Was sind Binding Corporate Rules (BCR)?
BCR sind Datenschutzvorschriften, die in einem Mitgliedstaat niedergelassene Verantwortliche oder Auftragsverarbeiter für Übermittlungen oder Kategorien davon an Verantwortliche oder Auftragsverarbeiter in Drittländern innerhalb ihrer Unternehmensgruppe oder Gruppe gemeinsam wirtschaftlich tätiger Unternehmen befolgen.
Diese Kurzdefinition folgt Artikel 4 Nummer 20 DSGVO. BCR bilden einen rechtlich-organisatorischen Mechanismus für Übermittlungen oder Kategorien von Übermittlungen an Verantwortliche oder Auftragsverarbeiter in Drittländern innerhalb des gebundenen Gruppenkreises.
Der Normwortlaut
„Die zuständige Aufsichtsbehörde genehmigt gemäß dem Kohärenzverfahren nach Artikel 63 verbindliche interne Datenschutzvorschriften, sofern diese a) rechtlich bindend sind, für alle betreffenden Mitglieder der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, gelten und von diesen Mitgliedern durchgesetzt werden, und dies auch für ihre Beschäftigten gilt, b) den betroffenen Personen ausdrücklich durchsetzbare Rechte in Bezug auf die Verarbeitung ihrer personenbezogenen Daten übertragen und c) die in Absatz 2 festgelegten Anforderungen erfüllen.“
Normtext und Rechtsfolge: Bei erfüllten Voraussetzungen genehmigt die zuständige Aufsichtsbehörde die BCR im Kohärenzverfahren. Die Wahl von BCR ist dagegen nicht allgemein vorgeschrieben. Fehlt ein Angemessenheitsbeschluss nach Artikel 45 Absatz 3, darf ein Verantwortlicher oder Auftragsverarbeiter nach Artikel 46 Absatz 1 personenbezogene Daten nur übermitteln, wenn geeignete Garantien vorgesehen sind und den betroffenen Personen durchsetzbare Rechte sowie wirksame Rechtsbehelfe zur Verfügung stehen. Artikel 46 Absatz 2 Buchstabe b nennt genehmigte BCR als eine mögliche Garantie, ohne dass für die einzelne darauf gestützte Übermittlung eine besondere Genehmigung erforderlich ist.
Wann sind BCR als Transfermechanismus einschlägig?
BCR kommen als geeignete Garantie für Drittlandübermittlungen ohne Angemessenheitsbeschluss in Betracht. Der Mechanismus ist auf Übermittlungen innerhalb derselben Unternehmensgruppe oder einer Gruppe von Unternehmen mit gemeinsamer Wirtschaftstätigkeit beschränkt. Unabhängige externe Empfänger werden nicht allein durch die BCR erfasst.
Auch bei genehmigten BCR bleiben sämtliche sonstigen Anforderungen der DSGVO und insbesondere Kapitel V anwendbar. BCR sind deshalb keine pauschale Erlaubnis für jeden Datentransfer.
Welche Voraussetzungen gelten für die Genehmigung?
Die Regeln müssen rechtlich bindend sein, für alle betreffenden Gruppenmitglieder gelten und von ihnen durchgesetzt werden; dies muss auch für deren Beschäftigte gelten. Sie müssen betroffenen Personen ausdrücklich durchsetzbare Rechte übertragen und sämtliche Mindestanforderungen aus Artikel 47 Absatz 2 Buchstaben a bis n erfüllen.
Auslegung: Die Genehmigung betrifft das BCR-Regelwerk selbst. Sie muss vor einer Übermittlung vorliegen, die gerade auf diese BCR als geeignete Garantie gestützt werden soll.
Welche Inhalte müssen BCR abdecken?
Artikel 47 Absatz 2 verlangt mindestens Angaben zu Struktur und Kontaktdaten der Gruppe, den erfassten Transfers, ihrer internen und externen Rechtsverbindlichkeit, den angewandten Datenschutzgrundsätzen und Weiterübermittlungen, den Rechten und Informationsansprüchen betroffener Personen, der Haftungsübernahme durch ein in der Union niedergelassenes Mitglied sowie den Aufgaben der für die Überwachung zuständigen Stelle.
Hinzu kommen Beschwerdeverfahren, Überprüfungs- und Datenschutzauditverfahren einschließlich Berichtswegen und Zugangsrechten der Aufsicht, Verfahren zur Erfassung und Meldung von Änderungen, die Zusammenarbeit mit Aufsichtsbehörden, die Meldung rechtlicher Anforderungen eines Drittlands mit möglichen nachteiligen Auswirkungen sowie geeignete Datenschutzschulungen für Beschäftigte mit ständigem oder regelmäßigem Zugang zu personenbezogenen Daten.
Die abzudeckenden Datenschutzgrundsätze umfassen insbesondere Zweckbindung, Datenminimierung, Speicherbegrenzung, Datenqualität, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, eine Rechtsgrundlage, die Regeln für besondere Datenkategorien, Datensicherheit und die Anforderungen an Weiterübermittlungen außerhalb des gebundenen Kreises.
