§ 4 Rechtsgrundlagen der Verarbeitung / cc) Verarbeitungen innerhalb einer Unternehmensgruppe (Konzerndatenverarbeitung)

Rz. 202

Ein berechtigtes Interesse eines Dritten kann sich zudem für Datenübermittlungen innerhalb von konzernverbundenen Unternehmen ergeben. In Ermangelung eines datenschutzrechtlichen Konzernprivileges^[271] gelten konzernverbundene Unternehmen in ihrem Verhältnis zueinander als "Dritte". Die Datenverarbeitung innerhalb eines Konzernunternehmens führt dementsprechend nicht zugleich zu einer Datenverwendungsbefugnis anderer Konzernunternehmen. Dennoch kann die Datenübermittlung innerhalb eines Konzerns den berechtigten Interessen der anderen Konzernunternehmen dienen.

Rz. 203

Erwägungsgrund 48 formuliert entsprechend:

Zitat

"Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind können ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln."

In Erwägungsgrund 37 heiß es:

Zitat

"Eine Unternehmensgruppe sollte aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen bestehen, wobei das herrschende Unternehmen dasjenige sein sollte, das zum Beispiel aufgrund der Eigentumsverhältnisse, der finanziellen Beteiligung oder der für das Unternehmen geltenden Vorschriften oder der Befugnis, Datenschutzvorschriften umsetzen zu lassen, einen beherrschenden Einfluss auf die übrigen Unternehmen ausüben kann. Ein Unternehmen, das die Verarbeitung personenbezogener Daten in ihm angeschlossenen Unternehmen kontrolliert, sollte zusammen mit diesen als eine "Unternehmensgruppe" betrachtet werden."

Rz. 204

Eine Verarbeitungsbefugnis innerhalb eines Konzerns auf Grundlage des Art. 6 Abs. 1 lit f) DSGVO kann sich ergeben, wenn Kundendaten zum Zwecke der Werbung bei einem Konzernunternehmen erhoben wurden und der angesprochene Kunde auf die Werbemaßnahmen mit einer Werbesperre reagiert. In diesem Fall ist es aus Sicht der anderen Konzernunternehmen sinnvoll, von der Werbesperre zu erfahren, damit die Daten des Kunden nicht noch einmal erhoben werden. Dem (potentiellen) Kunden darf keine Werbung zugesendet werden, die dieser nicht wünscht. Den rechtlichen Konsequenzen, die aus einer unerwünschten Werbemaßnahme resultieren können, wird so bereits im Vorfeld wirksam begegnet. Auch schutzwürdige Betroffeneninteressen scheinen nicht grundsätzlich einer Übermittlung entgegenzustehen, betrachtet man den Umstand, dass dem Kundenwunsch an einer Werbesperre sogar "konzernweit" entsprochen wird.

Rz. 205

Ebenso sind Fälle einer zentralen Personal- und Kundendatenverarbeitung angesprochen, die sich im Rahmen des Art. 6 Abs. 1 lit f) DSGVO als zulässig erweisen kann. In diesem Sinne ist im Versicherungskonzern auch eine unternehmensübergreifende Datenverarbeitung zur Erfüllung der Beratungspflichten nach § 6 VVG denkbar.

Rz. 206

Auf Grund der Privilegierung von Unternehmensgruppen, muss es nach hiesiger Auffassung möglich und zulässig sein, auch die Informationspflichten (siehe § 5 Rdn 35 ff.) auf ein Konzernunternehmen zu überantworten. In diesem Rahmen ist nur einmal auf die (mögliche) Verarbeitung innerhalb der – dann aber namentlich zu benennenden – Konzernunternehmen auf Grundlage des Art. 6 Abs. 1 lit. f) DSGVO hinzuweisen und zu informieren, so dass im Falle einer "Übermittlung" an ein konzernverbundenes Unternehmen keine neue Informationspflicht des weiteren Verantwortlichen besteht.

Rz. 207

In jedem Fall könne in diesem Zusammenhang jedenfalls an die Etablierung einer "gemeinsamen Verantwortung" nach Art. 26 DSGVO gedacht und die Zwecke der und die Mittel zur Verarbeitung im Konzern und seinen Unternehmen gemeinsam festgelegt werden. In diesem Fall sieht auch Art. 26 DSGVO vor, dass nur ein Verantwortlicher bestimmt werden kann, der die Verpflichtung der DSGVO erfüllt.^[272]

[271] Ein solches war ursprünglich innerhalb der DSGVO vorgesehen gewesen.

[272] Ausführlich hierzu § 8 Rdn 13 ff.