Welche Auswirkungen wird der Brexit auf die DSGVO haben?

Nach dem Austritt Großbritanniens aus der EU fragen sich viele Organisationen, welche Auswirkungen der Brexit auf die DSGVO haben wird und welche Maßnahmen ergriffen werden müssen, um die neuen Gesetze und Vorschriften einzuhalten.

Als die DSGVO am 25. Mai 2018 in Kraft trat, markierte dies die größte Umwälzung im Datenschutzrecht seit 20 Jahren. Die Verordnung wurde mit dem Ziel geschaffen, die Datenschutzvorschriften in der gesamten Europäischen Union zu vereinheitlichen und die Rechte des Einzelnen hinsichtlich der Verwendung seiner personenbezogenen Daten anzuerkennen.

Unternehmen haben in den letzten zwei Jahren viel Zeit und Mühe darauf verwendet, ihre Datenschutzprozesse zu verbessern und neue Maßnahmen umzusetzen, um den Anforderungen dieser wegweisenden Rechtsvorschrift gerecht zu werden.

Dieses Engagement für den Datenschutz war nicht umsonst, da viele der ergriffenen Maßnahmen weiterhin relevant bleiben und die Art und Weise, wie in Großbritannien ansässige Unternehmen die Daten von betroffenen Personen innerhalb dieses Landes verarbeiten, nicht ändern werden.

Da das Vereinigte Königreich nun jedoch offiziell aus der EU ausgetreten ist, müssen Organisationen prüfen, welche Änderungen erforderlich sind, um die Einhaltung der einschlägigen Datenschutzvorschriften sicherzustellen.

Um Ihre möglichen Fragen zu beantworten, haben wir einen kurzen Leitfaden zusammengestellt, in dem dargelegt wird, welche Auswirkungen die Änderungen auf Ihr Unternehmen haben könnten.

Brexit und DSGVO – Alles, was Sie wissen müssen

Wird die DSGVO im Vereinigten Königreich weiterhin gelten?

Am^1. Januar 2021 hat die EU-DSGVO im Vereinigten Königreich ihre Gültigkeit verloren, da es sich um eine EU-Verordnung handelt. Wenn Ihr Unternehmen jedoch im Vereinigten Königreich tätig ist, müssen Sie weiterhin das britische Datenschutzrecht einhalten. Die britische Regierung hat die DSGVO als britische DSGVO in britisches Recht übernommen.

In der Praxis bedeutet dies, dass sich kaum etwas geändert hat. Es wurden zwar einige Anpassungen vorgenommen, um dem Status des Vereinigten Königreichs außerhalb der EU Rechnung zu tragen, doch im Wesentlichen bleiben die zentralen Datenschutzgrundsätze, Rechte und Pflichten der DSGVO unverändert und wurden in der britischen DSGVO verankert.

Gilt die DSGVO auch dann, wenn Ihr Unternehmen im Europäischen Wirtschaftsraum (EWR) tätig ist?

Ja. Wenn Ihr Unternehmen in Europa tätig ist, Waren oder Dienstleistungen für Personen in Europa anbietet oder das Verhalten von Personen in Europa überwacht, gilt weiterhin die EU-DSGVO. Wenn Ihre Organisation sowohl in der EU als auch im Vereinigten Königreich Datenverarbeitungsvorgänge durchführt, müssen Sie sowohl die britische DSGVO als auch die EU-DSGVO einhalten.

Inwiefern wirkt sich der Brexit auf internationale Datenübermittlungen aus?

Im Rahmen des neuen Handelsabkommens hat die EU zugestimmt, die Übermittlungsbeschränkungen für einen begrenzten Zeitraum von bis zu vier Monaten auszusetzen, der auf sechs Monate verlängert werden kann. Dieser Überbrückungsmechanismus wird den freien Fluss personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) in das Vereinigte Königreich ermöglichen, bis eine Angemessenheitsentscheidung getroffen wird.

