Datenschutz verstehen – Brexit und Datenschutz
Was ist überhaupt der Brexit? Brexit ist eine Wortneuschöpfung aus „Britain“ und „Exit“. Kurz geschildert bedeutet Brexit, dass das Vereinigte Königreich, also Großbritannien, aus der Europäischen Union austreten will. Warum 52% der wahlberechtigten Bürger für den Brexit stimmten, wissen die meisten europäischen Bürger auch nicht so wirklich. Vielleicht sehen sich viele Briten nach dem alten British Empire und fühlen sich nicht zugehörig in der Europäischen Union. Ein interessantes Zitat von Winston Churchill, lautete einst, wohlgemerkt 1944: „Wann immer wir zwischen Europa und dem offenen Meer wählen müssen, sollen wir uns immer für das offene Meer entscheiden.“
Dennoch machten immerhin 48 % ihr Kreuzchen bei „Remain“, was den Aufenthaltsort in der Europäischen Union für die Briten bedeutet hätte.
Am 31. Januar 2020 kam es dann doch zum Austritt des Vereinigten Königreichs aus der EU mit einer Übergangszeit bis zum 31.Dezember 2020, welche nun mit dem neuen Jahr 2021 abgelaufen ist. Somit tritt am 01. Januar das neue Abkommen zwischen Großbritannien und der EU in Kraft. Welche Änderungen nun auf uns zukommen erfahren Sie in diesem Beitrag.
Datenschutz und der Brexit-Deal
Abgesehen von den außerordentlichen Ergebnissen der Börse in Verbindung mit der Stabilität des Euros, sind alle europäischen Unternehmen nun angehalten zu agieren. Denn die allermeisten Unternehmen verfügen über eine Niederlassung in Großbritannien, setzen Dienstleister aus Großbritannien zur Ausführung Ihrer Leistungen ein oder nutzen in Großbritannien digitale Dienste wie beispielsweise Online-Marketing-Tools ein. Bei all diesen Fällen werden in der Regel personenbezogene Daten ausgetauscht. Das bedeutet, es muss hierbei die Datenschutz-Grundverordnung eingehalten werden. Die DSGVO regelt den Datentransfer innerhalb der Europäischen Union und ebenfalls Übermittlungen von personenbezogenen Daten in ein Drittland, was für das Vereinigte Königreich jetzt zutreffend ist. Der Brexit-Deal beschäftigt sich in seinem Vertrag (PDF), auch wenn zeitlich begrenzt, um den Datenschutz.
Glücklicherweise hat sich der No-Deal-Brexit nicht verwirklicht und es ist zunächst mit einem Soft-Brexit zu verfahren. Doch was bedeutet dies konkret für Unternehmen der EU?
Vorerst können Unternehmen bis zum 30. April 2021 ihre Verarbeitungsvorgänge beibehalten, denn es gilt zunächst eine weitere Schonfrist von 4 Monaten. Somit können personenbezogene Daten im Zusammenhang mit dem Vereinigten Königreich verarbeitet werden. Des Weiteren ist eine automatische Verlängerung der Schonfrist um 2 weitere Monate vorgesehen. Hier ist jedoch Vorsicht geboten, da beide Vertragsparteien der Veränderung widersprechen können, wodurch die rechtliche Problematik schlussendlich doch eintreten würde. Letzten Endes besteht jedoch aufgrund des Abkommens kein Zurück mehr und es müssen zwangsläufig Anpassungen für die Verarbeitung personenbezogener Daten in Bezug auf Großbritannien vorgenommen werden – früher oder später.
Datenübermittlung nach Großbritannien
Wie bereits erwähnt wird Großbritannien durch den Brexit über Nacht zum Drittland. Das bringt erhebliche Aufwände für die europäischen Unternehmen mit sich, denn die Übermittlung von personenbezogenen Daten nach Großbritannien war bisher unproblematisch anzusehen. Europäische Unternehmen müssen daher jetzt beginnen, neue Grundlagen für die Datenübermittlung nach Großbritannien vorzubereiten. Grundsätzlich existieren gesetzliche Erlaubnistatbestände, die Datentransfers in Drittländer, und damit auch nach Großbritannien, erlauben. Dennoch wird die Bewertung, ob eine Datenverarbeitung getätigt werden darf und auf welcher Grundlage diese durchgeführt werden darf, zunächst ungewiss. Denn viele der gesetzlichen Erlaubnis-Grundlagen aus Artikel 45 ff. DSGVO müssen zwischen den Aufsichtsbehörden, der Kommission und Großbritannien verhandelt werden, damit Unternehmen die Erlaubnis-Grundlagen heranziehen dürfen. Im Regelfall können folgende Grundlagen herangezogen:
- Standarddatenschutzklauseln, die von der Kommission gemäß dem Prüfverfahren erlassen werden
- Genehmigte Verhaltensregel gemäß Artikel 40 DSGVO
- Einwilligungen der betroffenen Personen
- Angemessenheitsbeschluss der Europäischen Kommission
- Zertifizierungen gem. Art. 46 Abs. 2 lit. f) DSGVO
- Sonstige Garantien: Binding-Corporate-Rules
Die Einstufung eines Drittlandes in ein sog. sicheres Drittland könnte also durch einen Angemessenheitsbeschluss im Sinne des Art. 46 DSGVO erfolgen. Großbritannien würde hierdurch den Status eines Drittlandes nicht verlieren, jedoch aus datenschutzrechtlicher Sicht als sicher eingestuft werden. Es bleibt allerdings abzuwarten, wann und ob überhaupt dieser Beschluss folgen wird. Andernfalls würden die gleichen Bedenken hinsichtlich des Datenschutzes entstehen, wie auch in den USA durch das nicht mehr gültigen EU-US-Privacy Shield. Dies kann nicht gänzlich ausgeschlossen werden, da Großbritannien, ähnlich wie die USA weitreichende staatliche Befugnisse hat, die einen Angemessenheitsbeschluss instabil machen könnten. Vergleichen Sie hierfür auch das Urteil des EuGH zum EU-US-Privacy Shield.
