Zum 31. Dezember 2020 ist Großbritannien aus dem Europäischen Binnenmarkt und der Zollunion ausgeschieden. Damit gilt das UK ab dem 1.1.2021 im Verhältnis zur EU als so genanntes Drittland. Wir haben in unseren letzten Newslettern bereits ausführlich darüber berichtet, welche Auswirkungen dies auf den Datenschutz und insbesondere auf die Bestellung eines UK Datenschutzbeauftragten oder eines UK-Vertreters hat.
Übergangsfrist bei Drittlandstransfers
Was die Datenflüsse angeht, so wurde eine Übergangsfrist vereinbart. Das heißt, dass Datentransfers ins UK zukünftig zwar als Transfers in ein Drittland gelten – und damit allen Anforderungen aus Kapitel V der DSGVO unterliegen – jedoch beinhaltet der Deal zwischen der EU und Großbritannien in diesem Punkt eine weitere Übergangsfrist. Innerhalb dieser Zeit gilt Großbritannien noch nicht als Drittland und die Anforderungen nach Art. 44 ff. DSGVO sind noch nicht zu erfüllen.
Die Übergangsfrist endet entweder mit dem Erlass eines Angemessenheitsbeschlusses durch die Europäische Kommission oder aber nach Ablauf von 4, spätestens aber 6 Monaten nach dem 1.1.2021.
Im Brexit-Vertrag findet sich dazu folgende Regelung:
Article FINPROV.10A: Interim provision for transmission of personal data to the United Kingdom1) For the duration of the specified period, transmission of personal data from the Union to the United Kingdom shall not be considered as transfer to a third country under Union law, provided that the data protection legislation of the United Kingdom on 31 December 2020, as it is saved and incorporated into United Kingdom law by the European Union (Withdrawal) Act 2018 and as modified by the Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 201987 (“the applicable data protection regime”), applies and provided that the United Kingdom does not exercise the designated powers without the agreement of the Union within the Partnership Council. […]
4) The “specified period” begins on the date of entry into force of this Agreement and, subject to paragraph 5, ends:
(a) on the date on which adequacy decisions in relation to the UK are adopted by the European Commission under Article 36(3) of Directive (EU) 2016/680 and under Article 45(3) of Regulation (EU) 2016/679, or
(b) on the date four months after the specified period begins, which period shall be extended by two further months unless one of the Parties objects; whichever is earlier.
Verhandlung der Angemessenheitsbeschlüsse
Ziel der Übergangsphase ist die Verhandlung eines Angemessenheitsbeschlusses nach Art. 46 DSGVO – dieser würde den Datentransfer zwischen der EU und dem UK ohne weitere Maßnahmen ermöglichen.
Die aktuelle Situation haben wir in folgender Tabelle dargestellt:
Dokumentationsanforderungen
Unabhängig von der Notwendigkeit eines Datenschutzbeauftragten in Großbritannien sind gegebenenfalls weitere Voraussetzungen in Bezug auf Datentransfers zu erfüllen. Prüfen Sie daher Ihre Datenschutzerklärung auf Aktualität hinsichtlich des Abschnitts zu Drittlandstransfers und nennen Sie Ihren UK-DSB und Ihren UK Representative, falls nötig. Überprüfen Sie Ihr Verarbeitungsverzeichnis, um eine Übersicht zu haben, welche Datenempfänger, Verarbeiter oder Tools einen Sitz im UK haben und wo potenziell Sicherheitsgarantien nach Art. 44 ff. DSGVO umgesetzt werden müssen. Prüfen Sie, welche Sicherheitsgarantien hier möglich wären und ob es ggf. Alternativen mit Sitz in Europa gibt.
Gerne helfen wir Ihnen hier mit unserer Expertise. Nehmen Sie jederzeit Kontakt zu uns auf.