Datenschutz

In dieser Themenfolge spricht Heiko Gossen mit Dr. Jörg Friedrichs über Binding Corporate Rules, kurz BCR, und ihre Bedeutung für internationale Datentransfers innerhalb von Unternehmensgruppen.

Binding Corporate Rules werden in Artikel 47 DSGVO als „verbindliche interne Datenschutzvorschriften“ bezeichnet. Sie können multinationalen Konzernen als dauerhaftes Instrument dienen, um personenbezogene Daten zwischen europäischen Gesellschaften und Konzerngesellschaften in Drittländern zu übermitteln.

Im Mittelpunkt stehen die Fragen:

Was genau sind Binding Corporate Rules und welche Funktion erfüllen sie bei internationalen Datentransfers?
Wann lohnt sich der erhebliche Aufwand für die Einführung und Genehmigung von BCR?
Welche Unterschiede bestehen zwischen BCR für Verantwortliche und BCR für Auftragsverarbeiter?
Können Binding Corporate Rules die Standardvertragsklauseln ersetzen?
Warum bleiben Transfer Impact Assessments, Verträge zur Auftragsverarbeitung und zusätzliche Schutzmaßnahmen weiterhin erforderlich?
Wie lassen sich Binding Corporate Rules zugleich als konzernweite Datenschutzrichtlinie und Compliance-Instrument einsetzen?

Dr. Jörg Friedrichs ist Senior Legal Counsel im Konzerndatenschutz der Deutschen Telekom und beschäftigt sich dort unter anderem mit den Binding Corporate Rules Privacy des Konzerns. Im Gespräch erläutert er, wie die Deutsche Telekom ihre BCR nutzt, um ein weltweit einheitliches Datenschutzverständnis, gemeinsame Prozesse und eine internationale Datenschutzorganisation zu etablieren.

Die Folge macht deutlich: Binding Corporate Rules sind kein Freibrief für Datenübermittlungen in Drittländer. Sie ersetzen weder die Prüfung der Rechtmäßigkeit einer Verarbeitung noch die Bewertung der Rechtslage im Empfängerland. Auch ein Transfer Impact Assessment kann weiterhin notwendig sein.

BCR schaffen vielmehr eine dauerhaft implementierte und von den Datenschutzaufsichtsbehörden genehmigte Struktur für konzerninterne Datentransfers.

Besonders interessant kann dieses Instrument für Unternehmensgruppen sein, die regelmäßig aus mehreren europäischen Ländern in mehrere Drittländer übermitteln und bereits über eine reife Datenschutzorganisation verfügen.

Neben den Vorteilen behandelt das Gespräch auch die erheblichen Anforderungen: Das Genehmigungsverfahren muss vorbereitet und mit der zuständigen federführenden Aufsichtsbehörde durchlaufen werden. Die Regeln müssen innerhalb des Konzerns verbindlich sein, Beschäftigte sind zu schulen und die Umsetzung ist regelmäßig zu kontrollieren. Hinzu kommen laufende Melde-, Dokumentations- und Aktualisierungspflichten.

Themen im Überblick

Grundlagen der Binding Corporate Rules nach Artikel 47 DSGVO
BCR als Instrument für konzerninterne Drittlandtransfers
Abgrenzung zu Angemessenheitsbeschlüssen und Standardvertragsklauseln
Binding Corporate Rules als weltweite Konzerndatenschutzrichtlinie
BCR für Verantwortliche und BCR für Auftragsverarbeiter
Transfer Impact Assessment und zusätzliche Schutzmaßnahmen
Voraussetzungen und Ablauf des Genehmigungsverfahrens
Auswahl der federführenden Datenschutzaufsichtsbehörde
Internationale Implementierung, Schulungen und Datenschutzorganisation
Grenzen bei Übermittlungen an Unternehmen außerhalb der Gruppe
BCR als Vertrauenssignal gegenüber Kunden, Investoren und Geschäftspartnern
Jährliche Meldungen, Audits und laufende Pflege der Regeln

Linkliste zu den erwähnten Quellen und weiterführenden Informationen

EDPB Recommendations 1/2022 zum Antrag auf Genehmigung und zu den Bestandteilen von BCR-C (BCR für Controller)
https://www.edpb.europa.eu/documents/recommendation/recommendations-12022-on-the-application-for-approval-and-on-the-elements_en

EDPB Recommendations 1/2026 zum Antrag auf Genehmigung und zu den Bestandteilen von BCR-P (BCR für Processor) – nicht final
https://www.edpb.europa.eu/public-consultations/recommendations-12026-on-the-application-for-approval-and-on-the-elements-and_en

EDPB zum Kooperationsverfahren der Datenschutzaufsichtsbehörden bei der Genehmigung von BCR
https://www.edpb.europa.eu/documents/procedure/edpb-document-setting-forth-a-co-operation-procedure-for-the-approval-of_en

CNIL allgemein zu BCR
https://www.cnil.fr/en/binding-corporate-rules-bcrs

CNIL: Grundlagen und Voraussetzungen von Binding Corporate Rules
https://www.cnil.fr/en/what-you-need-know-binding-corporate-rules-bcrs

CNIL Self-Assessment Tool zur Einführung von BCR
https://www.cnil.fr/en/binding-corporate-rules-bcr-cnil-publishes-self-assessment-tool

CNIL: Einreichung und Genehmigungsverfahren
https://www.cnil.fr/en/when-and-how-submit-your-bcrs-project-data-protection-authorities

EDSA-Register genehmigter Binding Corporate Rules
https://www.edpb.europa.eu/registers/register-of-consistency-and-of-accountability-tools/binding-corporate-rules_en

Binding Corporate Rules Privacy der Deutschen Telekom
https://www.telekom.com/resource/blob/1062630/7fa3e031c54a1bf06995f687d99a8552/dl-binding-corporate-rules-privacy-3-0-data.pdf

Datenschutzorganisation der Deutschen Telekom
https://www.telekom.com/de/konzern/datenschutz-und-sicherheit/news/datenschutzorganisation-596254

Weitere Informationen, Blog und Newsletter:
https://migosens.de/newsroom/

X:
https://x.com/DS_Talk

Übersicht aller Themenfolgen:
https://migosens.de/datenschutz-podcast-themenfolgen/

Eigener Feed der Themenfolgen:
https://migosens.de/show/tf/feed/ddt/

Instagram:
https://www.instagram.com/datenschutztalk_podcast/