Konzerndatenschutz­beauftragter – Einheits- oder Koordinationsmodell?
Group Data Protection Officer – Single or Coordinator Model?
Nach Art. 37 Abs. 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten ernennen, sofern von jeder Niederlassung aus der Datenschutzbeauftragte erreicht werden kann. Dies war schon nach dem Bundesdatenschutzgesetz (BDSG) zulässig und üblich. Die DSGVO erleichtert dies noch zusätzlich. Ein wesentlicher Vorteil bei der Bestellung eines Konzerndatenschutzbeauftragten ist die Etablierung eines gleichmäßigen Datenschutzniveaus in der Unternehmergruppe durch die zentrale Organisation.
Zur Erreichung dieses Zwecks bieten sich verschiedene Modelle an. Nach dem sogenannten Einheitsmodell kann ein und dieselbe Person die Funktion des Datenschutzbeauftragten für mehrere oder sämtliche Konzernunternehmen innehaben. Hierbei hat jede Konzerntochter diese Person ordnungsgemäß als Konzerndatenschutzbeauftragten benannt. Je größer der Konzern ist, desto mehr Ressourcen und Mitarbeiter benötigt der Konzerndatenschutzbeauftragte im Einheitsmodell.
Eine Alternative hierzu ist das sogenannte Koordinationsmodell. Hierbei benennt jedes Unternehmen der Konzerngruppe einen eigenen Datenschutzbeauftragten, wobei die konzernweite Datenschutzorganisation durch einen Konzerndatenschützer koordiniert wird. Beiden Modellen ist gemein, dass sämtliche Fäden bei einer fachkundigen Stelle zusammenlaufen, um einheitliche Lösungen für unternehmensübergreifende Fragen im Datenschutz zu finden.
According to Art. 37 (2) GDPR, a group of companies may appoint a joint data protection officer, provided that the data protection officer can be reached from each branch. This was already permissible and customary under the German Federal Data Protection Act (BDSG). The GDPR makes this even easier. A significant advantage of appointing a group data protection officer is the establishment of a uniform level of data protection in the entrepreneurial group through the central organization.
Various models are available to achieve this purpose. Under the so-called single model, one and the same person can hold the function of data protection officer for several or all group companies. In this case, each group subsidiary has properly appointed this person as Group Data Protection Officer. The larger the corporate group, the more resources and employees the Group Data Protection Officer requires in the single model.
An alternative to this is the so-called coordinator model. In this model, each company in the group appoints its own data protection officer, while the group-wide data privacy organization is coordinated by a Group Data Protection Officer. What both models have in common is that all the threads come together at one expert office in order to find uniform solutions for cross-company issues in data privacy.