Pressemitteilung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Der Entwurf des Brexit-Abkommens bietet eine viermonatige Übergangsfrist für Datentransfers ab dem 1. Januar 2021. Damit wird eine weitere Übergangszeit festgelegt, die auf sechs Monate verlängert werden kann. Das Vereinigte Königreich Großbritannien und Nordirland (das Vereinigte Königreich) ist am 31. Januar 2020 aus der EU ausgetreten und wurde damit zum Drittland im Sinne der Europäischen Datenschutz-Grundverordnung (DSGVO). Im damaligen Austrittsabkommen zwischen dem Vereinigten Königreich und der EU wurde geregelt, dass während eines Übergangszeitraums bis zum 31. Dezember 2020 das Unionsrecht über den Schutz personenbezogener Daten im Vereinigten Königreich (Art. 126, Art. 127 Abkommen) weiter galt. Ohne weitere Regelungen wäre nach diesem Zeitpunkt eine Übermittlung personenbezogener Daten in das Vereinigte Königreich nur noch unter den Voraussetzungen der Art. 45 ff DSGVO zulässig gewesen. Angesichts bestehender vielfältiger Lieferketten und verflochtener Geschäftsprozesse hätte dies zu großen Rechtsunsicherheiten und gegebenenfalls andauernden Datenschutzverstößen geführt.
Im Rahmen eines Handels- und Zusammenarbeitsabkommens haben das Vereinigte Königreich und die EU vor dem Ende dieser Übergangsfrist in den Schlussbestimmungen eine weitere Übergangsregelung für Datenübermittlungen vorgesehen, die den bisher befürchteten gravierenden Rechtsunsicherheiten vorbeugt (Article FINPROV.10A Interim provision for transmission of personal data to the United Kingdom, S. 414 ff.).
Danach sollen Übermittlungen personenbezogener Daten von der EU in das Vereinigte Königreich für eine weitere Übergangsperiode nicht als Übermittlungen in ein Drittland (Art. 44 DSGVO) angesehen werden. Diese Periode beginnt mit dem In-Kraft-Treten des Abkommens und endet, wenn die EU-Kommission das Vereinigte Königreich betreffende Adäquanzentscheidungen nach Art. 45 Abs. 3 DSGVO und Art. 36 Abs. 3 Richtlinie (EU) 2016/680 getroffen hat, spätestens jedoch nach vier Monaten. Dieses Enddatum kann um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspricht.
Aus Sicht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit, Prof. Dr. Dieter Kugelmann, sind damit Übermittlungen in das Vereinigte Königreich vorerst weiterhin unter den bisherigen Voraussetzungen möglich. „Kurz vor der Ziellinie des Brexit hat es geklappt, auch die Datenübermittlungen in das Vereinigte Königreich zu erhalten. Gravierende Erschwernisse für die betroffenenUnternehmen werden so zunächst vermieden. Aber den Unternehmen sollte nicht die Puste ausgehen. Es gilt, sich auf ein Ende der Übergangszeit vorzubereiten, um Geschäftsprozesse gegebenenfalls anzupassen. Die EU-Kommission steht jetzt in der Pflicht, zeitnah tragfähige Adäquanzentscheidungen vorzulegen, die auch die aktuelle Rechtsprechung des Europäischen Gerichtshofs berücksichtigen. Auch wenn man auf eine solche Angemessenheitsentscheidung der Kommission hoffen kann, darauf verlassen sollte man sich nicht.“
