Das Wichtigste im Überblick
- Konzernstrukturen erfordern spezielle Datenschutzlösungen - Standard-DSGVO-Maßnahmen reichen bei komplexen Unternehmensgruppen nicht aus
- Binding Corporate Rules (BCR) sind das Instrument für legale internationale Datentransfers innerhalb multinationaler Konzerne
- Zentrale vs. dezentrale Datenschutzorganisation muss strategisch geplant und rechtlich abgesichert werden
Was bedeutet Datenschutz im Konzern?
Datenschutz im Konzern umfasst die rechtskonforme Gestaltung aller datenschutzrechtlichen Prozesse und Strukturen in Unternehmensgruppen. Konzerne stehen vor der besonderen Herausforderung, dass sie rechtlich getrennte Einheiten darstellen, operativ aber als wirtschaftliche Einheit agieren möchten.
Die Datenschutz-Grundverordnung (DSGVO) kennt den Konzernbegriff nur begrenzt und behandelt jede Gesellschaft grundsätzlich als separate verantwortliche Stelle. Dies führt zu komplexen rechtlichen Anforderungen, wenn personenbezogene Daten zwischen Konzerngesellschaften ausgetauscht werden sollen. Ein erfahrener Anwalt für Datenschutz kann dabei helfen, rechtssichere Strukturen zu entwickeln.
Für internationale Konzerne mit Gesellschaften in verschiedenen Rechtsordnungen kommen zusätzliche Komplexitäten durch unterschiedliche nationale Datenschutzgesetze und internationale Datentransferbestimmungen hinzu.
Rechtliche Grundlagen des Konzerndatenschutzes
Der Datenschutz in Konzernstrukturen bringt besondere rechtliche Herausforderungen mit sich, die eine differenzierte Betrachtung der verschiedenen datenschutzrechtlichen Rollen und Verantwortlichkeiten erfordern.
DSGVO-Anwendung im Konzern
Die DSGVO unterscheidet zwischen verschiedenen datenschutzrechtlichen Rollen, die in Konzernstrukturen von besonderer Relevanz sind. Jede Konzerngesellschaft ist nach Art. 4 Nr. 7 DSGVO grundsätzlich eigenständig verantwortlich für die von ihr verarbeiteten personenbezogenen Daten. Diese eigenständige Verantwortlichkeit bedeutet, dass jede Gesellschaft die datenschutzrechtlichen Anforderungen selbstständig erfüllen muss.
Konzerngesellschaften können jedoch auch als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO füreinander tätig werden, wenn eine Gesellschaft Daten im Auftrag einer anderen verarbeitet. In diesem Fall gelten die speziellen Regelungen für die Auftragsverarbeitung.
Eine weitere wichtige Konstellation ist die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Diese liegt vor, wenn mehrere Konzerngesellschaften gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. In solchen Fällen müssen die beteiligten Gesellschaften ihre jeweiligen Verantwortlichkeiten in einer Vereinbarung festlegen.
Datentransfers zwischen Konzerngesellschaften
Datentransfers zwischen Konzerngesellschaften innerhalb der Europäischen Union unterliegen den normalen DSGVO-Bestimmungen und benötigen eine Rechtsgrundlage nach Art. 6 DSGVO. Diese innereuropäischen Transfers sind grundsätzlich unproblematisch, da ein einheitliches Datenschutzniveau gewährleistet ist.
Komplexer gestalten sich Datenübermittlungen an Konzerngesellschaften außerhalb der EU und des EWR. Diese Drittlandtransfers erfordern zusätzliche Schutzmaßnahmen, die verschiedene Formen annehmen können. Ein Angemessenheitsbeschluss der EU-Kommission stellt die einfachste Lösung dar, ist aber nur für wenige Länder verfügbar. Alternativ können Standardvertragsklauseln, Binding Corporate Rules, anerkannte Zertifizierungen oder genehmigte Verhaltensregeln als Transfergrundlage dienen.
