DSGVO - BDSG - TTDSG

454

Eine Unternehmensgruppe wird definiert als eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht. Der Begriff des herrschenden Unternehmensist ausweislich ErwG 37 wohl weit zu verstehen: Entscheidend ist, ob das Unternehmen auf die übrigen Unternehmen einen beherrschenden Einfluss ausüben kann. Die Möglichkeit der Einflussnahme soll zum einen gesellschaftsrechtlich begründet sein können, etwa aufgrund von Eigentumsverhältnissen oder finanzieller Beteiligung. Zum anderen soll sich ein entsprechender Einfluss auch aus vertraglichen oder rein faktischen Umständen ergeben können, etwa sofern einem Unternehmen die Befugnis zum Richtlinienerlass zugestanden wird.816 ErwG 37 Satz 1 nennt zudem ausdrücklich die Befugnis, Datenschutzvorschriften in den beherrschten Unternehmen umzusetzen. Nach deutschem Verständnis sollte eine Unternehmensgruppe typischerweise in den in § 15 AktG aufgeführten Konstellationen vorliegen.817

455

Fraglich ist, ob eine Unternehmensgruppe i.S.d. Norm auch abseits einer gesellschaftsrechtlich bedingten Beherrschungvorliegen kann. Insofern dürfte nicht ausreichend sein, sofern Unternehmen lediglich in Bezug auf vereinzelte Datenverarbeitungsverfahren in der Art zusammenarbeiten, dass eines der teilnehmenden Unternehmen eine „beherrschende“ Stellung einnimmt. Ansonsten würde jede Auftragsverarbeitung nach Art. 28 DSGVO oder Datenverarbeitung in gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO potenziell bereits eine Unternehmensgruppe zwischen den beteiligten Akteuren begründen können.818 Vielmehr wird jedenfalls vorauszusetzen sein, dass die beherrschende Stellung nicht nur auf bestimmte (datenverarbeitende) Teilbereiche beschränkt ist, sondern sich vielmehr über sämtliche betriebs- und geschäftsbezogene Aktivitäten des jeweils beherrschten Unternehmens erstrecken muss.819 Dieses eher enge Verständnis wird insoweit auch durch den Umstand getragen, dass die DSGVO mit der Begriffsbestimmung der „Unternehmensgruppe“ nicht das Ziel verfolgt, bestimmte Verhaltensweisen zu unterbinden.820 Vielmehr sieht die DSGVO in erster Linie Privilegierungen für Unternehmensgruppen vor, was eher eine enge Auslegung vermuten lässt.

456

Abzugrenzenist der Begriff der Unternehmensgruppe zu einer Gruppe von Unternehmen. Für Letztgenannte ist kennzeichnend, dass die Unternehmen zwar eine gemeinsame Wirtschaftstätigkeit ausüben, dabei jedoch im Gegensatz zu einer Unternehmensgruppe selbstständig fungieren und gerade nicht durch eine entsprechende, hierarchische Struktur gekennzeichnet sind.821

457

„Verbindliche interne Datenschutzvorschriften“ – besser bekannt unter ihrer englischen Bezeichnung „ binding corporate rules“ – sind gem. Art. 4 Nr. 20 DSGVO Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern.

458

Diese Begriffsdefinition stellt eine Neuerung dar, als dass die DSRl keine entsprechende Definition beinhaltete. Allerdings war das Konzept der verbindlichen internen Datenschutzvorschriften auch unter der EG-DSRl schon (ohne entsprechende Begriffsdefinition) anerkannt, sodass internationale Datentransfers unter den in Art. 26 Abs. 2 DSRlstatuierten Voraussetzungen auf der sogenannten zweiten Stufe822 durch verbindliche interne Datenschutzvorschriften legitimiert werden konnten.823

