Datenschutz im Konzern (Teil 1/4): Der Konzerndatenschutzbeauftragte und die Organisation der Datenschutz-Compliance

Zusammenfassung

Das BDSG kennt kein "Konzernprivileg": Jede Konzerngesellschaft muss isoliert einen Datenschutzbeauftragten bestellen, eine einzige Person kann diese Funktion aber in mehreren Gesellschaften übernehmen.
Beim Einheitsmodell ist eine Person Datenschutzbeauftragter aller Konzerngesellschaften (in Personalunion), beim Koordinationsmodell koordiniert ein zentraler Verantwortlicher die jeweils eigenen Datenschutzbeauftragten der Tochtergesellschaften.
Das Einheitsmodell erleichtert Vereinheitlichung, Fachwissensaufbau und Kosteneffizienz, birgt aber Überlastungs-, Einbindungs- und Interessenkonfliktrisiken; das Koordinationsmodell punktet bei Vor-Ort-Einbindung, erfordert aber Abstimmung ohne Weisungsrecht.
Welches Modell passt, hängt von Branchenvielfalt, Standortstruktur, Unternehmenskultur und dem Reifegrad der Datenschutz-Compliance ab.

Dies ist der erste Beitrag aus meiner Artikel-Reihe "Datenschutz im Konzern". In den einzelnen Beiträgen gehe ich auf Fragestellungen des Datenschutzes ein, wie sie sich typischerweise in Konzernen stellen.

Übersicht zur Artikelreihe "Datenschutz im Konzern":

Im einleitenden Teil geht es um die Organisation des Datenschutzes im Konzern, insbesondere die Ausgestaltung der Position des Konzerndatenschutzbeauftragten und dessen Aufgaben.

1. Der betriebliche Datenschutzbeauftragte und Konzerndatenschutz

Im Unterschied zu vielen anderen Bereichen der betrieblichen Compliance (Corporate Compliance) gibt es für die Organisation der Datenschutz-Compliance konkrete gesetzliche Regelungen: So verpflichtet § 4f des Bundesdatenschutzgesetzes (BDSG) alle größeren Unternehmen, einen Datenschutzbeauftragten zu bestellen. Dessen vom Gesetz festgelegte Aufgabe ist es, auf die Einhaltung der Datenschutzvorschriften durch das jeweilige Unternehmen "hinzuwirken".

1.1 Der Datenschutzbeauftragte

Der Datenschutzbeauftragte ist unmittelbar der Unternehmensleitung zu unterstellen (§ 4f Abs. 3 BDSG) und in seiner Funktion als Datenschutzbeauftragter weisungsfrei. Befugnisse zur Umsetzung der datenschutzrechtlichen Anforderungen gibt das Gesetz dem Datenschutzbeauftragten jedoch nicht.

Er hat also von Gesetzes wegen noch keine Weisungsrechte gegenüber Mitarbeitern im Hinblick auf Datenschutzfragen und auch keine entsprechende Richtlinienkompetenz. Der Datenschutzbeauftragte kann zum Beispiel nicht die Personalabteilung anweisen, Bewerberdaten nach einer bestimmten Zeit zu löschen. Letztlich verantwortlich für die Umsetzung und Einhaltung des Datenschutzes bleibt damit die Unternehmensleitung. Natürlich können Unternehmen entsprechende Befugnisse dem Datenschutzbeauftragten im Anstellungsvertrag einräumen. Dies hat dann auch Auswirkungen auf die Haftung des Datenschutzbeauftragten.

Der Datenschutzbeauftragte kann – muss aber nicht – beim Unternehmen angestellt sein (interner Datenschutzbeauftragter). Ist der Datenschutzbeauftragte nicht bei dem Unternehmen beschäftigt, für das er bestellt ist, so spricht man von einem externen Datenschutzbeauftragten. Diese finden sich in erster Linie bei kleineren und mittleren Unternehmen.

Der Datenschutzbeauftragte darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden. Seit dem 1. September 2009 genießt ein beim Unternehmen beschäftigter Datenschutzbeauftragter zudem einen besonderen Kündigungsschutz (§ 4f Abs. 3 BDSG), womit eine ordentliche Kündigung des Arbeitsverhältnisses ausscheidet.

