Das Wichtigste im Überblick
- Konzerngesellschaften sind eigenständige Verantwortliche - die DSGVO kennt keine Konzernprivilegierung, jede Gesellschaft braucht eigene Renchtsgrudlagen
- Berechtigte Interessen können Datentransfers rechtfertigen - Art. 6 Abs. 1 lit. f DSGVO ist oft die Rechtsgrundlage für konzerninternen Datenaustausch
- Verschiedene Kooperationsmodelle sind möglich - Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder klassische Datenübermittlung
Grundsätzliche Rechtslage bei Konzerndatentransfers
Die Weitergabe personenbezogener Daten innerhalb eines Konzerns ist ein komplexes datenschutzrechtliches Thema, das viele Unternehmen vor erhebliche Herausforderungen stellt. Während Konzerne wirtschaftlich als Einheit agieren, behandelt die Datenschutz-Grundverordnung (DSGVO) jede Konzerngesellschaft grundsätzlich als separate rechtliche Einheit.
Dies bedeutet, dass die Übermittlung personenbezogener Daten zwischen Konzerngesellschaften grundsätzlich den gleichen rechtlichen Anforderungen unterliegt wie die Datenübermittlung an völlig fremde Dritte. Eine automatische „Konzernprivilegierung“ gibt es im europäischen Datenschutzrecht nicht.
Dennoch sind Datentransfers innerhalb von Konzernstrukturen unter bestimmten Voraussetzungen durchaus möglich und rechtlich zulässig. Entscheidend ist die Wahl der richtigen rechtlichen Grundlage und die ordnungsgemäße Umsetzung der datenschutzrechtlichen Anforderungen. Ein erfahrener Anwalt für Datenschutz kann dabei helfen, rechtssichere Konzernstrukturen zu entwickeln und Compliance-Risiken zu minimieren.
Rechtliche Grundlagen für konzerninternen Datenaustausch
Datenschutz-Grundverordnung und Konzernstrukturen
Die DSGVO enthält nur wenige spezifische Regelungen für Konzernstrukturen. Art. 4 Nr. 19 DSGVO definiert zwar den Begriff der „Unternehmensgruppe“, dieser spielt jedoch bei der Zulässigkeit von Datentransfers keine zentrale Rolle. Stattdessen gelten die allgemeinen Bestimmungen der DSGVO. Jede Konzerngesellschaft ist grundsätzlich eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, wenn sie über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Dies hat zur Folge, dass für jeden Datentransfer zwischen Konzerngesellschaften eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich ist.
Mögliche Rechtsgrundlagen für Konzerndatentransfers
Die wichtigsten Rechtsgrundlagen für die Weitergabe personenbezogener Daten innerhalb von Konzernstrukturen sind die Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO), die Erforderlichkeit zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), die rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) und die Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO). In der Praxis spielt Art. 6 Abs. 1 lit. f DSGVO die wichtigste Rolle für konzerninternen Datenaustausch. Berechtigte Interessen können dabei wirtschaftliche Effizienz, einheitliche Kundenbetreuung, Risikomanagement oder Compliance-Anforderungen sein, wobei stets eine Interessenabwägung durchgeführt werden muss.
Besondere Kategorien personenbezogener Daten
Bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten, ethnische Herkunft, politische Meinungen) gelten verschärfte Anforderungen. Hier reichen berechtigte Interessen nicht aus, sondern es bedarf einer der spezifischen Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO. Gleiches gilt für personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, wo eine Verarbeitung durch private Unternehmen nur in sehr engen Grenzen zulässig ist.
Modelle für die Zusammenarbeit im Konzern
Auftragsverarbeitung zwischen Konzerngesellschaften
Ein bewährtes Modell für die rechtssichere Weitergabe personenbezogener Daten innerhalb von Konzernstrukturen ist die Auftragsverarbeitung nach Art. 28 DSGVO. Dabei übernimmt eine Konzerngesellschaft die Datenverarbeitung im Auftrag einer anderen Konzerngesellschaft, wobei die auftraggebende Gesellschaft Verantwortlicher bleibt und die auftragnehmende Gesellschaft zum Auftragsverarbeiter wird. Dies erfordert einen schriftlichen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO. Die Auftragsverarbeitung bietet den Vorteil, dass die Übermittlung nicht als Weitergabe an einen Dritten gilt, allerdings sind die Verwendungszwecke auf die ursprünglichen Zwecke des Verantwortlichen beschränkt.
