Binding Corporate Rules

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Binding Corporate Rules, häufig auch BCR abgekürzt, sind ein von der Europäischen Kommission eingesetzten Artikel-29-Datenschutzgruppe entwickelter Rahmen[1] für verbindliche Richtlinien zum Umgang mit personenbezogene Daten. Der Begriff wird häufig auch als Synonym für die auf diesem Rahmen basierenden individuellen Regeln eines Unternehmens verwendet. Diese erlauben es multinationalen Konzernen, internationalen Organisationen und Firmengruppen nach geltendem europäischem Recht, intern personenbezogene Daten in Drittstaaten mit nicht angemessenem Datenschutzniveau zu transferieren. Neben den Binding Corporate Rules gibt es weitere Rahmenwerke für den Umgang mit personenbezogenen Daten, wie z.B. das Cross-border Privacy Enforcement Arrangement [2] (CPEA) der Asiatisch-Pazifische Wirtschaftsgemeinschaft. Wegen ihres rechtlich bindenden Charakters und der Ausgestaltungsmöglichkeit fallen Unternehmensregeln in den Bereich der Corporate Governance.

Die Binding Corporate Rules eines Unternehmens müssen von der europäischen Datenschutzbehörde des Landes, aus dem Daten übertragen werden sollen, verifiziert werden. Um diesen Prozess zu beschleunigen, hat die Artikel-29-Datenschutzgruppe mit einigen europäischen Datenschutzbehörden ein Koordinationsverfahren bei der Verifizierung von Binding Corporate Rules ausgearbeitet. In dem „Mutual Recognition“ genannten Verfahren überprüft eine federführende Datenschutzbehörde zusammen mit zwei beisitzenden Behörden, ob sich die Regeln des Unternehmens auch an den Rahmen halten. Nach dem Abschluss dieses Prozesses erkennen die Datenschutzbehörden aller 21 Länder, welche an dem Verfahren teilnehmen,[3] die Binding Corporate Rules als ausreichende Garantie an. Sollen Daten aus weiteren europäischen Ländern übertragen werden, überprüft deren Datenschutzbehörden die Binding Corporate Rules eigenständig. Wenn Daten auf der Grundlage von Binding Corporate Rules übertragen werden, muss vor der Übertragung die Erlaubnis von der zuständigen Behörde in einer transfer notification eingeholt werden. Die Übertragung wird dann aufgrund der vorliegenden Binding Corporate Rules genehmigt.

Geschichte[Bearbeiten]

Anlass für die Entstehung der Binding Corporate Rules war die 1995 in Kraft getretene europäische Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Nach dieser muss für jeden Datentransfer in unsichere Drittstaaten einzeln Verträge abgeschlossen werden. Dies erwies sich besonders für große international agierenden Unternehmen als sehr aufwendig. Daher entstand in der Wirtschaft Ende der 90er Jahre die Idee von verbindlichen Unternehmensrichtlinien, um bei einer Datenübertragung an Konzernteile in Drittstaaten ein ausreichendes Datenschutzniveau zu gewährleisten.[4] In den folgenden Jahren wurde von der Wissenschaft erörtert, ob die Datenschutzrichtlinie ein solches Konstrukt zulässt. Man kam zu dem Schluss, dass Art. 26 Abs. 2 Europäische Datenschutzrichtlinie sich dafür als Rechtsgrundlage eignete und verbindliche Unternehmensregeln somit zulässig sind.

Bei der Umsetzung der europäischen Datenschutzrichtlinie im Jahr 2001 griff der deutsche Gesetzgeber diese Überlegungen auf und erwähnte Unternehmensregelungen explizit als Beispiel für eine ausreichende Datenschutzgarantie beim Transfer von personenbezogenen Daten in Drittstaaten (BGBl. I S. 904). Daraufhin verabschiedete im Juli 2002 die DaimlerChrysler AG zwei Unternehmensrichtlinien. Die Aufsichtsbehörde in Berlin bewilligte kurz darauf zwei Datentransfers, welche sich auf diese stützen.[5] Etwa zur gleichen Zeit diskutierten die deutschen, niederländischen und österreichischen Behörden aufgrund des wachsenden Interesses der Wirtschaft eine Verfahrenskoordinierung bei der gegenseitigen Anerkennung von Unternehmensrichtlinien. Jedoch wurden die Bemühungen der Behörden eingestellt, da die Art. 29 Datenschutzgruppe signalisiert hatte sich mit dem Thema Unternehmensregelungen auf europäischer Ebene zu beschäftigen.

