Neues zum Datenschutzrecht
22.7.2022
Angemessenheitsbeschluss für UK in Gefahr?
Die lange Zeit vorhandene Rechtsunsicherheit für den Transfer personenbezogener Daten in das Vereinigte Königreich wurde mit dem Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021 endgültig beseitigt – zumindest auf den ersten Blick. Denn die britische Regierung plant aus wirtschaftlichen Gründen einige Änderungen am nationalen Datenschutzrecht.
An dieser Stelle muss auf die geplanten Änderungen nicht im Einzelnen eingegangen werden. Entscheidend ist, dass der Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021 ausdrücklich im Wesentlichen darauf abstellt, dass das Vereinigte Königreich seit dem Austritt aus der EU das Datenschutzrecht kaum verändert und die Regelungen der DSGVO nahezu identisch in nationales Recht umgesetzt hat. Zudem enthält der Angemessenheitsbeschluss eine Verfallsklausel, durch die seine Geltungsdauer auf vier Jahre beschränkt ist, in denen die EU-Kommission die Rechtslage und mögliche Abweichungen hinsichtlich des Datenschutzniveaus beobachten will. Die EU-Kommission überwacht fortlaufend die Entwicklungen im Datenschutzrecht des Vereinigten Königreichs, um festzustellen, ob weiterhin ein der Sache nach gleichwertiges Schutzniveau gewährleistet ist.
Zumindest die britische Regierung ist – wenig überraschend – der Auffassung, dass die Änderungen des nationalen Datenschutzrechts dergestalt in Einklang mit dem EU-Recht stehen, dass es keine Änderungen hinsichtlich der Feststellung der Angemessenheit zu erwarten sind. Zu dieser Einschätzung gelangt sie im Impact Assessment für die Data Protection and Digital Information Bill v. 6. Juli 2022. Dieses Dokument kann hier direkt oder mit weiteren Informationen auch auf der einschlägigen Website der UK-Regierung abgerufen werden.
Hintergrund
Der Austritt des Vereinigten Königreichs aus der EU hatte bekanntermaßen auch Auswirkungen auf den Datenverkehr zwischen den EU-Mitgliedstaaten und dem Vereinigten Königreich, das datenschutzrechtlich zu einem Drittland geworden ist. Dieser Umstand, die Konsequenzen und die Notwendigkeit, Vorkehrungen zu treffen, waren bereits mehrfach Gegenstand der Datenschutz-News.
Zu einem Drittland wurde das Vereinigte Königreich bereits mit dem Austritt zum 31. Januar 2020, wurde aber nicht als solches behandelt. Denn bis zum 31. Dezember 2020 blieb die DSGVO im Vereinigten Königreich wirksam. Daher bedurfte es in diesem Übergangszeitraum für einen Datentransfer in das Vereinigte Königreich keiner besonderen Schutzmaßnahmen nach Art. 44 ff. DSGVO.
Mit dem Handels- und Kooperationsabkommen vom 24.12.2020 wurde zudem vereinbart, dass das Vereinigte Königreich für einen Übergangszeitraum bis maximal zum 30.6.2021 nicht als Drittland behandelt wird. Nach Ablauf des Übergangszeitraums waren Großbritannien und Nordirland unter datenschutzrechtlichen Gesichtspunkten endgültig als Drittländer zu behandeln (dazu s. Datenschutz-News v. 1.1.2021
Eine Datenübermittlung in ein Drittland ist gemäß Art. 45 Abs. 1 DSGVO zulässig, wenn die EU-Kommission für dieses Drittland ein angemessenes Datenschutzniveau festgestellt hat. Einen solchen Angemessenheitsbeschluss für UK hat die EU-Kommission am 28.6.2021 gefasst. Das Datenschutzniveau im Drittstaat Vereinigtes Königreich ist daher derzeit als ausreichend hoch für einen Datentransfer in dieses Land anzusehen. Es bedarf zum jetzigen Zeitpunkt keiner zusätzlichen Maßnahmen bzw. Aktivitäten der Verantwortlichen.
Fazit und Ausblick
Es bleibt abzuwarten, wie und wann sich die EU-Kommission positioniert, und ob das geplante UK-Gesetz mit den datenschutzrechtlichen Änderungen tatsächlich beschlossen wird. Es droht zumindest erneut eine Phase der Rechtsunsicherheit. Schlimmstenfalls wird der Angemessenheitsbeschluss durch die EU-Kommission aufgehoben. Dann müssten Datentransfers in das Vereinigte Königreich auf andere Rechtsgrundlagen gestützt werden. Dieses Szenario sollten Sie sich bewusst machen und die Geschäftsleitung Ihres Unternehmens zumindest darüber informieren sowie Optionen aufzeigen.
Sollten Sie Fragen zu den datenschutzrechtlichen Konsequenzen der geplanten UK-Gesetzgebung haben oder insoweit Unterstützung benötigen, können Sie mich gerne kontaktieren.
Zurück zur Übersicht