Für die Nutzung personenbezogener Daten ist eine informierte und freiwillige Einwilligung erforderlich. Die einfache Bestätigung von Verbrauchern, die Datenschutzerklärung gelesen zu haben, reicht nicht aus. Behält sich ein Internet-Unternehmen (hier: Google) vor, einzelne Dienste nach eigenem Ermessen einzustellen oder zu ändern, ist darin ein gesetzlich nicht zulässiger Änderungsvorbehalt zu sehen.

Große internationale Konzerne mit vielen oft weltweit verbundenen Unternehmen verarbeiten personenbezogene Daten massenweise arbeitsteilig. Das heißt, dass Mitarbeiter mehrerer Konzernunternehmen Datenverarbeitungsaufgaben gemeinsam wahrnehmen, z.B. in den Bereichen IT, HR, Finance, Einkauf und anderen zentralen Funktionen. Die Arbeitsteilung bei der Datenverarbeitung (DV) im Konzern kann verschiedene Formen annehmen. Für all diese Formen ist ein flexibler vertraglicher Rahmen innerhalb des Konzerns nötig, der den Vorgaben der DSGVO Rechnung trägt. Der Beitrag zeigt einige Aspekte auf, die es bei diesem vertraglichen Rahmen in Form eines Group Data Protection Agreements zu bedenken gilt.