Dr. iur. Matthias Lachenmann
Rz. 54
In der immer arbeitsteiligeren Welt wird es stetig wichtiger, Beschäftigtendaten zwischen Konzerngesellschaften zu übermitteln. So werden in den flexibleren Wertschöpfungsketten der Industrie 4.0 oft kurzfristig neue organisatorische Einheiten gebildet oder aufgelöst und Entscheidungsprozesse aus dem "klassischen Betrieb" heraus verlagert. Die DSGVO kennt – ebenso wie das BDSG und die DSRL – kein datenschutzrechtliches Konzernprivileg. Daher ist die Übermittlung von Beschäftigtendaten zwischen verschiedenen Gesellschaften eines Konzerns auch weiterhin wie die Übertragung an außenstehende Gesellschaften zu bewerten; es handelt sich um eine Übermittlung als Teil der Verarbeitung i.S.v. Art. 4 Abs. 2 DSGVO. Diese Übermittlung muss nach denselben Grundsätzen datenschutzrechtlich abgedeckt sein, wie es bei externen Unternehmen der Fall wäre.
Rz. 55
Nichtsdestotrotz greifen verschiedene Erleichterungen für Konzerne. Eine Option ist das sog. eingeschränkte Konzernprivileg nach ErwG 48 DSGVO, das Teil der Interessenabwägung nach Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO ist und eine Wertung für die Interessenabwägung vorgibt, soweit interne Verwaltungszwecke der Konzernunternehmen betroffen sind. Zu den internen Verwaltungszwecken gehört neben einer Mitarbeiterdatenbank auch die Aufgabenverteilung zwischen Konzernunternehmen. Der Nutzen der Vorschrift ist insofern eingeschränkt, als in diesen Fällen stets eine Datenübermittlung stattfindet und deren Folgen vertraglich abzusichern sind. Zudem muss eine Information der Beschäftigten über die Übermittlung auf Basis des Konzernprivilegs erfolgen.
Rz. 56
Aufgrund der verschiedenen Privilegierungen für Konzerne empfehlen sich meist vertragliche und organisatorische Regelungen der Datenübermittlung im Konzern: So können Datenübertragungen, denen klare Vorgaben und Weisungen zu den Zwecken und ggf. Mitteln der Datenverarbeitung im Auftrag zugrunde gelegt werden, über den Abschluss von Auftragsverarbeitungsvereinbarungen (AVV) nach Art. 28 f. DSGVO abgesichert werden. Angesichts der großen Anzahl von im Konzerngeflecht erforderlicher AVV, kann die Organisation der AVV erleichtert werden, indem innerhalb des Konzerns Muster für alle Konzerngesellschaften bereitgestellt werden. Im internationalen Kontext können die neuen EU-Standardvertragsklauseln herangezogen werden, die einen AVV bereits beinhalten, aber ggf. um weitere konzerninterne Regelungen ergänzt werden müssen. Zudem können Rahmenverträge geschlossen werden, die einen Standard für die Vorgaben an Auftragsverarbeitungen im Konzern vorsehen. Die jeweiligen einzelnen Projekte können sodann über Anlagen geregelt werden, die auf die einzelnen Verfahren abgestimmte Regelungen und Weisungen enthalten.
Rz. 57
Darüber hinaus kann es möglich und sinnvoll sein, in Konzernen unternehmensübergreifende Verträge mit Vorgaben zur Datenverarbeitung zu schließen (sog. Company-to-Company-Agreements bzw. Intra-Company-Agreements). Diese Verträge können Vorgaben an den Schutz der Betroffenenrechte aufstellen und werden dadurch Teil der Interessenabwägung. Durch solche vertraglichen Regelungen, die ein hohes Datenschutzniveau und die Einhaltung der DSGVO-Regelungen sicherstellen (müssen), kann die Interessenabwägung zugunsten der Konzernunternehmen ausfallen und dadurch eine Übermittlung gestattet werden. Die Konzernzugehörigkeit kann ein zusätzliches Argument für die erleichterte Datenübertragung sein, wenn ein konzernweit hohes Datenschutzniveau sichergestellt ist.
Rz. 58
Weiterhin kann geprüft werden, ob bei einzelnen Verfahren eine gemeinsame Verantwortlichkeit zwischen Konzernunternehmen vorliegt. Dieses Konstrukt nach Art. 26 DSGVO liegt vor, wenn alle beteiligten Verantwortlichen gleichermaßen über Zwecke und Mittel der Verarbeitung entscheiden können. Dies kann bspw. bei einem konzernübergreifenden Kontaktverzeichnis der Fall sein, bei dem jedes teilnehmende Unternehmen gleichermaßen die Informationen über die Beschäftigten anpassen und aktualisieren kann. Erforderlich ist hierbei, dass zwischen den (Konzern-)Unternehmen ein Vertrag geschlossen wird, der die wichtigsten Vorgaben an die Datenverarbeitung regelt. Die "maßgeblichen Regelungen" müssen den Betroffen gem. Art. 26 Abs. 2 S. 2 DSGVO bereitgestellt werden. Das Konstrukt kann jedoch bei einem gemeinsamen Projekt mehrerer (Konzern-)Unternehmen nur sinnvoll eingesetzt werden, wenn alle beteiligten Stellen identische Ziele verfolgen und die Datenverarbeitung einheitlich festgelegt werden kann. Eine Sondersituation kann gelten, wenn z.B. Dienstleister nur als Auftragsverarbeiter beauftragt werden soll, diese aber pseudonymisierte oder anonymisierte Daten zu eigenen Zwecken einsetzen möchten, da dann nach mehreren EuGH-Urteilen eine gemeinsame Verantwortung vorliegen kann. Der Einsatz muss daher bereits in der Planungsphase sorgfältig geprüft und ausgearbeitet werden.