Datenübermittlung im Konzern

Die Globalisierung der Geschäftstätigkeit von Unternehmen führt neben einer innereuropäischen Verflechtung des Waren- und Datenverkehrs zur Gründung von Töchterunternehmen außerhalb des EWR. So wird die seit der Einführung des BDSG bestehende Forderung nach einem Konzernprivileg nicht verstummen, zumal auch die EU-Datenschutz-Grundverordnung auf eine solche Privilegierung verzichtet. Trotz der konzernübergreifenden Verarbeitung etwa von Beschäftigten- oder Kundendaten und der administrativ begründeten Aufgabenkonzentration bei einem Konzernunternehmen, insbesondere in Matrixorganisationen, blieb es stets bei dem Grundsatz, dass selbst konzernverbundene Unternehmen wie Dritte zu behandeln sind. Damit sind Unternehmen derzeit vor allem darauf angewiesen, auf Basis der tatsächlichen Datenströme eine Auftragsdatenverarbeitung mit einem anderen Konzernunternehmen zu vereinbaren oder eine gesetzliche, zu schwierigen Abwägungsprozessen führende, Erlaubnisnorm für eine Datenübermittlung heranzuziehen.
Die vorliegende Arbeit stellt die Möglichkeiten rechtlich zulässiger Datenflüsse im Konzern dar. Dabei beschränkt sich Herr Dr. Matthias Lachenmann nicht auf die Auftragsdatenverarbeitung, Einwilligung, Vertragserfüllung und Interessenabwägung. Er legt dar, wann die teilweise Schaffung eines höheren Schutzniveaus für personenbezogene Daten eine Daten-über¬mittlung durch Company-to-Company-Agreements oder im Rahmen der Kon¬struk¬tion der „gemeinsam verantwortlichen Stelle“ gestalten kann. Ganz ähnlich sind Betriebsvereinbarungen taugliche und rechtlich zulässige Wege, um rechtssichere‚ ausgewogene und flexible Konzepte für die Datenverarbeitung in Unternehmen und die Datenübermittlung in Konzernen zu schaffen.
Der Autor stellt die relevanten Abwägungskriterien einer Zulässigkeit der Verarbeitung personenbezogener Daten dar und ermöglicht so der Praxis eine Bewertung ihrer Datenverarbeitungsvorgänge. Darüber hinaus beschreibt die Arbeit das „kleine Konzernprivileg“ und Regelungen mit Konzernbezug sowie die Fortgeltung der Kriterien in der EU-Datenschutz-Grundverordnung.