1.2 Fehlendes Konzernprivileg

Bilden mehrere Gesellschaften einen Konzern, etwa indem sie im Mehrheitsbesitz einer Muttergesellschaft stehen, so hat jede Gesellschaft isoliert einen Datenschutzbeauftragten zu bestellen. Es genügt insbesondere nicht, wenn nur die Muttergesellschaft eine solche Bestellung vornimmt; dies ist ein Grund für die oft wiederholte Feststellung, das BDSG enthalte kein "Konzernprivileg". Es ist aber grundsätzlich möglich, ein und dieselbe Person in einer Vielzahl von Unternehmen zum Datenschutzbeauftragten zu bestellen; mehr dazu unten.

1.3 Herausforderung Konzerndatenschutz

Beim Aufbau einer Compliance-Organisation für den Datenschutz im Konzern geht es keineswegs nur darum, der Pflicht zur Bestellung von Datenschutzbeauftragten nachzukommen. Ein Unternehmensverbund stellt weitergehende Anforderungen an den Datenschutz, insbesondere im Hinblick auf Koordination, Beratung und Kontrolle.

Datenschutzrechtliche Fragestellungen und Probleme, die mehrere Konzernunternehmen betreffen, sollen oder müssen einheitlich behandelt werden (Umgang mit Mitarbeiterdaten, Datenschutz im Zusammenhang mit den vom Konzern verkauften Produkten, Hinweisgeber-Systeme, Zugriff auf Mitarbeiter-E-Mails und Kontrolle der Telefonnutzung).
Eine einheitliche Software soll konzernweit eingesetzt werden und bedarf deshalb eines übergreifenden Datenschutzkonzeptes (Personalinformationssystem, CRM- oder ERP-Software).
Für den Transfer bzw. Austausch von Mitarbeiter- oder Kundendaten zwischen Konzerngesellschaften und mit Dritten muss ein einheitlicher Lösungsansatz gefunden werden.
Bei internationalen Konzernen muss eine Strategie entwickelt werden, wie in Drittstaaten (außerhalb der EU und des EWR) ein angemessenes Datenschutzniveau sichergestellt wird (Standardvertragsklauseln, Binding Corporate Rules). Zudem muss die Einhaltung der lokalen Datenschutzbestimmungen sichergestellt werden. Diese weichen auch innerhalb der EU trotz Harmonisierung zum Teil erheblich ab, vor allem im Bereich der Meldepflicht und der Mitarbeiterdaten.
Bei der Verhandlung von datenschutzrelevanten Betriebsvereinbarungen mit Betriebsräten bzw. dem Gesamtbetriebsrat/Konzernbetriebsrat wird von Seiten des Unternehmens ein zentraler Ansprechpartner benötigt.
Schulungen, Datenschutzkontrollen und Audits sind mit anderen internen Stellen (z. B. Revision, Rechtsabteilung, Personalabteilung) abzustimmen und konzernweit anzugleichen.

Soweit der Konzerndatenschutzbeauftragte als Datenschutzbeauftragter nach § 4f BDSG bestellt ist, hat er zum einen die oben genannten originären Aufgaben zu erfüllen, die ihm das Gesetz zuweist. Als konzernweit Verantwortlicher für den Datenschutz treten besondere Aufgaben hinzu, wodurch sich das Aufgabenbild ändert: Der Konzerndatenschutzbeauftragte ist vor allem planend, koordinierend und beratend tätig. Er erarbeitet Datenschutzziele, stimmt diese mit der Konzernleitung ab und entwirft eine Strategie sowie konkrete Maßnahmen zu deren Umsetzung.

Viele Aufgaben, zum Beispiel die Datenschutz-Kontrolle oder die Schulung von Mitarbeitern, sind nur durch Hilfspersonal oder in Zusammenarbeit mit anderen Abteilungen (IT, Personalabteilung, Revision oder Rechtsabteilung) umzusetzen. Das setzt voraus, dass eine konzerninterne Datenschutz-Organisation aufgebaut wird. Hierzu gehören dedizierte Ansprechpartner in den einzelnen Unternehmensbereichen und Fachabteilungen.

2. Organisationsformen (Einheitsmodell und Koordinationsmodell)

Grundsätzlich lassen sich zwei Formen der Datenschutzorganisation im Konzern unterscheiden: das Einheitsmodell und das Koordinationsmodell.

