Das Vereinigte Königreich hat in Person der Premierministerin Theresa May am 29. März 2017 den Austrittsprozess aus der Europäischen Union (EU) eingeleitet. Sofern nicht doch noch ein Vertrag über einen geregelten Austritt des Vereinigten Königreichs, der einen Übergangszeitraum vorsieht, oder eine Einigung über eine Verschiebung des Austrittstermins zustande kommen sollte, erfolgt ein ungeregelter Austritt des Vereinigten Königreichs mit Ablauf des 29. März 2019. Ein solcher „harter Brexit“ hätte zur Folge, dass die Regelungen des Europäische Binnenmarktes und der Zollunion, d. h. europäisches Primar- und Sekundärrecht, im Verhältnis zum Vereinigten Königreich ab dem 30. März 2019, 0:00 Uhr, keine Anwendung mehr finden.
Neben vielen anderen Bereichen hätte ein „harter Brexit“ auch erhebliche Auswirkungen auf den Bereich Datenschutz; schließlich handelt es sich bei der Datenschutz-Grundverordnung (DS-GVO), die seit dem 25. Mai 2018 gilt, um europäisches Sekundärrecht. Im Fall eines „hartenBrexit“ würde das Vereinigte Königreich, da es dann nicht länger ein Mitgliedsstaat der EU wäre, über Nacht zu einem „Drittland“ im Sinne der DS-GVO.
Dies hätte insbesondere zur Folge, dass eine Übermittlung von personenbezogenen Daten in das Vereinigte Königreich nur noch unter erschwerten Bedingungen zulässig wäre. Da die EU-Kommission aller Voraussicht nach bis zum 29. März 2019 keinen Angemessenheitsbeschluss gemäß Art. 45 Abs. 3 DS-GVO fassen wird, setzt eine zulässige Übermittlung von personenbezogenen Daten grundsätzlich voraus, dass der Verantwortliche bzw. Auftragsverarbeiter geeignete Garantien vorgesehen hat und dass den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen (siehe Art. 46 Abs. 1 DS-GVO). Diese geeigneten Garantien können insbesondere in Standarddatenschutzklauseln (vormals Standardvertragsklauseln) bestehen, die durch die EU-Kommission erlassen und zwischen den Beteiligten der Datenübermittlung vereinbart werden. Fehlen allerdings geeignete Garantien, dann ist die Datenübermittlung u. a. nur dann zulässig, wenn die betroffene Person wirksam in die Datenübermittlung eingewilligt hat, die Datenübermittlung für den Abschluss oder die Durchführung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist oder die Übermittlung zur Rechtsverfolgung erforderlich ist (siehe Art. 49 DS-GVO).
Des Weiteren würde ein „harter Brexit“ dazu führen, dass im Rahmen der Informationspflichten der DS-GVO auf eine Datenübermittlung in das Vereinigte Königreich, d. h. auf eine Datenübermittlung in ein „Drittland“, ausdrücklich hingewiesen werden müsste. Dies beträfe u. a. die Verzeichnisse der Verarbeitungstätigkeiten sowie die Datenschutzinformationen. Aber auch bei der Erfüllung der Auskunftspflichten müsste auf eine solche Datenübermittlung hingewiesen werden.
TIPP: Auch wenn noch nicht feststeht, ob – und wenn ja, wann - es zu einem „hartenBrexit“ kommt, sollte jeder Verantwortliche und jeder Auftragsverarbeiter prüfen, ob personenbezogene Daten in das Vereinigte Königreich übermittelt werden. Sollte dies der Fall sein, ist dringend zu empfehlen, die bestehenden Verträge, Einwilligungserklärungen, Verzeichnisse von Verarbeitungstätigkeiten, Datenschutzinformationen etc. auf einen etwaigen Anpassungsbedarf zu überprüfen. Im Falle eines „harten Brexit“, sollten die erforderlichen Anpassungen möglichst zeitnah umgesetzt werden. Sowohl bei der Prüfung als auch bei der Umsetzung unterstützen wir Sie gerne.
Für ergänzende Erläuterungen steht Ihnen Herr Rechtsanwalt Patrick Steinhausen gerne zur Verfügung.