Binding Corporate Rules: Rechtssicherer Datentransfer in Drittstaaten

Binding Corporate Rules: Datenschutz für den konzerninternen Datentransfer in Drittstaaten

International agierende Konzerne übertragen täglich personenbezogene Daten über Staatsgrenzen hinweg. Das europäische Datenschutzrecht stellt dabei hohe Anforderungen – besonders wenn Daten in Länder fließen, die kein vergleichbares Schutzniveau bieten. Binding Corporate Rules schaffen hier Abhilfe: Als verbindliche interne Datenschutzvorschriften ermöglichen sie multinationalen Unternehmensgruppen den rechtskonformen Datentransfer in unsichere Drittstaaten. Ergänzt wird dies, falls erforderlich, durch eine Prüfung des Schutzniveaus im Empfängerland sowie gegebenenfalls durch zusätzliche technische und organisatorische Maßnahmen.

Wie Binding Corporate Rules entstanden sind

Die Idee verbindlicher Unternehmensregelungen entstand bereits Ende der 1990er Jahre. Bis dahin musste für jede einzelne Datenübertragung ein separater Vertrag geschlossen werden – ein erheblicher administrativer Aufwand für internationale Konzerne. Die zentrale Frage lautete: Können selbstverpflichtende Regeln als ausreichende Datenschutzgarantie bei internen Übermittlungen in unsichere Drittstaaten gelten?

Der europaweite Bedarf nach einer flexibleren Lösung für den konzerninternen Datentransfer führte zur Idee selbstverpflichtender Unternehmensregeln. Nach jahrelanger Diskussion auf europäischer Ebene stand fest: Art. 26 Abs. 2 95/46/EC bildet die taugliche Rechtsgrundlage für verbindliche Unternehmensregelungen.

Der deutsche Gesetzgeber machte 2001 den ersten Schritt und verankerte Unternehmensregelungen im § 4c Abs. 2 BDSG – ohne dass es zu diesem Zeitpunkt konkrete Vorgaben für deren Ausgestaltung gab. Nichtsdestotrotz kannten deutsche Behörden im Juli 2002 nach intensiver Zusammenarbeit die ersten zwei BCR der DaimlerChrysler AG an.

Die Praxisarbeit machte schnell deutlich, dass eine europaweite Koordinierung dringend notwendig war. Deutsche, österreichische und niederländische Datenschutzbehörden diskutierten ein gemeinsames Verfahren – die Bemühungen gipfelten im September 2002 in einem ersten Treffen, auf dem Kriterien für die Federführung einer europäischen Aufsichtsbehörde besprochen wurden.

Die Idee der Unternehmensregelung war aus Sicht einiger Aufsichtsbehörden von vornherein verlockend, wird doch auf diese Art der Datenschutz in die Welt getragen, eben auch in Länder, in denen kaum oder kein Datenschutz existiert.

Anja-Maria Gardain, Pressesprecherin des Berliner Beauftragten für Datenschutz und Informationsfreiheit

Parallel dazu arbeitete die Art. 29-Datenschutzgruppe – das unabhängige Beratungsgremium der Europäischen Kommission – an einem Arbeitsdokument zu verbindlichen Unternehmensregeln. Das sogenannte WP-74 griff dabei sowohl den Begriff der Binding Corporate Rules als auch die Ansätze der deutschen, österreichischen und niederländischen Behörden für eine europaweite Koordination auf.

Konkretisiert wurden diese Ansätze erst auf einer Konferenz der Art. 29-Datenschutzgruppe im ersten Halbjahr 2004. Dort wurde der Koordinationsprozess bei der Bewilligung von BCR intensiv diskutiert und festgelegt, welche europäischen Behörden die Federführung bei einem ersten Testlauf übernehmen sollten – unter anderem in den Fällen DaimlerChrysler, General Electric, Philips, KPMG International und British Petrol B.

