Trotz der aktuellen Entwicklung im britischen Unterhaus besteht nach wie vor die Gefahr eines harten Brexits. Das ist eine Gefahr für den Datentransfer, da Großbritannien nach einem ungeregelten Austritt aus datenschutzrechtlicher Perspektive ab 1.11.2019 zu einem unsicheren Drittland würde. Der Austausch von Informationen würde dadurch viel komplexer und teurer. Abhilfe kann nur ein sogenannter Angemessenheitsbeschluss der EU-Kommission schaffen. Dazu müsste die EU-Kommission das Datenschutzniveau im UK als ausreichend anerkennen und Großbritannien als sicheres Drittland einstufen. Im Falle eines ungeregelten Brexits dürfte dies aber nicht rechtzeitig möglich sein. Unternehmen müssen sich also dringend wappnen.
© UnsplashDas gilt für Unternehmen jeder Größe quer durch alle Branchen. Laut einer Umfrage des IT-Branchenverbands Bitkom lässt jedes siebte Unternehmen personenbezogene Daten in Großbritannien verarbeiten. Betroffen ist nicht nur der Transfer in das Rechenzentrum eines Cloudanbieters in UK, sondern auch der innerhalb eines Konzerns, etwa mit britischen Niederlassungen und Tochtergesellschaften. Im ersten Schritt müssen Unternehmen prüfen, für welche personenbezogenen Daten ein harter Brexit relevant ist. In diesen Fällen lässt sich häufig mit Hilfe der EU-Standardvertragsklauseln eine rechtskonforme Übermittlung sicherstellen.
Wer personenbezogene Informationen ohne eine gesicherte Rechtsgrundlage übermittelt, riskiert hohe Bußgelder gemäß EU-Datenschutzgrundverordnung. Der Bundesdatenschutzbeauftragte Ulrich Kelber warnte kürzlich im Handelsblatt, dass es keine Übergangs- oder aufsichtsbehördliche Schonfrist geben werde.
Was ist also zu tun? Vier Schritte zu einem Notfallplan:
- Welche Prozesse und Informationen sind betroffen? Vorkehrungen sind nicht nur für die Übermittlung personenbezogener Daten nach England notwendig. Schon der Zugriff auf eine Kundendatenbank durch ein Unternehmen mit Sitz in UK kann zu Problemen führen.
- Sind die Hinweise über die Datenverarbeitung im Unternehmen entsprechend angepasst? Wie werden die Betroffenen informiert?
- Auf welcher Rechtsgrundlage ist der Transfer der Informationen weiterhin zulässig? Wurden die EU-Standardvertragsklauseln vereinbart? Für Alternativen einer rechtssicheren Datenübermittlung in ein Drittland, wie Binding-Corporate Rules, genehmigte Verhaltensregeln oder Zertifizierungen, ist ausreichend Zeit für die Vorbereitung einzuplanen.
- Ist der Wechsel in die Cloud eines internationalen Techkonzerns sinnvoll, der die Daten anders als ein mittelständischer Dienstleister rasch von einem britischen Rechenzentrum in eines auf dem Festland verlagern kann?
