Harter Brexit bedroht Datenverkehr in Europa

Ob Großbritanniens Premierministerin Theresa May am heutigen Dienstag mit ihrem Plan B einen Weg aus dem Brexit-Dilemma ebnen kann, ist mehr als ungewiss. Nicht umsonst mahnten EU-Vertreter vor einer Reihe von Abstimmungen im britischen Unterhaus zur Ruhe.

„Die EU-27 sind gut beraten, nicht in Panik zu geraten“, sagte ein EU-Diplomat am Montag in Berlin. Denn es könne sein, dass die Voten den Charakter von Testabstimmungen hätten und dass es angesichts der Fülle von Anträgen und der verworrenen Mehrheitsverhältnisse auch danach keine Klarheit gebe, welches Verhältnis Großbritannien nach einem Austritt mit der EU anstrebe.

Im Parlament wurden über ein Dutzend Anträge von Abgeordneten eingebracht, mit denen die bisherige Position der Regierung entweder in Richtung eines härteren oder eines weicheren Brexits gelenkt werden soll. Welcher eine Mehrheit bekommen könnte, gilt als völlig offen.

Premierministerin May hatte für ihren mit der EU über zwei Jahre ausgehandelten Austrittsvertrag im Unterhaus keine Mehrheit erhalten. Ohne eine Einigung droht am 29. März ein ungeordneter Austritt Großbritanniens. „Darauf ist die EU vorbereitet“, betonte der EU-Diplomat zwar. Doch führende Vertreter der deutschen Wirtschaft sehen das anders. Sie warnen eindringlich vor den Folgen eines ungeordneten Brexits für den grenzüberschreitenden Datenverkehr in Europa.

„Kommt der harte Brexit, ist der Datenverkehr mit einem Land wie Uruguay ab dem 30. März einfacher als mit dem Vereinigten Königreich“, sagte der Präsident des IT-Verbands Bitkom, Achim Berg, dem Handelsblatt. Deutsche Unternehmen müssten ihre britischen Geschäftspartner oder Dienstleister dann so behandeln, als säßen sie außerhalb der EU. „Wer dies missachtet, verstößt gegen die Datenschutzgrundverordnung DSGVO – mit den bekannten hohen Bußgeldrisiken.“

Hintergrund ist, dass Großbritannien ohne einen Brexit-Vertrag datenschutzrechtlich als Drittland eingestuft würde. Die DSGVO sieht in solchen Fällen für die Datenübermittlung strenge Vorgaben vor – verlangt wird ein Datenschutzniveau, das europäischen Standards im Wesentlichen gleichwertig ist.

Als sichere Drittländer in dieser Hinsicht gelten etwa Uruguay, Japan oder die USA, denen die EU-Kommission per „Angemessenheitsbeschluss“ ein angemessenes Datenschutzniveau bestätigt hat. Eine solche Vereinbarung gibt es zwischen der EU und Großbritannien bislang nicht. Sie müsste durch die Kommission auf den Weg gebracht werden.

Die DSGVO gilt seit dem 25. Mai in allen 28 EU-Ländern, dazu zählt derzeit auch noch Großbritannien. Die neuen Regeln sollen vor allem Verbraucher besser schützen. So wird etwa die Verarbeitung personenbezogener Daten durch Unternehmen, Vereine oder Behörden deutlich strenger geregelt als bisher.

Verbraucher müssen darüber informiert werden, wer Daten wie Name, Adresse, E-Mail-Adresse und Ausweisnummer aus welchem Grund sammelt - und dem dann zustimmen. Bei Verstößen gegen die neuen EU-Regeln drohen Strafen von bis zu vier Prozent des weltweiten Jahresumsatzes.

Der Hauptgeschäftsführer des Deutschen Industrie- und Handelskammertags (DIHK), Martin Wansleben, rechnet im Fall eines ungeregelten EU-Austritts der Briten mit zusätzlicher Bürokratie für deutsche Unternehmen. „Insbesondere für Dienstleister drohen negative Auswirkungen im Bereich des Datenschutzes“, sagte Wansleben dem Handelsblatt. „Mit Großbritannien als Drittland entsteht zusätzlicher Aufwand, sobald Unternehmen personenbezogene Daten auf die andere Seite des Kanals übermitteln.“ Das betreffe insbesondere Banken und Versicherungen.

„75 Prozent der grenzüberschreitenden britischen Datenströme gehen in EU-Länder“

Immerhin jedes siebte Unternehmen in Deutschland (14 Prozent) lässt personenbezogene Daten über externe Dienstleister in Großbritannien verarbeiten. Das zeigt eine repräsentative Umfrage des Bitkom unter mehr als 500 Unternehmen in Deutschland aus dem Jahr 2018.

