Die EU-Kommission plant, die Angemessenheitsbeschlüsse für das Vereinigte Königreich nach der Datenschutzgrundverordnung (DSGVO) und der Richtlinie über die Strafverfolgung (LED) zu verlängern. Damit könnten europäische Unternehmen personenbezogene Daten weiterhin ohne zusätzliche Transfermechanismen an das Vereinigte Königreich übermitteln. Der Europäische Datenschutzausschuss (EDSA) hat nun laut Mitteilung vom 20.10.2025 Stellungnahmen zum UK-Angemessenheitsbeschluss, der bis Ende 2031 geltend soll, angenommen. Hierin begrüßt er zwar die im Wesentlichen fortbestehende Angleichung der britischen Datenschutzstandards an die europäischen Vorgaben, verweist jedoch zugleich auf zentrale Risiken regulatorischer Abweichungen.
Bedeutung von Angemessenheitsbeschlüssen für den internationalen Datentransfer
Nach der DSGVO ist die Übermittlung personenbezogener Daten in Drittstaaten nur zulässig, wenn die EU-Kommission eine Angemessenheitsentscheidung getroffen hat, Schutzmechanismen zum Einsatz kommen oder die Bestimmungen von Art. 49 DSGVO greifen. Für Unternehmen sind Angemessenheitsentscheidungen häufig vorteilhaft, da diese den administrativen Aufwand reduzieren und Rechtssicherheit schaffen. Mit ihnen können meist ungehindert Datenübertragung in das Drittland erfolgen.
Aktuell nur Übergangsregelung für UK-Datentransfer
Nach Austritt Großbritanniens aus der EU galt der Staat als Drittland. Damit wäre eigentlich ein freier Datenverkehr, wie er innerhalb der EU möglich ist, nicht mehr zulässig gewesen. Infolgedessen hat die EU-Kommission im Sommer 2021 Angemessenheitsbeschlüsse genehmigt.
Diese sind allerdings Ende Juni 2025 ausgelaufen. Deshalb hatte die Kommission bis Ende des Jahres eine befristete Verlängerung genehmigt. Da das Vereinigte Königreich verschiedene Anpassungen, insbesondere durch die DUA Bill, im Datenschutzrecht plant, wollte die EU-Kommission die zusätzliche Zeit nutzen, um genau zu prüfen, ob weiterhin ein angemessenes Schutzniveau besteht.
Entwurf der EU-Kommission für langfristige Verlängerung
Der von der EU-Kommission vorgelegte Entwurf für neue UK-Angemessenheitsbeschlüsse soll eine längerfristige Bestätigung der Angemessenheit sichern. Kern der Feststellung ist, dass das britische Datenschutzsystem auch nach Inkrafttreten des DUA Acts weiterhin den zentralen Grundsätzen der DSGVO, wie Rechtmäßigkeit, Fairness und Zweckbindung, entspricht.
Besonders relevant war die Prüfung der geänderten Regeln zu Betroffenenrechten im privatwirtschaftlichen Kontext, wie präzisierte Fristen und Pflichten bei Auskunftsersuchen. Die Kommission sah darin keine Absenkung des Schutzniveaus, da die Bearbeitung weiterhin innerhalb eines angemessenen Zeitraums erfolgen muss. Auch im Bereich der automatisierten Entscheidungsfindung bestätigte die Kommission, dass zentrale Schutzmechanismen erhalten bleiben. Daneben könne auch vor dem Hintergrund der EU-Richtlinie zur Strafverfolgung der Angemessenheitsbeschluss verlängert werden.