Da das Vereinigte Königreich die EU nun verlassen hat, gilt es im Sinne der DSGVO als „Drittland“ gegenüber Europa. Drittländer sind Staaten, die nicht zum Geltungsbereich der EU-DSGVO gehören. Datenübermittlungen aus der EU in Drittländer unterliegen Beschränkungen, es sei denn, die Europäische Kommission gewährt einen sogenannten „Angemessenheitsstatus“.

Die Europäische Kommission erkennt Ländern die Angemessenheit an, wenn dort ein angemessenes Datenschutzniveau als gegeben angesehen wird. Zu den weiteren Ländern, denen die EU den Angemessenheitsstatus zuerkannt hat, gehören Argentinien, Neuseeland, Israel und Japan. Sollte dem Vereinigten Königreich die Angemessenheit zuerkannt werden, wird der freie Verkehr personenbezogener Daten ohne neue Einschränkungen fortgesetzt.

Wird die EU für Datenübermittlungen aus dem Vereinigten Königreich geeignet sein?

Ja. Die britische Regierung hat bestätigt, dass sie die EU vorübergehend als angemessen anerkennen wird, um den Datenfluss aus dem Vereinigten Königreich ohne zusätzliche Übermittlungsmechanismen zu ermöglichen.

Benötigt Ihr Unternehmen einen europäischen Vertreter?

Wenn Ihr Unternehmen Waren oder Dienstleistungen für Personen im EWR anbietet oder das Verhalten von Personen im EWR überwacht, müssen Sie möglicherweise einen EU-Vertreter benennen. Ebenso müssen Sie, falls Ihr Unternehmen seinen Sitz nicht im Vereinigten Königreich hat, Sie aber personenbezogene Daten von britischen Staatsbürgern verarbeiten, möglicherweise einen britischen Vertreter gemäß der britischen DSGVO benennen.

Welche Rolle wird die ICO spielen?

Die ICO bleibt die unabhängige Aufsichtsbehörde für die Datenschutzgesetzgebung im Vereinigten Königreich. Sie ist jedoch nicht mehr als EU-Aufsichtsbehörde tätig; sollten Sie daher Daten von EU-Bürgern verarbeiten, müssen Sie einen benannten EU-Vertreter bestellen. Die ICO hat eindeutig erklärt, dass Sie bei der Verarbeitung von Daten von EU-Bürgern weiterhin die DSGVO einhalten müssen.

Wen werden Sie im Falle einer Datenpanne benachrichtigen?

Im Falle einer Datenschutzverletzung würde sich ein im Vereinigten Königreich ansässiges Unternehmen an die ICO wenden. Nach dem Brexit wird die ICO nur noch Vorfälle im Zusammenhang mit dem Datenschutz untersuchen, die Personen mit Wohnsitz im Vereinigten Königreich betreffen. Betrifft die Datenschutzverletzung Personen verschiedener Nationalitäten, leitet die ICO eine Untersuchung ein und arbeitet mit den Aufsichtsbehörden in jedem der betroffenen Gebiete zusammen. Sind betroffene Personen aus der EWG betroffen, müssen Sie sich direkt an die zuständigen EU-Aufsichtsbehörden wenden.

Werden andere Datenschutzvorschriften davon betroffen sein?

DPA

Das britische Datenschutzgesetz von 2018 (DPA 2018) bleibt weiterhin in Kraft und ergänzt die britische DSGVO.

PECR

Die „Privacy and Electronic Communications Regulations 2003“ (PECR) enthalten Vorschriften zu Marketing, Cookies und elektronischer Kommunikation. Es handelt sich um eine spezifisch für das Vereinigte Königreich geltende Verordnung, die auf einem EU-Rechtsakt namens „E-Privacy-Richtlinie“ basiert (derzeit gibt es Pläne, die E-Privacy-Richtlinie durch die E-Privacy-Verordnung zu ersetzen). Die PECR bleibt daher weiterhin in Kraft und ist vom Austritt des Vereinigten Königreichs aus der EU nicht betroffen.