Auch der Bundesverband der Deutschen Industrie (BDI) schlug im vergangenen Jahr Alarm. Der Datenfluss zwischen Großbritannien und der EU werde „unmittelbar vom Brexit betroffen“ sein, heißt es in einer BDI-Mitteilung vom März 2018. „75 Prozent der grenzüberschreitenden britischen Datenströme gehen in EU-Länder.“ Schon seinerzeit mahnte der Industrieverband, dass ein „Angemessenheitsbeschluss“ der EU-Kommission „schnellstmöglich“ angestrebt werden müsse. Außerdem müssten für eine Übergangszeit „Lösungen für den freien Datenfluss“ gefunden werden. Großbritannien ist einer der wichtigsten Handelspartner Deutschlands. Ein ungeordneter Brexit würde die Wirtschaft hart treffen.

Angesichts der unklaren Lage in Großbritannien hält Bitkom-Präsident Berg nun Eile für geboten. „Für Unternehmen rennt die Zeit“, sagte er. Es sei denn, sie hätten zum Beispiel die explizite Einwilligung jedes einzelnen Betroffenen zur Verarbeitung ihrer Daten eingeholt, unzählige Verträge mit sogenannten Standardvertragsklauseln angepasst oder sich als Konzern verbindliche interne Datenschutzvorschriften genehmigen lassen.

„Vor allem für kleinere Betriebe sind diese Umstellungen nicht mehr zu schaffen“, ist Berg überzeugt. Daher rät er, jetzt „sämtliche Datenströme in das Vereinigte Königreich zu überprüfen, um mögliche Verstöße gegen die DSGVO zu verhindern“. Die Unternehmen brauchten jetzt Hilfestellungen – auch von den Behörden.

Auch der DIHK-Hauptgeschäftsführer Wansleben drängt zum Handeln, damit auch künftig Datenaustausch zwischen den Unternehmen auf beiden Seiten des Kanals stattfinden könne. „Das No-Deal-Szenario ist wahrscheinlicher denn je“, sagte er. „Daher sollten Unternehmen zunächst identifizieren, welche Prozesse betroffen sind und dann Anpassungen vornehmen“, sagte er.

„Die Zeit drängt“, betonte Wansleben. Der DIHK empfehle Unternehmen mit Geschäftsbeziehungen nach Großbritannien daher „dringend, sich mithilfe unserer Brexit-Checkliste vorzubereiten“. Fast 25.000 Aufrufe machten deutlich, dass die Unternehmen „großen Beratungsbedarf“ hätten.

Behörden haben Thematik „mit großer Priorität im Blick“

Die Aufsichtsbehörden sind alarmiert. Man sei sich im Klaren darüber, dass der Datentransfer ab Ende März bei einem harten Brexit für viele Unternehmen „massiv in Frage gestellt“ sei, sagte der Hamburger Datenschützer Johannes Caspar dem Handelsblatt. „Hier droht der Rückfall in einen datenschutzrechtlichen Naturzustand.“ Das heißt in ein Stadium ohne eindeutige datenschutzrechtliche Regulierung.

„Unternehmen sollten bereits heute darauf reagieren, indem sie wirksame Übermittlungstatbestände schaffen oder ihre Daten künftig anderweitig verarbeiten“, rät Caspar. Gleichzeitig versicherte er, dass die europäischen Datenschutzaufsichtsbehörden und der Europäische Datenschutzausschuss die Thematik „mit großer Priorität im Blick“ hätten und hierzu weitere Informationen geben würden.

Wie schwierig die Lage ist, zeigt der Umstand, dass May erneut mit den 27 EU-Partnern verhandeln will, die aber zunächst Klarheit über die Wünsche in London wollen. Mays Niederlage im Parlament sei „vernichtend“ gewesen, sagte die Vize-EU-Brexit-Unterhändlerin Sabine Weyand am Montag in Brüssel. Danach eine positive Mehrheit für den Austritts-Deal zu formen, sei „sehr schwierig“.

In der EU-Kommission wird darauf verwiesen, dass May bereits sieben Mal Vereinbarungen mit der EU nachverhandeln wollte. „Wenn May nach Brüssel kommen sollte, wäre es gut, wenn sie ein breites Verhandlungsmandat hätte und sagen könnte, dass sie dafür dann eine Mehrheit im britischen Parlament hat.“

Eine Verschiebung des Austrittsdatums sei möglich, wenn mehr Zeit für Verhandlungen, Neuwahlen oder ein zweites Referendum benötigt würde, sagte ein EU-Diplomat. Allerdings sei es ausgeschlossen, dass das Austrittsdatum über den Tag der Europawahl Ende Mai verlängert werde, ohne dass Großbritannien an der Wahl teilnehme.