Source: https://drschwenke.de/brexit-dsgvo-checkliste
Timestamp: 2019-06-18 12:54:21
Document Index: 290676790

Matched Legal Cases: ['Art. 44', 'Art. 30', 'Art. 45', 'Art. 46', 'Art. 49', 'Art. 49', 'Art. 49', 'Art. 46', 'Art. 13', 'Art. 15', 'Art. 45']

Brexit & DSGVO - Tipps und Checkliste zur Vorbereitung auf den Datenschutz-Ernstfall - Kanzlei Dr. Thomas Schwenke
18. Januar 2019 durch Dr. Thomas Schwenke in Datenschutz
© Illustration Dr. Thomas Schwenke
Zwei Monate vor dem Brexit stehen leider alle Zeichen darauf, dass er ungeordnet erfolgen wird. Da Großbritannien dadurch am 30.03.2019 über Nacht zu einem „unsicheren Drittland“ werden könnte, sollten Sie schon heute für ausgleichende Sicherheiten sorgen.
Praktisch heißt das für Sie: Da die Politik bisher keine Lösung fand, müssen Sie sich selbst darum kümmern.
Mit dem folgenden Beitrag helfe ich Ihnen sich auf den Brexit vorzubereiten und erläutere die rechtlichen Hintergründe. Am Ende des Beitrags erhalten Sie zudem eine Zusammenfassung in einer Checkliste.
Sie setzen Dienstleister aus Großbritannien zur Ausführung Ihrer Leistungen ein (z.B., Warenlieferanten).
Sie nutzen in Großbritannien basierte Cloud/SaaS-Dienste (z.B., Onlinemarketing-Tools).
Betroffen können dabei u.a. die folgenden Personengruppen sein:
Nutzer Ihrer Onlinedienste oder Websitebesucher.
Mitarbeiter oder Bewerber (z.B. beim Einsatz von Onlinebewerbungsdiensten)
In all diesen Fällen drohen Datenschutzverstöße, wenn Großbritannien zu einem datenschutzrechtlich unsicheren Drittland wird.
Aus der Sicht der DSGVO sind alle Länder außerhalb der EU und des Europäischen Wirtschaftsraums (EWR) sog. „Drittländer“. Das bedeutet, dass personenbezogene Daten nicht ohne Weiteres in diese Länder transferiert werden dürfen.
Sobald Großbritannien aus der EU ausscheidet, wird das Land zu einem unsicheren Drittland. Dadurch wird Großbritannien datenschutzrechtlich von der EU abgeschnitten und muss genauso behandelt werden, wie z.B. Russland oder die USA.
Allerdings existieren gesetzliche Erlaubnisgrundlagen, die Datentransfers in Drittländer, und damit auch nach Großbritannien, erlauben.
Erlaubte Datenverarbeitung in Großbritannien
Die Verarbeitung von personenbezogenen Daten in Drittländern ist nur dann zulässig, wenn das Gesetz es erlaubt (Art. 44 DSGVO):
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden;
In der Praxis kommen vor allem die folgenden gesetzlichen Erlaubnisgrundlagen in Frage, auf die ich nachfolgend näher eingehe:
Vertraglich erforderliche Datentransfers.
Sonstige Garantien, wie z.B. „Binding-Corporate-Rules“.
Update Verzeichnis von Verarbeitungstätigkeiten: Bitte denken Sie auch daran, in der Aufstellung Ihrer Verarbeitungsprozesse die jeweils einschlägigen Erlaubnisgrundlagen für die Datentransfers in Großbritannien aufzuführen, um Ihren Rechenschaftspflichten zu genügen (Art. 30 DSGVO).
Die EU-Kommission könnte Großbritannien in einem sog. „Angemessenheitsbeschluss“ zu einem sicheren Drittland erklären, in dem sie das britische Datenschutzniveau für ausreichend befindet (Art. 45 DSGVO).
