Konzerndatenschutz

Eine besondere Hürde für Datenverarbeitungen innerhalb verschiedener Konzernverbünde ist, dass es im Datenschutzrecht kein sogenanntes „Konzernprivileg“ gibt. Werden also personenbezogene Daten an einen Dritten, daher außerhalb des eigenen Unternehmens weitergegeben, spielt es keine Rolle, ob dieser Dritte ein fremdes oder ein Unternehmen in der Konzernstruktur ist.

Eine Erleichterung im Konzerndatenschutz bietet die DSGVO bei Datenübermittlungen, die auf ein berechtigtes Interesse der involvierten Unternehmen gestützt werden. Nach Erwägungsgrund 48 der DSGVO können Verantwortliche, die Teil einer Unternehmensgruppe sind, ein berechtigtes Interesse daran haben, personenbezogene Daten innerhalb dieses Verbunds für interne Verwaltungszwecke zu übermitteln. Aufgrund des fehlenden Konzernprivilegs im Bereich Datenschutz ist bei jedem konzerninternen Austausch personenbezogener Daten darauf zu achten, dass für die Übermittlungen eine Rechtsgrundlage besteht. Unsere erfahrenen Datenschutz-Berater helfen Ihnen gerne bei der Umsetzung datenschutzkonformer Datenübermittlungen im Konzerngefüge.

Das fehlende Konzernprivileg stellt Konzernunternehmen vor Herausforderungen. Eine Auslagerung bestimmter Unternehmensbereiche (z. B. Buchhaltung, Personalverwaltung oder Abrechnung) und eine Zentralisierung der Datenverarbeitung bei der Konzernmutter wird nicht ohne Weiteres möglich sein.

Bei der Einführung und Nutzung einer Konzerndatenbank ist etwa zu klären, welches Unternehmen eigentlich „verantwortlich“ ist, oder ob sogar eine „gemeinsame Verantwortlichkeit“ zwischen den beteiligten Konzernunternehmen in Betracht kommt. Unter Umständen kann auch eine Auftragsverarbeitung denkbar sein. Zusätzlich stehen Unternehmen in der Pflicht, jede konzerninterne Übermittlung personenbezogener Daten auf eine valide Rechtsgrundlage zu stützen. Befindet sich ein involviertes Konzernunternehmen in einem Drittland, sind zusätzliche Anforderungen zu beachten. Verarbeitet das Konzernunternehmen eigenverantwortlich Mitarbeiterdaten, die es von einem Konzernunternehmen aus dem EWR-Raum erhält, bedürfen die von der europäischen Kommission bereitgestellten Standard-Datenschutzklauseln ergänzender Regelungen für eine datenschutzkonforme Datenübermittlung von Mitarbeiterdaten.

Nach Art. 37 Abs. 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte erreicht werden kann. Dies war schon nach dem Bundesdatenschutzgesetz (BDSG) zulässig und üblich. Die DSGVO erleichtert dies noch zusätzlich. Ein wesentlicher Vorteil bei der Bestellung eines Konzerndatenschutzbeauftragten ist die Etablierung eines gleichmäßigen Datenschutzniveaus in der Unternehmergruppe durch die zentrale Organisation.

Zur Erreichung dieses Zwecks bieten sich verschiedene Modelle an. Nach dem sogenannten Einheitsmodell kann ein und dieselbe Person die Funktion des Datenschutzbeauftragten für mehrere oder sämtliche Konzernunternehmen innehaben. Hierbei hat jede Konzerntochter diese Person ordnungsgemäß als Konzerndatenschutzbeauftragten benannt. Je größer der Konzern ist, desto mehr Ressourcen und Mitarbeiter benötigt der Konzerndatenschutzbeauftragte im Einheitsmodell.

Eine Alternative hierzu ist das sogenannte Koordinationsmodell. Hierbei benennt jedes Unternehmen der Konzerngruppe einen eigenen Datenschutzbeauftragten, wobei die konzernweite Datenschutzorganisation durch einen Konzerndatenschützer koordiniert wird. Beiden Modellen ist gemein, dass sämtliche Fäden bei einer fachkundigen Stelle zusammenlaufen, um einheitliche Lösungen für unternehmensübergreifende Fragen im Datenschutz zu finden.