BREXIT – Übergangsfrist und Angemessenheitsbeschlüsse
Die Europäische Union und Großbritannien haben sich auf ein Handels- und Kooperationsabkommen geeinigt, das mit 01.01.2021 in Kraft getreten ist. Enthalten sind auch eine Übergangsfrist innerhalb der UK nicht als datenschutzrechtlicher Drittstaat gelten soll, sowie eine Absichtserklärung für Angemessenheitsbeschlüsse.
Über die Auswirkungen des BREXIT auf den Datenschutz haben wir in diesem Blog und im Datenschutzbrief in der Vergangenheit ja bereits mehrfach berichtet, als noch nicht abschließend feststand, ob und wenn ja zu welcher Vereinbarung Großbritannien und die EU finden werden.
Kommt ein Angemessenheitsbeschluss?
Fest steht nunmehr, dass die beiden Verhandlungspartner sich auf ein Handels- und Kooperationsabkommen geeinigt haben. Wie erwartet enthält dieses auch eine Absichtserklärung, dass beide Seiten jeweils eigenständig das Datenschutzniveau der jeweiligen Gegenseite überprüfen wollen und gegebenenfalls feststellen werden, dass ein dem eigenen Standard entsprechendes Datenschutzniveau vorliegt.
Voraussetzung dafür ist freilich, dass die für einen Angemessenheitsbeschluss anwendbaren Kriterien durch das Vereinigte Königreich auch erfüllt werden. Dies könnte jedoch schwierig werden, ist das Vereinigte Königreich als Mitglied der Geheimdienst-Koalition FIVE EYES doch Teil des von Edward Snowden aufgedeckten weitreichenden Internet-Überwachungssystems, an dem auch die USA maßgeblich beteiligt sind. Eine einschlägige Verurteilung durch den Europäischen Gerichtshof für Menschenrechte erfolgte erst 2018. Weiters hat der EuGH mit der Aufhebung des EU-US Privacy Shield im Rahmen des Schrems II Urteils deutlich klargestellt, welch hohe Maßstäbe insbesondere auch hinsichtlich staatlicher Überwachungsmaßnahmen für rechtskonforme Datenübermittlungen in Drittstaaten einzuhalten sind.
Erforderlich wäre für einen Angemessenheitsbeschluss jedenfalls zuerst einmal eine eingehende Prüfung der Datenschutzsituation im Vereinigten Königreich, bei der auch die vom EuGH im Rahmen des Schrems II Urteils festgestellten Anforderungen zu berücksichtigen wären. In weiterer Folge könnte dann ein formaler Beschluss der EU-Kommission erfolgen. Dieser wäre in weiterer Folge dem Europäischen Datenschutzausschuss vorzulegen, der dazu eine Stellungnahme abgibt. Schließlich wäre noch eine Bestätigung der Entscheidung durch die verbliebenen 27 im Rat vertretenen Mitgliedsstaaten der Europäischen Union erforderlich.
Alles in allem also keine ganz einfache Aufgabe. Die größte Hürde scheint dabei die Rolle Großbritanniens im Geheimdienstnetzwerk FIVE-EYES darzustellen. Sehr wahrscheinlich scheint ein solcher Angemessenheitsbeschluss aus heutiger Sicht daher eher nicht zu sein.
Übergangsphase
Neu hinzugekommen ist durch das Handels- und Kooperationsabkommen eine für vier bis sechs Monate gültige Übergangsbestimmung, die festlegt, dass Datenübermittlungen von der EU nach Großbritannien während dieser Zeit nicht als Übermittlungen in ein datenschutzrechtliches Drittland anzusehen sind. Dies unter der Voraussetzung, dass Großbritannien bestimmte Rahmenbedingungen einhält.
Im Detail nachzulesen ist diese Regelung in Artikel FINPROV.10A des Handels- und Kooperationsabkommens. Dafür empfehlen wir die englische Sprachversion (S 427ff), die in diesem Punkt bedeutend leichter verständlich ist als die ebenfalls verfügbare deutschsprachige Fassung.
Mit dieser Übergangsbestimmung soll also offenbar für die Vorbereitung eines Angemessenheitsbeschlusses Zeit gewonnen werden. Ob diese vier bis sechs Monate für diese Aufgabe ausreichen werden, bleibt abzuwarten.
