Das Vereinigte Königreich hat die Europäische Union am 31. Januar 2020 verlassen. Im Rahmen des Austrittsabkommens zwischen der EU und dem Vereinigten Königreich wurde zunächst bis am 31. Dezember 2020 eine Übergangsfrist vereinbart, während der das Unionsrecht - einschliesslich des Datenschutzrechts gemäss Datenschutz-Grundverordnung (DSGVO) - für das Vereinigte Königreich weiterhin galt. Im daraufhin abgeschlossenen Handels- und Kooperationsabkommen zwischen der EU und dem Vereinigten Königreich wurde unter anderem die Absicht bekräftigt, baldmöglichst einen Angemessenheitsbeschluss der Europäischen Kommission gemäss Art. 45 DSGVO für die Übermittlung personenbezogener Daten aus EU/EWR-Mitgliedstaaten ins Vereinigten Königreich zu erzielen, um auch künftig einen möglichst reibungslosen Datenaustausch zu gewährleisten. Dieser Angemessenheitsbeschluss wurde nun, gerade noch rechtzeitig vor Ablauf einer weiteren Überbrückungsperiode, am 28. Juni 2021 sowohl für die DSGVO als auch für die Richtlinie (EU) 216/680 (Datenschutz-Richtlinie für den Bereich Justiz und Polizei) von der Europäischen Kommission verabschiedet.
Wichtigste Konsequenzen der Angemessenheitsbeschlüsse
Der rechtliche Rahmen für den Transfer personenbezogener Daten in das Vereinigte Königreich hat sich zwar grundlegend geändert, doch in der Praxis ändert sich für die Betroffenen und die datenverarbeitenden Stellen weiterhin nur wenig:
- Das Vereinigte Königreich gilt neu aus datenschutzrechtlicher Sicht als Drittland. Die Übermittlung personenbezogener Daten dorthin unterliegt nun den Voraussetzungen des Kapitel V DSGVO (Datenübermittlung in Drittstaaten), dessen Voraussetzungen beachtet werden müssen.
- Die Europäische Kommission hat deshalb einen Angemessenheitsbeschluss für das Vereinigte Königreich gemäss Art. 45 DSGVO erlassen.
- Aufgrund dieses Angemessenheitsbeschlusses müssen Verantwortliche und Auftragsverarbeiter in den EU/EWR-Mitgliedstaaten oder im Vereinigten Königreich keine zusätzlichen Formalitäten erfüllen.
- Explizit ausgenommen von diesem Angemessenheitsbeschluss sind derzeit Datenübermittlungen an die Einwanderungsbehörden des Vereinigten Königreichs.
- Ein zweiter Angemessenheitsbeschluss der Europäischen Kommission aufgrund von Art. 36 der Datenschutz-Richtlinie für den Bereich Justiz und Polizei regelt die Transfers personenbezogener Daten von Behörden ins Vereinigte Königreich in Zusammenhang mit Straftaten und Strafvollstreckung.
Was passiert in Zukunft?
Die Europäische Kommission muss die jetzt erlassenen Angemessenheitsbeschlüsse für das Vereinigte Königreich aufgrund einer speziellen «sunset clause» alle vier Jahre überprüfen und neu erlassen. Ausserdem könnte sie intervenieren, sollte sich die gegenwärtig noch sehr ähnliche Rechtslage im Datenschutz im Vereinigten Königreich mit der Zeit massgeblich ändern. Aus diesen Gründen und weil auch der Europäische Gerichtshof Angemessenheitsbeschlüsse jederzeit für ungültig erklären kann, bleibt die vorerst damit erzielte Rechtssicherheit in ihrer längerfristigen Dauer mit einer gewissen Unsicherheit behaftet.
Weitere Informationen zu internationalen Datentransfers in Drittstaaten und den Voraussetzungen hierfür, einschliesslich Angemessenheitsbeschlüssen, finden Sie hier auf unserer Internetseite.