Das fehlende Konzernprivileg stellt Konzernunternehmen vor Herausforderungen. Eine Auslagerung bestimmter Unternehmensbereiche (z. B. Buchhaltung, Personalverwaltung oder Abrechnung) und eine Zentralisierung der Datenverarbeitung bei der Konzernmutter wird nicht ohne Weiteres möglich sein.
Bei der Einführung und Nutzung einer Konzerndatenbank ist etwa zu klären, welches Unternehmen eigentlich „verantwortlich“ ist, oder ob sogar eine „gemeinsame Verantwortlichkeit“ zwischen den beteiligten Konzernunternehmen in Betracht kommt. Unter Umständen kann auch eine Auftragsverarbeitung denkbar sein. Zusätzlich stehen Unternehmen in der Pflicht, jede konzerninterne Übermittlung personenbezogener Daten auf eine valide Rechtsgrundlage zu stützen. Befindet sich ein involviertes Konzernunternehmen in einem Drittland, sind zusätzliche Anforderungen zu beachten. Verarbeitet das Konzernunternehmen eigenverantwortlich Mitarbeiterdaten, die es von einem Konzernunternehmen aus dem EWR-Raum erhält, bedürfen die von der europäischen Kommission bereitgestellten Standard-Datenschutzklauseln ergänzender Regelungen für eine datenschutzkonforme Datenübermittlung von Mitarbeiterdaten.