Dr. André Schmidt

Kurz vor Ablauf der vereinbarten Brexit-Übergangsfrist Ende Dezember 2020 haben die Europäische Union (EU) und Großbritannien (UK) doch noch zueinander gefunden und den Entwurf eines Handels- und Kooperationsabkommens beschlossen. Der im Deutschen 1390 Seiten starke Vertrag (abrufbar hier) muss noch ratifiziert werden, ist jedoch bereits vorläufig bis zum 28. Februar 2021 anwendbar und hat das Schreckens-Zenario eines harten Brexit gerade noch abgewendet.

Auch im Hinblick auf den Datenschutz enthält das Abkommen eine kurze, wenn auch wichtige Regelung, deren Inhalt und Bedeutung im Folgenden kurz vorgestellt werden soll.

Voraussetzungen für den internationalen Datentransfer

Zum besseren Verständnis der Regelungen im Abkommen möchten wir kurz in die Voraussetzungen des internationalen Datentransfers einführen:

Für das europäische Datenschutzrecht spielt es eine bedeutende Rolle, wo ein Verantwortlicher personenbezogene Daten verarbeitet. Innerhalb der EU geht die Datenschutzgrundverordnung (DSGVO) davon aus, dass in jedem Mitgliedsstaat ein angemessenes Datenschutzniveau herrscht und Daten beliebig zwischen den Mitgliedsstaaten übermittelt werden können.

Sobald Daten jedoch von einem Verantwortlichen in der EU in einen Nicht-EU-Staat (sog. Drittstaat) übermittelt werden sollen, stellt die DSGVO besondere Anforderungen: Nach Art. 44 DSGVO muss in diesem Fall eine Rechtsgrundlage für den Datentransfer bestehen. In Frage kommen dabei in erster Linie:

• Ein Angemessenheitsbeschluss der EU-Kommission. Die EU-Kommission kann beschließen, dass in einem Drittstaat ein angemessenes Datenschutzniveau herrscht. Daten können in diesem Fall in diese Staaten transferiert werden, als würden sie zur EU gehören.
• Geeignete Garantien nach Art. 46 DSGVO. Besondere Bedeutung haben dabei die sog. Standarddatenschutzklauseln (auch „SCC“ abgekürzt). Dabei handelt es sich um vertragliche Regelungen, die zwischen Verantwortlichen in der EU und Datenempfängern in einem beliebigen Drittstaat vereinbart werden können. Der Empfänger sichert darin kurz gesagt die Einhaltung des EU-Datenschutzniveaus zu.

Im Falle eines harten Brexit hätten europäische Verantwortliche wohl oder übel hauptsächlich auf SCC zurückgreifen müssen. Dies wäre aufgrund der Entscheidung des Europäischen Gerichtshofs (EuGH) in Sachen „Schrems II“ aus Mitte 2020 (Rs. C 311/18) jedoch alles andere als einfach geworden. Der EuGH hat mit seiner Entscheidung nämlich hohe Hürden für den Einsatz der SCC formuliert, die vom Europäischen Datenschutzausschuss im November 2020 konkretisiert wurden.

Datenschutzrechtliche Regelungen des neuen Abkommens

In Abschnitt 7 des Abkommens unter „Artikel FINPROV.10A: Übergangsbestimmung für die Übermittlung personenbezogener Daten an das Vereinigte Königreich“ finden sich die datenschutzrechtlichen Regelungen, die europäische Verantwortliche zunächst einmal froh stimmen dürften.

Für die Dauer von vier Monaten nach Inkrafttreten des Abkommens gilt UK nicht als Drittland, so dass Daten aus Europa erst einmal weiterhin ohne besondere Vorkehrungen übertragen werden können. Der Zeitraum verlängert sich um weitere zwei Monate, sofern keine der Vertragsparteien widerspricht. Effektiv wurde damit also eine Übergangsfrist von sechs Monaten geschaffen, in der Großbritannien so behandelt wird, als gehörten sie weiter zur EU. Während dieser Zeit will die EU-Kommission, wie in der am 26. Dezember 2020 veröffentlichen gemeinsamen Erklärungen von EU und UK, einen Angemessenheitsbeschluss prüfen.

