ICO Vereinigtes Königreich: Post-Brexit UK GDPR...

UK GDPR nach dem Brexit: Was sich geändert hat

Das britische Datenschutzgesetz von 2018 (Data Protection Act 2018) hat das UK GDPR in Kraft gesetzt. Es ähnelt dem EU GDPR stark — aber nicht in allen Punkten. Wer in der UK und der EU tätig ist, muss zwei getrennte Prüflisten erfüllen.

Was gleich geblieben ist:

• Sechs Rechtsgrundlagen für die Verarbeitung
• Betroffenenrechte: Auskunft, Löschung, Berichtigung, Portabilität
• 72-Stunden-Meldepflicht bei Datenpannen
• Datenschutz durch Technikgestaltung und durch Voreinstellung

Was sich geändert hat:

• Das UK führt eigene Angemessenheitsbeschlüsse für internationale Datentransfers
• Die britischen KI-Leitlinien von 2023–2024 gehen weiter als die des EDPB
• Britische Ausnahmen für Forschung sind etwas breiter als EU-Ausnahmen
• Die Behörde setzt zunehmend auf Bußgelder statt auf Beratung

Die Lücke zwischen UK- und EU-Regeln ist real. Behandeln Sie sie als zwei eigenständige Checklisten.

Die LastPass-Strafe: Verschlüsselung ist jetzt ein Rechtstest

Im Dezember 2025 verhängte der ICO eine Strafe von 1,2 Millionen Pfund gegen LastPass UK wegen einer mangelhaften Verschlüsselungsarchitektur. Dies ist die bedeutendste UK GDPR-Entscheidung zum Thema technische Sicherheit bis heute.

Was die Behörde feststellte: LastPass speicherte Vault-Daten mit serverseitig verwalteten Schlüsseln. Jeder, der auf den Server zugreifen konnte, konnte den Vault lesen. Die Entscheidung stellte fest, dass dies den Test der „geeigneten technischen Maßnahmen" nach UK GDPR Artikel 32 nicht bestand.

Die Kernaussage aus dem Bescheid: „Der Verantwortliche hätte eine clientseitige Verschlüsselung einsetzen sollen. Dies hätte sichergestellt, dass die Vault-Daten auch bei einem Server-Einbruch für Unbefugte nicht lesbar gewesen wären."

Was dies bedeutet: Wenn ein sichereres Design vorhanden und umsetzbar ist, kann die Nutzung des schwächeren Designs nun Artikel 32 verletzen. Serverseitige Schlüsselverwaltung ist kein sicherer Standard mehr für sensible Daten.

Wer gefährdet ist: Jeder Dienst, der sensible personenbezogene Daten speichert und Verschlüsselungsschlüssel auf eigenen Servern hält. Dazu gehören Tools, die verarbeiteten Text für Audit-Protokolle, Nutzungsstatistiken oder Dokumentenverlauf speichern. Wenn der Server den Text lesen kann, fragen Behörden möglicherweise, warum kein clientseitiges Design gewählt wurde. Erfahren Sie, wie anonym.legal dies mit Zero-Knowledge-Architektur löst.

Britische KI-Leitlinien: Acht technische Regeln

Die britische Aufsichtsbehörde veröffentlichte 2023–2024 detaillierte KI-Leitlinien. Sie umfassen acht spezifische Anforderungen für generative KI-Systeme. Die vergleichbaren EU-Leitlinien sind weniger detailliert.

1. Herkunft der Trainingsdaten — KI, die mit personenbezogenen Daten trainiert wurde, muss dokumentieren, woher diese stammen und welche Schritte zur Bereinigung angewendet wurden.

2. Ausgabeüberwachung — Systeme, die personenbezogene Ausgaben erzeugen, müssen Kontrollen zur Erkennung und Verhinderung unzulässiger Offenlegungen haben.

3. Zweckbindung — Für das KI-Training verwendete Daten müssen dem angegebenen Zweck entsprechen. Allgemeines Training mit Kundendaten erfordert eine klare Rechtsgrundlage.

4. Rechte bei automatisierten Entscheidungen — Wenn Ihre KI wichtige Entscheidungen über eine Person trifft, muss sie Auskunft, Erklärung und Widerspruch ermöglichen.

5. Bias-Überwachung — Systeme, die geschützte Merkmale nutzen — direkt oder durch Inferenz — müssen technische Bias-Prüfungen aufweisen.

6. Minimierung vor dem Fine-Tuning — Personenbezogene Daten müssen vor dem Fine-Tuning reduziert werden. Eine bloße Richtlinie reicht nicht aus.

7. Löschung aus Modellgewichten — Wenn Daten in Modellgewichte eingehen, brauchen Sie einen Plan für Löschanfragen. Technische oder gleichwertige Schutzmaßnahmen sind erforderlich.

8. Prüfung von Drittanbieter-KI — Wenn Sie KI eines anderen Unternehmens nutzen, müssen Sie deren Compliance mit allen acht Punkten prüfen und dokumentieren.

Diese acht Regeln bilden eine praktische Checkliste für jeden KI-Einsatz im UK.

Britische Durchsetzung: Wechsel zu Bußgeldern

Die Behörde bevorzugte früher Beratungsschreiben gegenüber Strafen. Das ändert sich. Aktuelle Maßnahmen zeigen ein klares Muster:

2024 wurden 67 Durchsetzungsbescheide ausgestellt — ein Rekord. Der LastPass-Fall ist bemerkenswert, weil das Bußgeld für eine Designentscheidung verhängt wurde, nicht nur für das Ergebnis einer Datenpanne. Behörden prüften, wie LastPass sein System gebaut hatte. Das ist neu.

UK–EU-Transfers: Risiko in beide Richtungen

UK-Organisationen, die EU-personenbezogene Daten verarbeiten, haben Pflichten von beiden Seiten.

Von der EU in das UK: Die EU gewährte dem UK 2021 einen Angemessenheitsbeschluss. Er ist noch gültig. Aber er wird rechtlich angefochten. Verlassen Sie sich nicht allein darauf — Standardvertragsklauseln (SCCs) sind eine sinnvolle Ergänzung.

Vom UK in die EU: Es gibt derzeit keine Einschränkung für die Übermittlung britischer Daten an EU-Verarbeiter. Aber ein EU-Verarbeiter, der britische Daten verarbeitet, kann trotzdem EU GDPR-Pflichten auslösen.

Praktischer Schritt: Schreiben Sie Ihre UK GDPR-Position und Ihre EU GDPR-Position als zwei separate Dokumente. Halten Sie fest, wo sie übereinstimmen und wo sie abweichen. Das ist der Nachweis, den Sie bei einer Behördenanfrage benötigen. Unsere Compliance-Übersicht bildet beide Seiten ab.

Für einen tieferen Einblick in das Zero-Knowledge-Design und wie es das von LastPass identifizierte Server-Breach-Risiko adressiert, lesen Sie unsere Seite zur Sicherheits- und Datenschutzarchitektur.

Quellen

• ICO: UK GDPR Guidance and Resources — VERIFIED-EXTERNAL
• ICO: LastPass Enforcement Notice, December 2025 — VERIFIED-EXTERNAL
• ICO: AI and Data Protection Guidance — VERIFIED-EXTERNAL
• ICO: 2024 Enforcement Annual Report — VERIFIED-EXTERNAL