Datenaustausch und Datenübermittlungen im Konzern

Kein Konzernprivileg: der Ausgangspunkt für den Datenaustausch im Konzern

Der Datenaustausch im Konzern beruht in Deutschland auf einer einfachen Prämisse: Das deutsche und europäische Datenschutzrecht kennt kein „Konzernprivileg“. Jede Gesellschaft eines Konzerns ist ein eigenständiger Verantwortlicher oder Auftragsverarbeiter, und jede Übermittlung personenbezogener Daten von einer Konzerngesellschaft an eine andere braucht eine Rechtsgrundlage, Transparenz gegenüber den betroffenen Personen und, wenn der Empfänger seinen Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) hat, einen Übermittlungsmechanismus.

Konzerninterne Datenflüsse – gemeinsame HR-Systeme, zentrale IT, konzernweites CRM, Compliance-Untersuchungen, Shared Service Center – unterliegen daher denselben Regeln wie Übermittlungen an Dritte – der Datenaustausch im Konzern ist datenschutzrechtlich also grundsätzlich wie eine Weitergabe an ein fremdes Unternehmen zu behandeln –, wobei Konzerninteressen in gewissem Umfang anerkannt werden. Erwägungsgrund 48 der Datenschutz-Grundverordnung (DSGVO) erkennt an, dass Verantwortliche, die Teil einer Unternehmensgruppe sind, ein berechtigtes Interesse haben können, personenbezogene Daten innerhalb der Gruppe für interne Verwaltungszwecke zu übermitteln, einschließlich Daten von Kunden und Beschäftigten; die Vorschriften über Übermittlungen in Drittländer bleiben davon unberührt.

Die richtige Governance ist wichtiger, als viele Konzerne erwarten. Aufsichtsbehörden prüfen konzernweite HR-Systeme und zentrale Kundendatenbanken genau; Betriebsräte haben Mitbestimmungsrechte bei konzernweiten IT-Systemen; und bei Transaktionen und Umstrukturierungen führen unklare Datenrollen zu Verzögerungen. Ein klarer Rahmen – in der Regel ein konzerninterner Datenschutzvertrag in Verbindung mit internen Richtlinien – macht die Compliance beherrschbar und sorgt dafür, dass der Datenaustausch im Konzern nachvollziehbar dokumentiert ist.

Rollenverteilung: Verantwortlicher, gemeinsam Verantwortliche oder Auftragsverarbeiter

Der erste Schritt bei der Strukturierung besteht darin, für jede konzerninterne Verarbeitungstätigkeit festzustellen, welche Gesellschaft über die Zwecke und Mittel der Verarbeitung entscheidet:

• Auftragsverarbeitung (Art. 28 DSGVO): Eine Konzern-IT-Gesellschaft oder ein Shared Service Center verarbeitet Daten im Auftrag der operativen Gesellschaften und nach deren Weisungen. Ein Auftragsverarbeitungsvertrag ist erforderlich.
• Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Zwei oder mehr Konzerngesellschaften legen gemeinsam Zwecke und Mittel fest – etwa bei einem konzernweiten CRM, bei dem Muttergesellschaft und Tochtergesellschaften gemeinsam entscheiden, wie Kundendaten verwendet werden. Sie müssen ihre jeweiligen Verantwortlichkeiten vereinbaren, den betroffenen Personen das Wesentliche der Vereinbarung zur Verfügung stellen und haften gegenüber den betroffenen Personen jeweils selbst.
• Getrennte Verantwortliche: Eine Konzerngesellschaft erhält Daten für eigene Zwecke – etwa die Muttergesellschaft, die Beschäftigtendaten für ein konzernweites Talentmanagement oder für Compliance-Zwecke erhält. Die übermittelnde Gesellschaft braucht eine Rechtsgrundlage, und der Empfänger wird für seine eigene Verarbeitung verantwortlich.

