Vereinigtes Königreich gilt ab dem 30.03.2019 als Drittland

Die Europäische Kommission teilte bereits in einer Pressemitteilung vom 9. Januar 2018 mit, dass das Vereinigte Königreich ab dem 30.03.2019 als sog. Drittland einzustufen sein wird. Dies ist die Konsequenz der Erklärung des Vereinigten Königreichs gem. Artikel 50 des Vertrags über die Europäische Union aus der Union auszutreten. Diese bedeutet, dass das gesamte Primär- und Sekundärrecht der Union für das Vereinigte Königreich ab dem 30. März 2019, 00:00 Uhr (MEZ) („Rücktrittsdatum“) nicht mehr anwendbar ist, es sei denn, ein ratifiziertes Rücktrittsabkommen legt einen anderen Zeitpunkt fest.

Angesichts der erheblichen Unsicherheiten, insbesondere hinsichtlich des Inhalts einer möglichen Rücknahmevereinbarung, werden alle Beteiligten, die personenbezogene Daten verarbeiten, an die rechtlichen Auswirkungen erinnert, die zu berücksichtigen sind, wenn das Vereinigte Königreich ein Drittland wird.

Vorbehaltlich etwaiger Übergangsregelungen, die in einem möglichen Rücktrittsabkommen enthalten sein können, gelten ab dem Rücktrittsdatum die EU-Vorschriften für die Übermittlung personenbezogener Daten in Drittländer. Abgesehen von einer „ Angemessenheitsentscheidung“, die den freien Verkehr personenbezogener Daten aus der EU ermöglicht, ohne dass der EU-Datenexporteur zusätzliche Garantien einführen muss oder weiteren Bedingungen unterliegt, erlauben die EU-Datenschutzvorschriften (sowohl nach der aktuellen
Richtlinie 95/46 als auch der Datenschutz-Grundverordnung 2016/679, „ DS-GVO“ – die ab dem 25. Mai 2018 gelten wird) eine Übermittlung, wenn der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter „angemessene Garantien“ vorgesehen hat.

Diese Garantien können weiterhin durch die bekannten Instrumentarien gewährleistet werden.

Was muss berücksichtigt werden?

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz fasst auf seiner Internetseite zusammen, welche Bestimmungen verantwortliche Stellen in der EU, und damit auch in Rheinland-Pfalz berücksichtigen müssen:

• Im Informationsblatt zur Datenverarbeitung und in der Datenschutzerklärung einer Website ist gemäß Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lit. f DS-GVO über die Datenübermittlung in ein Drittland zu informieren.
• Wenn eine betroffene Person von ihrem Auskunftsrecht Gebrauch macht, ist sie gemäß Art. 15 Abs. 1 lit. c, Abs. 2 DS-GVO auch über die Datenübermittlung in Drittländer zu beauskunften.
• Im Verzeichnis von Verarbeitungstätigkeiten sind Datenübermittlungen in Drittländer gemäß Art. 30 Abs. 1 lit. d und lit. e DS-GVO bzw. Art. 30 Abs. 2 lit. c DS-GVO als solche zu bezeichnen und die weiteren in diesem Zusammenhang geforderten Angaben zu machen.
• Ggf. sind Datenschutz-Folgenabschätzungen erstmals durchzuführen oder bereits erfolgte zu überprüfen, soweit es um die Datenübermittlung in das UK als Drittland geht (Art. 35 DS-GVO).

Auch das Information Commissioner’s Office (ICO), die unabhängige Datenschutz-Aufsichtsbehörde in Großbritannien informiert auf seiner Internetseite über die Auswirkungen der einzelnen Austritts-Szenarien.