Rechtmäßigkeit der Regelung und Reaktion der DSK

Bereits kurz nach der Veröffentlichung des Abkommens gab es die ersten Stimmen, die die Rechtmäßigkeit der datenschutzrechtlichen Regelung anzweifelten. Teilweise wurde dabei vorgebracht, die DSGVO kenne in ihrem fünften Kapitel kein System, nach dem die EU-Kommission schlicht beschließen könne, Nicht-EU-Staaten seien nicht als Drittstaaten zu behandeln. Andere verwiesen dagegen auf den völkerrechtlichen Charakter des Abkommens.

Diese Überlegungen dürfen von Unternehmensverantwortlichen als dogmatische Diskussionen ohne praktische Relevanz betrachtet werden, denn die Konferenz der deutschen Datenschutzaufsichtsbehörden (DSK) hat als Reaktion auf das Abkommen in ihrer Pressemitteilung vom 28. Dezember 2020 festgestellt, dass ein Datentransfer nach Großbritannien auf Basis des Abkommens vorerst weiter möglich ist. Von den Aufsichtsbehörden haben die Verantwortlichen also nichts zu befürchten, wenn sie dem Abkommen entsprechend verfahren.

Ausblick und Praxishinweis

Unternehmensverantwortliche stellen sich nun die Frage, wie es nach dem Ende der sechsmonatigen Übergangsfrist weitergeht. Es gibt zwei denkbare Szenarien:

1. Szenario 1: Die EU-Kommission erlässt einen Angemessenheitsbeschluss für Großbritannien. In diesem Fall müssen die Verantwortlichen nur ihre Datenschutzinformationen und ihr Verarbeitungsverzeichnis anpassen.
2. Szenario 2: Es gibt keinen Angemessenheitsbeschluss. Dann müssen die Verantwortlichen eine andere wirksame Rechtsgrundlage für den Transfer finden. In der Regel wird es wohl auf SCC hinauslaufen. Hier stellen sich dann jedoch die oben angesprochenen Probleme.

Wir gehen derzeit davon aus, dass die Verabschiedung eines Angemessenheitsbeschlusses eher wahrscheinlich ist. Hierfür sprechen vor allem politische und wirtschaftliche Gründe. Der Effekt eines umfangreichen und differenzierten Handelsabkommens, das den wirtschaftlichen Austausch zwischen den beiden eng verflochtenen Handelszonen sicherstellen soll, würde untergraben, wenn die Unternehmen in Punkto Datentransfer keine echte Rechtssicherheit hätten. Hieran ändert vermutlich auch wenig, dass zahlreiche Datenschützer sich entschieden dagegen aussprechen, dass UK als datenschutzrechtlich sicheres Drittland eingestuft wird.

Sollte das Szenario 2 eintreten (wofür u.a. die Zugriffsrechte amerikanischer Geheimdienste im Rahmen des Cloud-Act sprechen könnten), stellt sich die Frage, ob und wenn ja wie man sich auf diesen Fall nun vorbereiten kann und sollte. Folgende Maßnahmen sollten erwogen werden:

• Sofern nicht bereits im Nachgang zu der „Schrems II“-Entscheidung des EuGH oder zur Vorbereitung auf einen harten Brexit geschehen, sollten zumindest alle Datentransfers nach UK identifiziert werden (sog. Mapping). Dies dient dazu, nach Ablauf der Sechsmonatsfrist möglichst schnell reagieren zu können.
• Zusätzlich können bereits jetzt SCC mit den UK-Vertragspartnern vereinbart werden. Soweit wie möglich sollten in diesem Zuge dann die Voraussetzungen der „Schrems II“-Entscheidung umgesetzt werden. Probleme kann in diesem Zusammenhang die fundierte Bewertung des britischen Datenschutzniveaus bereiten.

Alles in allem bedeutet das Abkommen für die Verantwortlichen sechs Monate Ruhe und die Hoffnung, dass im Anschluss an die Übergangsphase ein Angemessenheitsbeschluss für Großbritannien stehen wird. Geht es nach den Unternehmen, muss eine Situation wie sie derzeit im Hinblick auf die USA besteht, um jeden Preis verhindert werden. Schließlich ist Großbritannien für europäische Unternehmen auch digital ein wichtiger Partner.

