverordnung (DS-GVO) wird. Damit müssen verantwortliche Stellen in der EU, also auch die mit Sitz in Rheinland-Pfalz, die Regelungen für Datenübermittlungen in Drittländer berücksichtigen sowie ihre Dokumente entsprechend überarbeiten.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat Informationen zu Datenübermittlungen aus Deutschland in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019 in einem Beschluss dargestellt.
Welche verantwortlichen Stellen sind betroffen und müssen nun tätig werden?
Betroffen sind alle öffentlichen und nicht-öffentliche Stellen, die personenbezogene Daten in das UK übermitteln, also nicht nur Behörden und Konzerne, sondern auch kleine und mittelständische Unternehmen, Vereine, Universitäten usw.
Personenbezogene Daten sind zum Beispiel Name, Anschrift, Geburtsdatum, Religionszugehörigkeit, Bankdaten und zwar sowohl von Kunden, Beschäftigten, Vertragspartnern als auch von Vereinsmitgliedern, Studenten usw.
Auch bei der Inanspruchnahme von IT-Dienstleistungen durch britische Unternehmen (z.B. Microsoft Europe mit diversen Cloud-Lösungen) oder im Rahmen von Auftragsverarbeitung durch ein europäisches Unternehmen für einen Verantwortlichen im UK kommt es zu einer Datenübermittlung in ein Drittland im Sinne der Datenschutz-Grundverordnung.
Weshalb müssen die verantwortlichen Stellen schnellstmöglich tätig werden?
Aufgrund des Drittland-Status des UK haben die Aufsichtsbehörden ergänzende Befugnisse im Falle der Nichteinhaltung von Vorgaben für Datenübermittlungen in Drittländer. Sie können die Datenübermittlung gemäß Art. 58 Abs. 2 lit. j DS-GVO aussetzen und haben gemäß Art. 83 Abs. 5 lit. c DS-GVO eine zusätzliche Möglichkeit, eine Geldbuße zu verhängen, wenn es zu Verstößen gegen die Vorgaben für Datenübermittlungen in Drittländer kommt. Da das Datenschutzniveau im UK sehr hoch ist, ist es nicht sehr wahrscheinlich, dass von diesen Maßnahmen Gebrauch gemacht werden muss. Es ist aber dennoch möglich und damit für den Einzelfall nicht ausgeschlossen.
Was bedeutet Kapitel V?
Für eine rechtskonforme Datenübermittlung in ein Drittland müssen neben allen übrigen Anforderungen der DS-GVO in ihren vorderen Kapiteln (sog. 1. Stufe) zusätzlich die Anforderungen nach Kapitel V an die Übermittlung personenbezogener Daten in Drittländer beachtet werden (sog. 2. Stufe). Dies gilt auch bei einer Weiterübermittlung der personenbezogenen Daten durch die empfangende Stelle im Drittland (Art. 44 S. 1 2. HS DS-GVO (siehe auch Erwägungsgrund 101)).
Die Hoffnung, dass man sich im Wege eines internationalen Abkommens im Sinne von Erwägungsgrund 102 Satz 1 DS-GVO über einen Rechtsrahmen für die Übermittlung personenbezogener Daten zwischen EU-Mitgliedstaaten und dem UK einigen würde, worüber die Anwendung von Kapitel V hätte ausgeschlossen werden können, ist mit dem Scheitern der Verhandlungen zwischen der EU-Kommission und der britischen Regierung erloschen. Auch gilt es inzwischen als sicher, dass die EU-Kommission vor dem 30. März 2019 keinen Angemessenheitsbeschluss im Sinne von Art. 45 DS-GVO mehr erlassen wird, in welchem sie feststellt, dass im UK ein angemessenes Datenschutzniveau herrscht und Datenübermittlungen in dieses Land daher keiner weiteren Genehmigung oder Garantie bedürfen. Aktuell gibt es für 12 Länder einen solchen Angemessenheitsbeschluss.
Die betroffenen verantwortlichen Stellen müssen nun also schnellstmöglich geeignete Garantien im Sinne der Art. 46 ff. DS-GVO schaffen, um Datenübermittlungen nach dem Brexit datenschutzkonform fortführen zu können. Es kommen folgende geeignete Garantien in Betracht:
Weiterführende Informationen zu geeigneten Garantien
Ausnahmsweise darf die Datenübermittlung in ein Drittland auch ohne Vorliegen geeigneter Garantien zum Schutz der Daten erfolgen, wenn die Voraussetzungen für einen der folgenden Ausnahmetatbestände des Art. 49 DS-GVO erfüllt sind:
wirksame Einwilligung der betroffenen Person
Jede verantwortliche Stelle, die personenbezogene Daten aus einem Mitgliedstaat der EU in das UK übermittelt, muss sich spätestens jetzt auf den Brexit vorbereiten, um die Einhaltung des Datenschutzrechts auch nach dem 29. März 2019 gewährleisten zu können. Die Anpassung des Informationsblatts zur Datenverarbeitung, des Musters für eine Auskunftserteilung und des Verzeichnisses von Verarbeitungstätigkeiten dürfte das kleinere Problem sein.
Die Schaffung geeigneter Garantien ist in der Regel mit einem sehr viel größeren Aufwand verbunden. Liegen diese nicht bis zum 30. März 2019 vor, liegt in jeder Datenübermittlung in das UK ein Verstoß gegen Art. 5 Abs. 1 lit. a in Verbindung mit Art. 44 DS-GVO vor, der durch die zuständige Datenschutzaufsichtsbehörde mit der Ausübung von Befugnissen bis hin zur Verhängung von Geldbußen geahndet werden kann.
Pressemitteilung "Brexit: Drittland über Nacht" des LfDI vom 15. Januar 2019
Allgemeine Informationen zur Datenübermittlung in Drittländer
Informationen der britischen Datenschutzaufsichtsbehörde zum Datentransfer vom Vereinigten Königreich in einen Mitgliedstaat der Europäischen Union
Hilfestellung der britischen Datenschutzaufsichtsbehörde bei der Erstellung von Standardverträgen, allerdings nur für britische Unternehmen, die personenbezogene Daten aus der EU empfangen
Informationen der EU-Kommission zum Thema Brexit und Datenschutz
Informationen der EU-Kommission zum Thema Brexit allgemein (nicht zum Datenschutz)
Beschluss der DSK zu Datenübermittlungen aus Deutschland in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019
Information des Europäischen Datenschutzausschusses zu Datentransfers im Rahmen der DS-GVO im Falle eines No-Deal-Brexits (Deutsch/Englisch)

References: Art. 58
 Art. 83
 Art. 45
 Art. 46
 Art. 49
 Art. 5
 Art. 44