Welche Aufgaben sind beim Datenschutz im Konzern besonders herausfordernd?
What tasks are particularly challenging when it comes to data protection in the group?
Das fehlende Konzernprivileg stellt Konzernunternehmen vor Herausforderungen. Eine Auslagerung bestimmter Unternehmensbereiche (z. B. Buchhaltung, Personalverwaltung oder Abrechnung) und eine Zentralisierung der Datenverarbeitung bei der Konzernmutter wird nicht ohne Weiteres möglich sein.
Bei der Einführung und Nutzung einer Konzerndatenbank ist etwa zu klären, welches Unternehmen eigentlich „verantwortlich“ ist, oder ob sogar eine „gemeinsame Verantwortlichkeit“ zwischen den beteiligten Konzernunternehmen in Betracht kommt. Unter Umständen kann auch eine Auftragsverarbeitung denkbar sein. Zusätzlich stehen Unternehmen in der Pflicht, jede konzerninterne Übermittlung personenbezogener Daten auf eine valide Rechtsgrundlage zu stützen. Befindet sich ein involviertes Konzernunternehmen in einem Drittland, sind zusätzliche Anforderungen zu beachten. Verarbeitet das Konzernunternehmen eigenverantwortlich Mitarbeiterdaten, die es von einem Konzernunternehmen aus dem EWR-Raum erhält, bedürfen die von der europäischen Kommission bereitgestellten Standard-Datenschutzklauseln ergänzender Regelungen für eine datenschutzkonforme Datenübermittlung von Mitarbeiterdaten.
The lack of group privilege poses challenges for group companies. Outsourcing certain corporate areas (e.g., accounting, human resources management or payroll) and centralizing data processing at the group parent will not be possible without further ado.
When introducing and using a group database, it must be clarified, for example, which company is actually “responsible” or whether “joint responsibility” between the participating group companies can even be considered. Under certain circumstances, commissioned processing may also be considered. In addition, companies are under an obligation to base each intra-group transfer of personal data on a valid legal basis. If a group company involved is located in a third country, additional requirements have to be fulfilled. If the group company independently processes employee data that it receives from a group company from the EEA area, the standard contractual clauses provided by the European Commission require supplementary regulations for data protection-compliant data transfer of employee data.