Wirkungen des Brexit-Abkommens

Eine Unionsmarke bzw. ein Gemeinschaftsgeschmacksmuster (zusammengefasst „Schutzrecht“) bietet Schutz in sämtlichen Mitgliedsstaaten der EU. Nach Vollzug des Brexits gilt das Vereinigte Königreich als „Drittland“ außerhalb der EU, sodass eine Unionsmarke bzw. ein Gemeinschaftsgeschmacksmuster dort keinen direkten Schutz mehr bieten.

Das Brexit-Abkommen hat auf die bereits zuvor bestandene Rechtslage zum Schutz der Marken- und Designrechte keine größeren Auswirkungen. Zwar sieht das Abkommen in u.a. 57 Artikeln zum Geistigen Eigentum verschiedene Regelungen vor, kurzfristige Änderungen in Bezug auf die Anmeldung, Registrierung und Durchsetzung von Marken- und Designrechten sind dort nicht enthalten.

Was bedeutet das für Sie bzw. Ihr Schutzrecht?

• Wenn Sie Inhaber eines bis zum 31. Dezember 2020 eingetragenen Schutzrechts sind, wird das britische Amt für Geistiges Eigentum (UKIPO) einen sog. „vergleichbaren Schutz“ gewährleisten. Konkret: Das UKIPO trägt einen „Klon“ des Schutzrechts als nationales Recht im Vereinigten Königreich ein. Für dieses Schutzrecht gilt zunächst die Schutzdauer der Unionsmarke bzw. des Gemeinschaftsgeschmacksmusters fort. Die Rechte nach einer möglichen Verlängerung der Schutzdauer richten sich dann nach nationalem Recht im Vereinigten Königreich. Ab Ende des Jahres 2023 müssen für diese „Klone“ ggf. Ansprechpartner im Vereinigten Königreich benannt werden (z.B. eine in Großbritannien ansässige Rechtsanwaltskanzlei).

• Wenn Sie bis zum 31. Dezember 2020 ein Schutzrecht beim EUIPO angemeldet haben, das noch nicht eingetragen ist, können Sie gegen Zahlung bestimmter Amtsgebühren ein nationales Recht beim UKIPO anmelden. Wird diese Anmeldung spätestens bis zum 30. September 2021 vorgenommen, können Sie für das Schutzrecht ggf. die frühere Priorität der Unionsmarke in Anspruch nehmen. Für den Antrag ist die Hinzuziehung eines britischen Vertreters erforderlich (üblicherweise einer UK-Rechtsanwaltskanzlei).

• Unionsmarken und Gemeinschaftsgeschmacksmuster, die Sie nach dem 1. Januar 2021 anmelden möchten, gelten als reine Schutzrechte in den „EU27-Staaten“ ohne das Vereinigte Königreich. Wer Schutz auch im Vereinigten Königreich erhalten möchte, muss dort – wie in jedem anderen Drittland – ein eigenes nationales Recht anmelden. Auch hier muss ein Ansprechpartner im Vereinigten Königreich benannt werden (also üblicherweise einer UK-Rechtsanwaltskanzlei).

• Wenn Sie Lizenz- und/oder Abgrenzungsvereinbarungen (Koexistenzvereinbarungen) geschlossen haben, sollten Sie prüfen, ob diese auch das Gebiet des Vereinigten Königreichs abdecken. Häufig findet sich in diesen Vereinbarungen eine Formulierung ähnlich wie „mit Wirkung für die Europäische Union“. Hier sollte ggf. über eine Ergänzungsvereinbarung klargestellt werden, dass das Vereinigte Königreich erfasst ist.

Relevanz hat der Brexit bspw. auch auf

• laufende Widerspruchs- und Löschungsverfahren,
• Internationale Registrierungen über die WIPO und
• die Durchsetzung von Verbotstiteln,

soweit diese sich auf das Vereinigte Königreich erstrecken (sollen).  

Was sollten Sie jetzt im Hinblick auf Ihre Markenrechte und Designs tun?

Bei noch nicht abschließend eingetragenen Anmeldungen sowie gänzlich neuen Anmeldungen von Unionsmarken und Gemeinschaftsgeschmacksmustern sollten Schutzrechtsinhaber überlegen, ob Sie den Schutz Ihrer Rechte auf Großbritannien erweitern möchten.