Die Ergebnisse der Probeverfahren führten dazu, dass sich die Art. 29-Datenschutzgruppe am 14. April 2005 auf ein europaweites einheitliches Anerkennungsverfahren für BCR einigte. Die Koordination übernahm jeweils eine federführende Behörde mit zwei Beisitzenden. Da die Teilnahme freiwillig war, beteiligten sich nicht alle EFTA-Länder – mit der Folge, dass Binding Corporate Rules zunächst nur in den teilnehmenden Staaten wirksam waren.

Zuletzt nahmen die folgenden 21 Länder an dem Verfahren teil: Österreich, Belgien, Bulgarien, Zypern, Tschechien, Estland, Frankreich, Deutschland, Island, Irland, Italien, Lettland, Liechtenstein, Luxemburg, Malta, Niederlande, Norwegen, Slowakei, Slowenien, Spanien und das Vereinigte Königreich.

Am 14. April 2005 einigte sich die Art. 29-Datenschutzgruppe auf ein europaweites einheitliches Anerkennungsverfahren. Zuletzt nahmen 21 Länder teil – darunter Deutschland, Frankreich, die Niederlande und Österreich.

Im Laufe der Jahre konkretisierte die Art. 29-Datenschutzgruppe die Anforderungen an das Einführungsverfahren der Binding Corporate Rules und vereinfachte es schrittweise für Unternehmen. 2008 wurden weitere Arbeitspapiere veröffentlicht. Mit der Aufnahme von BCR in die Datenschutz-Grundverordnung stärkte der EU-Gesetzgeber das Instrument offiziell und verschaffte ihm EU-weite Anerkennung.

Regelung von Binding Corporate Rules in der Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung verankert Binding Corporate Rules eigenständig in Artikel 47 DSGVO – mit klaren Vorgaben zu den wesentlichen Voraussetzungen und erforderlichen Mindestinhalten.

Art. 47 Abs. 1 DSGVO sieht vor, dass die zuständige Aufsichtsbehörde die Binding Corporate Rules im Kohärenzverfahren nach Art. 63 ff. DSGVO genehmigt. Die Federführung übernimmt dabei die Behörde am europäischen Hauptsitz der Unternehmensgruppe – sie ist nach Art. 56 Abs. 6 DSGVO der einzige Ansprechpartner der Verantwortlichen oder der Auftragsverarbeiter und bindet alle weiteren nationalen Aufsichtsbehörden in das Genehmigungsverfahren ein.

Binding Corporate Rules als geeignete Garantien

Nach Artikel 46 Abs. 2 lit. b DSGVO gelten BCR als geeignete Garantie für die Übertragung personenbezogener Daten in unsichere Drittländer. 

Art. 46 Abs. 2 DSGVO stellt klar: Binding Corporate Rules sind ein anerkannter Nachweis für geeignete Garantien beim Drittstaatentransfer ohne, dass es für jeden einzelnen Datentransfer einer gesonderten Genehmigung bedarf. Nach einmaliger Zustimmung der federführenden Aufsichtsbehörde kann der Datentransfer innerhalb der Unternehmensgruppe dauerhaft und rechtskonform stattfinden. Gegebenenfalls ergänzt um eine Prüfung des Schutzniveaus im Empfängerland und falls erforderlich durch zusätzliche technische und organisatorische Maßnahmen ergänzt. Gemäß Art. 46 Abs. 1 DSGVO wurde der Anwendungsbereich zudem auf Auftragsverarbeiter ausgeweitet.

Die Anforderungen in Art. 47 DSGVO entsprechen weitgehend den früheren Vorgaben der Art. 29-Datenschutzgruppe. Der Europäische Datenschutzausschuss konkretisiert sie heute durch fortlaufend aktualisierte Leitlinien. Binding Corporate Rules bleiben damit ein dynamisches Instrument.

Damit Binding Corporate Rules wirksam eingesetzt werden können, müssen sie verbindlich für alle Mitglieder und Beschäftigten der Unternehmensgruppe gelten und von diesen aktiv durchgesetzt werden. Darüber hinaus müssen sie den betroffenen Personen durchsetzbare Rechte in Bezug auf ihre Daten einräumen und so ein hohes Schutzniveau innerhalb des gesamten Konzerns sicherstellen.