Beim Einheitsmodell wird eine Person als Datenschutzbeauftragter bei der Konzernmutter und allen anderen Konzerngesellschaften bestellt. Der Konzerndatenschutzbeauftragte ist hier in Personalunion Datenschutzbeauftragter jeder Konzerngesellschaft; die gesetzlichen Aufgaben des Datenschutzbeauftragten werden bei ihm gebündelt. Aus meiner anwaltlichen Beratung und verschiedenen Gesprächen mit Datenschutzverantwortlichen in Konzernen habe ich den Eindruck gewonnen, dass sich viele große Konzerne für diesen Ansatz entschieden haben. Der Datenschutzbeauftragte ist häufig bei der Muttergesellschaft angestellt und handelt für diese als interner, für alle anderen Konzerngesellschaften entsprechend als externer Datenschutzbeauftragter.

Alternativ kann die konzernweite Datenschutz-Compliance auch von einer Person koordinierend übernommen werden (Koordinationsmodell). Diese ist entweder gar nicht oder nur bei der Muttergesellschaft als Datenschutzbeauftragter bestellt. Ihre Aufgabe ist es, die unterschiedlichen, für jedes Unternehmen bestellten Datenschutzbeauftragten zu koordinieren und zu beraten.

2.1 Vor- und Nachteile der beiden Modelle

Mit dem Einheitsmodell lässt sich der Datenschutz konzernweit am besten harmonisieren, da keine Abstimmung zwischen verschiedenen Beauftragten nötig ist. Beim Koordinationsmodell müssen dagegen alle Datenschutzbeauftragten unter einen Hut gebracht werden; bei Meinungsverschiedenheiten droht eine Zersplitterung des Datenschutzkonzeptes, weil kraft Gesetzes keine Weisungsmöglichkeit besteht.

Beispiel: Ein Konzern plant die Einführung eines Hinweisgeber-Systems (Whistleblowing-Hotline), bei dem Mitarbeiter Verdachtsfälle von Straftaten gegen das Unternehmen durch andere Angestellte melden können. Bei diesen Whistleblowing-Systemen sind personenbezogene Daten sowohl des Hinweisgebers als auch des Beschuldigten betroffen und deren Interessen gegen die des Unternehmens abzuwägen. Die Datenschutzbeauftragten aller involvierten Konzernunternehmen haben das Hinweisgebersystem in Bezug auf die Datenschutzkonformität im Rahmen einer sogenannten Vorabprüfung (§ 4d Abs. 5 BDSG) zu bewerten. Kommen sie zu unterschiedlichen Ergebnissen, kann das System unter Umständen nicht konzernweit einheitlich eingeführt werden, oder es kommt zu Verzögerungen, weil Bedenken einzelner Konzerngesellschaften ausgeräumt werden müssen.

Der Konzerndatenschutzbeauftragte kommt beim Einheitsmodell mit nahezu allen Datenschutzfragestellungen in den verschiedenen Unternehmensteilen in Berührung und kann so spezifisches Fachwissen aufbauen und Synergieeffekte nutzen. Das Einheitsmodell erlaubt so oft eine kosteneffiziente und schlanke Organisation des Datenschutzes; so genügt es zum Beispiel, wenn nur der Konzerndatenschutzbeauftragte zu externen Datenschutzschulungen geschickt wird, statt einer ganzen Gruppe von Personen. Die Bestellung als Datenschutzbeauftragter verleiht zudem intern im Unternehmen und extern gegenüber Behörden und Betroffenen eine starke Stellung.

Mit dem Einheitsmodell wird außerdem auf einen Schlag das formale Kriterium der Bestellung eines Datenschutzbeauftragten erfüllt; die oft als mühsam und schwierig empfundene Suche nach einer geeigneten (und willigen) Person für die Position des Datenschutzbeauftragten im Unternehmen entfällt.

Allerdings kann das Einheitsmodell auch leicht zu einer Arbeitsüberlastung des Konzerndatenschutzbeauftragten führen, da er alle gesetzlichen Aufgaben des Datenschutzbeauftragten, von der Führung des Verfahrensverzeichnisses bis hin zur Schulung der Mitarbeiter, in allen Unternehmen zu erledigen hat. Dadurch droht der Blick für das "große Ganze" verloren zu gehen, weil wegen vieler kleiner Baustellen die Zeit fehlt, eine einheitliche Strategie und konzernweite Lösungsansätze zu entwickeln.