Als Rechtsgrundlage für konzerninternen Datenaustausch kann Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) dienen, wenn die erforderliche Interessenabwägung zugunsten des Konzerns ausfällt. Dabei müssen die Interessen des Konzerns gegen die Rechte und Freiheiten der betroffenen Personen abgewogen werden.
Binding Corporate Rules als Konzernlösung
Binding Corporate Rules (BCR) stellen eine speziell für multinationale Konzerne entwickelte Lösung dar, die erhebliche Vorteile bei der internationalen Datenübermittlung bietet.
Was sind Binding Corporate Rules?
Binding Corporate Rules sind interne Datenschutzbestimmungen multinationaler Konzerne, die von den Aufsichtsbehörden genehmigt werden und als Grundlage für internationale Datentransfers innerhalb des Konzerns dienen. Sie schaffen einheitliche konzernweite Datenschutzstandards und bieten eine Rechtsgrundlage für alle internationalen Datentransfers.
Die Vorteile von BCR sind vielfältig: Sie ermöglichen Flexibilität bei Konzernumstrukturierungen und erfordern nur einen einmaligen Genehmigungsprozess statt bilateraler Vereinbarungen für jeden einzelnen Transfer. Dies macht sie besonders für große, international tätige Konzerne attraktiv.
Die Voraussetzungen für BCR umfassen einen substanziellen internationalen Datentransfer innerhalb eines Konzerns, einheitliche Konzernstrukturen und -kontrolle, die Einhaltung der Mindestanforderungen nach Art. 47 DSGVO sowie eine umfassende Datenschutz-Governance.
BCR-Genehmigungsverfahren
Das Genehmigungsverfahren wird von der federführenden Aufsichtsbehörde des EU-Hauptsitzes geleitet. Im Rahmen des Konsistenzverfahrens müssen alle EU-Aufsichtsbehörden den BCR zustimmen, was die Komplexität und Dauer des Verfahrens erhöht.
Der Mindestinhalt der BCR muss den Anwendungsbereich und die Struktur des Konzerns, Datenschutzgrundsätze und Verarbeitungszwecke, Betroffenenrechte und deren Durchsetzung, Haftung und Rechtsbehelfe sowie Schulungs- und Auditprogramme umfassen.
Die Verfahrensdauer beträgt typischerweise 12 bis 24 Monate, was bei der Planung berücksichtigt werden muss.
Konzern-Datenschutzorganisation
Die Organisation des Datenschutzes in Konzernstrukturen kann verschiedene Formen annehmen, die jeweils spezifische Vor- und Nachteile aufweisen.
Zentrale vs. dezentrale Strukturen
Eine zentralisierte Datenschutzorganisation zeichnet sich durch einen konzernweiten Datenschutzbeauftragten, einheitliche Datenschutz-Policies und -Verfahren, zentrale Schulungs- und Auditprogramme sowie eine effiziente Ressourcennutzung aus. Diese Struktur bietet Kosteneinsparungen und gewährleistet einheitliche Standards.
Im Gegensatz dazu setzt eine dezentrale Datenschutzorganisation auf lokale Datenschutzbeauftragte in jeder Gesellschaft, ermöglicht eine bessere Anpassung an lokale Rechtserfordernisse, gewährleistet die Nähe zu operativen Geschäftsprozessen und sichert eine bessere lokale Compliance.
Hybride Modelle kombinieren zentrale Steuerung mit lokaler Umsetzung und arbeiten oft mit einem Group Privacy Officer und lokalen Privacy Managern. Diese Struktur vereint die Vorteile beider Ansätze.
Datenschutzbeauftragte im Konzern
Ein Konzern-Datenschutzbeauftragter kann mehrere Konzerngesellschaften betreuen, sofern er für alle gut erreichbar ist und keine Interessenkonflikte bestehen. Bei komplexen Strukturen oder verschiedenen Geschäftsfeldern können separate Datenschutzbeauftragte für verschiedene Konzernbereiche oder -gesellschaften sinnvoll sein.
