{"id":3203,"date":"2016-05-24T09:19:58","date_gmt":"2016-05-24T08:19:58","guid":{"rendered":"http:\/\/www.cr-online.de\/blog\/?p=3203"},"modified":"2016-05-24T09:19:58","modified_gmt":"2016-05-24T08:19:58","slug":"dsgvo-was-gilt-fuer-den-datenaustausch-innerhalb-eines-konzerns","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2016\/05\/24\/dsgvo-was-gilt-fuer-den-datenaustausch-innerhalb-eines-konzerns\/","title":{"rendered":"DSGVO: Was gilt f\u00fcr den Datenaustausch innerhalb eines Konzerns?"},"content":{"rendered":"<p><em>Die DSGVO in der betrieblichen Praxis. Das neue Buch erscheint in K\u00fcrze und beantwortet mehr als 120 Fragen zum neuen europ\u00e4ischen Datenschutzrecht, das ab 25. Mai 2018 anzuwenden ist.\u00a0In diesem Blog werden vorab einige Fragen ver\u00f6ffentlicht (<a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\"><em>H\u00e4rting, <\/em><\/a><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">Datenschutz<\/a><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">&#8211;<\/a><a href=\"http:\/\/www.otto-schmidt.de\/datenschutz-grundverordnung.html\" target=\"_blank\">Grundverordnung, 2016<\/a><em>).<\/em><\/em><\/p>\n<p>Der konzerninterne Datenaustausch ist notwendig, aber datenschutzrechtlich nicht trivial.<\/p>\n<p><strong>Geltendes Recht<\/strong><\/p>\n<p>Nach dem BDSG gelten f\u00fcr die \u00dcbermittlung von personenbezogenen Daten innerhalb eines Konzerns keine besonderen Regelungen. Es gibt <strong>kein \u201eKonzernprivileg\u201c<\/strong>; der Begriff des Konzerns ist dem BDSG fremd.<\/p>\n<p>Wenn innerhalb eines Konzerns die Daten\u00fcbermittlung rechtlich abgesichert werden soll, gibt es im Wesentlichen <strong>drei gangbare Wege<\/strong>:<\/p>\n<ul>\n<li><strong>Einwilligung:<\/strong>\u00a0 Alle Betroffenen m\u00fcssen der \u00dcbermittlung von Daten innerhalb des Konzerns (d.h. von einem konzernangeh\u00f6rigen Unternehmen an ein anderes Unternehmen desselben Konzerns) gem\u00e4\u00df \u00a7 4 a Abs. 1 BDSG zustimmen (<a href=\"http:\/\/www.juris.de\/jportal\/portal\/t\/gnr\/page\/jurisw.psml\/action\/portlets.jw.MainAction?p1=000049&amp;eventSubmit_doNavigate=searchInSubtreeTOC&amp;showdoccase=1&amp;doc.hl=0&amp;doc.id=samson-ovsBDSGD00130508&amp;doc.part=C&amp;toc.poskey=#focuspoint\" target=\"_blank\"><em>Plath,<\/em> in Plath (Hrsg.), BDSG, \u00a7 4a Rz. 7 ff.<\/a>). Dies ist sehr aufw\u00e4ndig und vielfach nicht praktikabel.<\/li>\n<li><strong>Gesetzliche Erlaubnis:<\/strong>\u00a0 Alternativ l\u00e4sst sich die konzerninterne \u00dcbermittlung von Daten auf gesetzliche Erlaubnistatbest\u00e4nde (\u00a7\u00a7 28 ff. BDSG) st\u00fctzen. Dies ist mit Rechtsunsicherheit verbunden (<a href=\"http:\/\/www.juris.de\/jportal\/portal\/t\/h5r\/page\/jurisw.psml\/action\/portlets.jw.MainAction?p1=000154&amp;eventSubmit_doNavigate=searchInSubtreeTOC&amp;showdoccase=1&amp;doc.hl=0&amp;doc.id=samson-ovsBDSGD0048050804&amp;doc.part=C&amp;toc.poskey=#focuspoint\" target=\"_blank\">Plath, in: Plath (Hrsg.), BDSG, \u00a7 28 Rz. 46 ff.