Angemessenheitsbeschluss der EU-Kommission: UK ist sicheres Drittland
Gerade noch rechtzeitig zum Ablauf der Übergangsfrist hat die EU-Kommission am 28. Juni 2021 einen Angemessenheitsbeschluss gem. Art. 45 EU-DSGVO für das Vereinigte Königreich (UK) erlassen. Das Vereinigte Königreich wird als sicheres Drittland anerkannt, sodass personenbezogene Daten auch nach dem Brexit ungehindert von der EU ins Vereinigte Königreich transferiert werden können.
Ablauf
Im ersten Anlauf hat das EU-Parlament am 20.05.2021 mit knapper Mehrheit die Zustimmung zum Angemessenheitsbeschluss mit dem Vereinigten Königreich noch abgelehnt. Infolgedessen wäre rein formell am 30.06.2021 die Übergangsfrist ausgelaufen. Indem die Briten seit dem 01.01.2021 nicht mehr Mitglied der EU oder des Europäischen Wirtschaftsraums (EWR) sind, stellt die UK ein Drittland dar und es sind die Art. 44 ff. EU-DSGVO zu beachten. Als Konsequenz wäre der Datentransfer in das Vereinigte Königreich ab dem 01.07.2021 grundsätzlich nur unter den engen Voraussetzungen des Art. 46 EU-DSGVO möglich gewesen. Danach ist die Übermittlung personenbezogener Daten in ein Drittstaat ohne Angemessenheitsbeschluss nur bei Vorliegen geeigneter Garantien, etwa bei Anwendung der Standardvertragsklauseln, zulässig.
Nunmehr konnte EU-Kommission gerade noch rechtzeitig das Vereinigte Königreich als Drittland mit angemessenem Datenschutzniveau erklären. Neu an dem Angemessenheitsbeschluss ist, dass dieser erstmalig eine sog. Verfallsklausel (sog. „sunset clause“) enthält, durch den die Geltungsdauer des Beschlusses auf vier Jahre begrenzt wird.
Kritikpunkte des Europäischen Datenschutzausschusses (EDSA)
In seinem Gutachten teilt der EDSA der Kommission mit, dass dieser der Freigabe eines Datentransfers in die UK auf Grundlage des Angemessenheitsentschlusses nicht im Wege steht, kritisierte jedoch gleichzeitig folgende zwei Punkte:
- Der Datentransfer von der UK in andere Drittstaaten könnte kein hinreichendes Datenschutzniveau für personenbezogene Daten und Betroffenenrechte gewährleisten.
- Investigatory Powers Act von 2016 ermöglicht ausgeweitete Überwachungsbefugnisse britischer Geheimdienste.
Ausblick
Mit der Entscheidung schafft die EU-Kommission eine rechtskonforme Grundlage dafür, dass der sichere Datenaustausch zwischen der EU und UK wie gewohnt stattfinden kann. Gleichwohl gilt es abzuwarten, ob der Angemessenheitsbeschluss auch längerfristig als rechtskonforme Grundlage für den Datentransfer in das Vereinigte Königreich standhält. Denn auch in UK haben die britischen Sicherheitsbehörden umfassende Überwachungsbefugnisse inne, sodass sich der EuGH in Zukunft mit den angenommenen Beschlüssen befassen könnte. Weiterhin stellt sich die Frage, wie die Britische Regierung künftig ihre Datenschutzbestimmungen („UK-GDPR“) ausgestalten wird.
Der Angemessenheitsbeschluss ist hier abrufbar.