Derartige Angemessenheitsbeschlüsse existieren z.B. für die Schweiz, Australien, Neuseeland, Andorra, Argentinien, Faröer Inseln, Guernsey, Kanada und Israel (z.T.) sowie USA, wenn ein dortiges Unternehmen das sog. Privacy-Shield-Zertifikat erhalten hat).
An sich liegt es nahe, auch Großbritannien zu einem datenschutzrechtlich sicheren Drittland zu erklären. Immerhin wurde dort die DSGVO eingeführt und bleibt auch nach dem Brexit gültig. Das heißt, in Großbritannien gilt zumindest was das Gesetzeswerk und dessen bisherige Umsetzung angeht, dasselbe Datenschutzrecht wie in der EU.
Über kurz oder lang rechne ich auch, dass ein solcher Angemessenheitsbeschluss für Großbritannien ergeht. Allerdings ist es ein Teil eines politischen Prozesses und dieser kann sich bei einem ungeregelten Brexit über Monate oder sogar Jahre hinziehen.
Ein fehlender Angemessenheitsbeschluss kann jedoch vertraglich aufgefangen werden. Dazu muss zwischen den beteiligten Parteien, ein Vertrag auf Basis sog.
„EU Model Contract Clauses“ abgeschlossen werden (Art. 46 Abs. 2 lit. c) DSGVO). Diese vorgefertigten Standardschutzklauseln verpflichten den Vertragspartner auf die Einhaltung des Europäischen Datenschutzes.
Hinweis zu internen Datentransfers: Die EU-Standard-Vertragsklauseln sind grundsätzlich auf Verträge zwischen zwei selbständigen Unternehmen ausgerichtet, können jedoch auch für interne Datentransfers, z.B. zwischen Zweigstellen, verwendet werden.
Erforderliche Datenübermittlung
Eine Übermittlung von Daten nach Großbritannien kommt in Frage, wenn Sie z.B. Leistungen anbieten, die in Großbritannien ausgeführt werden Art. 49 Abs. 1 S. 1 lit b) DSGVO. Ferner muss es erforderlich und für die Kunden erkennbar sein, dass zur Leistungsausführung personenbezogene Daten übermittelt werden (z.B. Übermittlung von Namen oder Vorlieben bei Hotelbuchungen, Reisen, etc.)
Letztendlich können Sie Kunden oder Nutzer um die Einwilligung in die Verarbeitung von Daten in Großbritannien bitten (Art. 49 Abs. 1 S. 1 lit a) DSGVO).
Die Einwilligung darf jedoch nicht „versteckt“, z.B. bloß in einer Datenschutzerklärung stehend, erfolgen. Vielmehr müssten die Betroffenen z.B. vor dem Absenden eines Onlineformulars auf mögliche Risiken des fehlenden Angemessenheitsbeschlusses und die Übermittlung der Daten in ausdrücklich um die Einwilligung per Checkbox gebeten werden (Art. 49 Abs. 1 S. 1 lit a) DSGVO).
Falls Sie derartige Einwilligungen bereits eingeholt hatten, müssen Sie die fehlende Belehrung über mögliche Risiken des fehlenden Angemessenheitsbeschlusses nachholen.
Liegen kein Angemessenheitsbeschluss und keine Standardschutzklauseln vor, kommen vor allem noch Binding Corporate Rules, das heißt unternehmensinterne Selbstverpflichtungen auf den Datenschutz in Frage (Art. 46 Abs. 2 lit b), 47 DSGVO).
Wenn Sie mit britischen Unternehmen zusammenarbeiten oder sonst Daten in die Drittländer transferieren, dann müssen Sie Ihre Kunden oder Nutzer in der Datenschutzerklärung darüber informieren (Art. 13 Abs. 1 Satz 1 lit. f) und 14 Abs. 1 Satz 1 lit. f) DSGVO).
