DSGVO: Der Brexit könnte noch für viel Arbeit sorgen

Am 25. Mai jährt sich erneut das In-Kraft-Treten der Europäischen Datenschutzgrundverordnung. Aus diesem Anlass hat Frau Angela Lechermann, Teamleiterin Datenschutz Consulting Services, TÜV SÜD, einmal einen Blick auf das aktuell größte Fragezeichen in Sachen Datenschutz & DSGVO geworfen: die Auswirkungen des Brexits.

Drei Jahre ist es mittlerweile her, dass die Datenschutzgrundverordnung (DSGVO) am 25. Mai in der gesamten EU endgültig in Kraft trat, Eine zweijährige Übergangsphase war diesem Datum vorausgegangen, um Unternehmen die Vorbereitung zu erleichtern. Die Europäische Datenschutzgrundverordnung regelt den Umgang und die Speicherung personenbezogener Daten innerhalb der Europäischen Union. Der Brexit stellt neue Herausforderungen in diesem Kontext. 

Aktuell besteht bezüglich des Vereinigten Königreichs datenschutzrechtlich eine Übergangsfrist bis Ende Juni 2021. Dies bedeutet, dass das Vereinigte Königreich in dieser Zeit nicht als unsicheres Drittland im Rahmen der DSGVO angesehen wird. Während dieser Übergangsfrist könnte ein möglicher Angemessenheitsbeschluss der EU-Kommission erlassen werden. Ein Entwurf hierfür liegt seit Februar 2021 vor. Mit einem Angemessenheitsentschluss würde es ab Juli 2021 weiterhin eine Rechtsgrundlage für den Datentransfer in das Vereinigte Königreich geben. Anderenfalls gelten für das Vereinigten Königreich ab Ende der Übergangsfrist die gleichen Voraussetzungen wie für andere unsichere Drittländer, also wie z. B. für die USA oder für China. 

Das könnte für einige Unternehmen noch einmal einen enormen Aufwand bedeuten, je nachdem, welche Datenflüsse in das Vereinigten Königreich bestehen. Unternehmen müssten dann sämtliche Datenflüsse prüfen und für jede Datenübertragung eine Rechtsgrundlage vorweisen können, die die Datenübermittlung in das Vereinigte Königreich erlaubt. Mögliche Rechtsgrundlagen wären hier zum Beispiel Standarddatenschutzklauseln, ggf. in Verbindung mit zusätzlichen technischen-organisatorischen oder rechtlichen Maßnahmen, oder sog. Binding Corporate Rules, die innerhalb einer Unternehmensgruppe rechtlich bindend gelten.

Am Beispiel des Brexits zeigt sich, dass Datenschutz kein abgeschlossenes Projekt ist, sondern ein Prozess, der kontinuierliche Aufmerksamkeit und Fachwissen erfordert. Unternehmen, die hier nicht auf eigene Experten zurückgreifen können, finden Unterstützung bei unabhängigen Datenschutzfachexperten. Diese unterstützen dabei, die gesetzliche Anforderungen zu erfüllen und sich rechtskonform zu verhalten.