EDSA fordert Nachbesserungen zum Angemessenheitsbeschluss für das Vereinigte Königreich

Die Europäische Kommission leitete im Februar 2021 das Verfahren zur Angemessenheitsfeststellung für das Vereinigte Königreich ein und veröffentlichte einen ersten Entwurf. Der Europäische Datenschutzausschuss (EDSA) hat dazu am 16. April 2021 zwei Stellungnahmen veröffentlicht. Darin begrüßt der EDSA den Entwurf zwar grundlegend, fordert aber auch einige Nachbesserungen.

Update 20. Mai 2021: Heute wurde bekannt, dass das Europäische Parlament mit knapper Mehrheit der Abgeordneten die Kommission zur Nachbesserung des Angemessenheitsbeschlusses aufforderte. Die Ländervertreter forderten dabei überwiegend dieselben Nachbesserungen wie der EDSA.

Eine finale Entscheidung der Kommission wird in den kommenden Monaten erwartet.

Übermittlung in weitere Drittländer

In seinen Stellungnahmen betont der EDSA zunächst, dass die Kommission insbesondere internationale Abkommen des Vereinigten Königreichs mit weiteren Drittstaaten prüfen müsse – zum Beispiel das UK-US CLOUD Act Agreement, was den Zugang zu elektronischen Daten zur Straftatbekämpfung regelt. Solche Drittabkommen seien neben dem Abkommen zwischen der EU und dem Vereinigten Königreich auch regelmäßigen Prüfungen zu unterziehen, um gegebenenfalls Maßnahmen ergreifen zu können, die das Schutzniveau der DSGVO (EU-Datenschutz-Grundverordnung) weiterhin aufrechterhalten.

Durch die Übermittlung von Daten ins Vereinigte Königreich auf Basis des EU-Angemessenheitsbeschlusses sollen die Hürden des Drittlandtransfers zum Beispiel in die USA nicht umgangen werden können.

Einrichtung Sondergericht

Zudem begrüßt der EDSA, dass die Einrichtung eines Sondergerichts, dem Investigatory Powers Tribunal (IPT), vorgesehen ist. Das ITP soll sich neben der Datennutzung von Strafverfolgungsbehörden auch mit der der Nachrichtendienste befassen. Auch ist die Einführung eines Judicial Commissioners, also eines justiziellen Beauftragten, geplant. Dessen Aufgaben werden vom EDSA insbesondere als Genehmigungsstelle für verschiedene Überwachungsmaßnahmen, wie zum Beispiel Massenerfassung von Kommunikationsdaten, bewertet. Allerdings ist noch ungeklärt, inwiefern und durch welche Instanz eine wirksame nachträgliche Aufsicht und Rechtsbehelfsmöglichkeiten für die einzelnen Betroffenen gewährleistet werden kann. Der EDSA fordert die Kommission hier ausdrücklich auf, eine weitere Bewertung und Nachweise zu liefern.

Zeitliche Befristung und Überwachung der Rechtslage

Besonders hebt der EDSA hervor, dass die kontinuierliche Überwachung und Bewertung der Rechtslage im Vereinigten Königreich erforderlich ist. Zwar ist die DSGVO derzeit größtenteils in das nationale britische Recht überführt worden. Jedoch sind nationale Änderungen in der Zukunft möglich und bereits angekündigt. Daher begrüßt der EDSA die zeitliche Befristung des Angemessenheitsbeschlusses auf vier Jahre. So kann die Angemessenheit des Datenschutzniveaus kontinuierlich beobachtet und neu bewertet werden, ohne gerichtliche Entscheidungen notwendig zu machen.

Fazit: Unternehmen dürfen auf einen Angemessenheitsbeschluss hoffen

In beiden Stellungnahmen betont der EDSA, dass nicht erwartet wird, dass das europäische Datenschutzrecht eins zu eins übernommen wird. Es komme vielmehr darauf an, dass das Schutzniveau der DSGVO nicht unterlaufen werden darf.

Allerdings lässt nach Aussage der Europäischen Datenschützer der Entwurf noch einige Punkte offen bzw. zeigt, dass manche Regelungen noch nicht umfassend genug sind. Insbesondere die Angemessenheitsbeschlüsse zwischen dem Vereinigten Königreich und weiteren Drittstaaten sowie die weitreichenden Zugriffsrechte der Geheimdienste sind noch weiter zu untersuchen und sofern möglich mit entsprechenden Maßnahmen abzusichern.

Noch ist bis Ablauf der Übergangsphase zum Ende April bzw. Juni 2021 der Datentransfer in das Vereinigte Königreich wie gewohnt möglich. Danach ist es zwischenzeitlich wohl wahrscheinlich, dass der Datentransfer auf Basis des Angemessenheitsbeschlusses stattfinden kann und keine weiteren Garantien abzuschließen sind. Die noch ausstehende Zustimmung der EU-Mitgliedsstaaten sei nach Ansicht der Kommission zu erwarten.

Dennoch sind Unternehmen, die personenbezogene Daten nach Großbritannien übermitteln, weiterhin gut beraten, sich diese Datentransfers bewusst zu machen und mit eingesetzten Dienstleistern im Vereinigten Königreich in Kontakt zu treten, um, falls erforderlich, auf andere Garantien und Maßnahmen ausweichen zu können.

Brexit-Sorgen?

Machen Sie weiterhin Business mit dem Vereinigten Königreich!

Kommentar schreiben

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Netiquette: We do not tolerate grossly unobjective contributions or advertising on our own behalf and will not publish corresponding entries but delete them. I have been informed about the processing of my data according to the privacy policy of activeMind.legal.