Britische DSGVO vs. EU-DSGVO: Die wichtigsten Unterschiede erklärt

Einführung

Wenn Sie ein Cloud-basiertes Unternehmen betreiben, das Kundendaten im Vereinigten Königreich (UK) sammelt, haben Sie sicherlich schon von der Datenschutz-Grundverordnung (DSGVO) gehört. 

Die DSGVO gilt als wichtigstes Datenschutzgesetz in der Europäischen Union (EU) und im Vereinigten Königreich (UK). Hauptzweck der britischen Datenschutzgesetze ist die Regelung der Verarbeitung personenbezogener Daten von Kunden durch Cloud-Anbieter weltweit in der EU und im Vereinigten Königreich. 

Als Großbritannien jedoch im Zuge des Austrittsabkommens im Jahr 2020 die Europäische Union verließ, wurden britische Staatsbürger und Einwohner vom Geltungsbereich der EU-Datenschutz-Grundverordnung ausgenommen.

Nach dem Brexit erließ Großbritannien seine eigene Version der EU-Datenschutz-Grundverordnung (DSGVO). 

Heute ist es unter dem Namen Datenschutzgesetze Großbritanniens bekannt. 

Die DSGVO trat im Vereinigten Königreich am 31. Januar 2020 durch das Datenschutzgesetz 2018 in Kraft, zusammen mit der PECR (Verordnung über Datenschutz und elektronische Kommunikation) . Diese Gesetze regeln nun gemeinsam die Verarbeitung der Daten von Bürgern und Einwohnern des Vereinigten Königreichs.

Das britische Datenschutzgesetz ähnelt der EU-Datenschutz-Grundverordnung (DSGVO) sehr, abgesehen von einigen wesentlichen Unterschieden. 

Dieser Leitfaden bietet Zugang zu weiteren Ressourcen und detaillierten Informationen zur DSGVO für Cloud-Hosting-Unternehmen.

Was bedeutet DSGVO-Konformität im Vereinigten Königreich?

Die britische DSGVO ist eine an die EU-Datenschutz-Grundverordnung angepasste Fassung, die speziell für die Regelung der Erhebung, Nutzung, Speicherung und Verarbeitung personenbezogener Daten von Einwohnern des Vereinigten Königreichs entwickelt wurde. Sie gilt für Organisationen mit Sitz im Vereinigten Königreich sowie für Unternehmen außerhalb des Vereinigten Königreichs, die personenbezogene Daten von Einwohnern des Vereinigten Königreichs verarbeiten.

Da das Vereinigte Königreich nicht mehr Teil der EU ist, gilt die britische Datenschutz-Grundverordnung (DSGVO) weiterhin als nationales Recht. Die britische DSGVO entspricht jedoch der EU-DSGVO hinsichtlich der Rechte betroffener Personen, der Rechenschaftspflicht und Transparenz, der Datenschutz-Folgenabschätzungen, der Meldepflichten bei Datenschutzverletzungen und der Bestimmungen für internationale Datenübermittlungen.

Die praktische Konsequenz für die Budgetplanung ist, dass die Kosten für die Einhaltung der DSGVO für eine Organisation, die in beiden Regionen tätig ist, eher den Kosten einer einzelnen Regulierungsstufe entsprechen als den doppelten Kosten, da die meisten Kontrollen und Dokumentationen beiden Regulierungsbehörden genügen.

Was sind die wichtigsten Grundsätze der britischen Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO-Konformitätsrichtlinie für Großbritannien umfasste insgesamt sieben DSGVO-Grundsätze , die Cloud-Hosting-Unternehmen bei der Verarbeitung der Daten ihrer britischen Kunden leiten sollten.

Die folgenden sieben Prinzipien sollen als Rahmen dienen, um Ihr Cloud-basiertes Unternehmen auf die Einhaltung der britischen DSGVO vorzubereiten.