Der Gerichtshof der Europäischen Union (EuGH) legt die gemeinsame Verantwortlichkeit weit aus: Stellen können gemeinsam Verantwortliche sein, auch wenn sie nicht gleichermaßen verantwortlich sind oder keinen gleichen Zugang zu den Daten haben, und eine förmliche Vereinbarung ist keine Voraussetzung für die gemeinsame Verantwortlichkeit – liegt diese aber vor, müssen die gemeinsam Verantwortlichen die nach Art. 26 DSGVO erforderliche Vereinbarung schließen. Eine gemeinsame Verantwortlichkeit fälschlich als Auftragsverarbeitung einzuordnen, ist ein häufiger Fehler, und er hat Folgen, weil Auftragsverarbeiter Daten nicht für eigene Zwecke verwenden dürfen und gemeinsam Verantwortliche eine eigene Haftung tragen.

Rechtsgrundlagen für den Datenaustausch im Konzern

Die Rechtsgrundlage für den Datenaustausch im Konzern hängt jeweils von den betroffenen Daten und dem verfolgten Zweck ab:

1. Beschäftigtendaten: Die Verarbeitung muss für das Beschäftigungsverhältnis erforderlich sein oder auf einem anderen Tatbestand des Art. 6 DSGVO beruhen. Die deutsche Sonderregelung in § 26 des Bundesdatenschutzgesetzes (BDSG) ist durch das Urteil des EuGH vom 30.3.2023 – C-34/21 in ihrer Wirkung eingeschränkt worden, sodass Arbeitgeber sich zunehmend unmittelbar auf Art. 6 DSGVO und auf Betriebsvereinbarungen stützen, die den Anforderungen des Art. 88 Abs. 2 DSGVO genügen. Siehe unseren Beitrag zum Beschäftigtendatenschutz nach der EuGH-Rechtsprechung.
2. Kundendaten: Vertragserfüllung, wenn Konzerngesellschaften Leistungen gemeinsam erbringen; berechtigte Interessen für die interne Verwaltung, die konzernweite Betrugsprävention oder einen zentralen Kundenservice, vorbehaltlich einer Interessenabwägung; Einwilligung, soweit erforderlich, etwa für bestimmte Werbemaßnahmen.
3. Compliance und rechtliche Verpflichtungen: Verarbeitung, die zur Erfüllung rechtlicher Verpflichtungen nach Unionsrecht oder deutschem Recht erforderlich ist; für die Compliance auf Konzernebene häufig berechtigte Interessen.
4. Besondere Kategorien: Gesundheitsdaten und andere sensible Daten erfordern einen Tatbestand nach Art. 9 DSGVO, der für Konzernzwecke häufig fehlt.

Berechtigte Interessen erfordern eine dokumentierte Abwägung. Erwägungsgrund 48 hilft, ersetzt die Prüfung aber nicht: Je sensibler die Daten und je weniger erwartbar die Weitergabe, desto schwerer ist sie zu rechtfertigen. Schutzmaßnahmen wie Pseudonymisierung, die Beschränkung des Zugriffs auf bestimmte Funktionen und kurze Speicherfristen verschieben die Abwägung zugunsten des Konzerns, und das Widerspruchsrecht der betroffenen Personen ist zu beachten.

Internationale Übermittlungen innerhalb des Konzerns

Für Übermittlungen an Konzerngesellschaften außerhalb des EWR gilt Kapitel V DSGVO. Zu den Optionen gehören:

• Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR, Art. 47 DSGVO): konzernweite Regeln, die von der zuständigen Aufsichtsbehörde genehmigt werden, für alle Konzerngesellschaften verbindlich sind und von den betroffenen Personen durchgesetzt werden können. Die Genehmigung von BCR braucht Zeit, sie bieten aber einen belastbaren Rahmen für Konzerne mit umfangreichen Übermittlungen.
• Standardvertragsklauseln: häufig umgesetzt durch einen konzerninternen Datenübermittlungsvertrag, dem alle Konzerngesellschaften beitreten, kombiniert mit Transfer Impact Assessments.
• Angemessenheitsbeschlüsse: für Konzerngesellschaften in Ländern mit angemessenem Schutzniveau, einschließlich DPF-zertifizierter US-Gesellschaften im Rahmen des Umfangs ihrer Zertifizierung.

Siehe unseren Beitrag zu internationalen Datenübermittlungen nach dem Data Privacy Framework.

