Der Austausch von Daten innerhalb einer Unternehmensgruppe ist ein strategischer Eckpfeiler für Effizienz und die Nutzung von Synergien. Ob zentrale IT-Dienstleistungen, gemeinsames Personalmanagement oder einheitliche Kundenbetreuung – reibungslose Datenflüsse ermöglichen es, das Know-how in der Gruppe zu bündeln und wettbewerbsfähig zu bleiben. Diesem betriebswirtschaftlichen Nutzen steht jedoch eine zentrale rechtliche Hürde gegenüber: Die Datenschutz-Grundverordnung (DSGVO) kennt kein allgemeines „Konzernprivileg“. Jede einzelne Datenübermittlung zwischen rechtlich selbstständigen Konzerngesellschaften, selbst zwischen Mutter- und Tochterunternehmen, bedarf einer expliziten rechtlichen Grundlage. Dieser Artikel beleuchtet die notwendigen Rechtsgrundlagen nach der DSGVO und zeigt strategische Ansätze auf, um eine rechtskonforme und zugleich praxistaugliche Datenverarbeitung im Konzern sicherzustellen.
Die Rechtsgrundlage ist entscheidend
Für jeden einzelnen Datentransfer innerhalb der Unternehmensgruppe muss eine passende Rechtsgrundlage aus der DSGVO identifiziert und dokumentiert werden. Dieser Schritt ist von zentraler strategischer Bedeutung, da selbst Übermittlungen zwischen einer Mutter- und ihrer Tochtergesellschaft als eigenständige Verarbeitungsvorgänge gelten, die einer datenschutzrechtlichen Rechtfertigung bedürfen. Die Annahme, dass Daten frei fließen dürfen, nur weil man Teil eines Konzerns ist, ist ein weit verbreiteter, aber folgenschwerer Irrtum. Die DSGVO ist hier unmissverständlich: Ohne Rechtsgrundlage keine Datenverarbeitung.
Artikel 6 DSGVO listet die möglichen Rechtsgrundlagen abschließend auf. Für den konzerninternen Datenaustausch sind in der Praxis vor allem die folgenden relevant:
• Einwilligung: Die Einwilligung, insbesondere bei der Verarbeitung von Kundendaten, stellt eine valide Option dar. In der Praxis wird sie für systematische und dauerhafte Prozesse jedoch selten gewählt. Der Grund liegt in ihrer jederzeitigen Widerrufbarkeit mit Wirkung für die Zukunft, was die Prozessstabilität erheblich gefährden kann. Bei Beschäftigtendaten ist die Wirksamkeit einer Einwilligung aufgrund des Machtungleichgewichts im Arbeitsverhältnis und der damit verbundenen Frage der Freiwilligkeit besonders kritisch zu bewerten.
• Vertragserfüllung: Diese Rechtsgrundlage ist eng auszulegen und bezieht sich auf die Kernleistung eines Vertrags. Im Beschäftigtenverhältnis kann die Übermittlung von Daten an andere Konzerngesellschaften dann zur Vertragserfüllung erforderlich sein, wenn dies von Anfang an Teil des Arbeitsvertrags ist – beispielsweise in einer Matrixorganisation, in der die Tätigkeit für mehrere Gesellschaften der Gruppe vertraglich vorgesehen ist. Wurde eine solche Organisationsstruktur erst nachträglich eingeführt, lässt sich die Erforderlichkeit für den ursprünglichen Vertrag nur schwer begründen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Diese Rechtsgrundlage ist in der Praxis der wahrscheinlich wichtigste und flexibelste Ankerpunkt für konzerninterne Datenverarbeitungen. Sie erlaubt eine Verarbeitung, wenn diese zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen der betroffenen Person nicht überwiegen.
Die besondere Bedeutung des berechtigten Interesses im Konzernkontext wird durch die Erwägungsgründe der DSGVO selbst unterstrichen, die einen strategischen Hebel für interne Verwaltungsprozesse bieten.
Das „kleine Konzernprivileg“ als strategischer Hebel
Die DSGVO enthält zwar kein explizites Konzernprivileg, der Erwägungsgrund 48 schafft jedoch eine wichtige Klarstellung, die oft als „kleines Konzernprivileg“ bezeichnet wird. Dieser Erwägungsgrund erkennt an, dass die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe für interne Verwaltungszwecke ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO darstellen kann. Dies umfasst beispielsweise den Austausch von Kunden- oder Beschäftigtendaten zwischen den Konzerngesellschaften.
Es ist jedoch entscheidend zu verstehen, dass dies keine pauschale Erlaubnis für jeglichen Datentransfer ist. Die Berufung auf Erwägungsgrund 48 entbindet nicht von der Notwendigkeit, die dreistufige Prüfung des berechtigten Interesses sorgfältig durchzuführen und zu dokumentieren:
1. Interesse des Verantwortlichen: Das Interesse an einer effizienten internen Verwaltung und der Nutzung von Synergien muss klar benannt werden.
2. Erforderlichkeit der Verarbeitung: Es muss dargelegt werden, warum die konkrete Datenübermittlung zur Erreichung dieses Ziels notwendig ist.
3. Interessenabwägung: Die Interessen des Konzerns müssen gegen die Grundrechte und Grundfreiheiten der betroffenen Personen (z. B. Mitarbeiter, Kunden) abgewogen werden. Nur wenn die Interessen des Konzerns überwiegen, ist die Verarbeitung zulässig.
Obwohl dieses Prinzip einen strategischen Rahmen bietet, werden in der Praxis häufig Fehler bei der rechtlichen Einordnung der Datenflüsse und der Zuweisung der Verantwortlichkeiten gemacht, die zu erheblichen Compliance-Risiken führen.
