Neujahrsgeschenk für Datenübermittlungen in das Vereinigte Königreich

Datenübermittlungen in das Vereinigte Königreich sind auf Basis der Schlussbestimmungen des Handels- und Kooperationsabkommens ("Brexit-Abkommen") vom 31.12.2020 erstmal weiterhin möglich.

Für eine Übergangsfrist von vier Monaten mit Option auf Verlängerung um weitere zwei Monate - bzw. wenn vor Ablauf dieser Frist ein Angemessenheitsbeschluss vorliegt bis zu diesem Zeitpunkt - gilt die Übermittlung personenbezogener Daten aus der EU an das Vereinigte Königreich nicht als Übermittlung an ein Drittland im Sinne des Unionsrechts. Daher sind Standardvertragsklauseln, Binding Corporate Rules oder andere Garantien nach Art. 46 DS-GVO  erstmal für Übermittlungen in das Vereinigte Königreich nicht erforderlich.  Damit sind auftretende gravierende Erschwernisse – mit allen Schwierigkeiten nach dem EuGH-Urteil Schrems II (https://www.skwschwarz.de/details/empfehlungen-des-edsa-fuer-drittlandstransfers-veroeffentlicht) und allen damit verbundenen Schwierigkeiten hinsichtlich des Einsatzes der Standardvertragsklauseln – erstmal vertagt.

Auf den Seiten 468/469 des Vertrags findet sich dazu folgende Regelung:

„Article FINPROV.10A: Interim provision for transmission of personal data to the United Kingdom

1) For the duration of the specified period, transmission of personal data from the Union to the United Kingdom shall not be considered as transfer to a third country under Union law, provided that the data protection legislation of the United Kingdom on 31 December 2020, as it is saved and incorporated into United Kingdom law by the European Union (Withdrawal) Act 2018 and as modified by the Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019 (“the applicable data protection regime”), applies and provided that the United Kingdom does not exercise the designated powers without the agreement of the Union within the Partnership Council.

(...)

4) The “specified period” begins on the date of entry into force of this Agreement and, subject to paragraph 5, ends:

      (a) on the date on which adequacy decisions in relation to the UK are adopted by the European Commission under Article 36(3) of Directive (EU) 2016/680 and under Article 45(3) of Regulation (EU) 2016/679, or

      (b) on the date four months after the specified period begins, which period shall be extended by two further months unless one of the Parties objects;

whichever is earlier.”

Praxistipp: Was ist jetzt datenschutzrechtlich zu beachten?

• Bis die genannte Frist abgelaufen ist, können Daten erstmal wie zuvor in das Vereinigte Königreich übermittelt werden (https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Brexit-Uebergangsfrist/Brexit-Uebergangsfrist.html).
• Derzeit ist unklar, wann es einen Angemessenheitsbeschluss für das Vereinigte Königreich geben wird. Wen Unternehmen ganz sichergehen möchten, sollten diese vorsorglich innerhalb der Übergangsfrist entsprechende Garantien, wie z.B. Standardvertragsklauseln, implementieren. Andernfalls sollten die Entwicklungen zumindest genau beobachtet werden.
• Sofern für ein Unternehmen nach Art. 27 DS-GVO ein Vertreter zu bestellen ist und der bestellte Vertreter im Vereinigten Königreich niedergelassen ist, sollte das Unternehmen einen anderen, in der EU niedergelassenen Vertreter bestellen.
• Unternehmen, die Übermittlungen von Daten in Drittländer auf Binding Corporate Rules (BCR) stützen und diese von der britischen Aufsichtsbehörde ICO genehmigt wurden, sollten prüfen, ob die BCR weiterhin herangezogen werden können.
• Die EU-Kommission ist jetzt aufgefordert, tragfähige Angemessenheitsentscheidungen vorzulegen, die die aktuelle Rechtsprechung des EuGHs zu Schrems II berücksichtigen.

Die SKW Taskforce Datenschutz hält Sie selbstverständlich eng über die weiteren Entwicklungen zum Datentransfer in das Vereinigte Königreich unterrichtet.

Autoren:
Dr. Oliver Hornung
Philipp Sauer, LL.M.