<\/a> und <a href=\"http:\/\/www.juris.de\/jportal\/portal\/t\/h5r\/page\/jurisw.psml\/action\/portlets.jw.MainAction?p1=000154&amp;eventSubmit_doNavigate=searchInSubtreeTOC&amp;showdoccase=1&amp;doc.hl=0&amp;doc.id=samson-ovsBDSGD0048050804&amp;doc.part=C&amp;toc.poskey=#focuspoint\" target=\"_blank\">speziell zu\u00a0Konzerninteressen Rz. 73<\/a>). Soweit es um Besch\u00e4ftigtendaten geht, ist beispielsweise offen, ob \u00a7 28 Abs. 1 Satz 1\u00a0Nr. 2 BDSG eine Daten\u00fcbermittlung \u00fcberhaupt noch legitimieren kann, seit es den Sondertatbestand des \u00a7 32 Abs. 1 Satz 1 BDSG gibt, der den \u2013 schwer zu f\u00fchrenden \u2013 Nachweis verlangt, dass die konzerninterne Daten\u00fcbermittlung f\u00fcr die Durchf\u00fchrung des Besch\u00e4ftigungsverh\u00e4ltnisses \u201eerforderlich\u201c ist.<\/li>\n<li><strong>Auftragsdatenverarbeitung:<\/strong>\u00a0 Die Auftragsdatenverarbeitung ist als Instrument des konzerninternen Datenaustausches weit verbreitet. Eine entsprechende Struktur einzurichten, ist wegen der Notwendigkeit zahlreicher Vereinbarungen gem\u00e4\u00df \u00a7 11 BDSG aufw\u00e4ndig (<a href=\"http:\/\/www.juris.de\/jportal\/portal\/t\/hsm\/page\/jurisw.psml\/action\/portlets.jw.MainAction?p1=000115&amp;eventSubmit_doNavigate=searchInSubtreeTOC&amp;showdoccase=1&amp;doc.hl=0&amp;doc.id=samson-ovsBDSGD00300511&amp;doc.part=C&amp;toc.poskey=#focuspoint\" target=\"_blank\"><em>Plath<\/em>, in: Plath (Hrsg.), BDSG, \u00a7 11 Rz. 42-45<\/a>). Bei internationalen Konzernen ist eine Auftragsdatenverarbeitung zudem nicht immer praktikabel wegen der regulatorischen Anforderungen, die bei der \u00dcbermittlung personenbezogener Daten in Drittl\u00e4nder zu beachten sind (\u00a7\u00a7 4 b und 4 c BDSG; dazu ausf\u00fchrlich <a href=\"http:\/\/www.juris.de\/jportal\/portal\/t\/ifq\/page\/jurisw.psml\/action\/portlets.jw.MainAction?p1=000071&amp;eventSubmit_doNavigate=searchInSubtreeTOC&amp;showdoccase=1&amp;doc.hl=0&amp;doc.id=samson-ovsBDSGD00150509&amp;doc.part=C&amp;toc.poskey=#focuspoint\" target=\"_blank\"><em>v.d. Bussche<\/em>, in: Plath (Hrsg.), BDSG, \u00a7 4 c Rz. 35 ff<\/a>.).<\/li>\n<\/ul>\n<p><strong>\u00c4nderungen durch die DSGVO<\/strong><\/p>\n<p>In Art. 4 Nr. 19 DSGVO findet sich eine <strong>Definition<\/strong> des Begriffs des Konzerns (<strong>\u201eUnternehmensgruppe\u201c<\/strong>):<\/p>\n<blockquote>\n<p style=\"padding-left: 30px;\">\u201eeine Gruppe, die aus einem <strong>herrschenden<\/strong> Unternehmen <strong>und<\/strong> den von diesem <strong>abh\u00e4ngigen Unternehmen<\/strong> besteht\u201d.<\/p>\n<\/blockquote>\n<p>Der Datenaustausch im Konzern auf der Grundlage von Einwilligungen oder mit dem Instrument der Auftragsverarbeitung wird durch die DSGVO <strong>erschwert<\/strong>:<\/p>\n<ul>\n<li>Bei den <strong>Einwilligungen<\/strong> erh\u00f6ht Art. 7 DSGVO die <span style=\"text-decoration: underline;\">Anforderungen an die Wirksamkeit<\/span>.<\/li>\n<li>Die <strong>Auftragsdatenverarbeitung<\/strong> bleibt zwar als Gestaltungsmittel erhalten, unterliegt jedoch <span style=\"text-decoration: underline;\">modifizierten Bedingungen<\/span> (Art. 28 DSGVO). Der Auftragsverarbeiter wird in deutlich st\u00e4rkerem Ma\u00dfe f\u00fcr den Schutz der verarbeiteten Daten und f\u00fcr die Einhaltung des Datenschutzrechts verantwortlich, als dies nach dem BDSG der Fall ist.<\/li>\n<\/ul>\n<p>Der konzerninterne Datenaustausch <strong>auf gesetzlicher Grundlage<\/strong> wird durch die DSGVO erheblich <strong>vereinfacht und erleichtert:<\/strong><\/p>\n<ul>\n<li>Er richtet sich im Wesentlichen nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO (\u201e<span style=\"text-decoration: underline;\">berechtigte Interessen<\/span>\u201c), wobei<\/li>\n<li><span style=\"text-decoration: underline;\">bei sensitiven Daten<\/span> zus\u00e4tzlich die Anforderungen des Art. 9 DSGVO zu beachten sind.