Heute wurde ein Paper der DSK zum Thema Brexit veröffentlich. Dies knapp einen halben Monat vor dem 29. März 2019, dem Austrittsdatum von Großbritannien gibt es nun für den geregelten und ungeregelten Austritt Hinweise:
“Informationen zu Datenübermittlungen aus Deutschland in das Vereinigte Königreich Großbritannien und Nordirland ab dem 30. März 2019”
Download: https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Brexit/Brexit-Positionspapier_final.pdf
Ich gehe von einem ungeregelten Austritt aus:
ungeregelter Austritt
“Für den Fall eines ungeregelten Austritts („No-Deal-Brexit“) wird das VK zu einem Drittland im Sinne der DS-GVO. Verantwortliche, die personenbezogene Daten an Partner im VK übermitteln wollen, müssen ab dem 30. März 2019 ihre Datenübermittlungen mit den besonderen Maßnahmen nach Kapitel V DS-GVO absichern. Die DSK verweist nachdrücklich auf die vom Europäischen Datenschutzausschuss (EDSA) veröffentlichte Information2 , die von allen datenübermittelnden Stellen unbedingt zu beachten ist.”
“Bei einer Datenübermittlung in das Drittland VK sollten die Verantwortlichen
1. feststellen, welche Verarbeitungen eine Übermittlung personenbezogener Daten
in das Drittland VK mit sich bringen,
2. das geeignete Datentransfer-Instrument für die jeweilige Situation festlegen,
3. das gewählte Datentransfer-Instrument so umsetzen, dass es für den 30. März
2019 bereit ist,
4. in der internen Dokumentation vermerken, dass Übermittlungen in das Drittland
VK erfolgen werden und
5. die Datenschutzerklärung zur Information der betroffenen Personen entsprechend
aktualisieren.
Konkretisierend zu den unter Schritt 4 und 5 genannten sind insbesondere folgende
Maßnahmen vorzusehen:
a) Im Informationsblatt zur Datenverarbeitung und in der Datenschutzerklärung einer Webseite ist über die Datenübermittlung in das Drittland VK und über die verwendeten geeigneten Datenschutzgarantien zu informieren (Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lit. f DS-GVO).
b) Wenn eine betroffene Person von ihrem Auskunftsrecht Gebrauch macht, ist sie auch über die Datenübermittlung in das Drittland VK und die verwendeten geeigneten Datenschutzgarantien zu informieren (Art. 15 Abs. 1 lit. c, Abs. 2 DS-GVO).
c) Im Verzeichnis von Verarbeitungstätigkeiten sind Datenübermittlungen in das Drittland VK als solche zu bezeichnen und die weiteren in diesem Zusammenhang geforderten Angaben zu machen (Art. 30 Abs. 1 lit. d und lit. e DS-GVO bzw. Art. 30 Abs. 2 lit. c DS-GVO)”
Hinweis: Dieses Dokument der DSK ist nur als eine Meinungsäußerung zu werten und eine Orientierungshilfe. Rechtlich ist das Paper ohne Bindung. Es entwickelt auch keine Haftung.