459

In der DSGVO wird der Begriff vor allem in Art. 47 DSGVO, der die Vorgaben zum Inhalt von verbindlichen internen Datenschutzvorschriften und die Voraussetzungen für ihre Genehmigung durch die Aufsichtsbehörden beinhaltet, in Art. 46 Abs. 2 lit. b DSGVO, der festlegt, dass verbindliche interne Datenschutzvorschriften gem. Art. 47 DSGVO geeignete Garantien für internationale Datentransferssind und somit internationale Datentransfers auf der sogenannten zweiten Stufe rechtfertigen können, sowie in den dazugehörigen ErwG 107, 108 und 110 verwendet. Außerdem wird der Begriff in Art. 57 Abs. 1 lit. s, 58 Abs. 3 lit. j und 70 Abs. 1 lit. c und lit. i DSGVO benutzt, in denen die Aufgaben und Befugnisse der Aufsichtsbehörden sowie die Aufgaben des Europäischen Datenschutzausschusses geregelt werden, so auch im Hinblick auf verbindliche interne Datenschutzvorschriften. Eine weitere Erwähnung findet der Begriff in ErwG 168, der Art. 92 DSGVO im Hinblick auf den Erlass von Durchführungsrechtsakten durch die EU-Kommission u.a. im Hinblick auf verbindliche interne Datenschutzvorschriften konkretisiert.824

460

Der Sinn und Zweck verbindlicher interner Datenschutzvorschriften besteht vor allem darin, dass sie den Transfer personenbezogener Daten in ein Land außerhalb des EWR ohne angemessenes Datenschutzniveau auf der sogenannten zweiten Stufe rechtfertigenkönnen (Art. 44, Art. 46 Abs. 1, Abs. 2 lit. b, Art. 47 DSGVO). Hierzu müssen die Datenschutzvorschriften die in Art. 47 DSGVO statuierten Voraussetzungen erfüllen und von der zuständigen Aufsichtsbehörde genehmigt werden (siehe Art. 47 Rn. 12). In diesem Fall etablieren die verbindlichen internen Datenschutzvorschriften bei den beteiligten Unternehmen ein der DSGVO vergleichbares Schutzniveau für personenbezogene Daten auf vertraglicher Ebene, um das im Empfängerstaat ggf. niedrigere gesetzliche Datenschutzniveau „auszugleichen“. Unter dieser Voraussetzung erscheint es dann auch gerechtfertigt, dass personenbezogene Daten an die beteiligten Unternehmen übermittelt werden dürfen, vorausgesetzt, dass die Anforderungen an eine „normale“ Übermittlung auf der sogenannten ersten Stufe, also wie zwischen Unternehmen innerhalb des EWR, erfüllt sind.

461

Abgeschlossen werden können verbindliche interne Datenschutzvorschriften gem. Art. 47 Abs. 1 lit. a DSGVO und ErwG 110 von jeder Unternehmensgruppei.S.d. Art. 4 Nr. 19 DSGVO, also insbesondere von Konzernen (siehe oben Rn. 449), oder von jeder Gruppe von Unternehmeni.S.d. Art. 4 Nr. 18 DSGVO, die eine gemeinsame Wirtschaftstätigkeit ausüben. Unter dieser Voraussetzung können also auch Unternehmensverbünde, die in keinem Abhängigkeitsverhältnis zueinander stehen, verbindliche interne Datenschutzvorschriften abschließen (siehe ausführlich Art. 47 Rn. 2f.).825 Dabei spielt es keine Rolle, ob es sich bei den einzelnen Unternehmen um Verantwortliche i.S.d. Art. 4 Nr. 7 DSGVO oder um Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO handelt.826

462

Sind die verbindlichen internen Datenschutzvorschriften abgeschlossen, können sie internationale Datenübermittlungen aus der EU an Organisationen derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, auf der sogenannten zweiten Stufe rechtfertigen (ErwG 110). Sollen hingegen personenbezogene Daten von einem Unternehmen an ein anderes Unternehmen außerhalb des EWR übermittelt werden, das nicht Mitglied derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen ist, die eine gemeinsame Wirtschaftstätigkeit ausüben, vermögen die verbindlichen internen Datenschutzvorschriften die Übermittlung auf der zweiten Stufe nicht zu rechtfertigen. Hierfür muss vielmehr auf eine andere in Art. 44ff. DSGVO genannte Möglichkeit zur Rechtfertigung von internationalen Datentransfers zurückgegriffen werden.