Für kleinere Konzerngesellschaften kann ein externer Datenschutzbeauftragter eine effiziente Lösung darstellen, da er spezialisierte Expertise einbringt, ohne hohe interne Kosten zu verursachen.
Datenschutz-Governance-Strukturen
Ein konzernweites Privacy Committee kann als Gremium für Datenschutz-Strategien und -Entscheidungen fungieren. Standardisierte Privacy Impact Assessments gewährleisten einheitliche Verfahren für Datenschutz-Folgenabschätzungen im gesamten Konzern.
Konzernweite Incident Response-Verfahren sind für die koordinierte Behandlung von Datenschutzverletzungen und die Erfüllung von Meldepflichten unerlässlich.
Internationale Datentransfers im Konzern
Die internationale Datenübermittlung innerhalb von Konzernen bringt besondere Herausforderungen mit sich, die durch aktuelle rechtliche Entwicklungen zusätzlich verschärft wurden.
Herausforderungen bei Drittlandtransfers
Die Schrems II-Entscheidung des EuGH hat die Anforderungen an Datentransfers in Drittländer verschärft. Unternehmen müssen nun zusätzliche Schutzmaßnahmen bei Datentransfers in unsichere Drittländer implementieren.
Ein Transfer Impact Assessment zur Bewertung der Rechtslage und Risiken im Zielland ist vor jedem Datentransfer erforderlich. Zusätzliche Schutzmaßnahmen können technische und organisatorische Maßnahmen zur Kompensation unzureichenden Drittlandschutzes umfassen, wie Ende-zu-Ende-Verschlüsselung, Pseudonymisierung und Anonymisierung, vertragliche Zusatzgarantien oder den Ausschluss bestimmter Datentypen.
Standardvertragsklauseln im Konzern
Die neuen Standardvertragsklauseln von 2021 berücksichtigen verschiedene Transferszenarien: Controller-to-Controller zwischen Verantwortlichen, Controller-to-Processor an Auftragsverarbeiter und Processor-to-Processor zwischen Auftragsverarbeitern.
Konzernspezifische Anpassungen umfassen mehrseitige Vereinbarungen für komplexe Konzernstrukturen, Flexibilität bei Konzernumstrukturierungen und einheitliche Governance-Mechanismen.
Besondere Herausforderungen verschiedener Konzerntypen
Verschiedene Branchen bringen spezifische datenschutzrechtliche Herausforderungen mit sich, die bei der Konzern-Datenschutzorganisation berücksichtigt werden müssen.
Technologiekonzerne
Cloud-basierte Datenverarbeitung erfordert besondere Anforderungen an die Sicherheit und Lokalisation von Daten bei internationalen Cloud-Services. Die datenschutzkonforme Entwicklung und der Einsatz von KI-Systemen über Konzerngesellschaften hinweg stellen weitere Herausforderungen dar.
Plattform-Geschäftsmodelle müssen Datenschutz bei komplexen mehrseitigen Plattformen mit verschiedenen Nutzertypen gewährleisten. Die Integration von Privacy-by-Design in schnelle Entwicklungszyklen von DevOps und agiler Entwicklung erfordert besondere Aufmerksamkeit.
Finanzkonzerne
Zusätzliche Datenschutzpflichten durch die Finanzaufsicht wie BaFin oder EBA müssen berücksichtigt werden. Die datenschutzkonforme Gestaltung von Know-Your-Customer-Verfahren und Geldwäscheprävention stellt besondere Anforderungen.
Die Berücksichtigung verschiedener Finanzmarktregulierungen bei internationalen Datentransfers und der Datenschutz bei automatisierten Handelssystemen und Marktdatenverarbeitung erfordern spezialisierte Expertise.
Industriekonzerne
Internet of Things und Industrie 4.0 bringen Datenschutzherausforderungen bei vernetzten Produktionsanlagen und Smart Factory-Konzepten mit sich. Die datenschutzkonforme Gestaltung internationaler Lieferketten im Supply Chain Management ist von wachsender Bedeutung.
