Pünktlich zum Weihnachtsfest haben die Europäische Kommission und das Vereinigte Königreich durch das Handels- und Kooperationsabkommen den vom Brexit betroffenen Unternehmen aus datenschutzrechtlicher Perspektive die erste Bescherung verschafft.
Das Abkommen sieht einen Brückenmechanismus vor, nach dem das Vereinigte Königreich zunächst kein Drittstaat i.S.d. der Art. 44ff. DSGVO wird und damit auch seitens der Verantwortlichen zunächst keine weiteren Schritte zur Legitimation der Datenübermittlung erforderlich werden.
· Das Vereinigte Königreich wird vorerst nicht mit Ablauf der elfmonatigen Transitionsphase des Austrittsabkommens zum 01. Januar 2020 zu einem Drittstaat i.S.d. Art. 44 ff. DSGVO.
· Das Handels- und Kooperationsabkommen zwischen dem Vereinigten Königreich und der EU sieht vor, dass das Vereinigte Königreich bis mindestens 30. April 2021 nicht als Drittstaat i.S.d. DSGVO gelten soll mit der Option, diesen Zeitraum um weitere zwei Monate bis zum 30. Juni 2021 zu verlängern.
· Für den genannten Zeitraum sind seitens der Verantwortlichen keine zusätzlichen Maßnahmen wie z.B. der Abschluss von Standardvertragsklauseln erforderlich.
Was passiert nach Ablauf der Übergangsperiode?
Mit dem Ablauf der Übergangsperiode wird das Vereinigte Königreich zu einem Drittstaat mit der Konsequenz, dass die Übermittlung personenbezogener Daten in das Vereinigte Königreich nur zulässig ist, wenn entweder seitens der EU-Kommission ein Angemessenheitsbeschluss gefasst wurde oder seitens der Verantwortlichen bzw. Auftragsverarbeiter geeignete Garantien i.S.d. Art. 46 DSGVO vorgesehen sind.
Hoffnung auf den Angemessenheitsbeschluss
Sollte es tatsächlich – wie im Abkommen beschrieben – innerhalb der kommenden vier bzw. sechs Monate zu einem Angemessenheitsbeschluss i.S.d. Art. 45 Abs. 3 DSGVO kommen, ändert sich für die Unternehmen im Hinblick auf die Rechtmäßigkeit der Datenübermittlungen nichts.* Allerdings würde die Fassung eines entsprechenden Angemessenheitsbeschlusses in einer solch kurzen Zeit durchaus überraschen nicht zuletzt vor dem Hintergrund der jüngeren Rechtsprechung des EuGH zur nachrichtendienstlichen Praxis im Vereinigten Königreich.
________________________________________________
*Verantwortliche und Auftragsverarbeiter sind trotz eines Angemessenheitsbeschlusses selbstverständlich nicht von der Verpflichtung entbunden, sämtliche sonstigen Voraussetzungen an eine rechtmäßige Datenverarbeitung, die sich aus den geltenden Datenschutzgesetzen ergeben (wie etwa das Erfordernis, einen Vertrag zur Auftragsdatenverarbeitung abzuschließen), zu erfüllen.