Gemeinsame Verantwortlichkeit im Konzern
Wenn mehrere Konzerngesellschaften gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Dies kann bei konzernweiten Projekten, gemeinsamen IT-Systemen oder einheitlichen Kundendatenbanken der Fall sein. Gemeinsam Verantwortliche müssen in einer Vereinbarung transparent festlegen, wer welche Pflichten erfüllt, und haften gegenüber den betroffenen Personen gesamtschuldnerisch. Dieses Modell eignet sich besonders für Fälle, in denen mehrere Konzerngesellschaften tatsächlich gemeinsam über die Datenverarbeitung entscheiden.
Klassische Datenübermittlung zwischen Verantwortlichen
Die dritte Möglichkeit ist die klassische Datenübermittlung zwischen rechtlich selbstständigen Verantwortlichen. Hierbei benötigt sowohl die übermittelnde als auch die empfangende Gesellschaft eine eigene Rechtsgrundlage nach Art. 6 DSGVO. Die übermittelnde Gesellschaft muss prüfen, ob die Weitergabe mit den ursprünglichen Verarbeitungszwecken vereinbar ist, während die empfangende Gesellschaft ihrerseits über eine Rechtsgrundlage für die Verarbeitung verfügen muss.
Praktische Anwendungsfälle im Konzern
Personalwesen und HR-Datenaustausch
Im Personalbereich entstehen häufig Situationen, in denen personenbezogene Daten von Mitarbeitern zwischen Konzerngesellschaften ausgetauscht werden müssen – bei Versetzungen, konzernweiten Schulungsprogrammen, einheitlichen HR-Systemen oder Gehaltsabrechnungen durch Shared Service Center. Für die Versetzung von Mitarbeitern ist regelmäßig eine Rechtsgrundlage erforderlich, etwa eine Einwilligung, die Erforderlichkeit zur Vertragserfüllung oder eine Verarbeitung nach § 26 Abs. 1 BDSG. Besonders sensibel sind Gesundheitsdaten von Mitarbeitern, wo die verschärften Anforderungen des Art. 9 DSGVO greifen.
Kundendatenmanagement
Viele Konzerne möchten eine einheitliche Sicht auf ihre Kunden haben und Kundendaten konzernweit für Cross-Selling-Aktivitäten, einheitliche Kundenbetreuung oder Risikobewertungen nutzen. Grundsätzlich ist die Weitergabe von Kundendaten zwischen Konzerngesellschaften zulässig, wenn eine entsprechende Rechtsgrundlage vorliegt. Bei bestehenden Kundenbeziehungen kann dies über berechtigte Interessen gerechtfertigt werden, sofern die Interessenabwägung positiv ausfällt. Kritisch wird es, wenn Kundendaten für völlig neue Zwecke verwendet werden sollen, die nicht mit den ursprünglichen Verarbeitungszwecken vereinbar sind.
Compliance und Risikomanagement
Konzerne haben berechtigte Interessen daran, Risiken frühzeitig zu erkennen und Compliance-Anforderungen zu erfüllen. Dies kann die Weitergabe personenbezogener Daten für Geldwäsche-Prüfungen, Sanktionslisten-Abgleiche oder interne Ermittlungen erforderlich machen. Hier ist sorgfältig zu prüfen, ob die Verarbeitung zur Erfüllung rechtlicher Verpflichtungen oder zur Wahrung berechtigter Interessen erforderlich ist, wobei die Verhältnismäßigkeit stets gewahrt bleiben muss.