Sollten weder ein Angemesseneheitsbeschluss noch geeignete Garantien bis nach der Schonfrist vorliegen, könnten in bestimmten Einzelfällen, Datenübermittlungen durch sog. Ausnahmen gem. Art. 49 DSGVO erfolgen. Hiernach ist eine Übermittlung gestattet, wenn eine Einwilligung des Betroffenen vorliegt, dies für die Erfüllung eines Vertrages, für die Geltendmachung von Rechtsansprüchen oder zum Schutz lebenswichtiger Interessen notwendig ist.
Britische Unternehmen müssen ebenfalls handeln
Wichtig ist, dass britische Unternehmen sich weiter an die Bestimmungen der DSGVO halten und diese befolgen, damit europäische Unternehmen weiter geschäftsmäßig in Betracht kommen. Für den Datentransfer aus der EU/EWR nach Großbritannien, müssen Überprüfung des Datentransfers auf ausreichende Sicherheitsvorkehrungen getroffen werden. Ebenfalls müssen für den Datentransfer von Großbritannien in die EU/EWR die Bestimmungen des UK Data Protection Act 2018 zum internationalen Datentransfer (Chapter 5) beachtet werden. Konzerne, welche mehrere Standorte in ganz Europa halten, sollten ihre Verarbeitungstätigkeiten überprüfen, um zu beurteilen, wie sich der Austritt Großbritanniens aus der EU auf die für sie geltenden Datenschutzbestimmungen auswirken wird.
Checkliste: Was müssen europäische Unternehmen jetzt tun?
Damit Unternehmen sich schnell auf einen möglichen No-Deal-Brexit vorbereiten können haben wir eine Checkliste mit den wichtigsten Aufgaben im Bereich Datenschutz zusammengetragen:
Hinweise in der Datenschutzerklärung für Brexit
Sofern Sie personenbezogene Daten Ihrer Kunden, Mitarbeiter oder sonstigen Kooperationspartner nach Großbritannien übermitteln, müssen Sie jetzt hierfür einen entsprechenden Hinweis in Ihrer Datenschutzerklärung erbringen gemäß Art. 13 Abs. 1 Satz 1 lit. f) und 14 Abs. 1 Satz 1 lit. f) DSGVO. Ein Hinweis für die Datenschutzerklärung könnte wie folgt gestaltet sein:
Verzeichnis der Verarbeitungstätigkeiten nach dem Brexit
Im Verzeichnis von Verarbeitungstätigkeiten sind Datenübermittlungen in das Drittland Vereinigte Königreich und die weiteren in diesem Zusammenhang geforderten Angaben zu machen (Art. 30 Abs. 1 lit. d und lit. e DSGVO bzw. Art. 30 Abs. 2 lit. c DSGVO). Hierzu gehören insbesondere die Erlaubnis-Grundlagen gemäß Artikel 46 Abs. 2 DSGVO.
Auskunftsersuchen nach dem Brexit
Wenn eine betroffene Person (Kunde, Mitarbeiter, Lieferant) von ihrem Auskunftsrecht Gebrauch macht, ist sie auch über die Datenübermittlung in das Drittland Vereinigte Königreich und die verwendeten geeigneten Datenschutzgarantien zu informieren (Art. 15 Abs. 1 lit. c, Abs. 2 DSGVO).
Wir weisen nochmal darauf hin, dass Verantwortliche, die personenbezogene Daten ohne die nach Kapitel V DSGVO notwendigen Sicherheiten in das Vereinigte Königreich übermitteln, rechtswidrig handeln. Die Aufsichtsbehörden könnten dann Datenübermittlungen per Anordnung aussetzen (Art. 58 Abs. 2 lit. j DSGVO) und Geldbußen verhängen (Art. 83 Abs. 5 lit. c DSGVO).
Um dies zu vermeiden, sollte dringend ein Datenschutzberater zu Rate gezogen werden.
Herr Nils Möllers ist Gründer und Geschäftsführer der Keyed GmbH. Als Experte für Datenschutz in Konzernen, Unternehmensgruppen und Franchise-Systemen, ist Herr Möllers ebenfalls als zertifizierter Datenschutzbeauftragter tätig. Ergänzend zur datenschutzrechtlichen Expertise ist Herr Möllers im Bereich der IT-Sicherheit, begleitend zur ISO27001 und TISAX-Assessments, beratend tätig.
