Source: https://datenschutzbeauftragter-hamburg.de/2020/07/datenschutz-in-unternehmensgruppen-und-konzernen-was-ist-zu-beachten/
Timestamp: 2020-08-11 22:49:07
Document Index: 159079770

Matched Legal Cases: ['Art. 4', '§ 18', 'Art. 4', '§ 291', '§ 319', '§ 18', 'Art. 4', 'Art. 4', 'Art. 6', 'Art. 7', 'Art. 7', '§ 26', 'Art. 6', '§ 26', 'Art. 9', 'Art. 28', 'Art. 30', 'Art. 30', 'Art. 28', '§ 18', 'Art. 26', 'Art. 6', 'Art. 46', 'Art. 6', '§ 12']

Datenschutz in Unternehmensgruppen und Konzernen - was ist zu beachten?
15. Juli 2020 /0 Kommentare/in Beschäftigtendatenschutz, Datenschutz, Newsletter /von Datenschutzbeauftragter/tma
Dabei ist eine Beherrschung im gesellschaftsrechtlichen Sinne nicht erforderlich, da auch faktische Über- und Unterordnungsverhältnisse gemäß Erwägungsgrund (ErwG) 37 DSGVO von Art. 4 Nr. 19 DSGVO erfasst werden. Das heißt, ein Konzern, für den nach deutschem Recht gemäß § 18 Abs. 1 S. 1 Hs. 1 Aktiengesetzes (AktG) beim herrschenden und dem beherrschten Unternehmen eine einheitliche Leitung vorausgesetzt wird, ist im datenschutzrechtlichen Sinne hiervon abweichend eine Unternehmensgruppe gemäß Art. 4 Nr. 19 DSGVO, ohne dass ein Beherrschungsvertrag gemäß § 291 AktG oder eine Eingliederung gemäß § 319 AktG erforderlich wäre, wie sie in § 18 Abs. 1 S. 2 AktG bei einem Konzern vorausgesetzt werden.
Hinsichtlich der datenschutzrechtlichen Zulässigkeit von Datenflüssen stellt die DSGVO auch in einer Organisationsstruktur nicht auf Beherrschungsverhältnisse, sondern allein auf die rechtliche Verantwortlichkeit im Sinne des Art. 4 Nr. 7 DSGVO ab. Im Rahmen der datenschutzrechtlichen Verant­wortlichkeit ist dabei nur die rechtliche Selbstständigkeit der Stelle, die die Daten verarbeitet, entscheidend, so dass jedes Unternehmen eines Unternehmensverbunds grundsätzlich ein eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist.
Eine Datenübermittlung aufgrund einer freiwilligen und informierten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. Art. 7 DSGVO) ist, insbesondere wenn keine andere Rechtsgrundlage in Sicht ist, immer der rettende Anker für die Verantwortlichen. Allerdings ist aufgrund der jederzeitigen Widerruflichkeit einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO diese Erlaubnisnorm häufig nicht beständig genug. Für den Fall eines Widerrufs (oder der Nicht-Erteilung der Einwilligung) müsste die Verarbeitung ohnehin auf eine andere Rechtsgrundlage gestützt werden oder dürfte nicht erfolgen. Diese Situation ist nicht nur unbefriedigend, sondern auch betriebswirtschaftlich meist nicht sinnvoll.
26 Abs. 1 S. 1 BDSG bei Begründung, Durchführung und Beendigung von Beschäftigungsverhältnissen
26 Abs. 1 S. 2 BDSG bei Aufdeckung von Straftaten im Rahmen eines Beschäftigungsverhältnisses
Sofern im Rahmen eines Beschäftigungsverhältnisses eine Straftat aufgedeckt werden muss, kann die Datenübermittlung auf § 26 Abs. 1 S. 2 BDSG i.V.m. Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Sofern ein Verantwortli­cher beispielsweise bei der Sachverhaltsaufklärung auf die Mitwirkung einer anderen Stelle des Unterneh­mensverbundes und die einhergehende Datenübermittlung an­gewiesen ist, kommen die angegebenen Normen zum Tragen. Ferner ist die Normenkette auch einschlägig bei Meldungen im Rahmen des so genannten „Whistleblowings“, bei dem die Mitarbeiter angewiesen werden, Verstöße gegen in­terne Unternehmensregelungen oder Compliance-Bestimmungen weiterzugeben. Soweit für derartige Meldungen ein verbund- bzw. konzernübergreifendes Mel­deverfahren aufgesetzt ist und die Kanäle des Whistleblowings in einer zentralen Compliance-Stelle gebündelt werden, muss für die Übermittlung personenbezogener Daten an die Compliance-Stelle geprüft werden, inwiefern die Voraussetzung des § 26 Abs. 1 S. 2 BDSG – insbesondere die Erforderlichkeit – vorliegen und besondere Interessen der betroffenen Person der Verarbeitung nicht entgegen stehen.