IT-Services und Shared Services
Viele Konzerne betreiben zentrale IT-Services oder Shared Service Center für mehrere Konzerngesellschaften. In diesen Fällen bietet sich häufig das Modell der Auftragsverarbeitung an, wobei die Service-erbringende Gesellschaft zum Auftragsverarbeiter wird. Die Datenschutzkonferenz (DSK) weist jedoch darauf hin, dass bei weisungsfreier Zusammenarbeit eine gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit vorliegen kann. Dies erfordert entsprechende Auftragsverarbeitungsverträge und die Einhaltung der Weisungsgebundenheit.
Internationale Konzernstrukturen und Drittlandtransfers
Besondere Herausforderungen bei internationalen Konzernen
Bei internationalen Konzernstrukturen kommen zusätzliche Komplexitäten hinzu, wenn personenbezogene Daten in Länder außerhalb der Europäischen Union übermittelt werden sollen. Solche Drittlandtransfers unterliegen den verschärften Anforderungen der Art. 44 ff. DSGVO und sind nur zulässig, wenn ein angemessenes Schutzniveau gewährleistet ist. Dies kann durch einen Angemessenheitsbeschluss der EU-Kommission, geeignete Garantien wie Standardvertragsklauseln oder Binding Corporate Rules, oder durch das Vorliegen einer Ausnahme nach Art. 49 DSGVO erreicht werden.
Transfer Impact Assessments
Nach dem Schrems II-Urteil des Europäischen Gerichtshofs und den Empfehlungen des Europäischen Datenschutzausschusses ist vor jedem Drittlandtransfer eine Bewertung des dortigen Schutzniveaus („Transfer Impact Assessment“) durchzuführen. Dabei ist zu prüfen, ob das Recht und die Praxis im Zielland ein der DSGVO im Wesentlichen gleichwertiges Schutzniveau gewährleisten. Falls dies nicht der Fall ist, müssen zusätzliche Schutzmaßnahmen wie Ende-zu-Ende-Verschlüsselung oder vertragliche Zusatzgarantien implementiert werden.
Binding Corporate Rules als Konzernlösung
Für große internationale Konzerne bieten Binding Corporate Rules (BCR) eine elegante Lösung für konzerninternen Datentransfer in Drittländer. BCR sind interne Datenschutzbestimmungen, die von den europäischen Aufsichtsbehörden genehmigt werden und als Rechtsgrundlage für alle internationalen Datentransfers innerhalb des Konzerns dienen. Die Implementierung ist aufwendig und dauert typischerweise 12–24 Monate, bietet jedoch den Vorteil einheitlicher konzernweiter Datenschutzstandards und Flexibilität bei Konzernumstrukturierungen.
Informationspflichten und Betroffenenrechte
Transparenz gegenüber betroffenen Personen
Unabhängig vom gewählten Kooperationsmodell müssen betroffene Personen über die Weitergabe ihrer Daten innerhalb des Konzerns informiert werden. Die Informationspflichten nach Art. 13 und 14 DSGVO erfordern, dass betroffene Personen über die Empfänger oder Kategorien von Empfängern unterrichtet werden. In der Praxis bedeutet dies, dass bereits bei der ersten Datenerhebung darüber informiert werden muss, dass die Daten möglicherweise an andere Konzerngesellschaften weitergegeben werden.
Auskunftsrechte und weitere Betroffenenrechte
Betroffene Personen haben das Recht zu erfahren, welche ihrer Daten innerhalb des Konzerns verarbeitet werden und an welche Stellen sie weitergegeben wurden. Bei Auskunftsersuchen müssen daher alle Konzerngesellschaften koordiniert antworten. Gleiches gilt für andere Betroffenenrechte wie das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung – entsprechende Maßnahmen müssen konzernweit koordiniert werden.
Technische und organisatorische Maßnahmen
Datensicherheit bei konzerninternen Transfers
Die Weitergabe personenbezogener Daten innerhalb des Konzerns erfordert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten. Dies umfasst sowohl die Sicherheit der Datenübertragung als auch die Sicherheit der Datenspeicherung bei der empfangenden Stelle. Verschlüsselung, Zugriffskontrollen, Protokollierung und regelmäßige Sicherheitsüberprüfungen sind wichtige Bausteine, die dem Risiko der Verarbeitung angemessen sein müssen.