Der Ausdruck Binding Corporate Rules taucht das erste Mal im WP 74 der Art. 29 Datenschutzgruppe im Juni 2003 auf. Dies enthielt grundlegende Überlegungen zu verbindlichen Unternehmensregeln, welche an die bereits bestehenden Erkenntnisse einzelner europäischer Behörden anknüpfte. Im Jahr 2004 fiel unter Aufsicht der Art. 29 Datenschutzgruppe der Startschuss für fünf Testfälle für eine geplante Verfahrenskoordinierung bei der Annahme von Binding Corporate Rules. Darunter befanden sich auch die in Deutschland bereits gültigen Unternehmensregeln der Daimler Chrysler AG. Am 15. April 2005 verständigte sich die Art. 29 Datenschutzgruppe darauf, Unternehmensregeln nach einem einheitlichen europäischen Maßstab zu beurteilen. Seitdem wurde das Mutual Recognition Verfahren durch die Ergebnisse der Testläufe und weitere Entwicklungen in Form von Arbeitspapieren weiter ausgearbeitet.

Binding Corporate Rules unter der Datenschutz-Grundverordnung[Bearbeiten]

Die aktuelle Fassung des Entwurfs der europäischen Datenschutz-Grundverordnung sieht vor, die Handhabung der Praxis weitgehend in das Gesetz zu übernehmen.[6] Die Regelungen zu den Binding Corporate Rules finden sich im Artikel 43 DS-GVO-E. Demnach werden nun auch Unternehmensregelungen auf europäischer Ebene ausdrücklich als Beispiel für eine geeignete Garantie eines ausreichenden Datenschutzniveaus angesehen. Das aktuelle Verfahren der Mutual Recognition wird durch ein Kohärenzverfahren mit weitgehend ähnlichem Ablauf abgelöst. Die durch solch ein Verfahren angenommene BCR entfalten nun ihre Wirkung gegenüber allen europäischen Datenschutzbehörden. Zudem muss die Übermittlung von Daten nicht mehr von den einzelnen Behörden genehmigt werden. Der Anwendungsbereich von Binding Corporate Rules wird von Unternehmensgruppen auf Auftragsdatenverarbeiter erweitert.

Inhalt[Bearbeiten]

Der Inhalt der Binding Corporate wird zwar von jedem Unternehmen individuell gestaltet, dennoch sind folgende Punkte durch Rahmenbedingungen vorgeschrieben:

  • Definition des Geltungsbereichs. Dieser besteht aus den Unternehmensteilen, welche sich den Binding Corporate Rules unterwerfen, und deren Landessitz
  • Aufbau und Umsetzung eines Sicherheitskonzept zum Schutz von personenbezogenen Daten
  • Datenschutzschulung von Mitarbeitern
  • Teilnahme an einem Audit­programm
  • Weitere Verträge, um die rechtliche Verbindlichkeit der Binding Corporate Rules intern und extern sicherzustellen
  • Verpflichtung auf Schadensersatzleistungen im Fall eines Verstoßes
  • Verfahren zum Umgang mit Datenschutzbeschwerden
  • Zusicherung von Transparenz. Darunter fällt der leichte Zugang zu den Binding Corporate Rules sowie zu den personenbezogenen Daten durch den Betroffenen

Vor- und Nachteile[Bearbeiten]

Der Vorteil von Binding Corporate Rules gegenüber der Nutzung von EU Standardvertragsklauseln oder des Safe Harbor Abkommens ist ihre individuelle Ausgestaltungsmöglichkeit. Diese bietet dem Unternehmen die Möglichkeit, das Thema Datenschutz in die Unternehmenskultur einzuarbeiten. Daraus resultiert eine höhere Compliance.[7] Zudem hält der europäische Gesetzgeber weiter an dem Konzept der Binding Corporate Rules fest, wie die aktuelle Fassung des Entwurfs der Datenschutzgrundverordnung belegt.

