Folgen des Brexit für Datenschutz in Unternehmen

Bislang ist nicht klar, welche Form der Austritt des Vereinigten Königreichs („UK“) aus der EU annehmen wird. Es ergibt sich jedoch je nach möglichem Austrittsszenario ein datenschutzrechtlicher Handlungsbedarf für Unternehmen, die personenbezogene Daten mit dem UK austauschen.

UK wird nach dem Brexit ein sog. Drittland im Sinne der Datenschutz-Grundverordnung („DSGVO“) sein. Ein Datentransfer in diese Länder setzt grundsätzlich voraus, dass Verantwortliche oder Auftragsverarbeiter „geeignete Garantien“ (Art. 46 DSGVO) vorsehen. Besteht für das Drittland allerdings ein Angemessenheitsbeschluss der Kommission (Art. 45 DSGVO), wie er etwa schon für Israel oder die Schweiz erlassen wurde, können Daten ohne weitere Vorkehrungen in das Land übermittelt werden. In der Hoffnung, dass die EU schnell einen Angemessenheitsbeschluss erlassen würde, sollen die Regelungen der DSGVO in britisches Recht überführt werden. In ihrem „Notfallplan“ vom 13. November 2018 hatte die EU-Kommission aber zunächst angekündigt, dass ein Angemessenheitsbeschluss nicht eingeplant sei und für UK keine anderen Regeln als für andere Länder vorgesehen seien.

Im von der Brexit-Taskforce der EU-Kommission kürzlich veröffentlichten Brexit-Vertragsentwurf (BV-E) sind nun aber doch deutlich weichere Vereinbarungen vorgesehen. In UK soll das europäische Datenschutzrecht während einer Übergangsphase bis zum 31. Dezember 2020, u. U, sogar bis Ende 2022, für betroffene Personen außerhalb des Königreichs weiter gelten (Art. 71 (1) BV-E)). Für Daten, die bis dahin verarbeitet werden, gilt also weiter die DSGVO. Nach dieser Übergangsphase hat UK die Möglichkeit, auf Basis seines nationalen Datenschutzrechts einen Angemessenheitsbeschluss mit der Kommission zu verhandeln (Art. 71 (2) BV-E)).

Dies alles gilt jedoch nur, wenn der Vertrag in dieser Form vom britischen Unterhaus angenommen wird. Angesichts des hohen Drucks, dem Theresa May auch vonseiten ihrer eigenen Partei ausgesetzt ist, ist dies jedoch fraglich. Im Falle eines „No Deal“ würde UK wie ein Drittland behandelt. Insbesondere müssten Unternehmen also geeignete Garantien nach Art. 46 DSGVO vorweisen, wozu vor allem die Standardvertragsklauseln („SCC“) gehören. Als weitere Erlaubnistatbestände nennt die Kommission in ihrem Notfallplan „Einwilligungen der betroffenen Personen und Übermittlungen zur Erfüllung eines Vertrags, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder aus wichtigen Gründen des öffentlichen Interesses“, letztlich also die Tatbestände aus Art. 49 Abs. 1 DSGVO. Diese dürften jedoch wegen ihrer engen Voraussetzungen nicht ohne Weiteres greifen, insbesondere im Falle von Mitarbeiterdaten.

Für den Fall eines „No Deal“ müssten Unternehmen also kurzfristig bisherige Vereinbarungen zum Datentransfer mit britischen Unternehmen durch SCC ergänzen. Zudem könnten sich Änderungen für Konzerne hinsichtlich der Zuständigkeit der Aufsichtsbehörden ergeben, wenn zuvor eine Behörde als „One-Stop-Shop“ benannt wurde. Nach dem One-Stop-Shop-Verfahren war bspw. die britische Datenschutzaufsicht bislang zuständig für einen EU-weit tätigen Konzern, dessen Hauptniederlassung sich in UK befand und der sich für dieses Verfahren angemeldet hatte.

Praxishinweis

Unternehmen sollten sich über ihre Datentransfers mit UK Klarheit verschaffen. Hierbei sind auch Unterauftragnehmersituationen (bspw. Rechenzentren oder Cloud-Software-Anbieter in UK) zu beachten. Für den Fall eines „No Deal“-Brexit sollten entsprechende vertragliche Vereinbarungen vorbereitet werden, um auf diesen Fall schnell und angemessen (bspw. durch Abschluss von SCC) reagieren zu können.