Hierzu sollten Sie zunächst generell auf die Rechtsgrundlagen und Garantien hinweisen. Anschließend sollten Sie auch bei den einzelnen Verfahren (z.B. Einsatz von Marketingtools) darauf hinweisen, dass diese in Großbritannien sitzen und welche Gewährleistung vorliegt (z.B. Standardschutzklauseln).
In unserem Datenschutzgenerator ist automatisch ein Passus zu Drittländern enthalten, in dem wir einen entsprechenden Passus zum Brexit aufgenommen haben.
Neben der Datenschutzerklärung, müssen Sie auch im Fall von individuellen Auskunftsanfragen von sich aus auf die Datenverarbeitung in Großbritannien hinweisen (Art. 15 Abs. 1 lit. c. Abs. 2 DSGVO).
Eine Datenschutz-Folgenabschätzung kommt nur in Ausnahmefällen bei risikoreichen Datenverarbeitungen vor (z.B., wenn Gesundheitsdaten im großen Umfang verarbeitet werden, Art. 45 DSGVO).
Im Fall des Brexits müssten Sie vorliegende Datenschutz-Folgenabschätzungen neu evaluieren. Wenn allerdings eine der o.g. Garantien vorliegt, dürfte das Ergebnis nicht anders als zuvor ausfallen.
Was zu unternehmen ist – Checkliste
Sie sollten jetzt schon Maßnahmen treffen, um im Fall des Brexit vorbereitet zu sein. Hierzu schlage ich das folgende Vorgehen vor:
Stellen Sie die Verarbeitungsprozesse zusammen, bei denen Sie personenbezogene Daten (Kunden, Nutzer, Mitarbeiter) nach Großbritannien übermitteln oder sonst mit britischen Verarbeitern zusammenarbeiten, die Zugriff auf diese Daten erhalten.
Prüfen Sie, ob Sie für diese Verarbeitungsprozesse über entsprechende gesetzliche Erlaubnissee verfügen (z.B. Standardschutzklauseln, Einwilligung, etc.).
Falls Sie noch über keine Erlaubnisse verfügen, Fragen Sie bei den Unternehmen nach, welche Garantien sie anbieten (vor allem Standardschutzklauseln + Datenschutzkonzept) und generell, ob und wie sie sich auf den Brexit vorbereitet haben.
Ergänzen Sie ggf. Ihr Verarbeitungsverzeichnis um die o.g. gesetzlichen Erlaubnisse.
Sofern nicht schon vorhanden, ergänzen Sie Ihre Datenschutzerklärung um die Hinweise auf Drittländer und Datenverarbeitungen in Großbritannien.
Prüfen Sie, ob bei vorliegenden Einwilligungen Hinweise auf die Verarbeitung von Daten in Großbritannien nachgereicht, oder ggf. neue Einwilligungen eingeholt werden müssen.
Stellen Sie sicher, dass bei Auskünften mitgeteilt wird, wenn personenbezogene Daten in Großbritannien verarbeitet werden.
Prüfen Sie, ob Sie vorhandene Datenschutz-Folgenabschätzungen ergänzen oder ggf. neue durchführen müssen.
Das birgt natürlich die Gefahr, dass Teile der Arbeit umsonst sein werden, falls es doch eine Regelung geben wird. Das ist jedoch als Option allemal besser, als zum Stichpunkt entweder Datentransfers einzustellen, Dienstleister zu kündigen oder alternativ bußgeldträchtige Datenschutzverstöße begehen zu müssen.
„Brexit: Drittland über Nacht“ – vom Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.
„Brexit und Datenschutz: Erforderliche Sofortmaßnahmen“ – von RA Dr. Matthias Lachenmann.
„Brexit-Drama: Sorge vor Austritt ohne Abkommen – Warnung vor ‚Datenchaos‘“ bei heise.de
„Brexit: Bitkom warnt vor Unsicherheiten beim Datenschutz„
Februar 02, 2019, 12:41 pm
Sehr informativer Blog. Vielen Dank dafür!