Übergangsregelung: Datenschutz nach dem Brexit

Bereits am 18. März 2020 hatte die Europäische Kommission einen ersten Entwurf der Vereinbarung einer „Neuen Partnerschaft“ an Großbritannien übermittelt. Nach dem Brexit sollte die Zusammenarbeit grundlegend und nachhaltig neu miteinander vereinbart werden.

Die Vereinbarung enthielt zahlreiche Verweise auf den Datenschutz, wovon drei Arten von Verweisen erwähnenswert waren. Erstens stellte das Abkommen die Notwendigkeit fest, dass beide Parteien das Grundrecht auf Datenschutz anerkennen und ein hohes Maß an Schutz für personenbezogene Daten gewährleisten müssen. Diese erste Feststellung ist besonders wichtig, da die britische Rechtsordnung nach dem Brexit kein Grundrecht auf Datenschutz beinhalten wird. Zweitens erkannte die Vereinbarung die Befugnisse jeder Partei an, Datenschutzfragen unabhängig zu regeln. 

Schließlich erkannte das Abkommen die Bedeutung von Datenschutzbestimmungen in bestimmten Verarbeitungssektoren an. In der Vereinbarung wurde beispielsweise auf die Notwendigkeit eines angemessenen Datenschutzes in Bezug auf die Strafverfolgung und die gerichtliche Zusammenarbeit in Strafsachen verwiesen.

Angesichts der aktuellen Situation war eine Einschätzung bzgl. der datenschutzrechtlichen Implikationen eines Brexit schwierig (vgl. DataAgenda-Arbeitspapier). Der Ausbruch des Corona-Virus stand im Mittelpunkt der politischen Bemühungen – sowohl auf EU- als auch auf britischer Ebene.

Ein aktuelles Papier der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Stand 28.12.2020) weist Unternehmen, Behörden und andere Institutionen in Deutschland darauf hin, dass in den Schlussbestimmungen des aktuellen Entwurfs eines Handels- und Zusammenarbeitsabkommens zwischen dem Vereinigten Königreich und der Europäischen Union eine neue Übergangsregelung für Datenübermittlungen vorgesehen ist, die den bisher befürchteten gravierenden Rechtsunsicherheiten vorbeugt (Article 10A Interim provision for transmission of personal data to the United Kingdom, S. 406 ff.).

Danach sollen Übermittlungen personenbezogener Daten von der EU in das Vereinigte Königreich Großbritannien und Nordirland für eine Übergangsperiode nicht als Übermittlungen in ein Drittland (Art. 44 DS-GVO) angesehen werden. Diese Periode beginne mit dem In-Kraft-Treten des Abkommens und ende, wenn die EU-Kommission das Vereinigte Königreich betreffende Adäquanzentscheidungen nach Art. 45 Abs. 3 DS-GVO und Art. 36 Abs. 3 Richtlinie (EU) 2016/680 getroffen habe, spätestens jedoch nach vier Monaten. Dieses Enddatum könne um zwei Monate verlängert werden, falls keine der beteiligten Parteien widerspreche.

(pixelbliss – stock.adobe.com)