Die Zukunft der Wirtschaftsbeziehungen zwischen Deutschland und England im Hinblick auf den Datenschutz

Die DSGVO möchte ihren Schutzstandard auch dann gelten lassen, wenn Daten ins Ausland übermittelt werden. Verantwortliche sollen ihren Pflichten nicht dadurch entgehen können, dass sie Daten ins Ausland verbringen. Deshalb regelt die DSGVO die Übermittlung an sog. Drittländer, also Länder außerhalb der EU. Maßgebliche Vorgabe ist, dass das Schutzniveau der DSGVO nicht untergraben wird. Dies ist in zwei Fällen anzunehmen, nämlich wenn ein Angemessenheitsbeschluss der Kommission für das betreffende Drittland vorliegt oder geeignete Garantien ein angemessenes Schutzniveau für die Datenverarbeitung gewährleisten.

Bei Vorliegen eines Angemessenheitsbeschlusses könnten personenbezogene Daten ohne weiteres nach UK übertragen werden. Momentan liegt ein solcher Beschluss jedoch nicht vor. Er war Teil der – bisher ergebnislos gebliebenen – Verhandlungen während der Übergangsphase. Es ist nicht auszuschließen, dass in Zukunft ein entsprechender Beschluss erlassen wird, vor Ablauf der Übergangsfrist ist aber voraussichtlich nicht damit zu rechnen.

Geeignete Garantien sind Instrumente des Datentransfers. Ihre Umsetzung ist – von bestimmten, eng umgrenzten Ausnahmen abgesehen – für den DSGVO-konformen Datenexport unabdingbar. Dazu zählen:

• Standarddatenschutzklauseln: von der Kommission genehmigte Vertragsklauseln, die Datenimporteur und -exporteur in ihre Verträge aufnehmen
• Verbindliche interne Datenschutzvorschriften: von der Kommission genehmigte interne Regelungen für Datenübertragungen innerhalb einer Unternehmensgruppe
• Genehmigte Verhaltensregeln und Zertifizierungen:Maßnahmen, die ein aufwändiges Verfahren vor der Kommission erfordern und daher (bislang) keine praktische Bedeutung haben

Die geeigneten Garantien bedeuten für Unternehmer insbesondere organisatorische Pflichten wie beispielsweise die Änderung der Verträge mit ihren Partnern in UK. Damit ist es jedoch nicht getan; nach einem erst im Juli 2020 ergangenen Urteil des Europäischen Gerichtshofs (EuGH) bestehen weitere Verpflichtungen. Die Aufsichtsbehörden haben bereits angekündigt, dass deren Einhaltung einen zukünftigen Schwerpunkt ihrer Tätigkeit ausmachen wird. Danach müssen Datenexporteure vor jeder Datenübertragung zusätzlich prüfen, ob in dem Zielland ein angemessenes Schutzniveau besteht, gegebenenfalls müssen sie zusätzliche Maßnahmen ergreifen.

Unternehmer stehen damit vor der Herausforderung, neben der Umsetzung eines geeigneten Datentransfer-Instruments auch die Rechtslage in UK im Hinblick auf den Datenschutz prüfen zu müssen. In erster Linie sollten sie hierfür ihre Vertragspartner in UK ansprechen und Auskunft verlangen. Daneben dürfte auch relevant sein, dass UK die Regelungen der DSGVO in nationales Recht inkorporiert hat. Sie gilt damit zwar nicht unmittelbar fort, entfaltet aber gleichwohl weiterhin Wirkung, wobei der britische Gesetzgeber die Regelungen jederzeit abändern kann. Weiterhin ist auch zu berücksichtigen, ob und in welchem Umfang staatliche Behörden Zugriff auf Daten haben; die in den USA bestehenden Befugnisse waren Anlass der EuGH-Entscheidung.

Unternehmer sollten sich auf die kommende Rechtslage einstellen. Spätestens zu Beginn des neuen Jahres könnten Bußgelder drohen. Die Aufsichtsbehörden empfehlen fünf Schritte, um dem zu entgehen:

1. Datenübermittlungen nach UK identifizieren
2. Datentransfer-Instrument für die jeweilige Situation festlegen
3. Datentransfer-Instrument umsetzen:
   • Prüfung des Datenschutzniveaus,
   • ggf. zusätzliche Maßnahmen treffen,
   • ggf. formale Verfahrensschritte, Vertragsänderungen etc.
4. Dokumentation, Verarbeitungsverzeichnis und Datenschutzfolgenabschätzung aktualisieren
5. Datenschutzerklärung zur Information der betroffenen Personen anpassen.

Die Umsetzung der DSGVO-Compliance bringt für deutsche und britische Unternehmen erheblichen Anpassungsbedarf mit sich. Die damit einhergehenden Kosten werden auf ca. 1,8 Milliarden Euro geschätzt. Britische Unternehmen, die Daten nach Deutschland übertragen wollen, müssen vorerst keine weiteren Schritte im Hinblick auf den Brexit unternehmen; sie stehen aber vor der Rechtsunsicherheit zukünftiger Gesetzesänderungen. Im Hinblick auf die Bedeutung deutsch-britischer Wirtschaftsbeziehungen wäre ein Angemessenheitsbeschluss zu begrüßen.