Meldungen & Neuigkeiten

Folgen des Brexit für den Datenschutz

24. Juni 2016

Nachdem feststeht, dass sich die Bürger Großbritanniens für ein Verlassen der Europäischen Union (EU) ausgesprochen haben, werden neben dem wirtschaftlichen Beben auch negative Auswirkungen des „Brexit“ auf den Datenschutz zu spüren sein. Die künftigen Regelungen für eine Datenübermittlung nach Großbritannien sollen hier skizziert werden.

Die europäische Datenschutzgrundverordnung (DSGVO) gilt grundsätzlich für alle Mitgliedsstaaten der EU (Art. 3 Abs. 1 DSGVO). Zwar werden aufgrund des neu eingeführten Marktortprinzips Ausnahmen bestehen, soweit sich die britischen Unternehmen in ihrem Geschäft an europäische Betroffene wenden oder eine Überwachung des Verhaltens von Personen innerhalb der EU erfolgt (Art. 3 Abs. 2 DSGVO). Nach dem Vollzug des Brexit wird Großbritannien ein sog. Drittstaat, so dass eine freie Datenübermittlung nach den allgemeinen EU-Grundsätzen nicht möglich ist, sondern die Vorschriften über die Datentransfers in Drittstaaten nach Art. 44 ff. DSGVO (früher § 4b, 4c BDSG) gelten. Damit müsste grundsätzlich sichergestellt sein, dass angemessene Schutzmaßnahmen in Großbritannien als Drittstaat durch die Zielunternehmen bestehen (Art. 46 DSGVO). Diese Maßnahmen beinhalten Standardvertragsklauseln, Binding Corporate Rules o.ä. Instrumente. Auftragsdatenverarbeitung ist bei Anwendung der zusätzlichen Instrumente nach der DSGVO auch in Drittstaaten möglich.

Ein solch kompliziertes Vorgehen wäre nicht notwendig, falls die EU-Kommission einen Angemessenheitsbeschluss nach Art. 45 DSGVO trifft und feststellt, dass Großbritannien ein mit der EU vergleichbares Datenschutzniveau aufweist. Ob eine solche Angemessenheitsentscheidung getroffen wird, ist auch eine politische Entscheidung (die britische Datenschutzbehörde ICO teilte bereits mit, dass von einem kurzfristigen Beschluss auszugehen). Nach derzeitigen Meldungen ist es möglich, dass die EU möglichst wenige Erleichterungen und internationale Abkommen mit Großbritannien schließen möchte, um andere Staaten vom Austritt abzuhalten. Weiterhin kann das Urteil des Europäischen Gerichtshofs zu Safe Harbor nicht unterschätzt werden (EuGH, Urteil v. 06.10.2015 – Az. C-362/14, worauf Jan Philipp Albrecht bei Twitter bereits hingewiesen hat). In diesem Urteil hatte der EuGH massiv die Befugnisse der Geheimdienste in den USA kritisiert. Es ist bekannt, dass die britischen Geheimdienste (insbesondere der GCHQ) in ähnlichem, wenn nicht gar größerem, Umfang wie die US-Geheimdienste Daten sämtlicher Internetnutzer willkürlich sammeln. Es ist daher gut vertretbar, für Großbritannien kein angemessenes Datenschutzniveau anzunehmen.

Im Falle einer Angemessenheitsentscheidung wäre Großbritannien trotz Brexit ein „sicherer Drittstaat“, für den grundsätzlich die gleichen Rechte wie innerhalb der EU gelten. Sollte Großbritannien als sicherer Drittstaat gewertet werden, wäre auch eine Auftragsdatenverarbeitung im UK ohne zusätzliche Verträge mit einem normalen Auftragsdatenverarbeitungsvertrag möglich. Die bisher deutsche – europarechtswidrige – Regelung, wonach eine Auftragsdatenverarbeitung in einem Drittstaat nicht möglich sein soll (§ 3 Abs. 8 Satz 2 BDSG), wird daher nach der Datenschutzgrundverordnung keine Anwendung finden.

Fazit zum Datenschutz nach dem Brexit:

Die datenschutzrechtliche Einordnung von Datentransfers nach Großbritannien hängt davon ab, ob die EU-Kommission einen Angemessenheitsbeschluss in Bezug auf das Datenschutzniveau im UK fassen wird. Derzeit ist davon auszugehen, dass ein sich solcher Beschluss zumindest längere Zeit hinziehen wird und daher spezielle Instrumente für Drittstaatentransfers, insbesondere EU-Standardvertragsklauseln, eingeführt werden müssen. Da eine Vielzahl von Anbietern, gerade im Bereich Cloud oder Finance, ihren Sitz im UK haben, kann ein hoher Anpassungsbedarf auf Unternehmen zukommen. Unternehmen sollten sich auf den Brexit durch die Festlegung von Standardvertragsklauseln. oder der Wahl von Anbietern innerhalb der EU vorbereiten.

Für Fragen zu Drittstaatentransfers wenden Sie sich gerne an RA Dr. Stefan Drewes.