Kommen wir nun zu den sieben wichtigsten Grundsätzen des britischen Datenschutzrechts:

• Rechtmäßigkeit, Fairness, Transparenz – Der erste Grundsatz der britischen DSGVO verpflichtet Cloud-Hosting-Unternehmen, den betroffenen Personen klare und prägnante Erläuterungen zu geben, damit diese besser verstehen können, wie ihre Daten geschützt und verwendet werden.
• Zweckbeschränkung – Der zweite Grundsatz besagt, dass die von Cloud-Anbietern erhobenen personenbezogenen Daten nur für den Zweck verwendet werden dürfen, der den betroffenen Personen ursprünglich mitgeteilt wurde, und nicht für andere Zwecke ohne deren vorherige Einwilligung verwendet werden dürfen.
• Datenminimierung – Der dritte Grundsatz verpflichtet Cloud-Anbieter, personenbezogene Daten ausschließlich für den von ihnen festgelegten Zweck zu verwenden.
• Richtigkeit - Der vierte Grundsatz der DSGVO in Großbritannien verpflichtet Cloud-Anbieter, die personenbezogenen Daten der Betroffenen jederzeit korrekt zu halten. Dieser Grundsatz hilft Cloud-Anbietern sicherzustellen, dass die verarbeiteten personenbezogenen Daten in direktem Zusammenhang mit den Betroffenen stehen und dass sie professionell mit ihnen interagieren. 
• Speicherbegrenzung – Dieses Prinzip ist besonders wichtig, da es Cloud-Anbietern hilft, sicherzustellen, dass ihre Kunden in Großbritannien wissen, wie lange ihre Daten verwendet werden und wie diese Daten gelöscht werden, sobald der Cloud-Anbieter die Daten nicht mehr für den vorgesehenen Zweck benötigt. 
• Integrität und Vertraulichkeit – Der sechste Grundsatz des britischen Datenschutzgesetzes schreibt vor, dass Cloud-Anbieter personenbezogene Daten ihrer britischen Kunden nur dann verarbeiten dürfen, wenn dies erforderlich ist. Darüber hinaus dürfen sie nur Mitarbeitern Zugriff auf diese Daten gewähren, die ein berechtigtes Recht dazu haben.
• Verantwortlichkeit - Der letzte Grundsatz der britischen Datenschutzgesetze verpflichtet Cloud-Hosting-Unternehmen, ihre Mitarbeiter zunächst ordnungsgemäß zu schulen und ihnen zu verdeutlichen, was DSGVO-Konformität bedeutet, bevor sie ihnen die Verarbeitung personenbezogener Daten ihrer britischen Kunden überlassen.

Dies sind die sieben wichtigsten Grundsätze, an die sich jedes Cloud-basierte Unternehmen halten muss, das personenbezogene Daten erhebt. 

Die Nichteinhaltung dieser Bestimmungen stellt eine Straftat dar. Unternehmen, die gegen britische Datenschutzgesetze verstoßen, können mit Geldstrafen von bis zu 17.5 Millionen Pfund oder 4 % ihres weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist. 

Britische DSGVO vs. EU-DSGVO: Wichtigste Unterschiede

Die Datenschutz-Grundverordnung (DSGVO) des Vereinigten Königreichs ist im Wesentlichen identisch mit der DSGVO der Europäischen Union. 

Die britischen Datenschutzgesetze umfassen beispielsweise alle Datenschutzbestimmungen der EU-DSGVO in Bezug auf personenbezogene Daten, Rechte der betroffenen Personen, Rollen des Verantwortlichen und des Auftragsverarbeiters sowie die Notwendigkeit einer Rechtsgrundlage für die Verarbeitung, einschließlich der vorherigen Einwilligung.

Allerdings gibt es einige wesentliche Unterschiede zwischen der britischen DSGVO und der EU-DSGVO für die nationalen Rechtssysteme.

1 – Nationale Angelegenheiten

Konkret unterscheidet sich die britische DSGVO von der EU-DSGVO in folgenden drei Bereichen:

• National Security
• Einwanderung
• Geheimdienste

Diese Bereiche fallen allesamt nicht unter die EU-Datenschutz-Grundverordnung (DSGVO). Daher hat das Gesetz keine Befugnis, nationale Angelegenheiten in den Mitgliedstaaten zu regeln.

Allerdings sieht die DSGVO-Konformität in Großbritannien bestimmte Ausnahmen vor, durch die der reguläre Schutz personenbezogener Daten umgangen werden kann, beispielsweise in Angelegenheiten der Einwanderung und der nationalen Sicherheit. 

Darüber hinaus gelten die Ausnahmen auch für die Erhebung und Verarbeitung von Daten britischer Kunden an die Nachrichtendienste. 

2 – Informationsbeauftragter

Ein weiterer wesentlicher Unterschied zwischen der britischen DSGVO und der EU-DSGVO besteht darin, dass der Information Commissioner, die führende Datenschutzbehörde im Vereinigten Königreich, auch die führende Aufsichts-, Regulierungs- und Durchsetzungsbehörde für die britischen Datenschutzgesetze ist.

