Inhalt anzeigen
Warum Datenschutz im Konzern besondere Strukturen benötigt
Konzerne und Unternehmensgruppen verarbeiten personenbezogene Daten häufig über mehrere Gesellschaften, Standorte und Länder hinweg. Gemeinsame IT-Systeme, zentrale Dienstleistungen, konzernweite Personalprozesse und einheitliche Kundenangebote verbinden die Beteiligten organisatorisch. Datenschutzrechtlich muss trotzdem für jede Verarbeitung geklärt sein, welche Gesellschaft über Zwecke und Mittel entscheidet und damit als Verantwortliche handelt.
Die Konzernzugehörigkeit allein erlaubt keinen freien Austausch personenbezogener Daten. Jede Datenübermittlung benötigt eine tragfähige Rechtsgrundlage. Abhängig von der tatsächlichen Aufgabenverteilung können Gesellschaften getrennt verantwortlich, gemeinsam verantwortlich oder als Verantwortliche und Auftragsverarbeiter tätig sein. Maßgeblich ist die gelebte Entscheidung über Zwecke und wesentliche Mittel der Verarbeitung, nicht allein die Bezeichnung im Vertrag.
Verantwortlichkeiten und Rollen eindeutig festlegen
Ein konzernweites Datenschutzmanagement braucht eine klare Governance. Dazu gehören Verantwortlichkeiten auf Ebene der Gesellschaften, zentrale fachliche Standards und verlässliche Ansprechpartner in den Standorten oder Geschäftsbereichen.
Eine Unternehmensgruppe darf nach Artikel 37 Absatz 2 DSGVO einen gemeinsamen Datenschutzbeauftragten benennen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Die Verantwortung für die Rechtmäßigkeit der Verarbeitung bleibt jedoch bei den jeweiligen verantwortlichen Gesellschaften. Datenschutzkoordinatoren können den Datenschutzbeauftragten unterstützen, Informationen aus den Einheiten zusammenführen und die Umsetzung vereinbarter Maßnahmen begleiten.
Zentrale Transparenz über Verarbeitung und Datenflüsse schaffen
Die Grundlage bildet ein gemeinsames Bild der tatsächlichen Verarbeitung:
- Welche Gesellschaft verarbeitet welche personenbezogenen Daten?
- Für welche Zwecke und auf welcher Rechtsgrundlage erfolgt die Verarbeitung?
- Welche Systeme, Standorte und Empfänger sind beteiligt?
- Welche Auftragsverarbeiter und weiteren Dienstleister werden eingesetzt?
- Finden Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums statt?
- Welche Aufbewahrungs- und Löschanforderungen gelten?
Ein abgestimmtes Verzeichnis der Verarbeitungstätigkeiten hilft, diese Informationen vergleichbar zu dokumentieren. Einheitliche Vorlagen und Begriffe erleichtern die Zusammenarbeit. Die Inhalte müssen trotzdem die tatsächlichen Prozesse jeder verantwortlichen Gesellschaft abbilden.
Gemeinsam verantwortlich, getrennt verantwortlich oder Auftragsverarbeitung?
Wenn mehrere Gesellschaften Zwecke und wesentliche Mittel einer Verarbeitung gemeinsam festlegen, kann eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vorliegen. Dann müssen die Beteiligten transparent vereinbaren, wer welche Pflichten erfüllt. Verarbeitet eine Gesellschaft Daten ausschließlich nach dokumentierter Weisung einer anderen, ist eine Auftragsverarbeitung nach Artikel 28 DSGVO zu prüfen. Handeln Gesellschaften jeweils für eigene Zwecke, können sie getrennt Verantwortliche sein.
Die Einordnung sollte pro Verarbeitung erfolgen. Ein pauschales Rollenmodell für den gesamten Konzern wird den unterschiedlichen Geschäftsprozessen meist nicht gerecht. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses konkretisieren die Abgrenzung von Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeitern.
Internationale Datenübermittlungen kontrollieren
Bei konzerninternen Übermittlungen in Drittländer gelten die Vorgaben der Artikel 44 bis 49 DSGVO. Je nach Zielland und Konstellation kommen insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften – Binding Corporate Rules – als Instrumente in Betracht. Zusätzlich muss geprüft werden, ob die gewählten Garantien in der konkreten Übermittlung wirksam sind und ob ergänzende Maßnahmen erforderlich werden.
Umsetzung in vier Schritten
1. Organisation und Geltungsbereich erfassen
Gesellschaften, Standorte, Fachbereiche, Systeme und zentrale Dienstleistungen werden aufgenommen. Anschließend werden Rollen, Ansprechpartner und Eskalationswege festgelegt.
2. Verarbeitungen und Datenflüsse dokumentieren
Bestehende Verzeichnisse, Verträge und Richtlinien werden zusammengeführt. Interne und externe Empfänger, Auftragsverarbeiter, Drittlandtransfers sowie rechtliche Grundlagen werden den jeweiligen Verarbeitungen zugeordnet.
3. Risiken und Handlungsbedarf priorisieren
Abweichungen werden anhand ihrer rechtlichen und praktischen Bedeutung bewertet. Dazu können fehlende Vereinbarungen, unklare Verantwortlichkeiten, nicht dokumentierte Übermittlungen, offene Betroffenenanfragen oder Verarbeitungen mit voraussichtlich hohem Risiko gehören.
4. Betrieb und Nachweise organisieren
Maßnahmen erhalten Verantwortliche, Termine und nachvollziehbare Statusinformationen. Wiederkehrende Prüfungen, Löschanforderungen, Datenschutz-Folgenabschätzungen, Vorfälle und Betroffenenrechte werden in geregelte Abläufe überführt.
Wie Robin Data unterstützt
ComplianceOS kann Gesellschaften, Rollen, Verarbeitungstätigkeiten, Verträge, Maßnahmen und Nachweise in einem gemeinsamen Arbeitskontext abbilden. Berechtigungen und Zuständigkeiten helfen dabei, zentrale Standards mit dezentraler Verantwortung zu verbinden. Robin Data Services können die Bestandsaufnahme, fachliche Einordnung und Weiterentwicklung der Prozesse begleiten. Die rechtliche Bewertung konkreter Einzelfälle bleibt einer entsprechend befugten Beratung vorbehalten.
Buchen Sie einen Discovery-Termin, um Ausgangslage und passenden Einstieg für Ihr konzernweites Datenschutzmanagement zu klären.