Datenminimierung und Zweckbindung
Auch bei konzerninternen Datentransfers gelten die Grundsätze der Datenminimierung und Zweckbindung. Es dürfen nur die Daten weitergegeben werden, die für den konkreten Zweck erforderlich sind. Eine pauschale Weitergabe aller verfügbaren Daten ist nicht zulässig. Die empfangende Konzerngesellschaft darf die erhaltenen Daten grundsätzlich nur für die Zwecke verwenden, für die sie übermittelt wurden.
Häufige Fehler und Compliance-Risiken
Unterschätzte Komplexität
Ein häufiger Fehler ist die Unterschätzung der rechtlichen Komplexität konzerninterner Datentransfers. Viele Unternehmen gehen davon aus, dass innerhalb des Konzerns eine „Narrenfreiheit“ bei der Datenverarbeitung besteht. Dies ist jedoch ein Trugschluss, der zu erheblichen Compliance-Risiken führen kann. Die Aufsichtsbehörden haben bereits hohe Bußgelder gegen Konzerne verhängt, die personenbezogene Daten ohne ausreichende Rechtsgrundlage zwischen Konzerngesellschaften ausgetauscht haben.
Unvollständige Dokumentation
Ein weiteres häufiges Problem ist die unvollständige Dokumentation der Datentransfers. Die DSGVO verlangt nach Art. 30 Abs. 1 eine umfassende Dokumentation aller Verarbeitungstätigkeiten, einschließlich der Weitergabe an andere Stellen. Ohne ordnungsgemäße Dokumentation ist eine Compliance-Bewertung kaum möglich und bei Datenschutzvorfällen oder Prüfungen können keine klaren Nachweise vorgelegt werden.
Fehlende Interessenabwägung
Bei der Berufung auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO ist eine sorgfältige Interessenabwägung erforderlich. Viele Unternehmen führen diese Abwägung jedoch nur oberflächlich durch oder dokumentieren sie nicht ausreichend. Die Interessenabwägung muss die konkreten Interessen des Konzerns, die Notwendigkeit der Datenverarbeitung, die Auswirkungen auf die betroffenen Personen und mögliche mildere Mittel berücksichtigen.
Checkliste für rechtssichere Konzerndatentransfers
Um personenbezogene Daten rechtssicher innerhalb eines Konzerns weiterzugeben, sollten folgende Punkte beachtet werden: Prüfen Sie zunächst, ob tatsächlich eine Datenübermittlung vorliegt oder ob Alternativen wie Auftragsverarbeitung möglich sind. Bestimmen Sie für jeden Transfer eine geeignete Rechtsgrundlage nach Art. 6 DSGVO und führen Sie bei berechtigten Interessen eine dokumentierte Interessenabwägung durch. Informieren Sie die betroffenen Personen transparent über die konzerninternen Datentransfers und stellen Sie sicher, dass alle Betroffenenrechte koordiniert erfüllt werden können. Implementieren Sie angemessene technische und organisatorische Maßnahmen zum Schutz der übermittelten Daten.
Bei internationalen Transfers prüfen Sie die Drittland-Anforderungen und führen Sie ein Transfer Impact Assessment durch. Dokumentieren Sie alle Transfers vollständig und überprüfen Sie regelmäßig die Rechtmäßigkeit und Erforderlichkeit. Schulen Sie Ihre Mitarbeiter regelmäßig zu den rechtlichen Anforderungen und etablieren Sie klare Genehmigungsprozesse. Bei komplexen Konzernstrukturen sollten Sie die Implementierung von Binding Corporate Rules oder anderen konzernweiten Datenschutzlösungen erwägen.