Transparenz gegenüber betroffenen Personen

Betroffene Personen müssen darüber informiert werden, welche Konzerngesellschaften ihre Daten erhalten, zu welchen Zwecken und auf welcher Rechtsgrundlage (Art. 13 und 14 DSGVO). Konzernweite Datenschutzhinweise sollten die Kategorien von Empfängern innerhalb des Konzerns nennen und Vereinbarungen über gemeinsame Verantwortlichkeit erläutern, einschließlich des Wesentlichen der Vereinbarung nach Art. 26 DSGVO. Beschäftigte werden häufig über einen HR-Datenschutzhinweis und die Betriebsvereinbarung informiert. Vage Verweise auf „verbundene Unternehmen“ ohne Angabe von Zwecken werden von Aufsichtsbehörden häufig beanstandet.

Betroffenenanfragen und Datenschutzverletzungen im Konzern

Wenn eine betroffene Person ihre Rechte ausübt – Auskunft, Löschung, Widerspruch –, kann die Anfrage Daten betreffen, die bei mehreren Konzerngesellschaften liegen. Die konzerninternen Vereinbarungen sollten festlegen, wer antwortet, wie Daten von anderen Gesellschaften zusammengetragen werden und innerhalb welcher internen Fristen, damit die Monatsfrist des Art. 12 DSGVO eingehalten wird. Ebenso betrifft eine Datenschutzverletzung bei einem Konzern-IT-Dienstleister alle Gesellschaften, deren Daten er verarbeitet. Der Vertrag sollte eine unverzügliche interne Meldung verlangen, die Zuständigkeit für Meldungen an Behörden und betroffene Personen regeln und ein gemeinsames Incident-Team einrichten. Siehe unseren Beitrag zur Meldung von Datenschutzverletzungen.

Der konzerninterne Datenschutzvertrag

Die meisten Konzerne bündeln die erforderlichen Dokumente in einem einheitlichen Rahmenvertrag, dem die Konzerngesellschaften beitreten und der Module für Auftragsverarbeitungsverhältnisse, Vereinbarungen über gemeinsame Verantwortlichkeit, Übermittlungen zwischen Verantwortlichen sowie Standardvertragsklauseln für Drittlandübermittlungen enthält. Anlagen listen Verarbeitungstätigkeiten, Rollen und technische und organisatorische Maßnahmen auf. Ein Governance-Kapitel regelt die Zuständigkeiten für Betroffenenanfragen, die Meldung von Datenschutzverletzungen und die Zusammenarbeit mit Behörden. Der Vertrag sollte sich leicht aktualisieren lassen, wenn sich die Konzernstruktur ändert, damit der Datenaustausch im Konzern stets auf einer aktuellen Grundlage erfolgt.

Häufige Fehler

In konzerninternen Datenstrukturen wiederholen sich bestimmte Fehler. Konzerne behandeln ihre IT-Tochter als Auftragsverarbeiter, obwohl sie über Zwecke entscheidet, etwa indem sie Nutzungsdaten für eigene Sicherheitszwecke auswertet. Muttergesellschaften greifen für konzernweites Marketing ohne Rechtsgrundlage und ohne Transparenz auf Kundendaten von Tochtergesellschaften zu. HR-Daten fließen auf Grundlage von Standardvertragsklauseln an Konzernzentralen außerhalb des EWR, die der deutsche Arbeitgeber nie unterzeichnet hat. Vereinbarungen über gemeinsame Verantwortlichkeit bestehen auf dem Papier, spiegeln aber nicht wider, wer tatsächlich Betroffenenanfragen bearbeitet. Und nach Akquisitionen oder Reorganisationen hinkt die Dokumentation der Konzernstruktur hinterher, sodass nicht mehr existierende Gesellschaften weiterhin Vertragsparteien sind, während neue fehlen.

Eine regelmäßige Überprüfung – mindestens jährlich und nach jeder strukturellen Änderung – vermeidet diese Probleme. Sie sollte die tatsächlichen Datenflüsse mit den dokumentierten Rollen und Rechtsgrundlagen abgleichen, die Liste der beigetretenen Gesellschaften aktualisieren und prüfen, ob Übermittlungsinstrumente und Folgenabschätzungen noch aktuell sind. Die interne Revision oder der Datenschutzbeauftragte kann die Überprüfung mit Unterstützung von IT und Personalabteilung durchführen.

