NEWS

Datenfluss in der Unternehmensgruppe - was ist zu beachten?

In vielen Unternehmensgruppen werden personenbezogene Daten täglich zwischen verschiedenen Gesellschaften ausgetauscht, sei es für Personalprozesse, IT-Services oder zentrale Verwaltungsaufgaben. Damit dieser Austausch datenschutzkonform gestaltet wird, braucht es vor allem Transparenz darüber, welche Daten wohin fließen, zu welchem Zweck dies geschieht und welche Stellen eingebunden sind.

Die DSGVO hat kein Konzernprivileg

Ein verbreitetes Missverständnis ist die Annahme, dass konzerninterne Datenübermittlungen rechtlich privilegiert wären. Tatsächlich macht die DSGVO hier keinerlei Ausnahmen: Auch innerhalb einer Unternehmensgruppe werden Datenübermittlungen so behandelt, als würden sie zwischen rechtlich unabhängigen Unternehmen stattfinden. Das bedeutet, dass jede Übermittlung eine klare Rechtsgrundlage und definierte Verantwortlichkeiten erfordert.

Wie fange ich damit an?

Der erste Schritt besteht darin, die Datenflüsse innerhalb der Gruppe zu dokumentieren. Dazu gehört die Dokumentation, welche Daten von welcher Stelle wohin gelangen und welche Zwecke damit verfolgt werden. Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) ist hierfür das zentrale Werkzeug, da es ermöglicht, die Zwecke der Verarbeitung nachzuvollziehen und Verantwortlichkeiten zuzuordnen.

Auf dieser Grundlage kann festgestellt werden, ob zwischen den beteiligten Unternehmen eine Auftragsverarbeitung vorliegt, eine Übermittlung zwischen zwei Verantwortlichen erfolgt oder eine gemeinsame Verantwortung besteht. Diese Unterscheidung ist essenziell, um die datenschutzrechtlichen Anforderungen korrekt zu erfüllen.

Die Rollen sind definiert - was nun?

Sobald die Rollen klar bestimmt sind, ergeben sich daraus unterschiedliche rechtliche Pflichten. Liegt eine Auftragsverarbeitung vor, ist zwingend eine Auftragsverarbeitungsvereinbarung (AVV) abzuschließen, um den Datenfluss rechtlich abzusichern. Handelt es sich um zwei unabhängige Verantwortliche, besteht keine Pflicht zur AVV, jedoch muss die Übermittlung dennoch rechtlich begründet und organisatorisch abgesichert sein.
Bei einer gemeinsamen Verantwortung verlangt Art. 26 DSGVO eine transparente Vereinbarung, in der eindeutig festgelegt wird, welche Gesellschaft welche Pflichten übernimmt, insbesondere im Hinblick auf Informationspflichten, die Wahrnehmung von Betroffenenrechten und die Datensicherheit.

Fazit

Ein datenschutzkonformer Umgang mit Daten innerhalb einer Unternehmensgruppe beginnt immer mit einer präzisen Übersicht der Datenflüsse. Wer diese sorgfältig dokumentiert und die Rollen eindeutig festlegt, schafft die Grundlage für rechtskonforme und effiziente Prozesse. So lassen sich nicht nur Risiken minimieren, sondern auch klare und nachhaltige Datenschutzstrukturen innerhalb der gesamten Gruppe etablieren.

Sprechen Sie uns gerne an, wenn Sie Fragen zu diesem und anderen Datenschutzthemen haben.