Datenschutz im Konzern

Stehen Sie vor der Herausforderung, den Datenschutz in Ihrem Konzern rechtssicher zu organisieren? Sie sind nicht allein. Das Problem: Die DSGVO sieht kein automatisches „Konzernprivileg“ vor. Datenschutz im Konzern bedeutet, dass jede Übermittlung personenbezogener Daten zwischen Konzerngesellschaften eine eigene Rechtsgrundlage benötigt. Dies gilt auch für die Weitergabe von Daten von Mitarbeitenden, Kundendaten oder anderen personenbezogenen Informationen innerhalb derselben Unternehmensgruppe.

Das heißt: Konzerne müssen klare rechtliche Grundlagen schaffen. Dazu zählen berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO, Vertragserfüllung oder andere zulässige Rechtsgrundlagen.

Datenschutz im Konzern wird besonders komplex, wenn Daten in Drittländer übermittelt werden. Ohne Angemessenheitsbeschluss der EU-Kommission sind zusätzliche Schutzmaßnahmen nach Kapitel V DSGVO erforderlich. Binding Corporate Rules (BCR) oder EU-Standardvertragsklauseln bilden hierbei eine wichtige Grundlage für internationale Konzernstrukturen. 

Die Implementierung von BCR ist aufwendig, bietet aber langfristig die größte Flexibilität für globale Konzerne. Alternativ können Standardvertragsklauseln für einzelne Datenübermittlungen genutzt werden – jedoch mit höherem Verwaltungsaufwand bei komplexen Konzernstrukturen.

Binding Corporate Rules (BCR) sind für internationale Konzerne oft die effizienteste Lösung für grenzüberschreitende Datentransfers. Sie erfordern eine einmalige Genehmigung durch die Aufsichtsbehörden, schaffen dann aber hohe Rechtskonformität für alle Konzerngesellschaften.

Eine der komplexesten Fragen des Konzerndatenschutzes: Wer ist eigentlich verantwortlich, wenn mehrere Konzerngesellschaften gemeinsam ein CRM-System nutzen oder eine zentrale Kundendatenbank betreiben? Die DSGVO spricht hier von „gemeinsamer Verantwortlichkeit“ – ein Konzept, das präzise rechtliche Vereinbarungen zwischen den beteiligten Gesellschaften erfordert. 

In der Praxis bedeutet das: klare Regelungen darüber, wer Betroffenenrechte bearbeitet, wer bei Datenschutzverletzungen handelt und wer als Ansprechpartner für Aufsichtsbehörden fungiert. Ohne diese Klarstellungen entstehen rechtliche Graubereiche, die im Ernstfall teuer werden können. Wichtig ist außerdem: Gegenüber Betroffenen und Behörden bleiben alle gemeinsam Verantwortlichen in der Verantwortung; interne Absprachen dürfen die Rechte nach DSGVO nicht einschränken.

Art. 37 Abs. 2 DSGVO ermöglicht die Bestellung eines Konzerndatenschutzbeauftragten für mehrere Gesellschaften. Voraussetzung: Er muss für alle betroffenen Niederlassungen „leicht erreichbar“ sein und über die erforderliche fachliche Qualifikation für alle Konzernbereiche verfügen.