Hinzu kommt, dass der Konzerndatenschutzbeauftragte bei der Einheitslösung als externer Datenschutzbeauftragter einen schlechteren Einblick in die Gegebenheiten der einzelnen Tochterunternehmen hat, weil er nicht so gut in die betriebliche Organisation eingebunden ist wie ein Mitarbeiter vor Ort. Datenschutz im Konzern ist in erheblichem Maße eine Frage der Kommunikation: von der Informationsbeschaffung über datenschutzrelevante Vorgänge bis zur Schulung und Kontrolle. All diese Aufgaben sind umso schwieriger, je größer der Konzern und je weiter weg der Konzerndatenschutzbeauftragte ist.

Um diesen Risiken vorzubeugen, muss dem Konzerndatenschutzbeauftragten bei der Einheitslösung Hilfspersonal zugeteilt werden. Hierbei handelt es sich nach meinen Erfahrungen oft um ein bei der Konzernmutter gebildetes Team, das den Konzerndatenschutzbeauftragten unterstützt. Alternativ oder – in der Praxis häufiger – ergänzend können Kontaktpersonen bei den jeweiligen Tochterunternehmen zugeteilt werden. Da diese bei der Einheitslösung nicht als Datenschutzbeauftragte bestellt sind, können sie den Weisungen des Konzerndatenschutzbeauftragten unterstellt werden. Der Aufbau dieser Organisation von Hilfspersonal ist einer der ersten Schritte beim Aufbau einer Konzern-Datenschutz-Compliance.

Schließlich ist noch zu berücksichtigen, dass es beim Einheitsmodell zu Interessenkonflikten beim Konzerndatenschutzbeauftragten kommen kann, wenn die einzelnen Gesellschaften unterschiedliche Interessen verfolgen, etwa beim konzerninternen Datentransfer. Während die Muttergesellschaft in der Regel an einem umfassenden und ungehinderten Datenaustausch interessiert ist, können Tochtergesellschaften gegenläufige Interessen haben.

2.2 Vergleich: Vor- und Nachteile der beiden Modelle

Einheitsmodell – Eine Person wird als Datenschutzbeauftragter für alle Konzernunternehmen bestellt.

(+) Leichte Vereinheitlichung des Datenschutzes im Konzern möglich
(+) Aufbau von Fachwissen, Nutzung von Synergieeffekten, schlanke Organisation, niedrigere Kosten
(+) Starke interne und externe Stellung
(+) Keine Suche nach Datenschutzbeauftragten für alle Unternehmen
(–) Drohende Arbeitsüberlastung des Konzerndatenschutzbeauftragten
(–) Fehlender Einblick in die individuellen Gegebenheiten des jeweiligen Unternehmens; schlechtere Einbindung in die Organisation
(–) Mögliche Interessenkollision

Koordinationsmodell – Der Konzerndatenschutzbeauftragte wird nur bei der Muttergesellschaft bestellt und koordiniert und berät die verschiedenen Datenschutzbeauftragten der Tochtergesellschaften.

(–) Abstimmung unter den Datenschutzbeauftragten nötig, kein Weisungsrecht bei Meinungsverschiedenheiten, drohende "Zersplitterung" des Datenschutzkonzeptes
(–) Aufwändiges Suchen von geeigneten und willigen Personen für die Position des Datenschutzbeauftragten
(+) Gute Einbindung in die Organisation vor Ort, leichtere Informationsbeschaffung, Schulung und Kontrolle
(+) Keine Interessenkonflikte

2.3 Zu berücksichtigende Kriterien

Welches Modell das bessere ist, lässt sich pauschal nicht sagen. In der Praxis findet sich in Konzernen wohl häufiger die Einheitslösung, weil sie bei der Vereinheitlichung und Standardisierung im Vorteil liegt.

Letztlich muss aber immer auf die konkreten Umstände abgestellt werden:

Hat ein Konzern Unternehmensbereiche, die zu sehr unterschiedlichen Branchen gehören, kann es sinnvoll sein, im Rahmen eines Koordinationsmodells für die einzelnen Bereiche Datenschutzbeauftragte zu bestellen. Diese kennen sich mit den jeweiligen branchenspezifischen Besonderheiten gut aus. Eine Vereinheitlichung übergreifender Datenschutz-Aspekte lässt sich durch eine Koordinierung erreichen.

Das Gleiche gilt, wenn die Standorte der einzelnen Unternehmen weit auseinander liegen und sich die Unternehmenskultur und -organisation in den verschiedenen Konzernteilen stark unterscheiden. Solche Fälle finden sich insbesondere nach größeren Zukäufen oder Verschmelzungen von Unternehmensteilen (Mergers & Acquisitions).