<\/li>\n<\/ul>\n<p>Der konzerninterne Datenaustausch ist durch Erw\u00e4gungsgrund 48 Satz 1 DSGVO als \u201eberechtigtes Interesse\u201c <strong>privilegiert<\/strong>. Erw\u00e4gungsgrund 48 Satz 1 DSGVO erkennt f\u00fcr den Konzern \u201cinterne Verwaltungszwecke\u201d als ein \u201cberechtigtes Interesse\u201d an:<\/p>\n<blockquote>\n<p style=\"padding-left: 30px;\">\u201eVerantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind, k\u00f6nnen <span style=\"text-decoration: underline;\">ein berechtigtes Interesse<\/span> haben, personenbezogene Daten innerhalb der Unternehmensgruppe <span style=\"text-decoration: underline;\">f\u00fcr interne Verwaltungszwecke<\/span>, einschlie\u00dflich der Verarbeitung personenbezogener Daten von Kunden und Besch\u00e4ftigten, zu \u00fcbermitteln.\u201d<br \/>\n(Hervorhebungen hinzugef\u00fcgt)<\/p>\n<\/blockquote>\n<p>Erw\u00e4gungsgrund 48 Satz 1 DSGVO erleichtert den konzerninternen Datenaustausch, stellt ihn jedoch nicht von s\u00e4mtlichen datenschutzrechtlichen Anforderungen frei:<\/p>\n<ul>\n<li>Es bedarf jeweils gem\u00e4\u00df Art. 6 Abs. 1 Satz 1 lit. f DSGVO einer <strong>Abw\u00e4gung<\/strong> mit entgegenstehenden schutzw\u00fcrdigen Interessen der Betroffenen.<\/li>\n<li>F\u00fcr den <strong>Transfer an konzernangeh\u00f6rige Unternehmen in Drittstaaten<\/strong> gelten die Anforderungen der Art. 44 ff. DSGVO (vgl. Erw\u00e4gungsgrund 48 Satz 2 DSGVO). Hier werden sich <span style=\"text-decoration: underline;\">Binding Corporate Rules<\/span> (BCR) regelm\u00e4\u00dfig als Gestaltungsmittel anbieten, deren Aufstellung in Art. 47 DSGVO geregelt ist.<\/li>\n<\/ul>\n<p><span style=\"color: #ff0000;\"><strong>Merke:<\/strong><\/span><\/p>\n<p><span style=\"color: #ff0000;\">Anders als das geltende Recht sieht Art. 37 Abs. 2 DSGVO die M\u00f6glichkeit der Bestellung eines Konzern-Datenschutzbeauftragten ausdr\u00fccklich vor.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die DSGVO in der betrieblichen Praxis. Das neue Buch erscheint in K\u00fcrze und beantwortet mehr als 120 Fragen zum neuen europ\u00e4ischen Datenschutzrecht, das ab 25. Mai 2018 anzuwenden ist.\u00a0In diesem Blog werden vorab einige Fragen ver\u00f6ffentlicht (H\u00e4rting, Datenschutz&#8211;Grundverordnung, 2016). Der konzerninterne Datenaustausch ist notwendig, aber datenschutzrechtlich nicht trivial. Geltendes Recht Nach dem BDSG gelten f\u00fcr [&hellip;]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,51],"tags":[564,515,565,566],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3203"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=3203"}],"version-history":[{"count":4,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3203\/revisions"}],"predecessor-version":[{"id":3216,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/3203\/revisions\/3216"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=3203"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=3203"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=3203"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}