Software zur Einhaltung der DSGVO, die für Teams mit mehreren Jurisdiktionen entwickelt wurde, ordnet typischerweise Kontrollen sowohl der ICO als auch den EU-Aufsichtsbehörden zu, sodass ein einziger Nachweissatz ohne Nachbearbeitung beiden Aufsichtsbehörden vorgelegt werden kann.“

Darüber hinaus erhält der Staatssekretär auch die Befugnis, auf Geheiß von GDPR UK Angemessenheitsentscheidungen entweder durchzusetzen oder aufzuheben. 

Der Staatssekretär kann Entscheidungen treffen, ohne den Informationsbeauftragten zu konsultieren. 

Daher muss jedes Cloud-basierte Unternehmen weltweit, das Daten von britischen Bürgern und Einwohnern verarbeitet, die britischen Datenschutzgesetze einhalten.

Dies umfasst auch EU-Unternehmen, die ihre Dienstleistungen in Großbritannien anbieten. 

Als die britische DSGVO in Kraft trat, wurden zwar automatisch alle in der EU ansässigen Cloud-Anbieter als ausreichend anerkannt, gleichzeitig wurden aber auch bestehende EU-Angemessenheitsbeschlüsse als für Großbritannien zutreffend anerkannt. 

3 – Datenübertragungen

Ein wesentlicher Unterschied zwischen den Regelungen besteht darin, wie Datentransfers behandelt werden.
Die EU ermöglicht den freien Datenfluss zwischen den EU-Ländern, da diese alle Teil desselben Rechtssystems sind und über angemessene Datenschutzmaßnahmen verfügen.

Nach dem Brexit ist das Vereinigte Königreich nicht mehr Teil der EU und gilt als Drittland. Daher kann für jeden Datentransfer zwischen dem Vereinigten Königreich und der EU ein Angemessenheitsbeschluss erforderlich sein. Aktuell hält die EU die britischen Datenschutzgesetze für ausreichend und hat den meisten Datentransfers zugestimmt; dies kann sich jedoch in Zukunft ändern.

4 – Unterschied bei den Strafen

Was die Strafen angeht, gibt es geringfügige Unterschiede in der Obergrenze und der Währung:

Gemäß der EU-Datenschutz-Grundverordnung (DSGVO) beträgt die Höchststrafe 20 Millionen Euro oder 4 % des Umsatzes, je nachdem, welcher Betrag höher ist.

Die britische DSGVO sieht dagegen eine Höchststrafe von 17.5 Millionen Pfund oder 4 % des Umsatzes vor, je nachdem, welcher Betrag höher ist.

5 – Gültiges Mindestalter für die Einwilligung

Der letzte nennenswerte Unterschied zwischen der britischen DSGVO und der EU-DSGVO ist das Mindestalter für die Einwilligung. 

In der EU-Datenschutz-Grundverordnung (DSGVO) liegt das Mindestalter für die Einwilligung bei 16 Jahren. In der britischen DSGVO wurde dieses Alter jedoch auf 13 Jahre gesenkt. 

Wie kann man die Anforderungen der britischen DSGVO erfüllen?

Nachdem Sie nun die wichtigsten Grundsätze der britischen DSGVO und die wesentlichen Unterschiede zwischen der britischen DSGVO und der EU-DSGVO kennen, wollen wir die Schritte besprechen, die Ihr Cloud-Hosting-Unternehmen unternehmen muss, um die Anforderungen der britischen DSGVO zu erfüllen.

Schritt 1 – Einen umsetzbaren Plan erstellen

Der erste Schritt, den Ihr Cloud-Hosting-Unternehmen unternehmen muss, um die Anforderungen der britischen DSGVO zu erfüllen, besteht darin, sicherzustellen, dass alle Datenschutzgrundsätze ordnungsgemäß angewendet und alle Rechte der betroffenen Personen sorgfältig gewahrt werden.

Um dies zu erreichen, empfehlen wir die Implementierung geeigneter technologischer und organisatorischer Maßnahmen. Diese werden häufig als Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen bezeichnet. 

Für Laien bedeutet die Umsetzung dieser Maßnahmen, dass Ihr Cloud-Unternehmen die Datensicherheit in die Datenverarbeitungsprozesse integrieren muss. Darüber hinaus müssen die Geschäftspraktiken Ihres Cloud-Unternehmens bereits in der Designphase beginnen und sich über den gesamten Datenverarbeitungszyklus erstrecken. 

