BayLDA segnet BCRs der Giesecke+Devrient-Gruppe ab

Nach einer Studie aus dem Jahre 2015 tauschen 81% der Konzerne Daten auf Grundlage gesetzlicher Erlaubnistatbestände aus, wie bspw. den §§ 28, 32 BDSG. Bei den vertraglichen Regelungen dominieren Verträge zur Datenverarbeitung im Auftrag. Diese werden von 78% der befragten Unternehmen konzernintern eingesetzt. Bei 31% der Konzerne bestehen mehr als 50 Verträge, bei 2% sogar über 1.000. Von Konzernen, die Beschäftigtendaten austauschen, können 72% die Übermittlungen zudem auf entsprechende Betriebsvereinbarungen stützen. Knapp mehr als die Hälfte der Unternehmen (57%) setzt zudem auf die Einwilligung des Betroffenen. Aller Bedenken hinsichtlich der Wirksamkeit im Beschäftigungsverhältnis zum Trotz legitimieren 79% dieser Konzerne mit der Einwilligung auch die Übermittlung von Mitarbeiterdaten .

21% der Konzerne mit konzerninternem Datenaustausch mit Drittstaaten setzen bereits Binding Corporate Rules (BCR) ein (. 11 Die Aufsichtsbehörden verzichten offenbar weitgehend auf das Erfordernis von Einzelgenehmigungen.12 Keiner der 16 Konzerne mit genehmigten BCR gibt an, dass Übermittlungen genehmigungspflichtig sind. Von den 62% der Konzerne, die keine BCR einsetzen, wird das Genehmigungsverfahren überwiegend (77%) als zu aufwändig bzw. kostspielig angesehen. Bemerkenswert ist jedoch, dass sich BCR dennoch bereits bei weiteren 27% der Konzerne in Vorbereitung befinden (Quelle: Andreas Leonhardt,  Datenschutz-Studie  Konzerninterner Datenaustausch, https://www.gdd.de/downloads/aktuelles/studien/datenschutz-studie-konzerninterner-datenaustausch).

Die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union (= Drittstaaten) darf nur erfolgen, wenn ausreichende Datenschutzgarantien zum Schutz der Daten erbracht werden. Dieses Erfordernis besteht auch, wenn Datenübermittlungen innerhalb eines Konzerns an konzernangehörige Unternehmen in einem Drittstaat erfolgen sollen. Die datenschutzrechtliche Zulässigkeit von Übermittlungen personenbezogener Daten in Drittstaaten kann zum Beispiel für die USA durch eine Zertifizierung nach dem Privacy Shield oder für die USA und sonstige Drittstaaten durch Verwendung von Standardverträgen, die von der Europäischen Kommission vorgegeben werden, erreicht werden, soweit auch die übrigen datenschutzrechtlichen Anforderungen an Datenübermittlungen erfüllt werden.

Die Giesecke+Devrient-Unternehmensgruppe hat für die gruppenangehörigen Unternehmen  verbindliche interne Datenschutzvorschriften für Auftragsverarbeitung (Binding  Corporate Rules for Processors – BCR-Processor) festgelegt. Das Bayerische  Landesamt für Datenschutzaufsicht (BayLDA) hat diese Datenschutzvorschriften geprüft  und festgestellt, dass sie den Anforderungen an ausreichende Datenschutzgarantien,  insbesondere auch zur Übermittlung personenbezogener Daten in Nicht-EU-Länder,  entsprechen.

Der Präsident des BayLDA, Thomas Kranig, hat die Mitteilung über den  Abschluss des Prüfungsverfahrens Giesecke+Devrient persönlich übergeben.

BayLDA