Konzernprivileg bei AV-Verträgen

Wenn Unternehmen personenbezogene Daten austauschen, müssen AV-Verträge geschlossen werden. Was aber gilt in einem Konzern?

Wann immer eine Verarbeitung von Daten zwischen zwei Unternehmen stattfindet, legt Art. 28 Abs. 3 DS-GVO fest, dass ein Auftragsverarbeitungsvertrag geschlossen werden muss. Und auch bei Unternehmen, die in einem Konzern verbunden sind, handelt es sich grundsätzlich um mindestens zwei selbständige juristische Personen und damit um eigenständige Rechtsträger. Die DS-GVO sieht zudem kein ausdrückliches Konzernprivileg vor, d.h. zwei Unternehmen, die in einem Konzern verbunden sind, bleiben zueinander Dritte – es gibt demnach kein ausdrückliches Privileg für z.B. Konzerngeschwister, die für die Unternehmensgruppe zentralisiert die Lohn- oder Finanzbuchhaltung durchführen. Wenn also innerhalb eines Konzerns ein Austausch personenbezogener Daten stattfindet, müsste nach dieser Auffassung ein AV-Vertrag geschlossen werden.

Erwägungsgrund 48 DS-GVO sieht aber ein überwiegendes berechtigtes Interesse der Unternehmensgruppe vor, das in Verbindung mit Art. 6 Abs. 1 lit. f DS-GVO eine konzerninterne Übermittlung von personenbezogenen Daten auf Grundlage eines gesetzlichen Erlaubnistatbestandes möglich machen kann. Sofern die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen, kann innerhalb eines Konzerns also eine Datenübermittlung stattfinden, ohne das es hierfür eines AV-Vertrages bedarf.