In vielen Fällen bedarf es zukünftig eines Ansprechpartners mit Sitz in Großbritannien, über den die Korrespondenz des Amtes geführt wird. LUTZ | ABEL arbeitet insoweit mit ausgewählten britischen Kanzleien zusammen.

Sofern Lizenz- und Abgrenzungsvereinbarungen auch im Vereinigten Königreich gelten sollen, ist bei diesen zu prüfen, ob ggf. eine Ergänzungsvereinbarung erforderlich ist.

Erst letzte Woche stellte der Europäische Datenschutzausschuss (EDSA – das Gremium der europäischen Datenschutzaufsichtsbehörden) seine Guidelines für zusätzliche Schutzmaßnahmen bei internationalem Datentransfer vor. Wie heute bekannt wurde, ist Microsoft das erste der großen US-Tech-Unternehmen, das auf diese Leitlinien reagiert und zusätzliche Schutzmaßnahmen für Unternehmenskunden sowie Kunden aus dem öffentlichen Sektor implementiert. Microsoft teilt in einer Stellungnahme mit, dass man ab sofort weitere vertragliche Verpflichtungen gegenüber den Kunden eingehen werde, die das Datenschutzniveau bei internationalem Datentransfer absichern sollen.

Konkret nimmt Microsoft folgende Ergänzungen vor: Die bestehenden, in die Kundenverträge implementierten Standarddatenschutzklauseln werden um eine Zusatzvereinbarung namens „Additional Safeguards Addendum to Standard Contractual Clauses“ ergänzt. Diese ist hier abrufbar.

Kerninhalt der Zusatzvereinbarung sind zwei vertragliche Garantien, die Microsoft erteilt:

1. Zum einen verpflichtet sich Microsoft darin, gegen sämtliche Regierungsanfragen nach Kundendaten – egal von welcher Regierung – vorzugehen und diese anzufechten, sofern hierfür eine rechtliche Grundlage besteht.
2. Zum anderen verpflichtet sich Microsoft, die Nutzer der Kunden – zumindest in einem eingeschränkten Umfang – finanziell zu entschädigen, wenn deren Daten in Reaktion auf eine Regierungsanfrage unter Verletzung der DSGVO offengelegt werden.

Damit greift Microsoft einige der vorgeschlagenen Schutzmaßnahmen vom EDSA sowie von anderen Datenschutzaufsichtsbehörden, wie dem Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BW), auf.

In einer ersten Stellungnahme äußert sich der LfDI BW erfreut über die Schritte von Microsoft und sieht diese als Signal in die Branche. Gleichzeitig weißt er darauf hin, dass damit die generelle Transferproblematik in die USA nicht gelöst werde, „denn eine Ergänzung der Standardvertragsklauseln könne eben nicht dazu führen, dass der vom Europäischen Gerichtshof als unverhältnismäßig beanstandete Zugriff der US-amerikanischen Geheimdienste auf die Daten unterbunden werde.“ Eine ähnliche Bewertung durch andere Behörden lassen die oben angesprochenen Leitlinien des EDSA (Rz. 48) vermuten, in denen es heißt, dass vertragliche und organisatorische Maßnahmen allein wohl nicht ausreichen werden, um staatliche Zugriffe zu verhindern.

Laut Aussage des LfDI BW wird sich die deutsche Datenschutzkonferenz (Konferenz der Datenschutzbeauftragten der Länder und des Bundes) noch vor Ende des Jahres zusammensetzen und die Gespräche zu Microsoftprodukten fortsetzen.

Auch wenn die Wirksamkeit der von Microsoft neu getroffenen Maßnahmen abzuwarten bleibt, ist das Signal an die gesamte US-Tech-Branche und die Politik auch unserer Meinung nach eindeutig: Es müssen praxisnahe Lösungen für den internationalen Datentransfer gefunden werden. Die US-Anbieter können die Probleme und Risiken ihrer europäischen Kunden in Folge der „Schrems II“-Entscheidung des Europäischen Gerichtshofs nicht weiter ignorieren und sich auf den alleinigen Abschluss der Standarddatenschutzklauseln zurückziehen.