Schritt 2 – Ein Verarbeitungsregister erstellen

Ähnlich wie die EU-DSGVO verlangt auch die britische DSGVO von Cloud-Anbietern, dass sie Aufzeichnungen über alle Datenverarbeitungsvorgänge erstellen und diese Dokumente stets auf dem neuesten Stand halten.

GDPR Data Mapping umfasst im Allgemeinen den gesamten operativen Prozess der Erstellung und Pflege eines zentralen Inventars aller Datenflüsse in einem Cloud-basierten Unternehmen.

Schritt 3 – Durchführung einer Datenschutz-Folgenabschätzung (DSFA)

Falls sich eine der personenbezogenen Datenverarbeitungsaktivitäten Ihres Unternehmens in der Cloud als extrem risikoreich erweist, müssen Sie eine Datenschutz-Folgenabschätzung (DSFA) durchführen.

Schritt 4 – Ein Framework für das Einwilligungsmanagement erstellen

Das britische Datenschutzgesetz hat die Anforderungen an Cloud-Anbieter, die vor der Verarbeitung personenbezogener Daten eine Einwilligung einholen müssen, erhöht. 

Das Gesetz verpflichtet nun Cloud-Anbieter, die personenbezogene Daten von Personen in Großbritannien verarbeiten, sicherzustellen, dass ihre Offenlegungen zur Nutzung dieser personenbezogenen Daten unkompliziert, leicht verständlich und prägnant sind. 

Darüber hinaus müssen Cloud-Hosting-Unternehmen den Nachweis der Einwilligung auf verschiedenen Wegen erbringen. 

Schritt 5 – Prozessorrisiken bewerten und minimieren

Nach dem britischen Datenschutzgesetz haften die Verantwortlichen für Datenschutzverstöße ihrer Auftragsverarbeiter. 

Daher muss Ihr Cloud-Hosting-Unternehmen alle Datentransfers und vertraglichen Verpflichtungen mit der gleichen Sorgfalt prüfen wie interne Prozesse zur Verarbeitung personenbezogener Daten, um dieses Risiko vollständig zu minimieren.

Schritt 6 – DSGVO-Konformitätsschulung integrieren

Ähnlich wie die EU-DSGVO schreibt auch die britische DSGVO die Ernennung eines Datenschutzbeauftragten (DSB) für Cloud-basierte Unternehmen vor, der die Einhaltung der DSGVO überwacht. 

Der Datenschutzbeauftragte ist primär für die Durchführung von DSGVO-Schulungen für die Mitarbeiter des Unternehmens verantwortlich. Die Schulungen müssen mit einem Auffrischungskurs beginnen. 

Darüber hinaus müssen die Cloud-Anbieter ein System einsetzen, das alle durchgeführten Schulungen aufzeichnet, um ihre Einhaltung des britischen Datenschutzgesetzes nachzuweisen. 

Schritt 7 – Einen Datenschutzbeauftragten (DSB) benennen und ernennen

Der Datenschutzbeauftragte ist nicht nur für die Durchführung von DSGVO-Schulungen für Mitarbeiter von Cloud-Unternehmen zuständig. Er ist auch dafür verantwortlich, dass sein Cloud-Unternehmen die DSGVO vollständig einhält.

Darüber hinaus muss der Datenschutzbeauftragte auch als Bindeglied zwischen den Mitarbeitern und den Mitgliedern der Öffentlichkeit fungieren, deren personenbezogene Daten von ihrem Cloud-basierten Unternehmen verarbeitet und genutzt werden.

Damit haben wir nun alle Schritte zur Erfüllung der Anforderungen der britischen DSGVO behandelt.

Fazit

Die Einhaltung der britischen DSGVO ist keine leichte Aufgabe, aber alle Cloud-Anbieter, die personenbezogene Daten von Personen in Großbritannien verarbeiten, müssen die britischen Datenschutzgesetze einhalten. 

Wir hoffen, dass dieser Beitrag Ihrem Cloud-Unternehmen hilft, die Anforderungen der britischen DSGVO zu erfüllen. Sollten Sie dennoch Schwierigkeiten bei der Einhaltung der britischen DSGVO haben, unterstützen wir Sie gerne! 

Sprinto ist eine Plattform, die Cloud-Unternehmen dabei unterstützt, die DSGVO-Konformität zu erreichen und so das Vertrauen ihrer Kunden zu gewinnen. Unsere umfassende Lösung zur Automatisierung der Compliance-Anforderungen hilft Ihnen, sowohl die Anforderungen der britischen als auch der EU-DSGVO zu erfüllen.

Häufig gestellte Fragen