Brüssel, 20. Oktober – Auf seiner letzten Plenartagung verabschiedete der EDSA zwei Stellungnahmen zu den Entwürfen von Beschlüssen der Europäischen Kommission über die Verlängerung der Geltungsdauer der Angemessenheitsbeschlüsse des Vereinigten Königreichs gemäß der Datenschutz-Grundverordnung (DSGVO) und der Richtlinie über die Strafverfolgung (LED) bis Dezember 2031.*
In den Stellungnahmen des EDSA, die von der Kommission gemäß Artikel 70 Absatz 1 Buchstabe s DSGVO und Artikel 51 Absatz 1 Buchstabe g der Richtlinie zum Datenschutz bei der Strafverfolgung angefordert wurden, geht es um die vorgeschlagene Verlängerung der beiden Angemessenheitsbeschlüsse des Vereinigten Königreichs um sechs Jahre, die im Dezember 2025 auslaufen sollen.
Die Verlängerung der Gültigkeit der Angemessenheitsbeschlüsse des Vereinigten Königreichs wird es Organisationen und zuständigen Behörden mit Sitz in Europa ermöglichen, weiterhin Daten an Organisationen und Behörden mit Sitz im Vereinigten Königreich zu übermitteln, ohne zusätzliche Garantien einzuführen.**
„Der EDSA begrüßt, dass trotz der jüngsten Änderungen des Rechtsrahmens des Vereinigten Königreichs die Angleichung zwischen dem britischen und dem europäischen Datenschutzrahmen fortgesetzt wird.
Ich fordere die Europäische Kommission auf, die vom Ausschuss hervorgehobenen Punkte anzugehen und für eine wirksame Überwachung nach der Annahme der Beschlüsse zu sorgen. Dies wird die Angemessenheit des Vereinigten Königreichs robuster machen und mehr Rechtssicherheit für Organisationen und zuständige Behörden gewährleisten, die personenbezogene Daten aus Europa in das Vereinigte Königreich übermitteln.“
EDSA-Vorsitzender, Anu Talus
Über die DSGVO-Stellungnahme
Dem Ausschuss zufolge zielen die meisten Änderungen am Datenschutzrahmen des Vereinigten Königreichs darauf ab, die Einhaltung der Rechtsvorschriften zu klären und zu erleichtern.
Einige Aspekte des Beschlussentwurfs könnten weiter präzisiert werden.
Der EDSA ersucht die Europäische Kommission, die Änderungen am Retained EU Law (Revocation and Reform) Act 2023, auch bekannt als REUL Act, weiter zu analysieren und zu überwachen, insbesondere die Streichung des Grundsatzes des Vorrangs des EU-Rechts und die Streichung der direkten Anwendung der Grundsätze des EU-Rechts.
Der EDSA stellt fest, dass dem Staatssekretär durch Sekundärverordnungen, die weniger parlamentarische Kontrolle erfordern, neue Befugnisse zur Einführung von Änderungen des neuen Datenschutzrahmens übertragen wurden. Dies gilt für internationale Übermittlungen, die automatisierte Entscheidungsfindung und die Leitung des Informationskommissariats (ICO). Der EDSA fordert die Kommission auf, mögliche Divergenzrisiken anzugehen, indem sie im endgültigen Angemessenheitsbeschluss die Bereiche hervorhebt, die sie sorgfältig zu überwachen beabsichtigen.
Der EDSA fordert die Kommission ferner auf, ihre Bewertung weiter auszuarbeiten und die Vorschriften für Übermittlungen aus dem Vereinigten Königreich in Drittländer zu überwachen. Der neue Angemessenheitstest, der mit dem Data (Use and Access) Act 2025 eingeführt wurde, verlangt, dass das Schutzniveau des Drittlandes nicht wesentlich niedriger ist als dasjenige, das im Rahmen des Vereinigten Königreichs für betroffene Personen vorgesehen ist, aber dieser Test bezieht sich nicht auf das Risiko des Zugangs der Regierung, das Bestehen von Rechtsbehelfen für Einzelpersonen und die Notwendigkeit einer unabhängigen Aufsichtsbehörde.
Die Kommission sollte auch die mutmaßliche Verwendung von TCN (Technical Capability Notices) durch die Regierung des Vereinigten Königreichs, die Unternehmen zur Umgehung der Verschlüsselung verpflichten, weiter bewerten und überwachen, da dies systemische Schwachstellen schaffen und ein Risiko für die Integrität und Vertraulichkeit der elektronischen Kommunikation darstellen würde.
