Ist die Datenübertragung nach UK jetzt anders zu behandeln?

Der Brexit ist mehr oder weniger vollzogen. Damit tauchen aber neue Fragen auf, denn die Datenübetragung könnte vergleichbar mit den USA nun in ein Drittland erfolgen, mit neuen rechtlichen Konsequenzen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat in einer aktuellen Pressemitteilung Hinweise gegeben.

Datenschutz differenziert bei Datenübertragung ins Ausland

Während man Datentransfers innerhalb der EU noch halbwegs über den Weg traut, sieht es mit sog. Drittstaaten (also Staaten außerhalb der EU bzw. des EWR) ganz anders aus. Genau dieses Thema ist jedoch für den Online-Handel relevant, denn beispielsweise übermitteln zahlreiche Tracking- und Analysetools personenbezogene Daten ins Ausland, unter anderem ins Vereinigte Königreich, was nun gerade nicht mehr zur EU gehört.

Die Übermittlung der Daten an ein Drittland, welches kein angemessenes Datenschutzniveau bietet, muss unterbunden werden, es sei denn, bestimmte Ausnahmen oder die ausdrückliche Einwilligung liegen vor. Die Europäische Kommission stellt hierfür beispielsweise fest, ob ein Drittland oder ein Gebiet eines Drittlandes ein angemessenes Datenschutzniveau (mehr) bietet (sog. „Angemessenheitsbeschluss“).

Datenübertragung in Drittstaat: DSK weist auf Übergangsfrist hin

In den Schlussbestimmungen des Entwurfs des Handels- und Zusammenarbeitsabkommens zwischen dem Vereinigten Königreich und der Europäischen Union sei eine Übergangsregelung für Datenübermittlungen vorgesehen, die die Rechtsunsicherheiten vorbeugen soll. Darauf weist die DSK in einer Pressemitteilung aus der vergangenen Woche hin. Danach soll die Übermittlung von Daten von der EU in das Vereinigte Königreich Großbritannien und Nordirland für eine Übergangsperiode von vier Monaten nicht als Übermittlungen in ein Drittland im Sinne der DSGVO gelten. 

Diese Übergangsperiode begann am 1. Januar 2021 und endet spätestens nach vier Monaten. Dieses Enddatum kann um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspricht. Abhängig ist der endgültige Zeitpunkt davon, wann die EU-Kommission für das Vereinigte Königreich die betreffende Adäquanzentscheidungen (s.o.) getroffen hat.

Andreas Schurig, Pressesprecher des Sächsischen Datenschutzbeauftragten, kommentiert und fasst die aktuelle Situation so zusammen: „Damit sind Übermittlungen in das Vereinigte Königreich vorerst weiterhin unter den bisherigen Voraussetzungen möglich. Gravierende Erschwernisse für die betroffenen Unternehmen werden so zunächst vermieden.“ 

Was macht die DSK und warum sollte den Hinweisen gefolgt werden?

Die DSK ist ein Zusammenschluss der unabhängigen Datenschutzbehörden des Bundes und der Länder, welche durch öffentlich bekanntgegebene Beschlüsse, Orientierungshilfen oder Stellungnahmen datenschutzrechtlich relevanten Fragen beantwortet und damit den Behörden und Gerichten eine deutliche Richtung vorweist.