Praxistipps für die Umsetzung
Schritt-für-Schritt-Vorgehen
Beginnen Sie mit einer umfassenden Bestandsaufnahme aller aktuellen Datentransfers innerhalb Ihres Konzerns. Erstellen Sie eine Datenlandkarte, die alle Datenflüsse zwischen den Konzerngesellschaften visualisiert. Bewerten Sie anschließend jeden identifizierten Transfer hinsichtlich seiner Rechtmäßigkeit und priorisieren Sie dabei Transfers mit hohen Datenvolumen oder sensiblen Daten. Entwickeln Sie für problematische Transfers Lösungskonzepte, die neue Rechtsgrundlagen, die Umstellung auf Auftragsverarbeitung oder die Einholung neuer Einwilligungen umfassen können.
Governance und Organisation
Etablieren Sie klare Governance-Strukturen für konzerninternen Datenaustausch mit definierten Verantwortlichkeiten und Genehmigungsprozessen. Ein zentrales Data Governance Committee kann dabei helfen, einheitliche Standards durchzusetzen. Implementieren Sie technische Lösungen zur Unterstützung der Compliance, wie Data Loss Prevention Systeme oder Privacy Management Plattformen. Führen Sie regelmäßige Audits und Compliance-Checks durch, da sich die rechtlichen Anforderungen kontinuierlich ändern.
Strategischer Ansatz für rechtssichere Konzernkooperation
Die Weitergabe personenbezogener Daten innerhalb von Konzernstrukturen ist grundsätzlich möglich, erfordert aber eine sorgfältige rechtliche Planung und Umsetzung. Die DSGVO bietet verschiedene Instrumente, um eine rechtssichere und effiziente Konzernkooperation zu ermöglichen. Entscheidend ist es, die rechtlichen Anforderungen von Beginn an mitzudenken und nicht als nachgelagerte Compliance-Übung zu behandeln.
Wir unterstützen Konzerne bei der Entwicklung rechtssicherer Datentransfer-Strategien. Mit unserer Expertise im IT-Recht und der praktischen Erfahrung als externe Datenschutzbeauftragte entwickeln wir maßgeschneiderte Lösungen, die den spezifischen Anforderungen Ihrer Konzernstruktur entsprechen und eine effiziente Zusammenarbeit im Konzern ermöglichen.
Häufig gestellte Fragen
Ja, aber nur mit entsprechender Rechtsgrundlage. Die DSGVO behandelt jede Konzerngesellschaft als eigenständige verantwortliche Stelle, weshalb für Datentransfers zwischen ihnen dieselben Regeln gelten wie für Dritte.
Häufig werden berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO genutzt. Diese erfordern jedoch eine sorgfältige Interessenabwägung. Alternativ können Auftragsverarbeitung oder gemeinsame Verantwortlichkeit geeignet sein.
Ja, die Informationspflichten nach Art. 13/14 DSGVO verlangen, dass betroffene Personen über Empfänger oder Kategorien von Empfängern ihrer Daten informiert werden.
Ja, ein Datenschutzbeauftragter kann mehrere Konzerngesellschaften betreuen, sofern er für alle gut erreichbar ist und keine Interessenkonflikte bestehen.
Mitarbeiterdaten können bei Versetzungen, für HR-Services oder Gehaltsabrechnung weitergegeben werden. Oft ist eine Einwilligung erforderlich oder die Verarbeitung muss zur Vertragserfüllung erforderlic
Ja, bei Datentransfers in Drittländer gelten die verschärften Anforderungen der Art. 44 ff. DSGVO. Transfer Impact Assessments und geeignete Garantien wie Standardvertragsklauseln sind erforderlich.
BCR sind interne Datenschutzbestimmungen für internationale Konzerne, die von den Aufsichtsbehörden genehmigt werden. Sie eignen sich für große Konzerne mit regelmäßigen internationalen Datentransfers.
Ja, dies ist ein bewährtes Modell. Die auftragnehmende Gesellschaft wird zum Auftragsverarbeiter und benötigt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Die Aufsichtsbehörden können Bußgelder bis zu 4% des weltweiten Jahresumsatzes verhängen. Auch Schadensersatzansprüche von betroffenen Personen sind möglich.
Eine jährliche Überprüfung ist empfehlenswert. Bei größeren Konzernumstrukturierungen, neuen Geschäftsfeldern oder Änderungen der Rechtslage sollten Sie häufiger prüfen.
German 
English