Da das Safe-Harbor vom Europäischen Gerichtshof (EuGH) in seiner Entscheidung vom 6. Oktober 2015 für ungültig erklärt worden ist, kann das Abkommen nicht mehr als Rechtsgrundlage für Datentransfers herangezogen werden, Binding Corporate Rules hingegen schon.[8][9]

Der Gedanke hinter einer Einführung von Binding Corporate Rules hat sich seit der Entstehung des Rahmenwerks ausgedehnt. Zu Beginn stand das Ziel der Legitimierung von Datenübertragungen in unsichere Drittländer im Vordergrund. Heutzutage sind sie de facto eine Demonstration großer Unternehmen, die gesetzlichen Anforderungen des Datenschutzes einzuhalten. Oftmals dient dies einer Marketingstrategie oder zur Kommunikation des Thema Datenschutz nach außen.

Der Vorteil der freien Ausgestaltung erweist sich zugleich als größter Nachteil von Binding Corporate Rules. Der damit verbundene hohe Organisationsaufwand und die notwendige Überprüfung durch mehrere Datenschutzbehörden führen zu einem langwierigen Prozess. Die Zeitdauer des Verfahrens von der Erstellung bis zur Einführung von Binding Corporate Rules beläuft sich auf etwa 1-2 Jahre.[10] Daraus ergibt sich ein hoher Kostenfaktor, der mit dem für die Anfertigung von EU Standardverträgen nicht zu vergleichen ist. Deshalb rechnet sich trotz einiger Vorteile die Einführung von Binding Corporate Rules nur für internationale Unternehmen mit einer entsprechenden hohen Anzahl von Datenübertragungen in unsichere Drittländer.

Offizielle Dokumente[Bearbeiten]

In Bezug auf Binding Corporate Rules hat die Artikel-29-Datenschutzgruppe eine Reihe von Arbeitspapieren (engl. Working Paper) veröffentlicht:

Weblinks[Bearbeiten]

Einzelnachweise[Bearbeiten]

  1. Founding BCR documents. Abgerufen am 6. September 2015 (englisch).
  2. APEC Cross-border Privacy Enforcement Arrangement (CPEA). Abgerufen am 6. September 2015 (englisch).
  3. What is mutual recognition. European Commissioner for Justice, abgerufen am 6. September 2015 (englisch).
  4. Anja-Maria Gardain: Transfer of personal data to third countries – Binding Corporate Rules – The new legal instruments – applicable law. Berliner Beauftragter für Datenschutz und Informationsfreiheit, 19. April 2005, abgerufen am 6. September 2015.
  5. 25 Jahre Datenschutz 5 Jahre Informationsfreiheit in Berlin. Berliner Beauftragter für Datenschutz und Informationsfreiheit, November 2004, abgerufen am 6. September 2015.
  6. European Parliament and Council: Regulation on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation). Statewatch, 6. Januar 2015, abgerufen am 6. September 2015 (englisch).
  7. Compliance und Unternehmenskultur - Zur Aktuellen Situation in deutschen Großunternehmen. PricewaterhouseCoopers, Februar 2010, abgerufen am 6. September 2015.
  8. Europäischer Gerichtshof: Pressemitteilung Nr. 117/15 zum Urteil in der Rechtssache C-362/14 – Maximillian Schrems/ Data Protection Commissioner. 6. Oktober 2015. Abgerufen am 19. Oktober 2015.
  9. Urteil in der Rechtssache C-362/14 – Maximillian Schrems / Data Protection Commissioner vom 6. Oktober 2015., abgerufen am 6. Oktober 2015
  10. Binding Corporate Rules (BCR). 16. Februar 2015, abgerufen am 6. September 2015.

Siehe auch[Bearbeiten]