Datentransfer-Regeln: UK und EU divergieren — deutsche Unternehmen brauchen zwei Risikoprüfungen

Die Divergenz ist Realität

Seit dem 31. Dezember 2020 ist das Vereinigte Königreich nicht mehr Teil des EU-Rechtsraums. Die Datenschutz-Grundverordnung gilt dort nicht mehr unmittelbar. Das UK hat seine eigenen Regeln im UK Data Protection Act 2018 und im UK GDPR kodifiziert. Die EU hat dem UK zunächst eine Angemessenheitsentscheidung erteilt — die Erklärung, dass das britische Datenschutzniveau dem europäischen gleichwertig ist. Diese Entscheidung lief im Juni 2025 aus und wurde verlängert. Parallel dazu hat das UK eigene Angemessenheitsentscheidungen für Drittstaaten erlassen, die teilweise von den EU-Entscheidungen abweichen.

Die praktische Folge: Ein deutsches Unternehmen, das personenbezogene Daten sowohl in die USA als auch nach Großbritannien transferiert, muss zwei getrennte Rechtsgrundlagen prüfen. Für den Transfer in die USA gilt die EU-Angemessenheitsentscheidung für das EU-US Data Privacy Framework oder alternativ Standardvertragsklauseln mit Transfer Impact Assessment nach Schrems II. Für den Transfer nach UK gilt zunächst die EU-Angemessenheitsentscheidung für das UK — aber nur, wenn die Daten dort bleiben. Werden sie vom UK aus weiter in Drittstaaten transferiert, greift die UK-eigene Angemessenheitsliste, die nicht identisch mit der EU-Liste ist. Das UK hat beispielsweise eigene Adequacy Regulations für Länder wie Israel oder Südkorea erlassen, die zeitlich und inhaltlich von den EU-Entscheidungen abweichen können.

Ein Beispiel: Ein deutsches Softwareunternehmen nutzt einen Cloud-Dienstleister mit Rechenzentren in London und Virginia. Die Daten fließen von Deutschland nach UK, von dort teilweise weiter in die USA. Das Unternehmen muss prüfen: Gilt die EU-Angemessenheitsentscheidung für UK noch? Gilt die UK-Angemessenheitsentscheidung für die USA? Welche Standardvertragsklauseln sind anzuwenden — die der EU-Kommission oder die des UK Information Commissioner's Office? Welche Risikoprüfung ist durchzuführen — nach EU-Maßstab oder nach UK-Maßstab? Die Antwort: beide. Parallel. Mit unterschiedlichen Dokumentationspflichten.

Der strukturelle Kern: Fragmentierung ohne Übersetzungsschicht

Die Ursache dieser Doppelbelastung liegt nicht in der Komplexität der Regeln selbst, sondern in der fehlenden staatlichen Übersetzungsschicht. Jedes deutsche Unternehmen muss die Divergenz zwischen UK- und EU-Recht selbst analysieren, selbst bewerten und selbst dokumentieren. Es gibt keine zentrale Stelle, die einmal prüft, ob ein bestimmter Datentransfer-Pfad — etwa Deutschland → UK → USA über einen bestimmten Cloud-Provider — rechtskonform ist, und das Ergebnis allen Unternehmen bereitstellt.

In Dänemark existiert mit NemID und dessen Nachfolger MitID eine nationale digitale Identitätsinfrastruktur, die vom Staat bereitgestellt wird. Jeder Bürger, jedes Unternehmen nutzt dieselbe technische und rechtliche Grundlage für digitale Transaktionen. Die Risikoprüfung, ob ein bestimmter Authentifizierungsweg den Datenschutzanforderungen genügt, wird einmal zentral durchgeführt. Die Ergebnisse sind für alle verbindlich. Das System wird staatlich betrieben, ist aber offen für private Anbieter, die sich zertifizieren lassen können. Die Architektur trennt klar: Der Staat liefert die Infrastruktur und die Compliance-Grundlage, die Unternehmen nutzen sie.

In Deutschland gibt es keine vergleichbare Infrastruktur für Datentransfer-Compliance. Die Datenschutzkonferenz der Länder gibt allgemeine Orientierungshilfen heraus. Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht technische Leitfäden. Aber die konkrete Risikoprüfung für einen spezifischen Datentransfer — etwa: Ist der Transfer von Kundendaten über AWS-Rechenzentren in London und Frankfurt nach Schrems II zulässig, wenn AWS auch US-Behördenzugriff unterliegt? — muss jedes Unternehmen selbst durchführen. Oder extern einkaufen. Das Ergebnis: Tausende parallele Prüfungen derselben Frage, keine Wiederverwendbarkeit, keine Skalierung, kein Lerneffekt für den Gesamtmarkt.

Die Zuständigkeitsstruktur verschärft das Problem. Datenschutzaufsicht ist Ländersache. Es gibt 16 Landesdatenschutzbehörden und den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Ihre Bewertungen zu ein und demselben Datentransfer-Szenario können voneinander abweichen. Ein Unternehmen mit Niederlassungen in mehreren Bundesländern muss möglicherweise mehrere Aufsichtsbehörden konsultieren. Die Abstimmung zwischen den Behörden erfolgt über die Datenschutzkonferenz — ein Koordinationsgremium ohne Durchgriffsrecht. Das Ergebnis: keine einheitliche, verbindliche Bewertung, keine zentrale Wissensbasis, keine Infrastruktur, die Unternehmen entlastet.