Typische Fallstricke und Lösungsansätze
Die korrekte Definition der Rollenverteilung – wer ist Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher? – ist für die Compliance und die Haftungsverteilung innerhalb der Gruppe von entscheidender Bedeutung. In der Praxis führen Fehleinschätzungen hier oft zu gravierenden Mängeln, die nicht nur rechtliche Fehler darstellen, sondern signifikante operationelle und finanzielle Risiken nach sich ziehen.
• Irrglaube Intragroup Agreement: Ein häufiger Irrtum ist die Annahme, ein unternehmensinternes Abkommen (Intragroup Agreement) stelle eine eigenständige Rechtsgrundlage für Datenübermittlungen dar. Um es unmissverständlich auszudrücken: Ein internes Abkommen legitimiert niemals einen Datentransfer. Diese Annahme ist einer der kostspieligsten Irrtümer im Konzern-Datenschutz. Der Europäische Gerichtshof hat unmissverständlich klargestellt, dass die Rechtsgrundlagen in Artikel 6 DSGVO abschließend sind und keinen Raum für vertragliche Vereinbarungen als Ersatz lassen. Ein solches Abkommen kann zwar ein sehr nützliches Instrument sein, um Zuständigkeiten, technische und organisatorische Maßnahmen sowie interne Prozesse klar zu regeln und zu dokumentieren. Es kann jedoch niemals die notwendige Rechtsgrundlage aus Artikel 6 DSGVO ersetzen.
• Auftragsverarbeitung zwischen Mutter und Tochter: Besondere Vorsicht ist geboten, wenn eine Muttergesellschaft als Auftragsverarbeiterin für ihre hundertprozentige Tochtergesellschaft agiert (z. B. bei der Bereitstellung zentraler IT- oder Lohnbuchhaltungsdienste). Das entscheidende Merkmal eines Auftragsverarbeiters ist seine Weisungsgebundenheit. Eine Muttergesellschaft kann jedoch aufgrund ihrer gesellschaftsrechtlichen Stellung jederzeit Weisungen an die Organe der Tochtergesellschaft erteilen oder diese austauschen. Diese übergeordnete Weisungsbefugnis kann der Annahme einer weisungsgebundenen Auftragsverarbeitung im Sinne der DSGVO entgegenstehen, wie es beispielsweise das Kammergericht Berlin argumentiert hat. Obwohl diese juristische Einschätzung konsequent ist, ist sie in der Praxis umstritten. Je nach zuständiger Aufsichtsbehörde kann die Argumentation für ein Auftragsverarbeitungsverhältnis im Einzelfall dennoch als pragmatischer Weg angesehen werden. Eine genaue Risikoabwägung ist hier unerlässlich.
• Unklare Rollenverteilung: Für jeden Datenfluss muss die jeweilige Konstellation präzise analysiert werden:
◦ Liegt eine Auftragsverarbeitung vor, bei der eine Gesellschaft weisungsgebunden für eine andere tätig wird (z. B. zentrale IT-Services, Lohnbuchhaltung)?
◦ Handelt es sich um eine gemeinsame Verantwortlichkeit, bei der mehrere Gesellschaften gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden (z. B. ein gemeinsames CRM-System zur Kundenbetreuung)?
◦ Oder erfolgt eine Übermittlung zwischen zwei eigenständigen Verantwortlichen, bei der jede Gesellschaft die Daten für ihre eigenen Zwecke nutzt?
Die proaktive Klärung dieser Fragen ist unerlässlich, um Haftungsrisiken zu minimieren und die Einhaltung der DSGVO sicherzustellen.
Ihre nächsten Schritte: 4 Handlungsempfehlungen
Eine rechtssichere Gestaltung der Datenflüsse im Konzern erfordert einen systematischen und gut dokumentierten Ansatz. Die folgenden vier Schritte helfen Ihnen dabei, Transparenz zu schaffen und Compliance-Risiken zu reduzieren.
1. Schritt 1: Visualisieren Sie Ihre Datenflüsse Erstellen Sie ein klares Diagramm, das alle regelmäßigen Datentransfers zwischen den einzelnen Gesellschaften der Unternehmensgruppe abbildet. Visualisieren Sie mit Pfeilen, welche Daten von welcher Gesellschaft (z. B. Mutter) an welche andere Gesellschaft (z. B. Tochter A) fließen.
2. Schritt 2: Dokumentieren Sie die Rechtsgrundlagen Identifizieren Sie für jeden einzelnen Pfeil in Ihrem Diagramm die passende Rechtsgrundlage aus Artikel 6 DSGVO. Dokumentieren Sie die Begründung für Ihre Wahl – insbesondere die Abwägung beim berechtigten Interesse – nachvollziehbar. Dieser Schritt ist entscheidend, um Ihrer Rechenschaftspflicht nachzukommen.
3. Schritt 3: Weisen Sie die Rollen klar zu Definieren Sie für jede Datenübermittlung die Rollen der beteiligten Gesellschaften (Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder getrennte Verantwortlichkeit). Schließen Sie die entsprechenden Verträge ab, wie einen Auftragsverarbeitungsvertrag (AVV) oder eine Vereinbarung über die gemeinsame Verantwortlichkeit (Joint-Control-Agreement).
4. Schritt 4: Mutter-Tochter-Konstellationen strategisch bewerten Angesichts der juristischen Problematik der Weisungsgebundenheit (vgl. KG Berlin), überprüfen Sie Auftragsverarbeitungsverhältnisse, in denen die Mutter für die Tochter agiert. Evaluieren Sie als robustere Alternative eine Gestaltung, bei der die Übermittlung auf das berechtigte Interesse des Konzerns an einer internen Verwaltung (Art. 6 Abs. 1 lit. f DSGVO i.V.m. Erwägungsgrund 48) gestützt wird.