Stellungnahme des EDSA
Die EU-Kommission hatte die Stellungnahmen des EDSA nach Art. 70 Abs. 1 lit. s DSGVO und Art. 51 Abs. 1 lit. g der Richtlinie zum Datenschutz bei der Strafverfolgung angefordert. Auch der EDSA erkennt an, dass das Vereinigte Königreich trotz legislativer Reformen weiterhin an einem weitgehend mit der DSGVO kompatiblen Datenschutzrahmen festhält. Zugleich verweist der Ausschuss darauf, dass bestimmte jüngere Gesetzesänderungen potenziell strukturelle Divergenzen begünstigen könnten. In diesem Zusammenhang hat der EDSA verschiedene Punkte angemerkt, bezüglich derer die EU-Kommission für eine wirksame Überwachung sorgen soll, so Anu Talus, EDSA-Vorsitzender in der Pressemitteilung des EDSA.
Kritische Punkte im britischen Datenschutzrecht
Insbesondere der Retained EU Law (Revocation and Reform) Act 2023 (REUL Act) wirft nach Ansicht des EDSA Fragen hinsichtlich der künftigen Beständigkeit und Bindungswirkung zentraler Datenschutzgrundsätze auf. Da der Vorrang des EU-Rechts hierdurch aufgehoben und die direkte Anwendung grundlegender EU-Prinzipien eingeschränkt werde, bestehe das Risiko, dass europäische Datenschutzstandards im Vereinigten Königreich langfristig weiter aufgeweicht werden können.
Auch die Ausweitung der Befugnisse des britischen Staatssekretärs, der über Sekundärrechtsakte mit vergleichsweise geringer parlamentarischer Kontrolle maßgebliche Anpassungen des Datenschutzrechts veranlassen kann, sieht der EDSA als kritisch. Dies betreffe unter anderem die Regeln zur internationalen Datenübermittlung, die Gestaltung der automatisierten Entscheidungsfindung sowie die Governance des britischen Information Commissioner’s Office (ICO). Die Kommission solle daher diese Felder besonders eng überwachen und dies auch im Beschluss vermerken.
Internationale Datenübermittlungen
Wesentlich sei auch, wie das Vereinigte Königreich Datenübermittlungen an Drittstaaten regelt. Der neue Angemessenheitstest verlange lediglich, dass das Schutzniveau im Drittland nicht wesentlich niedriger ist als das britische. Nach Auffassung des EDSA fehlt in dieser Definition jedoch die hinreichende Berücksichtigung staatlicher Zugriffs- und Überwachungsbefugnisse. Auch etwaige Rechtsbehelfe für Einzelpersonen und unabhängige Aufsichtsbehörden seien nicht hinreichend beachtet.
Stellungnahme zur Strafverfolgungsentscheidung
In seiner Stellungnahme zur LED betont der EDSA, dass zwar Kontinuität in den Aufsichts- und Rechtsbehelfsmechanismen im Bereich der Strafverfolgung besteht, gleichzeitig aber Ausnahmen aus Gründen der nationalen Sicherheit weitreichende Wirkung entfalten können. Diese Ausnahmen könnten nicht nur die Anwendung wesentlicher Datenschutzgrundsätze beschränken, sondern auch die Korrekturbefugnisse des ICO schwächen.
Nächste Verfahrensschritte
Nachdem der EDSA nun zu dem UK-Angemessenheitsbeschluss bis Ende 2031 Stellung bezogen hat, befindet sich das Verfahren im dritten Erlassschritt. Als nächstes muss die Zustimmung der Vertreter der EU-Länder erfolgen, bevor die Beschlüsse endgültig durch die EU-Kommission angenommen werden können.
Fazit
Die Stellungnahmen des EDSA unterstreichen, dass die Verlängerung der Angemessenheitsbeschlüsse für das Vereinigte Königreich zwar grundsätzlich möglich ist, aber keine selbstverständliche Entscheidung ohne flankierende Kontrolle darstellt. Die EU-Kommission wird in den kommenden Jahren sorgfältig beobachten müssen, ob der britische Gesetzgeber datenschutzrechtliche Standards dauerhaft aufrechterhält oder schrittweise flexibilisiert. Für Unternehmen bedeutet dies, dass nach finaler Verabschiedung weiterhin erhöhte Handlungsfreiheit und Rechtssicherheit zunächst besteht. Absolute Stabilität bietet der Beschluss aber nicht.