Wie Binding Corporate Rules in der Praxis wirken

Ein häufiges Missverständnis: BCR legitimieren nicht jeden Datentransfer innerhalb eines Konzerns automatisch. Stattdessen gilt das Zwei-Stufen-Prinzip:

1. Erste Stufe: Die Datenübermittlung benötigt eine Rechtsgrundlage, wie bei jedem Transfer innerhalb der EU.
2. Zweite Stufe: Erst wenn diese Grundlage vorliegt, kommen Binding Corporate Rules als Nachweis eines angemessenen Datenschutzniveaus beim Datenempfänger im Drittland ins Spiel.

Binding Corporate Rules greifen bei der Übertragung personenbezogener Daten in außereuropäische Staaten also erst auf der zweiten Ebene. Im Einzelfall bleibt stets zu prüfen, ob ein gesetzlicher Erlaubnistatbestand die Übertragung abdeckt. Ist das der Fall, gelten Binding Corporate Rules als ausreichende Garantie für ein angemessenes Schutzniveau und ermöglichen so einen dauerhaften, rechtssicheren Datentransfer innerhalb der Unternehmensgruppe.

Das Zwei-Stufen-Prinzip

STUFE 1: Zunächst wird geprüft, auf welche Rechtsgrundlage sich die Übermittlung stützt , etwa der Versand von Mitarbeiterdaten einer deutschen Tochtergesellschaft an die amerikanische Muttergesellschaft. Zu Verwaltungszwecken kann hier beispielsweise Art. 6 Abs. 1 S. 1 lit. f DSGVO einschlägig sein.

STUFE 2: Erst auf dieser Ebene kommen die BCR ins Spiel. Sie dienen als geeignete Garantien nach Art. 46 Abs. 2 lit. b DSGVO, sofern die BCR genehmigt sind und das rechtliche Umfeld im Empfängerland geprüft wurde. Ist zum Beispiel ein US Unternehmen nicht nach dem EU-US Data Privacy Framework zertifiziert, können BCR, ergänzt um eine Risikoanalyse und ggf. zusätzliche technische und organisatorische Maßnahmen, eine eigenständige Grundlage für konzerninterne Übermittlungen in die USA bieten.

Diese Inhalte werden in Bindung Rules geregelt:

Bei den Bestimmungen in Artikel 47 Abs. 2 DSGVO handelt es sich im Wesentlichen um die Umsetzung des vorigen Standards aus Art. 26 Abs. 2 DS-RL, welcher von der Artikel 29‑Datenschutzgruppe mithilfe der entsprechenden BCR Arbeitspapieren ausgearbeitet wurde.

Artikel 47 Abs. 2 DSGVO bestimmt folgende Mindestvoraussetzungen für die Gestaltung von Binding Corporate Rules.

• Festlegung des Geltungsbereichs (Angabe aller Staaten, in die ein Datentransfer ermöglicht werden soll und Angabe der sich verpflichtenden Unternehmen)
• transparente Beschreibung der vorgesehenen Datenübermittlungen
• interne und externe Rechtsverbindlichkeit der BCR
• Anwendung der allgemeinen Datenschutzgrundsätze, insbesondere aus Art. 5 DSGVO
• Rechte der betroffenen Personen / Drittbegünstigungsklauseln
• Haftung für Verstöße von nicht in der Union niedergelassenen Mitgliedern
• Information der betroffene Personen von den Inhalten der BCR
• Überwachung der Einhaltung der BCR’s durch die dafür vorgesehenen Personen, insbesondere des Datenschutzbeauftragten durch geeignete Maßnahmen
• Beschwerdeverfahren
• Selbstverpflichtung auf Durchführung eines Auditprogramms
• Verfahren bei Änderung der BCR
• Verfahren für die Zusammenarbeit mit den Aufsichtsbehörden
• Meldeverfahren für den Fall, dass Bestimmungen in Drittstaaten nachteilige Wirkung auf die durch die BCR geschaffenen Garantien haben könnten
• Datenschutzschulungen für Personen mit regelmäßigem Zugang zu personenbezogenen Daten

Dr. Alina Weskamp-Nordmann, LL.M.

Juristin

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren