Konzernprivileg

Im Gesellschafts-, Bilanz- und Kartellrecht wird ein Konzern in vielen Zusammenhängen als wirtschaftliche Einheit behandelt. Das Datenschutzrecht folgt dieser Logik gerade nicht. Art. 4 Nr. 7 DSGVO knüpft die Verantwortlichkeit an die einzelne natürliche oder juristische Person, die über Zwecke und Mittel der Verarbeitung entscheidet – also an die jeweilige Konzerngesellschaft, nicht an den Konzern. Die DSGVO kennt zwar den Begriff der Unternehmensgruppe (Art. 4 Nr. 19) und des herrschenden Unternehmens, leitet daraus aber keine Freistellung ab. Jede Weitergabe personenbezogener Daten von der Tochter an die Muttergesellschaft oder an eine Schwestergesellschaft ist deshalb eine Übermittlung an einen Dritten im Sinne von Art. 4 Nr. 10 DSGVO und eine eigenständige Verarbeitung, die eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO benötigt.

Häufig wird Erwägungsgrund 48 DSGVO als Beleg für ein Konzernprivileg zitiert. Dort heißt es, Verantwortliche, die Teil einer Unternehmensgruppe sind, könnten ein berechtigtes Interesse daran haben, personenbezogene Daten innerhalb der Gruppe für interne Verwaltungszwecke zu übermitteln, einschließlich der Verarbeitung von Kunden- und Beschäftigtendaten. Erwägungsgründe sind jedoch Auslegungshilfe und keine eigenständige Rechtsgrundlage: Sie erleichtern lediglich die Argumentation im Rahmen von Art. 6 Abs. 1 lit. f DSGVO, ersetzen aber weder die dokumentierte Interessenabwägung noch die Prüfung der vernünftigen Erwartungen der betroffenen Personen. Für Beschäftigtendaten kommt hinzu, dass die Öffnungsklausel des Art. 88 DSGVO und ihre nationale Ausfüllung durch § 26 BDSG nach dem EuGH-Urteil vom 30. März 2023 (Rs. C-34/21) unter Vorbehalt steht; ein eigenständiges Beschäftigtendatengesetz ist in Deutschland mehrfach angekündigt, aber bislang nicht in Kraft getreten.

Praktisch lassen sich konzerninterne Datenflüsse über drei Konstruktionen legitimieren, die sauber auseinandergehalten werden müssen. Verarbeitet eine Gesellschaft weisungsgebunden für eine andere – etwa ein Shared Service Center für Payroll oder IT-Betrieb –, liegt Auftragsverarbeitung vor und es ist ein Vertrag nach Art. 28 Abs. 3 DSGVO zu schließen. Entscheiden zwei Gesellschaften gemeinsam über Zwecke und Mittel, greift die gemeinsame Verantwortlichkeit mit einer Vereinbarung nach Art. 26 DSGVO. Bleibt jede Gesellschaft eigenständig verantwortlich, ist die Übermittlung selbst auf Art. 6 Abs. 1 lit. b, c oder f DSGVO zu stützen und in Verarbeitungsverzeichnis, Informationspflichten nach Art. 13 und 14 DSGVO sowie im Löschkonzept abzubilden. Sitzen Konzerngesellschaften außerhalb des EWR, tritt Kapitel V hinzu: Angemessenheitsbeschluss, Standardvertragsklauseln mit Transfer Impact Assessment oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) nach Art. 47 DSGVO, die für große Gruppen das eigentliche Konzerninstrument sind. Eine konzernweite Datenschutzrichtlinie, ein gemeinsames Rollen- und Berechtigungskonzept sowie einheitliche technische und organisatorische Maßnahmen sorgen dafür, dass diese Struktur auch gelebt wird.