Betriebsräte und konzernweite Systeme

Die Einführung oder Änderung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, erfordert nach dem Betriebsverfassungsgesetz (BetrVG) die Zustimmung des Betriebsrats. Für konzernweite Systeme kann der Konzernbetriebsrat zuständig sein. Betriebsvereinbarungen können zudem als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten dienen, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllen. Eine frühzeitige Einbindung des Betriebsrats vermeidet Verzögerungen bei der Einführung und erleichtert die spätere Umsetzung im gesamten Konzern. Siehe unsere Seite zu Betriebsräten.

Konzern-Compliance, Untersuchungen und Hinweisgeberschutz

Konzernweite Compliance-Funktionen benötigen häufig Daten von Tochtergesellschaften – etwa bei internen Untersuchungen, beim Sanktionslisten-Screening oder bei zentral bearbeiteten Hinweisgeberfällen. Das deutsche Recht erlaubt Arbeitgebern in Konzernen, nach dem Hinweisgeberschutzgesetz (HinSchG) eine zentrale interne Meldestelle zu nutzen, die Verantwortung für die Abstellung von Verstößen verbleibt aber beim beschäftigenden Unternehmen, und die Vertraulichkeit der Identität der hinweisgebenden Person muss im gesamten Konzern gewahrt bleiben. Untersuchungsdaten sollten innerhalb des Konzerns nur im erforderlichen Umfang geteilt werden, mit klaren Rollen und Speicherfristen. Siehe unseren Beitrag zu Mitarbeiterbefragungen bei internen Untersuchungen.

Datenschutzbeauftragte und Governance im Konzern

Ein Konzern kann nach der DSGVO einen gemeinsamen Datenschutzbeauftragten für mehrere Konzerngesellschaften benennen, sofern dieser von jeder Niederlassung aus leicht erreicht werden kann (Art. 37 Abs. 2 DSGVO). Die deutschen Regeln dazu, wann ein Datenschutzbeauftragter zu benennen ist, gelten für jede Gesellschaft gesondert. Eine Datenschutzorganisation im Konzern mit lokalen Koordinatoren, einem zentralen Richtlinienrahmen und regelmäßiger Berichterstattung an die Geschäftsleitung macht den Datenaustausch im Konzern auf Dauer rechtskonform. Siehe unseren Beitrag zu Datenschutzbeauftragten in Deutschland.

Umstrukturierungen, Carve-outs und Transaktionen

Datenflüsse ändern sich zwangsläufig, wenn Konzerne umstrukturiert oder neu aufgestellt werden. Carve-outs erfordern Transitional Services Agreements, die die Rollen bei der Datenverarbeitung und die Übermittlungen abdecken, bis das abgespaltene Geschäft eigene Systeme hat. Verschmelzungen und Integrationen erfordern neue Rechtsgrundlagen und Datenschutzhinweise für Daten, die zuvor bei getrennten Gesellschaften lagen. Bei der Due Diligence im Rahmen von M&A-Transaktionen sollten Käufer die konzerninternen Datenschutzvereinbarungen der Zielgesellschaft und deren Abhängigkeiten von Systemen des Verkäufers prüfen.

Tritt eine erworbene Gesellschaft dem Konzern bei, sollte sie zügig dem konzernweiten Rahmenvertrag beitreten, und ihre bestehenden Datenflüsse sollten vor der Integration der Systeme mit den Rollen und Rechtsgrundlagen des Konzerns abgeglichen werden. Bei Asset Deals erworbene Kundendaten dürfen nur an den Käufer übertragen werden, wenn eine Rechtsgrundlage besteht, was häufig eine sorgfältige Prüfung der berechtigten Interessen und der Widerspruchsrechte erfordert.

So unterstützt TRW & Co beim Datenaustausch im Konzern

Wir beraten Konzerne bei der Strukturierung von Datenaustausch und Datenübermittlungen im Konzern: Erfassung der Datenflüsse, Zuordnung der Rollen von Verantwortlichen und Auftragsverarbeitern, Entwurf konzerninterner Datenschutzverträge und Vereinbarungen über gemeinsame Verantwortlichkeit, Umsetzung von Standardvertragsklauseln und verbindlichen internen Datenschutzvorschriften sowie Verhandlung von Betriebsvereinbarungen für konzernweite Systeme. Außerdem unterstützen wir bei Carve-outs und Integrationen. Siehe unsere Seite zu DSGVO und Datenschutz oder kontaktieren Sie uns.