{"id":28860,"date":"2016-07-05T17:04:57","date_gmt":"2016-07-05T15:04:57","guid":{"rendered":"https:\/\/www.hiig.de\/en\/?p=28860"},"modified":"2023-03-28T17:25:13","modified_gmt":"2023-03-28T15:25:13","slug":"brexit-and-data-protection","status":"publish","type":"post","link":"https:\/\/www.hiig.de\/en\/brexit-and-data-protection\/","title":{"rendered":"Brexit and data protection"},"content":{"rendered":"

What would BREXIT mean for the admissibility of data exchange between the EU and the UK? A brief outline in the context of the ECJ\u2019s safe harbour decision and the draft Investigatory Powers Bill of the UK.\u00a0<\/strong><\/p>\n

If Brexit was to become a reality: Do companies need to stop data flows between the continent and the British island? The article looks at the possibilities for legitimate EU-UK data transfers on the basis of the EU General Data Protection Regulation in case the UK will leave the EU. It discusses the chances of a positive adequacy decision, which requires the Commission to confirm that UK legislation guarantees a data protection level that equals the EU level. Due to the ECJ\u2019s ruling regarding the EU-US safe harbour framework it pays special attention to the British surveillance scheme with the draft Investigatory Powers Bill.\u00a0<\/em><\/p>\n

Einen Monat nachdem die Datenschutzgrundverordnung (EU-DSGVO)<\/a> in Kraft getreten ist, haben sich die Briten in einem Referendum mit knapper Mehrheit f\u00fcr einen Austritt aus der EU ausgesprochen.<\/p>\n

Das Referendum ist zwar f\u00fcr die britische Regierung rechtlich nicht bindend<\/a> und das Vereinigte K\u00f6nigreich bleibt so lange Mitglied der EU, bis das Land dem Europ\u00e4ischen Rat gem\u00e4\u00df Art.\u00a050 Abs.\u00a02 S.\u00a01 EUV<\/a> seine Austrittsabsicht offiziell mitteilt. Anschlie\u00dfend l\u00e4uft jedoch eine Zwei-Jahres-Frist, nach deren Ablauf (oder bei vorherigem Abschluss eines Austrittsabkommens auch fr\u00fcher) gem\u00e4\u00df Art.\u00a050 Abs.\u00a03 EUV die Vertr\u00e4ge und damit auch das europ\u00e4ische Sekund\u00e4rrecht keine Anwendung mehr finden.<\/p>\n

Erkl\u00e4rt das Vereinigte K\u00f6nigreich seine Austrittsabsicht offiziell, wird nach Ablauf dieser Frist auch die Datenschutzgrundverordnung, die ab dem 25. Mai 2018 \u2013 zwei Jahre nach ihrer Ver\u00f6ffentlichung\u2013\u00a0 wirksam sein wird, dort grunds\u00e4tzlich nicht mehr anwendbar sein. Ausnahmen werden f\u00fcr britische Firmen nur nach dem Marktortprinzip des Art.\u00a03 Abs.\u00a02 EU-SGVO gelten. Danach gilt das EU-Datenschutzrecht auch f\u00fcr nicht innerhalb der Union ans\u00e4ssige Unternehmen hinsichtlich der personenbezogenen Daten von Personen, die sich in der Union befinden, wenn und soweit die Unternehmen ihre Waren oder Dienstleistungen diesen Personen auf dem europ\u00e4ischen Markt angeboten haben.<\/p>\n

Post-Brexit: Zul\u00e4ssigkeit der Daten\u00fcbermittlung auf Grundlage eines Angemessenheitsbeschlusses?<\/h3>\n

Nach einem Brexit w\u00e4re das Vereinigte K\u00f6nigreich ein sog. Drittland wie beispielsweise Australien, Israel oder die USA es bereits heute sind. F\u00fcr Datentransfers w\u00fcrden daher die Vorschriften der Art. 44 ff. EU-DSGVO (heute noch: \u00a7\u00a7\u00a04b, 4c BDSG) gelten. Danach w\u00e4re ein Transfer personenbezogener Daten aus der EU in das Vereinigte K\u00f6nigreich grunds\u00e4tzlich nur in den folgenden zwei F\u00e4llen zul\u00e4ssig:<\/p>\n

Einmal k\u00f6nnte die Kommission nach Art.\u00a045 EU-DSGVO feststellen, dass im Zielland UK ein angemessenes Datenschutzniveau vorliegt. Dieser Beschluss setzt eine nationale Gesetzgebung voraus, die ein mit dem europ\u00e4ischen Datenschutzrecht (heute noch mit der Datenschutzrichtlinie, zuk\u00fcnftig mit der EU-DSGVO) vergleichbaren Datenschutz vorsieht. Ohne einen solchen umfassenden Angemessenheitsbeschluss k\u00f6nnte der einzelne Verantwortliche oder der einzelne Auftragsdatenverarbeiter gem\u00e4\u00df Art. 46 EU-DSGVO angemessene Garantien in Standardvertragsklauseln oder verbindlichen internem Datenschutzvorschriften vorsehen und den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verf\u00fcgung stellen.<\/p>\n

