Seit dem Ausscheiden aus der EU ist die DSGVO im Vereinigten Königreich nicht mehr anwendbar (d.h. nur noch in Fällen, die kollisionsrechtlich unter die DSGVO fallen). Stattdessen hat UK die DSGVO als “UK GDPR” in nationales Recht überführt (dazu hier) – ein Beispiel eines infolge des Brexit nationalisierten Erlasses. Dabei soll es aber nicht bleiben; vielmehr scheint das Königreich seine neugewonnene Freiheit auch im Bereich des Datenrechts nutzen zu wollen. Unter dem Motto “Data: a new direction” hat die Regierung eine Konsultation lanciert, zu
reforms to create an ambitious, pro-growth and innovation-friendly data protection regime that underpins the trustworthy use of data
Das ist Teil der offiziellen Datenstrategie, die der Secretary of State for Digital, Culture, Media and Sport so umschrieben hat:
This National Data Strategy aims to do exactly that, building on our manifesto pledge to improve data use in government, and going further. It seeks to maintain the high watermark of data use set during the pandemic, and to free up businesses and organisations to keep using data to innovate, experiment and drive a new era of growth. It seeks to harness the power of data to boost productivity, create new businesses and jobs, improve public services and position the UK as the forerunner of the next wave of innovation.
Dass es die EU schaudert, kann man sich ausmalen. Ob es UK gelingt, das Joch der DSGVO abzuwerfen – und ob es das wirklich will – bleibt abzuwarten.
Von praktischer Bedeutung sind derzeit eher die Standardvertragsklauseln. Am 2. Februar 2022 hat der zuständige Staatssekretär nach erfolgtem Abschluss der Vernehmlassung das finalisierte International Data Transfer Agreement (IDTA) zu den EU-Standardklauseln vorgelegt, das für UK dann die Standardklauseln ersetzt (Medienmitteilung). Zugleich wurde das Addendum veröffentlicht, das es erlaubt, die Standardklauseln – eben mit dem Addendum – weiterhin einzusetzen.
Beides muss noch vom Parlament genehmigt werden und soll am 21. März 2022 “in Kraft treten”, darf aber bereits heute verwendet werden (mit dem Restrisiko, dass das Parlament nein sagt).
Übergangsrechtlich können Datenexporteure, die unter Art. 44 ff. UK GDPR fallen, die EU-Standardklauseln noch bis am 21. September 2022 einsetzen und diese dann bis am 21. März 2024 weiter verwenden, wie bei der Einführung der neuen EU-Standardklauseln aber nur unter für Datenflüsse, deren Gegenstand sich ab dem 21. September 2022 nicht geändert hat.