Ist bereits ein eingespieltes Team von Datenschutzbeauftragten etabliert, kann ein Koordinierungsmodell ebenfalls eine gute Lösung sein, um Datenschutzstandards zu vereinheitlichen und konzernweite Datenschutzfragen anzugehen. Steht ein Konzern am Anfang seiner Compliance-Bemühungen im Datenschutz, kann zunächst auf das Koordinationsmodell gesetzt werden, um einen Überblick zu gewinnen. Anschließend können dann immer noch schrittweise die verschiedenen Datenschutzbeauftragten durch einen Konzerndatenschutzbeauftragten abgelöst werden.

2.4 Stellungnahmen von Aufsichtsbehörden

Auch Aufsichtsbehörden haben sich zur Organisation des Datenschutzes im Konzern geäußert, ohne dass sich daraus eine einheitliche Linie ableiten ließe.

Der Landesbeauftragte für den Datenschutz Rheinland-Pfalz hat sich in einer Orientierungshilfe für betriebliche Datenschutzbeauftragte mit dem Einheitsmodell befasst und darauf hingewiesen, dass die Bestellung eines Konzerndatenschutzbeauftragten nichts daran ändert, dass die datenschutzrechtliche Verantwortung bei der jeweiligen Gesellschaft verbleibt.

Die Regierung von Mittelfranken als bayerische Datenschutzaufsichtsbehörde für den nicht-öffentlichen Bereich äußert sich in ihrem Ersten Tätigkeitsbericht aus dem Jahr 2002/2003 differenziert zum Einheitsmodell und betont, dass in größeren Konzernen häufig ein Konzerndatenschutzbeauftragter bestellt wird, der zugleich Datenschutzbeauftragter mehrerer Konzerngesellschaften ist.

Die Hessische Datenschutzbehörde hat in ihrem Tätigkeitsbericht für 1999 eine ähnliche Empfehlung ausgesprochen: Bei Konzernunternehmen mit sehr unterschiedlichen Geschäftsfeldern, die nicht eng miteinander verzahnt sind, kann eine dezentrale Bestellung eigener Datenschutzbeauftragter je Gesellschaft sinnvoll sein.

3. Zusammenfassung und Ausblick

Der Aufbau einer konzernweiten Datenschutz-Compliance-Organisation ist eine große Herausforderung. Trotz der gesetzlich ausformulierten Position des Datenschutzbeauftragten ergeben sich für Konzerne unterschiedliche Lösungsansätze mit individuellen Vor- und Nachteilen. Der Aufgabenkreis – und entsprechend das Anforderungsprofil – des obersten Datenschützers im Konzern ist mehr als der im Gesetz beschriebene betriebliche Datenschutzbeauftragte: Der Konzerndatenschutzbeauftragte ist in erster Linie ein Datenschutz-Manager.

Der Aufbau einer Datenschutz-Organisation stellt nicht nur eine Chance auf Vereinheitlichung und Verbesserung des Datenschutzniveaus dar, sondern bietet auch Einsparpotenzial durch Synergieeffekte.

Das Thema Datenschutz dürfte in Zukunft an Bedeutung gewinnen. Das zeigen die vielen gesetzlichen Neuregelungen des Jahres 2009 und die Bemühungen zur Kodifizierung des Beschäftigtendatenschutzes. Hinzu kommt, dass Deutschland nach einem Urteil des Europäischen Gerichtshofs (EuGH) die Stellung seiner Datenschutzaufsichtsbehörden neu regeln musste, um ihre durch die EU-Datenschutzrichtlinie 95/46/EG garantierte Unabhängigkeit sicherzustellen. Mit der neuen Unabhängigkeit könnte auch eine neue Vollzugspraxis einkehren. Auch haben die Novellen aus dem Jahr 2009 den Aufsichtsbehörden ein deutlich schärferes Instrumentarium an die Hand gegeben, einschließlich der Möglichkeit, Gewinne aus Datenschutzverstößen abzuschöpfen. Damit sind die rechtlichen Rahmenbedingungen für ein strengeres Durchgreifen der Aufsichtsbehörden geschaffen, so wie es in anderen EU-Ländern (Frankreich, Spanien) schon länger zu beobachten ist.

Nächsten Beitrag lesen: Internationale Datentransfers – Feststellung und Analyse