Schließlich fordert der EDSA die Kommission auf, die Änderungen an der Struktur des ICO und die Ausübung seiner Korrekturbefugnisse weiter zu bewerten und zu überwachen. In diesem Zusammenhang nimmt der EDSA die Transparenzpolitik des ICO und die Verfügbarkeit der statistischen und analytischen Daten seiner Durchsetzungsmaßnahmen positiv zur Kenntnis.
Die neuen Angemessenheitsbeschlüsse werden die Beschlüsse von 2021 ergänzen, die weiterhin für Bereiche gelten, die nicht in den Beschlussentwürfen von 2025 abgedeckt sind. Der EDSA baut auf seinen Stellungnahmen von 2021 (14/2021 und 15/2021) auf. Insbesondere die im Jahr 2021 hervorgehobene enge Abstimmung zwischen dem DSGVO-Rahmen und dem Rechtsrahmen des Vereinigten Königreichs in Bezug auf wichtige Bestimmungen gilt auch heute noch (einschließlich beispielsweise Transparenz, Rechte betroffener Personen und besonderer Datenkategorien).
Über die LED-Stellungnahme
Der EDSA begrüßt die kontinuierliche Angleichung des Datenschutzrahmens in Europa und im Vereinigten Königreich und fordert die Kommission auf, ihre Bewertung zu Aspekten im Zusammenhang mit Ausnahmen von der nationalen Sicherheit zu ergänzen. Solche Ausnahmen können auf die meisten Datenschutzgrundsätze und einige internationale Transferregeln für Strafverfolgungsbehörden verzichten undauch die Durchsetzungs- und Kontrollbefugnisse von ICO einschränken.
Der EDSA fordert die Kommission auf, die Vorschriften des Vereinigten Königreichs für die Übermittlung personenbezogener Daten an Drittländer, insbesondere den neuen Angemessenheitstest, auf die gleiche Weise zu analysieren wie in der Stellungnahme zur DSGVO.
Der Board weist auch auf den permissiveren Ansatz für die automatisierte Entscheidungsfindung und die neuen Befugnisse hin, die dem Secretary of State in dieser Angelegenheit übertragen wurden. Er weist erneut darauf hin, wie wichtig eine sinnvolle menschliche Überprüfung ist, und fordert die Kommission nachdrücklich auf, mögliche Ausnahmen vom Recht des Einzelnen auf menschliches Eingreifen zu klären und zu überwachen.
Schließlich erkennt der EDSA an, dass das System der Aufsicht über Strafverfolgungsbehörden sowie die Rechtsbehelfsmechanismen weitgehend unverändert bleiben, und er bekräftigt, dass die Kommission die Anwendung der Korrekturbefugnisse und Rechtsbehelfe für Einzelpersonen im Datenschutzrahmen des Vereinigten Königreichs genau überwachen muss.
Hinweis für Redakteure:
* Am 22. Juli 2025 veröffentlichte die Europäische Kommission zwei Entwürfe zur Änderung von Durchführungsbeschlüssen über den angemessenen Schutz personenbezogener Daten durch das Vereinigte Königreich gemäß Artikel 45 Absatz 3 DSGVO und Artikel 36 Absatz 3 der Richtlinie zum Datenschutz bei der Strafverfolgung. Mit diesen Beschlussentwürfen soll die Gültigkeit der am 28. Juni 2021 angenommenen früheren Angemessenheitsbeschlüsse verlängert werden.
Im Mai 2025 erließ die Kommission einen Beschluss, mit dem die Geltungsdauer des Angemessenheitsbeschlusses des Vereinigten Königreichs von Juni bis Dezember 2025 um weitere sechs Monate verlängert wurde. Der EDSA nahm im Mai 2025 eine Stellungnahme zu dieser Verlängerung an.
** Ein Angemessenheitsbeschluss ist ein Schlüsselmechanismus in der EU-Datenschutzgesetzgebung, der es der Europäischen Kommission ermöglicht festzustellen, ob ein Drittland oder eine internationale Organisation ein angemessenes Datenschutzniveau bietet. Die Europäische Kommission ist befugt, auf der Grundlage von Artikel 45 der Verordnung (EU) 2016/679 zu bestimmen, ob ein Land außerhalb der EU ein angemessenes Datenschutzniveau bietet.
Der Erlass eines Angemessenheitsbeschlusses umfasst Folgendes: 1) Vorschlag der Europäischen Kommission; 2) eine Stellungnahme des Europäischen Datenschutzausschusses; 3) eine Genehmigung von Vertretern der EU-Länder; 4) die Annahme des Beschlusses durch die Europäische Kommission.
Die hier veröffentlichte Pressemitteilung wurde automatisch aus dem Englischen übersetzt. Der EDSA übernimmt keine Gewähr für die Richtigkeit der Übersetzung. Bitte beachten Sie den offiziellen Text in seiner englischen Fassung, falls Zweifel bestehen.