Behördenpraxis: Die EDSA-Empfehlungen 1/2022, Version 2.0, konkretisieren die Anwendung und das Genehmigungsverfahren für BCR von Verantwortlichen. Sie erläutern die gesetzlichen Anforderungen, ersetzen aber weder den DSGVO-Wortlaut noch die Entscheidung der zuständigen Aufsichtsbehörde.
Gelten Fristen oder Schwellenwerte für BCR?
Artikel 46 und 47 DSGVO enthalten keine allgemeine numerische Schwelle und keine allgemeine Antrags-, Genehmigungs-, Erneuerungs- oder Änderungsfrist für BCR. Artikel 47 Absatz 2 Buchstabe k verlangt jedoch Verfahren, mit denen Änderungen der Vorschriften oder der Mitgliederliste gemeldet und erfasst sowie der zuständigen Aufsichtsbehörde mitgeteilt werden.
Sind BCR eine technische Sicherheitsmaßnahme?
Nein. BCR sind rechtlich und organisatorisch ein Transfermechanismus, keine technische Sicherheitsmaßnahme. Ihr vorgeschriebener Inhalt muss gleichwohl Datenschutz durch Technikgestaltung, datenschutzfreundliche Voreinstellungen, Datensicherheit, Audits und weitere organisatorische Verfahren behandeln. BCR ersetzen keine technischen und organisatorischen Maßnahmen, die nach anderen DSGVO-Vorschriften erforderlich sind.
Welche Rolle spielen die Ausnahmen nach Artikel 49 DSGVO?
Artikel 49 ist kein Bestandteil der BCR-Genehmigung. Seine Ausnahmen greifen nur unter den jeweiligen gesetzlichen Tatbeständen, wenn weder ein Angemessenheitsbeschluss noch geeignete Garantien bestehen. Sie dürfen nicht mit einer allgemeinen BCR-Freigabe gleichgesetzt werden; für einzelne Tatbestände gelten zusätzliche Bedingungen, etwa bei der nur gelegentlichen Übermittlung einer begrenzten Zahl betroffener Personen.
Häufige Fehlannahmen
- „BCR sind nur interne Richtlinien.“ Nein. Genehmigungsfähige BCR müssen rechtlich bindend sein, für alle betreffenden Mitglieder und deren Beschäftigte gelten und durchgesetzt werden.
- „Genehmigte BCR erlauben jeden Drittlandtransfer.“ Nein. Sie erfassen den gebundenen Gruppenkreis; die übrigen Anforderungen der DSGVO und des Kapitels V bleiben bestehen.
- „Jede Unternehmensgruppe muss BCR verwenden.“ Nein. BCR sind eine mögliche geeignete Garantie neben anderen zulässigen Transfermechanismen.
- „Für jede einzelne BCR-Übermittlung ist eine neue Genehmigung nötig.“ Nein. Das BCR-Regelwerk benötigt die Genehmigung nach Artikel 47 Absatz 1; für eine einzelne, darauf gestützte Übermittlung verlangt Artikel 46 Absatz 2 keine besondere Genehmigung.
- „BCR ersetzen Sicherheitsmaßnahmen.“ Nein. Sie müssen Sicherheitsanforderungen regeln, ersetzen aber keine anderweitig erforderlichen technischen und organisatorischen Maßnahmen.
Was die Geschäftsleitung tun sollte
- Entscheiden, ob BCR für die geplanten konzerninternen Drittlandtransfers gegenüber anderen zulässigen Mechanismen geeignet sind.
- Betroffene Gruppenmitglieder, Empfänger, Datenkategorien, Verarbeitungszwecke, Drittländer und Weiterübermittlungen vollständig erfassen.
- Rechtliche Bindung und Durchsetzung einschließlich der Beschäftigten sowie Betroffenenrechte, Haftung und Beschwerdewege organisatorisch absichern.
- Audit-, Änderungs-, Schulungs-, Berichts- und Aufsichtskooperationsverfahren mit klaren Verantwortlichkeiten einrichten.
- Die Genehmigung im Kohärenzverfahren einholen, bevor eine Übermittlung auf die BCR als geeignete Garantie gestützt wird, und spätere Änderungen nach dem vorgesehenen Verfahren erfassen und melden.
Diese Schritte sind Praxisempfehlungen zur Umsetzung der gesetzlichen Mindestanforderungen; sie begründen keine allgemeine Pflicht, BCR anstelle eines anderen zulässigen Instruments zu wählen.
Für die Geschäftsleitung
BCR sind für gebundene Unternehmensgruppen gedacht, die konzerninterne Drittlandtransfers über ein einheitliches, durchsetzbares Regelwerk absichern wollen. Die zentrale Entscheidung lautet, ob dieser genehmigungspflichtige Mechanismus zur Transferstruktur passt. Nachweisbar sein müssen insbesondere Reichweite, Bindung, Betroffenenrechte, Haftung, Kontrollen, Schulungen, Änderungsmanagement und Behördenkooperation; die Genehmigung muss vor dem ersten auf BCR gestützten Transfer vorliegen.
