You are currently viewing DATENÜBERMITTLUNG INS UNITED KINGDOM

DATENÜBERMITTLUNG INS UNITED KINGDOM

Der Brexit hat nicht nur weit reichende Folgen für den Export und Import von Waren in den Europäischen Wirtschaftsraum. Auch für den Datenschutz gelten geänderte Bestimmungen. Seit Ablauf der Übergangsphase zum 31. Dezember 2020 ist das Vereinigte Königreich nicht mehr Teil des europäischen Binnenmarktes und der Zollunion.

Im Sinne der DSGVO gilt das United Kingdom (U.K.) seit dem 1. Januar 2021 als sog. „Drittland“; d.h. ohne ein Abkommen zwischen der Europäischen Union (EU) und Großbritannien und ohne einen Angemessenheitsbeschluss der Europäischen Kommission hinsichtlich eines der EU angemessenen Datenschutzniveaus, wird das U.K. datenschutzrechtlich so behandelt, wie jeder andere Drittstaat. Eine Übermittlung personenbezogener Daten ins U.K. wäre ohne zusätzliche Datenschutzgarantien (z.B. den Abschluss von Standardvertragsklauseln) grundsätzlich nicht zulässig.

Bis zum 30. Juni 2021 galt eine Übergangsregelung für Datenübermittlungen zwischen der EU und dem U.K., ohne dass weitere Datenschutzgarantien getroffen werden mussten. Am 28. Juni 2021 sind zwei Angemessenheitsbeschlüsse der Europäischen Kommission zum Datentransfer ins U.K. in Kraft getreten: einer im Rahmen der DSGVO und einer im Rahmen der Richtlinie zum Datenschutz bei der Strafverfolgung.

Die EU-Kommission gab bekannt, dass im U.K. die rechtlichen Bestimmungen zum Schutz personenbezogener Daten weiterhin vorhanden sind. Dort kann ein Schutzniveau garantiert werden, das dem Schutzniveau des EU-Rechts gleichwertig ist. Demnach können personenbezogene Daten ungehindert aus der EU ins U.K. übermittelt werden. Die Geltungsdauer der Angemessenheitsbeschlüsse ist auf vier Jahre befristet.

Wie bisher ist bei Datenübermittlungen ins U.K. allerdings weiterhin zu berücksichtigen:

  • Die Datenübermittlung ins U.K. als Nicht-EU-Land sowie die vorhandenen Garantien oder Ausnahmen, auf die man sich bezieht (Angemessenheitsbeschluss der EU-Kommission), sind im internen Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren.
  • In der Datenschutzerklärung ist über die Datenübermittlung ins U.K. sowie die vorhandenen Garantien oder Ausnahmen (Angemessenheitsbeschluss der EU-Kommission) zu informieren.
  • Wenn eine betroffene Person ein Auskunftsersuchen stellt, ist sie auch über die Datenübermittlung ins U.K. zu unterrichten.

Wesentliche Punkte für Datenübermittlungen in Drittländer

Unter die Übermittlung fällt nicht nur das Senden von Daten an den Empfänger, sondern auch die Möglichkeit des Zugriffs (z.B. das Auslesen einer Datenbank). Neben einer Rechtsgrundlage für die Übermittlung personenbezogener Daten (z.B. die Anbahnung oder Durchführung von Vertragsverhältnissen oder die Einwilligung des Betroffenen), bedarf es zur Herstellung eines angemessenen Datenschutzniveaus im Drittland datenschutzrechtliche Garantien; so z.B.

  1. Der Abschluss von sog. „EU-Standardvertragsklauseln“. Diese Standardverträge zum Datenschutz wurden von der  Europäischen Kommission an die Anforderungen der DSGVO angepasst und am 4. Juni 2021 veröffentlicht. Sofern diese als Garantien genutzt werden, sind sie unverändert zu übernehmen.
    Die Einhaltung von sog. „Corporate Binding Rules”, in denen sich Unternehmen (i.d.R. international agierende Konzerne) verbindliche, interne Datenschutzvorschriften für eine unternehmensinterne Datenübermittlung in Drittländer auferlegen.
  2. Individuell zwischen den Parteien ausgehandelte Datenschutzklauseln, die allerdings der Zustimmung der zuständigen Aufsichtsbehörde bedürfen.

Da Corporate Binding Rules und individuelle Datenschutzverträge zeit- und kostenaufwendig sind,  ist es für kleinere und mittlere Unternehmen praktikabel, auf die EU-Standardvertragsklauseln zurückzugreifen.

Eine Datenübermittlung ist auch ohne Garantien zulässig, wenn der Betroffene in den Datentransfer in das Drittland  eingewilligt hat und über das fehlende angemessene Datenschutzniveau informiert wurde.

Eine Übermittlung ist auch möglich, wenn die Daten für vorvertragliche Maßnahmen oder zur Vertragsabwicklung erforderlich sind. Dies ist in Geschäftsvorfällen der Fall, in denen der Betroffene die vorvertraglichen oder vertraglichen Maßnahmen selbst veranlasst; z.B. die Reservierung internationaler Beförderungs- oder Beherbergungsleistungen, die Abwicklung internationaler Geldtransfers oder der Versand von bestellter Ware zur Vertragserfüllung

05.07.2021

Photo by Fábio Mauro on Unsplash