Stabilität für Datenübertragungen
Brexit könnte Übertragung personenbezogener Daten erschweren
Mit dem Brexit ändert sich die Rechtsgrundlage für den Austausch personenbezogener Daten zwischen Deutschland und Großbritannien - Unternehmen mit Standorten in Großbritannien sollten sich jetzt auf unterschiedliche Szenarien vorbereiten
Der Brexit wird die rechtlichen Bedingungen für den Transfer personenbezogener Daten zwischen Großbritannien und den EU-Ländern verändern. Bislang gilt das Datenschutzniveau eines Mitgliedsstaats per se und ohne weitere Prüfungen als angemessen. Innerhalb der Europäischen Union sind Datenübermittlungen also rechtlich genauso zu behandeln wie Datenübermittlungen innerhalb Deutschlands. Weiterer Prüfungen oder gesonderter Vertragskonstrukte, wie sie beispielsweise mit den USA bestehen, bedarf es nicht.
Nach dem Brexit wird Großbritannien zum Drittland, hierfür gilt datenschutzrechtlich zurzeit noch § 4 b BDSG und zukünftig Art. 44 ff. der europäischen Datenschutzgrundverordnung (DSGVO): Wer personenbezogene Daten in ein Drittland übermitteln möchte, der muss sicherstellen, dass der Zielstaat ein angemessenes Datenschutzniveau gewährleistet.
Britische Regierung strebt Stabilität für Datenübertragungen an
"Ob ein Land ein angemessenes Datenschutzniveau hat oder nicht stellt die EU-Kommission fest. Wenn dem so ist, dann ist eine Übertragung in dieses Drittland ohne weitere Prüfungen verantwortlicher Stellen möglich", sagt Rechtsanwältin Dr. Katharina Küchler, Legal Department, eco – Verband der Internetwirtschaft e. V. Das strebt die britische Regierung offensichtlich an. In dem von ihr im Februar 2017 veröffentlichen Whitebook heißt es auf Seite 45 unter Punkt 8.38: "The stability of data transfer is important for many sectors – from financial services, to tech, to energy companies" und unter Punkt 8.40 "As we leave the EU, we will seek to maintain the stability of data transfer between EU Member States and the UK".
Investigatory Powers Act könnte EU-Datenschutzverständnis widersprechen
Würde die EU-Kommission jedoch Großbritannien tatsächlich ein angemessenes Datenschutzniveau bescheinigen? Dagegen sprechen könnte der Ende 2016 beschlossene Investigatory Powers Act. Dieser räumt dem britischen Geheimdienst unter anderem umfangreiche Überwachungsrechte gegenüber Telekommunikationskonzernen und Internetanbietern ein. "Wenn die Angemessenheit für ein Land nicht generell festgestellt werden kann, dann müssen die verantwortlichen Stellen permanent die Zulässigkeit der Datenübermittlung prüfen und dafür sorgen, dass die von der Übermittlung betroffenen Personen Garantien für den Schutz ihrer Persönlichkeitsrechte erhalten", sagt Rechtsanwältin Dr. Katharina Küchler. Eine Übermittlung ist dann beispielsweise nur möglich aufgrund von EU-Standardvertragsklauseln, Binding Corporate Rules oder ähnlichen Instrumenten, zum Beispiel im Fall der USA dem EU-US Privacy Shield.
Externe Datenschutzbeauftragte bereiten auf unterschiedliche Szenarien vor
Das Problem der Datenübermittlung trifft Unternehmen, die im Rahmen von geschäftlichen Beziehungen Daten nach Großbritannien übermitteln wollen und Unternehmen mit Standorten dies- und jenseits des Ärmelkanals. Weder das BDSG noch die DSGVO kennen Ausnahmen im Sinne eines Konzernprivilegs. Datenschutzbeauftragte in Unternehmen mit einer britischen Konzernmutter etwa sollten sich daher auf unterschiedliche Szenarien vorbereiten und aktuelle Datenflüsse überprüfen – insbesondere vor dem Hintergrund erhöhter Bußgelder, die mit der Datenschutzgrundverordnung ab Mai 2018 drohen könnten.
Unterstützung bei der Vorbereitung bietet der größte europäische Verband der Internetwirtschaft eco. Er stellt seinen Mitgliedsunternehmen auf Wunsch einen externen betrieblichen Datenschutzbeauftragten zur Verfügung. Der berät unter Anderem fachkundig bei der Erfüllung der datenschutzrechtlichen Anforderungen, schult die Mitarbeiter und führt auch Datenschutzaudits durch. Damit erfüllen Unternehmen ihre gesetzlichen Verpflichtungen.
Weitere Informationen gibt es unter www.eco.de/services/eco-externer-datenschutzbeauftragter.html .
(eco: ra)
eingetragen: 19.07.17
Home & Newsletterlauf: 21.08.17
eco: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.