Auch wenn über die detaillierten Modalitäten noch Unklarheit herrscht, ist eines unbestritten: Der Brexit steht kurz bevor. „Im Falle eines ungeregelten Brexits kommen auf Unternehmen große datenschutzrechtliche Herausforderungen zu, auf die es sich bereits jetzt vorzubereiten gilt, denn es gibt, anders als beim Inkrafttreten der DSGVO, keine Übergangsregelung“, so Haye Hösel, Geschäftsführer und Gründer der HUBIT Datenschutz GmbH & Co. KG.
Harter Brexit macht Großbritannien zum Drittland
Zahlreiche Unternehmen pflegen Geschäfts- und Kundenbeziehungen nach Großbritannien. Folglich übermitteln sie personenbezogene Daten wie Name, Anschrift, Geburtsdatum, Religionszugehörigkeit sowie Bankdaten dorthin. Aber auch Behörden, Vereine und Universitäten senden manchmal Daten in das Vereinigte Königreich, beispielsweise wenn sie mit Anbietern für IT-Leistungen zusammenarbeiten, die ihren Sitz dort haben oder bestimmte Leistungen von Rechenzentren mit dortigem Sitz in Anspruch nehmen.
Im Falle eines harten Brexits erhält Großbritannien gemäß der Datenschutz-Grundverordnung (DSGVO) über Nacht den Status eines Drittlandes, sodass eine Datenübermittlung nicht mehr ohne Weiteres stattfinden kann. Stattdessen greifen die Artikel 44 bis 50 der EU DSGVO. Das bedeutet, die Übermittlung der Daten kann zwar weiterhin stattfinden, unterliegt jedoch spezielle Regeln, damit betroffene Personen Schutz erfahren. „Um diesen zu garantieren, müssen Unternehmen verschiedenste Schutzmaßnahmen treffen. Hierunter fallen unter anderem EU-Standardvertragsklauseln oder sogenannte Binding Corporate Rules, also verbindliche interne Datenschutzvorschriften. Letztere müssen jedoch durch eine Aufsichtsbehörde genehmigt werden“, erklärt Hösel.
Datenschutzrechtsverletzung verhindern – Maßnahmen treffen
Um eine Verletzung der Datenschutzrechte zu vermeiden, empfiehlt es sich für Unternehmen, bereits jetzt einige Maßnahmen zu ergreifen. So gilt es im Informationsblatt zur Datenverarbeitung und in der Datenschutzerklärung der Website über die Datenübermittlung in ein Drittland zu informieren. Darüber hinaus muss das Verzeichnis von Verarbeitungstätigkeiten Datenübermittlungen in Drittländer – also Großbritannien – auflisten. Gegebenenfalls muss zudem eine Ergänzung oder Neu-Durchführung der Datenschutz-Folgenabschätzung erfolgen.
