Datenschutz nach dem Brexit – wie geht es nun weiter?

Datenschutz nach dem Brexit ist ein komplexes und sich ständig weiterentwickelndes Thema, das für britische Unternehmen keine guten Aussichten bietet. Kleine und mittlere Unternehmen (KMU) werden voraussichtlich zusammen mit größeren Firmen am stärksten betroffen sein.

Das Hauptproblem besteht darin, dass der Datenschutz im Handelsabkommen nicht detailliert geregelt ist, obwohl es einen „Übergangsmechanismus“ für den freien Fluss personenbezogener Daten aus der EU/dem EWR nach Großbritannien vorsieht. Die britische Regierung arbeitet derzeit an ihrer Strategie und hat signalisiert, dass Daten als Chance und nicht als Bedrohung betrachtet werden sollten – ein Ansatz, der eher dem amerikanischen als dem der EU entspricht. Es ist wahrscheinlich, dass sich das britische Datenschutzmodell im Laufe der Zeit ändern und vom EU-Modell abweichen wird. Derzeit gelten verschiedene Regelungen:

• Britische DSGVO-Regelung: Dies ist die neue, speziell für Großbritannien entwickelte Version der DSGVO, die auf der EU-DSGVO basiert.
• EU-DSGVO-Regelung: Dies ist die ursprüngliche DSGVO, die für alle 27 Mitgliedstaaten der Europäischen Union sowie für Norwegen, Island und Liechtenstein gilt.
• Angemessenheitslücke oder Altlastenregelung der DSGVO – dies gilt nicht, wenn das Vereinigte Königreich einen endgültigen Angemessenheitsbeschluss der EU erhält.

  • Die Europäische Kommission hat einen Entscheidungsentwurf vorgelegt, demzufolge die britische Datenschutz-Grundverordnung (DSGVO) und das britische Datenschutzgesetz (DPA 2018) ein Schutzniveau für aus der EU/dem EWR übermittelte personenbezogene Daten gewährleisten, das im Wesentlichen dem durch die EU-DSGVO garantierten Niveau entspricht. Der Beschluss bedarf noch der Zustimmung der Kommission, und politische Faktoren sowie Risiken könnten die Ratifizierung verzögern.

Datenübertragung ins Ausland:

• Verbindliche Unternehmensregeln (BCRs) bleiben der Goldstandard
  • BCRs sind so konzipiert, dass multinationale Unternehmen personenbezogene Daten aus dem EWR an ihre Konzerngesellschaften außerhalb des EWR (einschließlich Großbritannien seit dem 31. Dezember 2020) übermitteln können.
• Standardvertragsklauseln (SCCs) sind genehmigte Musterklauseln, die sicherstellen, dass die DSGVO-Standards eingehalten werden (vorausgesetzt, die Bestimmungen in den SCCs werden beachtet).

  • Das ICO beabsichtigt, 2021 neue britische Standardvertragsklauseln (SCCs) zu veröffentlichen. Es hat eine angepasste Fassung der bestehenden EU-SCCs erstellt, um sie an den britischen Kontext anzupassen. Es ist möglich, dass die EU-SCCs zu einem späteren Zeitpunkt für Datentransfers aus dem Vereinigten Königreich ungültig werden.

  • Diese Regelungen befinden sich derzeit in der Konsultationsphase und unterliegen einer einjährigen Übergangsfrist nach ihrer Genehmigung. Sie dürften dort Gültigkeit haben, wo die EU-DSGVO Anwendung findet. Ob das Vereinigte Königreich sie ebenfalls genehmigt, bleibt abzuwarten; andernfalls wären sie für Datenübermittlungen aus dem Vereinigten Königreich gemäß der britischen DSGVO ungültig.

• Weitere Ausnahmen von der Regel (siehe Folien und Aufzeichnung unten).

Und wie sieht es mit Datenschutzbeauftragten (DSB) aus?

• Wenn Sie derzeit einen Datenschutzbeauftragten (DSB) benötigen, bleibt diese Verpflichtung bestehen, unabhängig davon, ob sie auf der britischen oder der EU-DSGVO beruht. Sie können weiterhin einen DSB benennen, der für das Vereinigte Königreich und den EWR zuständig ist. Der DSB kann weiterhin im Vereinigten Königreich ansässig sein.
• Allerdings verlangen sowohl die britischen als auch die EU-Datenschutzgrundverordnungen, dass Ihr Datenschutzbeauftragter von jeder Niederlassung im EWR und in Großbritannien aus leicht erreichbar ist und über Fachkenntnisse beider Regelungen verfügt.

Was sollten Sie jetzt tun?

• Der wichtigste erste Schritt ist, Ihre Datenflüsse und die beteiligten Standorte zu verstehen (unterscheiden Sie dabei zwischen Datenverarbeitung im Vereinigten Königreich und in der EU). Priorisieren Sie Datenflüsse mit großen Datenmengen, Daten besonderer Kategorien oder Daten zu strafrechtlichen Verurteilungen und Straftaten, geschäftskritische Übermittlungen sowie solche, die wichtige Risikogebiete wie die USA betreffen. MyDocSafe hat ein DSGVO-konformes Tool zur Erfassung und Abbildung solcher Datenflüsse entwickelt, das sowohl als Audit- als auch als Datenschutzmanagement-Plattform dient. Es ist derzeit nur für neue Unternehmenskunden verfügbar. Kontaktieren Sie uns für weitere Informationen.
• Mit Ihrem Verständnis der Datenflüsse müssen Sie dann entscheiden, ob Sie weitere Schritte unternehmen möchten, wie zum Beispiel:
  • Rechtliche Beratung zur Aktualisierung Ihrer Geschäftsbedingungen, Standardvertragsklauseln, Datenschutzhinweise und Datenverarbeitungsvereinbarungen sowie zur Verfolgung von Gesetzesänderungen
  • EU-, britische und GUS-Vertreter ernennen?
  • Legen Sie Ihre zuständige federführende Aufsichtsbehörde fest
  • Stellen Sie sicher, dass Ihr Datenschutzbeauftragter von allen Standorten im Vereinigten Königreich und im EWR aus leicht erreichbar ist und über Fachkenntnisse in allen relevanten Rechtssystemen verfügt.

Unser Urteil

Wir sind der Ansicht, dass die aktuelle Rechtslage für britische KMU ungünstig ist, da sie Schwierigkeiten bei der Einhaltung der Vorschriften haben oder das Thema schlichtweg ignorieren werden. Unternehmen mit Niederlassungen in Großbritannien glauben vermutlich, dass sie sich keine großen Sorgen machen müssen, solange sie ihre Daten in Großbritannien speichern. Die meisten wissen jedoch nicht einmal, ob dies tatsächlich der Fall ist. Bei Einführung der DSGVO bestand wenig Interesse daran, dies herauszufinden. Unsere gesammelten Erfahrungsberichte deuten darauf hin, dass nur wenige Unternehmen eine Datenkartierung durchgeführt und noch weniger geeignete Software-Tools dafür genutzt haben. Dies ist mit ein Grund dafür, dass unser eigens für diesen Zweck entwickeltes und damals kostenlos angebotenes GDPR-Dashboard-Tool neuen KMU-Kunden nicht mehr zur Verfügung steht.