Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder - 8. März 2019

Informationen der Konferenz der unabhängigen Datenschutzaufsichtsbehörden zu Datenübermittlungen aus Deutschland in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) weist Unternehmen, Behörden und andere Institutionen in Deutschland mit den folgenden Informationen auf die Rechtslage bei einem Austritt ("Brexit") des Vereinigten Königreichs Großbritannien und Nordirland (im Folgenden: VK) aus der Europäischen Union (EU) hin. Möglich sind zwei Szenarien:

1. Geregelter Austritt

Für den Fall eines geregelten Austritts ("Deal-Brexit") gilt nach den Vorgaben des vorliegenden Entwurfs eines Austrittsabkommens zwischen der EU und dem VK die Datenschutz-Grundverordnung (DS-GVO) weiter. Das Abkommen sieht nämlich einen Übergangszeitraum vom 30. März 2019 bis Ende 2020 vor (Art. 126). Während dieser Zeit ist das EU-Recht, also auch die DS-GVO mit ihren Vorgaben für Datenverarbeitungen, nach wie vor auch im VK anzuwenden (Art. 127), so als wäre das Land weiterhin ein EU-Mitgliedstaat und kein Drittland im Sinne der DS-GVO.

Eine Verlängerung des Übergangszeitraums um ein bzw. zwei Jahre ist einmalig und vor dem 1. Juli 2020 möglich (Art. 132).

Während des Übergangszeitraums dürfen personenbezogene Daten in das VK unter denselben Voraussetzungen wie bisher übermittelt werden.

2. Ungeregelter Austritt

Für den Fall eines ungeregelten Austritts ("No-Deal-Brexit") wird das VK zu einem Drittland im Sinne der DS-GVO. Verantwortliche, die personenbezogene Daten an Partner im VK übermitteln wollen, müssen ab dem 30. März 2019 ihre Datenübermittlungen mit den besonderen Maßnahmen nach Kapitel V DS-GVO absichern. Die DSK verweist nachdrücklich auf die vom Europäischen Datenschutzausschuss (EDSA) veröffentlichte Information, die von allen datenübermittelnden Stellen unbedingt zu beachten ist.

Eine inoffizielle deutsche Arbeitsübersetzung ist ebenfalls verfügbar. Im Wesentlichen ist demnach Folgendes zu tun:

Bei einer Datenübermittlung in das Drittland VK sollten die Verantwortlichen

feststellen, welche Verarbeitungen eine Übermittlung personenbezogener Daten in das Drittland VK mit sich bringen,
das geeignete Datentransfer-Instrument für die jeweilige Situation festlegen,
das gewählte Datentransfer-Instrument so umsetzen, dass es für den 30. März 2019 bereit ist,
in der internen Dokumentation vermerken, dass Übermittlungen in das Drittland VK erfolgen werden und
die Datenschutzerklärung zur Information der betroffenen Personen entsprechend aktualisieren.

Konkretisierend zu den unter Schritt 4 und 5 genannten sind insbesondere folgende Maßnahmen vorzusehen:

Im Informationsblatt zur Datenverarbeitung und in der Datenschutzerklärung einer Webseite ist über die Datenübermittlung in das Drittland VK und über die verwendeten geeigneten Datenschutzgarantien zu informieren (Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lit. f DS-GVO).
Wenn eine betroffene Person von ihrem Auskunftsrecht Gebrauch macht, ist sie auch über die Datenübermittlung in das Drittland VK und die verwendeten geeigneten Datenschutzgarantien zu informieren (Art. 15 Abs. 1 lit. c, Abs. 2 DS-GVO).
Im Verzeichnis von Verarbeitungstätigkeiten sind Datenübermittlungen in das Drittland VK als solche zu bezeichnen und die weiteren in diesem Zusammenhang geforderten Angaben zu machen (Art. 30 Abs. 1 lit. d und lit. e DS-GVO bzw. Art. 30 Abs. 2 lit. c DS-GVO).

Die DSK weist darauf hin, dass Verantwortliche, die personenbezogene Daten ohne die nach Kapitel V DS-GVO notwendigen Sicherheiten in das VK übermitteln, rechtswidrig handeln. Die Aufsichtsbehörden könnten dann Datenübermittlungen per Anordnung aussetzen (Art. 58 Abs. 2 lit. j DS-GVO) und Geldbußen verhängen (Art. 83 Abs. 5 lit. c DS-GVO).

ABl. EU vom 19. Februar 2019, C 66 I, S. 1 ff. (198 Seiten), abrufbar unter https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ%3AC%3A2019%3A066I%3ATOC (externer Link) [Zurück]
https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/SonstigePapiere/EDSA_Info_NoDealBrexit.html?nn=5217120 (externer Link)[Zurück]
https://www.bfdi.bund.de/SharedDocs/Publikationen/DokumenteArt29Gruppe_EDSA/SonstigePapiere/EDSA_Info_NoDealBrexit_Arbeits%C3%BCbersetzung.html?nn=5217120 (externer Link) [Zurück]