Konzernstruktur

Die Datenschutzgrundverordnung (DSGVO) sieht für die Datenübermittlung innerhalb eines Konzerns kein Konzernprivileg vor. So gelten für eine konzerninterne Übermittlung von personenbezogenen Daten vom Grundsatz her die glei­chen datenschutzrechtlichen Anforderungen, die bei der Übermittlung an ein konzernfremdes Unter­nehmen bestehen. Die Übermittlung von personenbezogenen Daten innerhalb des Konzerns darf nur aufgrund einer rechtlichen Grundlage erfolgen, etwa aufgrund einer gesetzlichen oder vertraglichen Verpflichtung oder einer Einwilligung des Betroffenen.

Im Wesentlichen sind nachfolgende Fragestellungen zu klären, um einen strukturierten Einstieg in den Konzerndatenschutz vorzunehmen:

• In welchen Ländern ist das Unternehmen vertreten?
• Wo befindet sich der Hauptsitz?
• Welche Arten von Niederlassungen (selbstständige oder unselbstständige) sind vorhanden?
• Wer ist jeweils Verantwortlicher?
• Kommen Dienstleistungen von Dritten zum Einsatz?
• Welche Aufsichtsbehörde ist für den Konzern die federführende innerhalb der EU?
• Wurden für die Länder außerhalb der EU entsprechende EU-Vertreter benannt?

Organisation

Es sind mögliche organisatorische Hürden zu beachten, etwa der Einsatz eines Konzerndatenschutzbeauft­ragten und die Entscheidung für lokale Datenschutzbeauftragte in den jeweiligen Konzerngesellschaften. Der Konzerndatenschutzbeauftragte sollte neben der generellen Überwachungs- und Kontrolltätigkeit genügend Zeit haben, um in den einzelnen Niederlassungen aufkommende Anfragen von Betroffenen, Mitarbeitern und Behörden zeitnah zu bearbeiten. Zu prüfen ist auch, welche Ressour­cen verfügbar sind, um Probleme und Defizite zu identifizieren und entsprechende nationale oder interna­tio­nale Lösungsoptionen auszuarbeiten.

Für die Datenschutzorganisation in Konzernen haben sich zwei Modelle in der Praxis etabliert: zum einen das Einheitsmodell, bei dem für mehrere oder sämtliche Konzernunternehmen ein und dieselbe Person die Funktion des Konzerndatenschutzbeauftragten ausübt; zum anderen das Koordinationsmodell, bei dem für jedes Konzernunternehmen oder für die nationale Organisation jeweils ein Datenschutzbeauftragter benannt ist.

Vorteile Einheitsmodell

• Eine Person hat den integrierenden Überblick über alle datenschutzrechtlichen Fragen, die den ganzen Konzern betreffen
• Ein zentraler Ansprechpartner für Betroffene und Aufsichtsbehörden
• Leichtere Einführung und Einhaltung von einheitlichen Datenschutzstandards und rechtlichen Vorgaben im Konzern
• Risikoreduzierung von Verstößen gegen die DSGVO durch einheitliche Standards

Vorteile Koordinationsmodell

• Der Konzerndatenschutzbeauftragte kann sich auf den Konzern fokussieren; Detailfragen werden von den lokalen Datenschutzbeauftragten der Konzernunternehmen übernommen und reportet.
• Unterschiedliche Anforderungen in unterschiedlichen Ländern und an unterschiedlichen Standorten werden durch das lokale Know-how der Datenschutzbeauftragten abgedeckt.
• Die Erreichbarkeit ist leichter zu gewährleisten, da mögliche Sprachbarrieren in den Konzernunter­nehmen und gegenüber den Aufsichtsbehörden entfallen.

Datenschutzkoordinatoren

Datenschutzkoordinatoren (DSK) können die Verantwortlichen bei ihren Tätigkeiten unterstützen. Dafür sollten im Vorfeld organisatorische Fragen geklärt werden. Beispiel: 

• Wo sollen die DSK zum Einsatz kommen? An jedem Standort? In jeder Gesellschaft?
• Wie viele Angestellte und welchen zeitlichen Rahmen kann der Konzern für die Ausübung der DSK-Tätigkei­ten zur Verfügung stellen?
• Welche Mindestqualifikationen sollten die DSK aufweisen?
• Werden die Koordinatoren ausreichend betreut und eingebunden?

Den vollständigen Überblick auf Einführungs­strate­gien für ein funktionierendes Datenschutzmanagement hat Rödl & Partner hier veröffentlicht.

(ESV/fab)

Zeitschrift für Risikomanagement (ZfRM) Früher informiert, schneller reagieren Alles, was Sie im Risikomanagement fachlich und beruflich weiterbringt, präsentiert von inspirierenden Vordenkern und erfahrenen Kollegen: Die wichtigsten Praxisfragen risikobasierter Unternehmensführung finden Sie hier laufend aktuell aus erster Hand beantwortet. Werden die gesetzlichen Vorschriften und Standards zur Erkennung und Abwehr von Risiken beachtet? Ist das Risikomanagement angemessen aufgestellt? Wie arbeiten die Kontrollfunktionen zusammen? Erhalten Vorstand bzw. Geschäftsführung die relevanten Informationen? Was lässt sich gegen wachsende Wirtschaftskriminalität unternehmen?

Data Act	25.02.2022
Gesetze zum Datenaustausch sollen kleinere Unternehmen stärken
	Die EU-Kommission hat ihren Vorschlag für den Data Act vorgestellt. Mit dem Gesetzespaket sollen der Datenaustausch zwischen Unternehmen und von Unternehmen an die öffentliche Hand vorangebracht, neue Datenzugangsrechte bei vernetzten Produkten eingeführt und der internationale Datentransfer sicherer gemacht werden. mehr …

Datenschutzgesetz	01.12.2021
TTDSG: Was müssen Unternehmen für ihre Webseiten beachten?
	Das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der elektronischen Kommunikation und bei Telemedien ist am 1.12.2021 in Kraft getreten. Für Webseitenbetreiber entscheidend im Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) ist § 25 TTDSG. mehr …