Harter Brexit bringt DSGVO-Probleme

Die Folgen für Datentransfers mit Großbritannien

Von in Aktuelles
14
Mrz
'19

Ein harter Brexit, also der Austritt Großbritanniens aus der EU ohne Austrittsabkommen, wird Experten zufolge zu einem undurchsichtigen Datenchaos führen.

Warum der Brexit in Verbindung mit der DSGVO zu massiven Problemen führen kann und welche Folgen sich dadurch für international tätige Unternehmen ergeben können, verraten wir jetzt.

harter brexit

Ein harter Brexit hat auch bezüglich der DSGVO weitreichende Folgen.
© Pixaby

Harter Brexit macht Großbritannien zum Drittland

Am 30. März ist es schon soweit: das Vereinigte Königreich verlässt die EU. Sämtliche Bemühungen von Premierministerin Theresa May, durch einen Brexit-Deal mit der EU den Schaden so gering wie möglich zu halten, scheiterten am britischem Parlament. Stand heute wird es also kein spezielles Austrittsabkommen geben. Und das bedeutet: Ganz Großbritannien gilt ab 0 Uhr am 30. März als Drittland. Für Behörden und Unternehmen, die in direkter Verbindung mit dem Vereinigten Königreich stehen und Daten austauschen, hat das bitterböse Konsequenzen. Es droht das totale Datenchaos. Und dummerweise gibt es bislang auch keinen Notfallplan, der an dieser Stelle in Kraft treten könnte. Die einzige Hoffnung: Parlament und Regierung einigen sich noch auf eine kurzfristige Verschiebung des Brexit-Termins. Wirklich realistisch scheint dies angesichts der Stimmverhältnisse allerdings nicht. Und eine Lösung für das eigentliche Problem würde eine Verschiebung auch nicht lösen. Es bliebe nur etwas mehr Zeit, einen Masterplan zu schmieden.

Ohne Übergangsregelung droht Datenchaos

Internationale IT-Experten wie beispielsweise der Branchenverband Bitkom sind sich sicher: ein harter Brexit ist nichts anderes als eine tickende Zeitbombe. Und wenn sie hochgeht, herrscht ein absolutes Datenchaos. Die fehlende Übergangsregelung und die strengen Richtlinien der DSGVO tragen ihren Teil dazu bei. Datentransfers zwischen der EU und Großbritannien werden künftig sehr viel teurer und komplexer. Und bislang weiß niemand, wie man dieser Sache Herr werden soll. Bundesdatenschützer Jürgen H. Müller meint in diesem Zusammenhang:  „[Es gibt] keine Übergangszeit, in der die Behörden Übermittlungen ohne entsprechende Schutzvorkehrungen tolerieren.“ Und generell fällt beim Thema Daten bisher weder dem Vereinigten Königreiche noch der europäischen Union irgendeine zielführende Lösung für ein Übergangsregime ein.

Der Brexit und die DSGVO – 5 Schritte, die Unternehmen jetzt durchführen sollten

Der Ausschuss der europäischen Datenschutzbehörden hat jetzt 5 Schritte kommuniziert, die Behörden und Unternehmen, die direkt betroffen sein werden, jetzt dringend durchführen sollten.

Schritt 1: Prüfen, wie die an Großbritannien übermittelten Daten verarbeitet werden

Schritt 2: Festlegen geeigneter Transferinstrumente (z. B. Standarddatenschutzklauseln (SDSK) sowie Ad-hoc-Klauseln der EU)

Schritt 3: Umsetzung des Instruments

Schritt 4: Lückenlose Dokumentation aller geplanten Datenübermittlungen

Schritt 5: Aktualisierung aller zugehörigen Datenschutzerklärungen konform der DSGVO

Ein harter Brexit macht es darüber hinaus erforderlich, dass alle Datentransfers künftig rechtlich zu klären sind. Je nach konkreten Anwendungsfällen, kommt eine der drei SDSK Sets infrage. Diese Klauseln kennen Unternehmen, die mit den USA zusammenarbeiten bereits, sofern sich letztere nicht unter den „EU US Privacy Shield“ begeben haben. Die Klauseln selbst dürfen im Wortlaut nicht verändert, aber durchaus in einen umfassenderen Vertrag integriert werden. Damit gelten sie als so genannten  Ad-hoc-Vertragsklauseln. Selbige müssen allerdings immer erst einmal noch von nationalen Aufsichtsbehörden genehmigt werden.

Umstellung nach Brexit wird zu Überlastung führen

Nach dem Brexit müssen sich Unternehmen an das standardisierte Datenschutz- und Sicherheitskonzept (kurz SDSK) anpassen. Problem: das geht nicht von heute auf morgen. Experten befürchten, dass die komplexe Umstellung vor allem für kleine bis mittlere Firmen kaum in Eigenregie zu stemmen ist. Zu undurchsichtig ist der Dschungel aus Gesetzen, Reformen und Richtlinien. Einmal abgesehen davon, dass kleine und mittlere Unternehmen in der Regel keine eigenen Juristen oder Datenschutzexperten beschäftigen. Zudem stellt sich die Frage, wie die entsprechenden Behörden, die sowieso als konsequent unterbesetzt gelten seitdem die DSGVO eingeführt wurde, dem Ansturm gerecht werden wollen. Schnelle Genehmigungen kann wohl niemand erwarten. Und genau das kann weitrechende wirtschaftliche Folgen haben.

Glück haben da noch die großen Konzerne. Ob Telekom, Post oder Mobilfunanbieter: wer multinational tätig ist und auch in Großbritannien Standorte unterhält, kann eine so genannte „Binding Corporate Rules“ (BCRs) zum internen Datenaustausch festlegen. Aber auch die muss natürlich noch genehmigt werden und mit der DSGVO übereinstimmen.

Beantragung von Ausnahmeregelungen

Unternehmen, die auf Standardklauseln verzichten wollen und über keine Corporate Rules verfügen, können eine Ausnahmeregelung beantragen. Möglich macht das Artikel 49 der DSGVO. Diese Regelung kann dann gelten, wenn die Organisation für den Datentransfer ein „zwingend berechtigtes Interesse“ vorweisen kann oder eine „ausdrückliche Einwilligung des Betroffenen“ vorliegt. Aber natürlich gibt es auch hier wieder ein Problem. Mit der Ausnahmeregelung können nur Einzelverträge abgeschlossen werden. Eine Beantragung für langfristige und/oder sich wiederholende Vorgänge ist ausgeschlossen.

Privacy Shield mit Großbritannien

Mittel- bis langfristig wird es nur eine Lösung geben: ein Privacy Shield mit Großbritannien. Das geht dann, wenn Drittstaaten ein gleich- oder höherwertiges Datenschutzniveau vorweisen können. Beispiele sind Japan, Kanada oder die USA, mit denen derartige Beschlüsse bereits vorliegen. Bis solche Abkommen in trockenen Tüchern sind, dauert es aber. Und bis dahin herrscht wohl Chaos.

Lena Klaus

Lena Klaus arbeitet seit 2018 als freie Autorin und SEO-Expertin für das IT-SERVICE.NETWORK. Seit fünf Jahren kennt sie die IT-Branche und hat sich in diesem Zusammenhang auf B2C- und B2B-orientierte Content-Plattformen spezialisiert.

Fragen zum Artikel? Frag den Autor

Schreiben Sie einen Kommentar

Ihre E-Mail Adresse wird nicht veröffentlicht.


* = Pflichtfelder
Bitte beachten Sie unsere Datenschutzerklärung

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.