Predictive Maintenance und die Analyse von Maschinendaten sowie die Berücksichtigung lokaler Arbeitnehmerdatenschutzbestimmungen an internationalen Standorten erfordern besondere Aufmerksamkeit.
Pharma- und Medizinkonzerne
Gesundheitsdaten unterliegen besonderen Schutzanforderungen nach Art. 9 DSGVO. Internationale Datentransfers bei multinationalen klinischen Studien müssen sorgfältig geplant werden.
Datenschutz bei Zulassungsverfahren und Pharmakovigilanz sowie die konzernweite Verwaltung von Patienteneinwilligungen stellen weitere spezifische Herausforderungen dar.
Datenschutzverletzungen im Konzern
Die Behandlung von Datenschutzverletzungen in Konzernstrukturen erfordert besondere Koordination und klare Verantwortlichkeiten.
Meldepflichten bei Konzernstrukturen
Bei konzernweiten Datenschutzverletzungen muss geklärt werden, welche Aufsichtsbehörde federführend zuständig ist. Koordinierte Meldungen helfen dabei, Mehrfachmeldungen bei Vorfällen zu vermeiden, die mehrere Konzerngesellschaften betreffen.
Grenzüberschreitende Vorfälle bringen besondere Herausforderungen bei Datenschutzverletzungen mit internationalen Auswirkungen mit sich. Die Klärung der internen Verantwortlichkeiten und Regressansprüche zwischen Konzerngesellschaften sollte vorab geregelt werden.
Krisenmanagement
Konzernweite Incident Response Teams ermöglichen eine koordinierte Reaktion auf Datenschutzvorfälle. Eine einheitliche externe und interne Kommunikationsstrategie bei größeren Vorfällen ist von entscheidender Bedeutung.
Die Koordination forensischer Maßnahmen über Konzerngesellschaften hinweg und die Aufrechterhaltung des Geschäftsbetriebs während der Vorfallbearbeitung erfordern eine durchdachte Business Continuity-Planung.
Checkliste für Konzern-Datenschutz-Compliance
- Konzernstruktur analysieren und datenschutzrechtliche Rollen definieren
- Datenflüsse kartieren zwischen allen Konzerngesellschaften
- Rechtsgrundlagen prüfen für alle konzerninternen Datentransfers
- BCR oder SCC implementieren für internationale Datentransfers
- Transfer Impact Assessments für alle Drittlandtransfers durchführen
- Datenschutzorganisation etablieren (zentral, dezentral oder hybrid)
- Datenschutzbeauftragte benennen gemäß Konzernstruktur
- Richtlinien und Verfahren konzernweit harmonisieren
- Schulungsprogramme für alle Konzernebenen entwickeln
- Incident Response Verfahren konzernweit koordinieren
- Regelmäßige Audits und Compliance-Reviews durchführen
- Dokumentation aller datenschutzrechtlichen Maßnahmen sicherstellen
Strategischer Ansatz für nachhaltigen Konzern-Datenschutz
Datenschutz im Konzern erfordert mehr als die bloße Compliance mit regulatorischen Anforderungen. Erfolgreiche Konzerne integrieren Datenschutz als strategisches Element in ihre Governance-Strukturen und Geschäftsprozesse.
Eine durchdachte Datenschutz-Strategie schafft nicht nur rechtliche Sicherheit, sondern kann auch operative Vorteile und Wettbewerbsvorsprünge generieren. Dabei ist die Balance zwischen zentraler Steuerung und lokaler Flexibilität entscheidend für den Erfolg.
Unsere Kanzlei unterstützt Konzerne bei der Entwicklung und Implementierung rechtssicherer Datenschutz-Strukturen. Mit unserer Expertise im IT-Recht und der praktischen Erfahrung als externe Datenschutzbeauftragte entwickeln wir maßgeschneiderte Lösungen, die den spezifischen Anforderungen Ihres Konzerns entsprechen.
German 
English