26 BDSG i.V.m. Art. 9 Abs. 2 DSGVObei besonderen Kategorien personenbezogener Daten im Beschäftigungsverhältnis
Soweit ein verbundenes Unternehmen als Verantwortlicher bestimmt zu welchen Zwecken und mit welchen Mittel die Verarbeitung erfolgen soll, kommt als Rechtsgrundlage für die Datenübermittlung der Einsatz eines Auftragsverarbeitungsvertrages (AV-Vertrag) gem. Art. 28 DSGVO in Betracht. Beispielsweise, wenn ein Verbundunternehmen für die anderen Gesellschaften der Gruppe die Personalabrechnung durchführt und dabei den Auftrag nach Weisungen der verbundenen Unternehmen erledigt.
Unabhängig davon, auf welcher Rechtsgrundlage eine Datenübermittlung in einem Unternehmensverbund stattfindet, müssen die an der Übermittlung beteiligten Verantwortlichen in einem Verzeichnis der Verarbeitungstätigkeiten alle verpflichtenden Angaben des Art. 30 Abs. 1 DSGVO, sowie im Fall der Auftragsverarbeitung die des Art. 30 Abs. 2 DSGVO dokumentieren.
Soweit die Datenübermittlung innerhalb eines Unternehmensverbunds aufgrund des Art. 28 DSGVO im Rahmen einer Auftragsverarbeitung stattfindet (s.o.), ist zwischen dem Verantwortlichen (Auftraggeber) und dem Auftragsverarbeiter (Auftragnehmer) ein Auftragsverarbeitungsvertrag zu schließen. Ebenfalls ist zu prüfen, ob im Rahmen einer Zusammenarbeit nicht aufgrund der faktischen Situation, wenn die Verantwortlichen gemeinsam Zwecke und Mittel der Verarbeitung festlegen, eine gemeinsame Verantwortlichkeit vorliegt.
Dies kann insbesondere dann der Fall sein, wenn die Dienstleistung in einem „echten“ Konzern (gem. § 18 Abs. 1 AktG) durch die beherrschende Gesellschaft erbracht werden soll. Hier kann gegebenenfalls eine Weisungsgebundenheit der beherrschenden Gesellschaft und damit eine Auftragsverarbeitung nicht mehr begründet werden. In einem solchen Fall wäre dann kein AV-Vertrag, sondern eine Vereinbarung gemäß Art. 26 DSGVO zwischen den Verantwortlichen zu schließen (hierzu vgl. unseren Beitrag zur „gemeinsamen Verantwortlichkeit“). Oft ist die gemeinsame Verantwortlichkeit für die personenbezogenen Daten dort vorhanden, wo es in einem Unternehmensverbund sog. Matrixstrukturen gibt, bei denen die Fach- und evtl. auch die Personalvorgesetztenfunktion auf eine oder mehrere Personen in anderen verbundenen Unternehmen übertragen wird. So können Mitarbeiter eines verbundenen Unternehmens sowohl den Abteilungsleitern für Beschaffung, Produktion und Absatz und gleichzeitig den Produktmanagementvorgesetzten verschiedener anderer Gesellschaften unterstehen. In solchen Fällen bestehen mehrere Weisungsbeziehungen und es müssen Personal­daten übermittelt werden.
Im Fall der Datenübermittlung an ein verbundenes Unternehmen im Rahmen einer sog. „Controller to Controller“-Situation (deutsch: Verantwortlicher zu Verantwortlichem; abgekürzt auch als C2C-Situation), wenn zwei eigenständige Verantwortliche einander personenbezogene Daten übermitteln, ist fraglich, inwiefern zwischen den Verantwortlichen eine Vereinbarung zu schließen wäre, soweit personenbezogene Daten im Inland übermittelt werden. Insbesondere in der Praxis wird die Erforderlichkeit des Abschlusses einer C2C-Vereinbarung im Inland häufig abgelehnt. Es wird damit argumentiert, dass eine solche in der DSGVO explizit nicht vorgesehen wäre und dass für die Datenübermittlung das Vorliegen einer Rechtsgrundlage – meist Art. 6 Abs. 1 lit. f i.V.m. ErwG 48 DSGVO – ausreichen würde. Eine C2C-Vereinbarung wäre nach dieser Auffassung gemäß Art. 46 Abs. 2 lit. c DSGVO nur dann verpflichtend, wenn Daten in ein Drittland übermittelt werden. Dagegen wendet die Gegenmeinung insbesondere im Hinblick auf den Schutz der betroffenen Personen ein, dass, obwohl die DSGVO eine C2C-Vereinbarung für Inlandsübermittlungen explizit nicht kennt und es das Institut der sogenannten „Funktionsübertragung“ nicht mehr gibt, die personenbezogene Daten ohne eine vertragliche Vereinbarung nur auf der Grundlage des Art. 6 Abs. 1 lit. f DSGVO nicht weitergegeben werden dürfen (hierzu vgl. Spittka in: Specht/Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 12 Rn. 68 mit weiteren Nachweisen).
Schlagworte: Auftragsverarbeitung, Datenübermittlung, Gesetzgebung, Mitarbeiterdatenschutz
https://datenschutzbeauftragter-hamburg.de/wp-content/uploads/2020/07/skyscraper-3184798-scaled.jpg 1707 2560 Datenschutzbeauftragter/tma /wp-content/uploads/2016/06/datenschutz_hamburg_logo.png Datenschutzbeauftragter/tma2020-07-15 17:04:142020-07-21 08:30:31Datenschutz in Unternehmensgruppen und Konzernen – was ist zu beachten?