ich hab mal ne Frage zum Drittlandtransfer in ein Land mit Angemessenheitsbeschluss nach Art. 45.
Es geht im konkreten Fall um eine gemeinsamen Verantwortung nach Art. 26 mit einem Vertragspartner in UK.
In der Art. 26 Vereinbarung ist für den Punkt einer Datenschutzverletzung (Art. 33,34) die gegenseitige vorherige Information vorgesehen. Es soll auch vereinbart werden, dass der Vertragspartner, bei dem sich ein Vorfall ereignet ggf. die zuständige Aufsichtsbehörde informiert. Wenn das bei dem EU-Partner ist, dann ist die Lage eindeutig. Wenn sich der Vorfall jedoch beim Vertragspartner in UK ereignet, muss dann eine Aufsichtsbehörde in der EU zusätzlich informiert werden?
wenn für den EU-Partner eine gemeinsame Verantwortlichkeit besteht und es zu einem meldepflichtigen Datenschutzverstoß kommt, muss der EU-Partner meiner Meinung nach die für ihn zuständige Aufsichtsbehörde informieren. Soweit ich das verstehe, ist dies unabhängig davon, wo sich die Datenschutzverletzung ereignet hat.
Viele Grüße
DE
Art 26 Abs 1 Satz 1: “Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt …”
Art 33 Abs 1: “Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche …”
Herzlichen Dank für die Antworten! Nachdem ich mich selbst noch einmal intensiver mit der Fragestellung beschäftigt habe, komme ich zu dem gleichen Schluss. Betroffene sind EU-Bürger, daher macht es Sinn, eine Aufsichtsbehörde in der EU zu informieren sofern des durch Art. 33 gefordert ist.
Aber fordert Art. 33 das wirklich? Zumindest für Fälle, bei denen es klar definierte Wirkbereiche gibt und die Verletzung in dem Bereich des Drittland-Verantwortlichen erfolgt, stellt sich die Frage, woraus sich diese Verpflichtung ergeben sollte, insb. wenn es sich um “Drittland-Daten” handelt, also von außerhalb des EWR befindlichen Personen.