Ein Angemessenheitsbeschluss scheint auf den ersten Blick die wahrscheinliche L\u00f6sung, gelten doch im Vereinigten K\u00f6nigreich bis zum Austritt die europ\u00e4ischen Regelungen, so dass jedenfalls ein gleichwertiges Datenschutzniveau gew\u00e4hrleistet sein sollte.<\/p>\n

Zweifel aufgrund der UK-\u00dcberwachungsbefugnisse<\/h3>\n

Andererseits kommen mit Blick auf die Safe Harbour-Entscheidung des EuGH (dazu schon hier<\/a> und hier<\/a>) erhebliche Zweifel auf: darin hatte der EuGH massiv Befugnisse der Geheimdienste in den USA kritisiert. Dabei ist bekannt, dass auch die britischen Nachrichtendienste, vor allem der GCHQ, in \u00e4hnlichem Umfang Daten sammeln. Erst Anfang Juni hat das britische Parlament der Investigatory Power Bill (IPB) zugestimmt<\/a>, die die ohnehin weitgehenden \u00dcberwachungsbefugnisse britischer Sicherheitsbeh\u00f6rden<\/a> und die damit einhergehenden Verpflichtungen privater Unternehmen nochmals drastisch erweitert. Nachdem der EuGH die Vorratsdatenspeicherung gekippt und der \u201aEnglish High Court\u2018 das entsprechende nationale Gesetz (\u201aData Retention and Investigatory Powers Act\u2018) f\u00fcr unvereinbar mit EU-Recht erkl\u00e4rt hatte, liegt jetzt die IPB vor. Darin sollen unter anderem Internet Service Provider verpflichtet werden, die Metadaten jeglicher Internetkommunikation, also wer sich wann von wo und wie mit welchem Internetdienst verbunden hat, f\u00fcr ein Jahr zu speichern. Diese Daten k\u00f6nnen dann ohne richterlichen Beschluss von Geheimdiensten und der Polizei, aber auch von anderen \u00f6ffentlichen Stellen durchsucht werden. Das \u00dcberwachungsgesetz legalisiert zudem Abh\u00f6rpraktiken des Nachrichtendienstes GCHQ an Internetknotenpunkten und Unterseekabeln. Dieser Entwurf, der im Vereinigten K\u00f6nigreich auch \u201eSnoopers’ Charter\u201c genannt wird, wird stark kritisiert<\/a> \u2013\u00a0auch vom Menschenrechtskommissar des Europarats<\/a>.<\/p>\n

Ausblick: schwierige Verhandlungen<\/h3>\n

Vor diesem Hintergrund ist es \u2013\u00a0wie Jan Philipp Albrecht bereits twitterte<\/a> \u2013 durchaus denkbar, dass es doch nicht einfach und schnell zu einer Angemessenheitsentscheidung kommt. Unter Umst\u00e4nden m\u00fcssen Unternehmen ihren Datenfluss also zwischenzeitlich auf andere Mittel wie Standardvertragsklauseln st\u00fctzen, obwohl auch dabei zweifelhaft ist, ob diese Mittel angesichts der nationalen \u00dcberwachungsbefugnisse \u00fcberhaupt eine angemessene Garantie darstellen k\u00f6nnten. Dadurch erscheinen auch die Verhandlungen zum EU-US-Privacy-Shield<\/a> noch gewichtiger, weil die dort erarbeiteten Standards zum Datenaustausch ggf. sp\u00e4ter auf das Vereinigte K\u00f6nigreich auch f\u00fcr eine Vereinbarung zwischen EU und UK \u00fcbernommen werden k\u00f6nnten.<\/p>\n

Ein Glaubw\u00fcrdigkeitsproblem?<\/h3>\n

Es mutet paradox an, dass durch einen Brexit der Einfluss der EU auf die \u00dcberwachungsmechanismen im Vereinigten K\u00f6nigreich gr\u00f6\u00dfer w\u00fcrde als er es vor dem Austritt war (dazu aus Anlass der Safe Harbour-Entscheidung bereits n\u00e4her hier<\/a>). Aus deutscher Sicht ist die Entwicklung nicht nur im Hinblick auf die Wirtschaft und den Schutz der B\u00fcrger \u201evor den britischen Diensten\u201c, sondern auch vor dem Hintergrund der diskutierten Reformen der Befugnisse<\/a> und der Aufsicht<\/a> \u00fcber die deutschen Nachrichtendienste \u00e4u\u00dferst interessant. Wie bereits zur Safe Harbour-Entscheidung angemerkt<\/a>, sollten auch die EU-Mitgliedsstaaten die vom EuGH dargelegten Standards der Europ\u00e4ischen Grundrechtecharta bei ihrer nachrichtendienstlichen \u00dcberwachung einhalten \u2013 gerade im Hinblick ihr politisches Gewicht in Verhandlungen mit Drittl\u00e4ndern. Alles andere untergr\u00e4bt ihre Glaubw\u00fcrdigkeit!<\/p>\n

This post is part of a weekly series of articles by\u00a0doctoral canditates<\/a>\u00a0of the Alexander von Humboldt Institute for Internet and Society. It does not necessarily represent the view of the Institute itself. For more information about the topics of these articles and asssociated research projects, please contact\u00a0info@hiig.de<\/a>.<\/h4>\n