Die Kosten der Fragmentierung

Die ökonomischen Folgen sind messbar. Branchenverbände wie Bitkom schätzen die jährlichen Compliance-Kosten für größere Unternehmen auf über eine Million Euro (beispielhafte Größenordnung). Ein erheblicher Teil dieser Kosten entfällt auf die Bewertung internationaler Datentransfers. Seit dem Brexit und der Schrems-II-Entscheidung des EuGH im Juli 2020 ist dieser Anteil gestiegen. Jedes Unternehmen muss für jeden Drittlandstransfer ein Transfer Impact Assessment durchführen — eine individuelle Risikoanalyse, die rechtliche, technische und organisatorische Maßnahmen bewertet. Diese Analyse muss dokumentiert und regelmäßig aktualisiert werden. Die Divergenz zwischen UK und EU verdoppelt den Aufwand für alle Unternehmen, die in beiden Rechtsräumen aktiv sind.

Die Fragmentierung erzeugt auch einen Wettbewerbsnachteil. Große Konzerne können sich spezialisierte Compliance-Teams leisten, die die Divergenz zwischen UK- und EU-Recht laufend beobachten und bewerten. Mittelständische Unternehmen müssen externe Berater einkaufen oder auf generische Lösungen zurückgreifen, die im Zweifelsfall zu restriktiv sind — und damit Geschäftschancen blockieren. Kleine Unternehmen verzichten oft ganz auf internationale Datentransfers oder gehen bewusst Rechtsrisiken ein, weil die Compliance-Kosten prohibitiv sind. Das Ergebnis: Die Regulierung wirkt als Marktzutrittsbarriere, nicht als Schutzstandard.

Die Ursache liegt nicht in der Existenz unterschiedlicher Rechtsordnungen — diese ist nach dem Brexit unvermeidlich. Die Ursache liegt in der fehlenden staatlichen Antwort auf diese Divergenz. Andere Länder haben erkannt, dass Regulierung nur dann wirksam ist, wenn sie vollzogen werden kann — und dass Vollzug Infrastruktur braucht. Deutschland hat die Regulierung, aber nicht die Infrastruktur.

Bauplan

Der nächste Schritt ist der Aufbau einer nationalen Datentransfer-Plattform. Das Ziel: Risikoprüfungen für internationale Datentransfers einmal zentral durchführen, die Ergebnisse allen Unternehmen bereitstellen, die Bewertung regelmäßig aktualisieren. Die Plattform würde nicht die Entscheidung des einzelnen Unternehmens ersetzen — die Verantwortung bleibt beim Datenverantwortlichen — aber sie würde die Grundlage liefern: eine standardisierte, rechtlich geprüfte Bewertung gängiger Datentransfer-Szenarien.

Konkret könnte die Plattform so funktionieren: Ein Unternehmen gibt ein, welche Art von Daten es transferieren will, in welches Land, über welchen Dienstleister, mit welchen technischen Schutzmaßnahmen. Die Plattform prüft, ob für dieses Szenario bereits eine Bewertung vorliegt. Wenn ja, liefert sie die rechtliche Einordnung, die Liste der erforderlichen Maßnahmen und eine Vorlage für die Dokumentation. Wenn nein, wird das Szenario an die zuständige Datenschutzbehörde weitergeleitet, die eine Bewertung erstellt und in die Plattform einspeist. Alle nachfolgenden Unternehmen mit demselben Szenario profitieren von dieser Bewertung.

Die technische Umsetzbarkeit ist gegeben. Dänemark hat mit MitID gezeigt, dass eine nationale digitale Infrastruktur funktioniert, wenn sie drei Prinzipien folgt: Erstens, staatlicher Betrieb der Kerninfrastruktur, aber Offenheit für private Anbieter. Zweitens, klare Trennung zwischen Infrastruktur und Anwendung — die Plattform liefert die Compliance-Grundlage, die Unternehmen entscheiden über die Nutzung. Drittens, kontinuierliche Aktualisierung — die Bewertungen müssen mit der Rechtsentwicklung Schritt halten.

Die rechtliche Grundlage kann durch eine Bund-Länder-Vereinbarung geschaffen werden. Die Datenschutzkonferenz könnte die Plattform gemeinsam betreiben, der Bund könnte die technische Infrastruktur bereitstellen. Die Bewertungen wären für die Aufsichtsbehörden nicht bindend, aber sie würden eine gemeinsame Wissensbasis schaffen und die Koordination erleichtern. Für Unternehmen wäre die Nutzung freiwillig, aber die Entlastung durch standardisierte Bewertungen wäre erheblich.

Die Fallstricke sind bekannt: Föderale Zuständigkeitskonflikte, unterschiedliche Bewertungsmaßstäbe der Länder, der Aufwand für die laufende Aktualisierung. Aber die Alternative ist die heutige Situation — Tausende parallele Prüfungen, keine Wiederverwendbarkeit, keine Skalierung. Die Frage ist nicht, ob eine nationale Datentransfer-Plattform perfekt wäre. Die Frage ist, ob sie besser wäre als der Status quo. Die Antwort ist eindeutig.

Der Staat schuldet seinen Bürgern nicht nur Gesetze, sondern Geltung. Geltung braucht Infrastruktur. Eine nationale Datentransfer-Plattform wäre ein konkreter Schritt von der Regulierung zum Vollzug. Wie dieser Schritt aussehen kann, beschreibt Band 3 „Bauplan" der Trilogie Projekt Freistaat.