UK-DSGVO nach dem Brexit: Was sich änderte
Das britische Data Protection and Digital Information (DPDI) Act 2025 macht 14 Änderungen an den EU-DSGVO-Regeln. Diese schaffen die erste echte Aufspaltung zwischen EU- und britischem Datenschutzrecht seit dem Brexit. Das EU-UK-Angemessenheitsabkommen steht unter Prüfung. Das Ergebnis ist für jedes Unternehmen relevant, das personenbezogene Daten zwischen beiden Regionen überträgt.
Die LastPass-Strafe: Ein neuer technischer Maßstab
Das ICO verhängte im Dezember 2025 eine Geldbuße von 1,2 Millionen Pfund gegen LastPass UK. Dies ist der bislang bedeutendste technische Sicherheitsdurchsetzungsfall im Vereinigten Königreich.
Das ICO stellte zwei Kernversagen fest.
Schwache Verschlüsselung: LastPass speicherte Kunden-Passwort-Tresore mit veralteter Verschlüsselung. Das ICO bezeichnete diese als „unzureichend" gemäß UK GDPR Artikel 32. Einige Tresore nutzten PBKDF2-SHA256 mit nur einer Iteration. Das britische NCSC empfiehlt mindestens 600.000 Iterationen für passwortbasierte Schlüssel.
Was das Gesetz nun verlangt: UK GDPR Artikel 32 fordert „angemessene technische Maßnahmen", die dem „Stand der Technik" entsprechen. Das ICO stellte fest, dass die Schlüsselableitung im Jahr 2022 weit mehr erforderte, als LastPass lieferte. Was 2015 ausreichend war, reichte 2022 nicht mehr.
Das Ergebnis: Verschlüsselungsqualität von Anbietern ist jetzt ein prüfbares Compliance-Element. Organisationen müssen prüfen, dass ihre Tools aktuelle Parameterempfehlungen verwenden — nicht nur veraltete Grundstandards. Sehen Sie unseren Sicherheits- und Compliance-Überblick für unseren Umgang damit.
DPDI Act 2025: Sechs wesentliche Änderungen
Das Gesetz macht 14 identifizierte Änderungen am britischen Datenschutzrecht. Sechs haben direkte operative Auswirkungen.
1. Berechtigte Interessen. Das Gesetz listet „anerkannte berechtigte Interessen" auf. Diese erfordern nicht die Interessenabwägung, die EU-Recht noch verlangt. Dies erleichtert die Nutzung als Rechtsgrundlage für britische Unternehmen.
2. Forschung und Statistik. Das Gesetz erweitert die Forschungsausnahme. Die Sekundärnutzung personenbezogener Daten für Forschungszwecke ist mit weniger Einwilligungsanforderungen möglich als im EU-Recht.
3. Automatisierte Entscheidungen. Das Gesetz ersetzt EU-Artikel 22. Die neue Regelung ist permissiver. Für einige automatisierte Entscheidungen ist keine bedeutsame menschliche Überprüfung mehr erforderlich.
4. Dokumentationspflichten. Das Gesetz entfernt die Pflicht zu Verzeichnissen von Verarbeitungstätigkeiten (ROPA) für Unternehmen unter 250 Mitarbeiter ohne „systematische" Verarbeitung. EU-Regeln erfordern ROPA für alle Unternehmen, deren Verarbeitung nicht gelegentlich ist.
5. Cookie-Einwilligung. Das Gesetz reduziert Einwilligungsanforderungen für Analyse-Cookies. Es fördert „cookie-freie" Alternativen. EU-ePrivacy-Regeln erfordern weiterhin Einwilligung für Tracking-Cookies.
6. Internationale Übermittlungen. Der britische Staatssekretär erhält erweiterte Befugnisse zur Erteilung von Angemessenheitsbeschlüssen. Das UK kann Länder genehmigen, die die EU nicht genehmigt hat. Dies spaltet den Übermittlungsrahmen auf beiden Seiten.
Das Angemessenheitsrisiko
Die Europäische Kommission wird prüfen, ob britisches Recht, wie durch den DPDI Act geändert, „im Wesentlichen gleichwertigen" Schutz wie EU-Regeln bietet.
Drei Bereiche bereiten EU-Monitoren Sorgen.
Die erweiterten berechtigten Interessen des DPDI Act können Lücken schaffen, die die Kommission als unzureichend einstuft. Der britische Investigatory Powers Act 2016 wirft weiterhin Fragen im Zusammenhang mit EuGH-Präzedenzfällen auf. Britisch-amerikanische Vereinbarungen unter dem CLOUD Act können EU-Daten US-Strafverfolgungsbehörden zugänglich machen.
Wenn die Angemessenheit ausgesetzt wird, müssen über 10.000 britisch-europäische Standard-Vertragsklausel-Pakete sofort aktiviert werden. Unternehmen, die nur auf Angemessenheit für UK-EU-Übermittlungen setzen, würden über Nacht Compliance-Lücken entwickeln. Prüfen Sie unseren Compliance-Leitfaden, um Ihre aktuelle Exposition zu verstehen.
Beide Regelwerke gleichzeitig erfüllen
Für Unternehmen, die beiden Rechtsrahmen unterliegen, ist der Weg klar.
Nutzen Sie den strengeren Maßstab. EU-Artikel 32, der EU-Test für berechtigte Interessen und die EU-Regelungen für automatisierte Entscheidungen sind strenger als ihre UK-Entsprechungen. Wer EU-Standards erfüllt, erfüllt auch UK-Standards — zuzüglich einiger UK-spezifischer Ergänzungen.
Dokumentieren Sie beide Rechtsgrundlagen. Für die Verarbeitung auf Basis berechtigter Interessen halten Sie sowohl das EU-Abwägungsergebnis als auch den Nachweis fest, dass die Verarbeitung in eine anerkannte UK-Kategorie fällt. Doppelte Dokumentation schützt bei weiterer Divergenz.
Halten Sie SCCs bereit. Die Angemessenheitsprüfung 2026 wird entscheiden, ob separate Übermittlungsinstrumente benötigt werden. Halten Sie Standard-Vertragsklauseln als Backup bereit, auch wenn Sie derzeit auf Angemessenheit setzen.
Prüfen Sie Anbieter-Verschlüsselung. Der LastPass-Fall macht Anbieter-Verschlüsselung zu einem aktiven Compliance-Element. Bestätigen Sie, dass Tools, die personenbezogene Daten verarbeiten, aktuelle Empfehlungen nutzen: AES-256-GCM für ruhende Daten, argon2id oder PBKDF2 mit aktuellen Iterationszahlen für die Schlüsselableitung. Besuchen Sie unsere FAQ für häufige Prüffragen.
Die britische Post-Brexit-Aufspaltung ist der erste echte Bruch im EU-Datenschutzmodell. Für Unternehmen in beiden Regionen ist die sicherste Position, für den anspruchsvolleren Standard zu entwickeln — der weiterhin der EU-Rahmen ist.
anonym.legal verarbeitet alle Dokumente in EU-basierten Hetzner-Rechenzentren mit Zero-Knowledge-Design. Der Server sieht Ihre Klartext-Inhalte nie. Ein vollständiger Server-Angriff liefert nur AES-256-GCM-Chiffrat. Brauchen Sie lokale Verarbeitung? Die Desktop-App läuft vollständig auf Ihrem Gerät ohne externe Verbindungen.
Quellen
- ICO: Information Commissioner's Office — VERIFIED-EXTERNAL
- ICO: Durchsetzungsmaßnahmen — VERIFIED-EXTERNAL
- UK Government: DPDI Act 2025 Analyse — VERIFIED-EXTERNAL