NIS

Die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS) leitet sich ebenfalls aus dem EU-Recht ab, ist jedoch in britischen Gesetzen verankert. Daher gelten die derzeitigen Vorschriften weiterhin. Sollten Sie jedoch ein im Vereinigten Königreich ansässiger Anbieter digitaler Dienste sein, der Dienste in der EU anbietet, müssen Sie möglicherweise einen Bevollmächtigten in einem der EU-Mitgliedstaaten benennen, in denen Sie Ihre Dienste erbringen.

eIDAS

Die Verordnung über elektronische Identifizierung, Authentifizierung und Vertrauensdienste ist ebenfalls ein EU-Rechtsakt, gilt jedoch im Vereinigten Königreich nicht mehr. Die britische Regierung hat jedoch angekündigt, die eIDAS-Vorschriften in britisches Recht zu übernehmen; sollten Sie also ein britischer Vertrauensdienstleister sein, müssen Sie diese Vorschriften weiterhin einhalten. Darüber hinaus müssen Sie, wenn Sie Dienstleistungen in der EU erbringen, auch die eIDAS-Vorschriften in den EU-Mitgliedstaaten einhalten.

FOIA

Das Gesetz über die Informationsfreiheit von 2000 ist Bestandteil des britischen Rechts und bleibt weiterhin in Kraft.

EIR

Die Vorschriften über Umweltinformationen sind im britischen Recht verankert und gelten daher weiterhin, sofern sie nicht aufgehoben oder geändert werden.

Welche Maßnahmen sollten Unternehmen nach dem Brexit ergreifen?

Unternehmen müssen eine detaillierte Datenschutzprüfung durchführen, um zu beurteilen, ob Änderungen erforderlich sind. Wenn Ihr Unternehmen seinen Sitz im Vereinigten Königreich hat und Waren und Dienstleistungen überwiegend an britische Kunden anbietet, sind für Sie nur sehr wenige Maßnahmen erforderlich. Wenn Sie jedoch Waren und Dienstleistungen sowohl in der EU als auch im Vereinigten Königreich anbieten, müssen möglicherweise Änderungen vorgenommen werden. Um die Einhaltung der einschlägigen Datenschutzvorschriften sicherzustellen, sollte Ihr Unternehmen:

1. Erfassen Sie Datenflüsse, um sicherzustellen, dass Ihr Unternehmen sowohl die britische DSGVO als auch die EU-DSGVO einhalten kann.
2. Aktualisieren Sie die Verarbeitungsprotokolle, um die Anforderungen der EU-DSGVO und der britischen DSGVO zu erfüllen.
3. Prüfen Sie, ob es eine EU-Aufsichtsbehörde gibt, die nun als federführende Aufsichtsbehörde (LSA) in Frage kommt.
4. Aktualisieren Sie die Notfallpläne für Sicherheitsvorfälle, um im Falle eines Vorfalls eine mögliche Meldung an die ICO und die EU-Datenschutzbehörde zu ermöglichen.
5. Prüfen Sie, ob Ihr Unternehmen einen Vertreter im Vereinigten Königreich und/oder in der EU benennen muss.
6. Aktualisieren Sie die Datenschutzhinweise, um sicherzustellen, dass sie die Datenflüsse detailliert beschreiben und die einschlägigen Anforderungen beider Rechtsvorschriften abdecken.
7. Passen Sie bestehende Verträge und Vorlagen so an, dass sie entsprechende Verweise sowohl auf die britische DSGVO als auch auf die EU-DSGVO enthalten.
8. Bitte prüfen Sie, ob Datenschutz-Folgenabschätzungen und Abwägungen des berechtigten Interesses aktualisiert werden müssen, um den Anforderungen der britischen DSGVO zu entsprechen.
9. Stellen Sie sicher, dass für grenzüberschreitende Datenübermittlungen angemessene Schutzmaßnahmen getroffen werden.
10. Prüfen Sie, ob Sie einen separaten Datenschutzbeauftragten für das Vereinigte Königreich und einen für die EU benennen müssen.