Konzerninterne Übermittlungen (Data Transfer Agreement)

In einer Unternehmensgruppe fließen ständig personenbezogene Daten zwischen den Gesellschaften: über Matrixstrukturen, Shared Services, zentrale IT-Systeme und konzernweite Funktionen. Jeder dieser Datenflüsse braucht je nach Rollenverteilung einen eigenen Vertrag, und ein Teil davon geht in unsichere Drittländer. Statt für jede Konstellation einen Einzelvertrag zu schließen, lässt sich dies mit einem einzigen Rahmenvertrag bündeln, dem Intra-Group Data Transfer Agreement.

1. Ausgangslage und Ziel

Ein Konzern besteht datenschutzrechtlich aus vielen selbständig Verantwortlichen. Zwischen ihnen bestehen zahlreiche, sich ändernde Übermittlungssachverhalte (neue Tools, Umstrukturierungen, Käufe und Verkäufe von Beteiligungen), für die je nach Rollenverteilung unterschiedliche Verträge erforderlich sind. Ziel des Rahmenvertrags ist es, die nach der DSGVO vorgeschriebenen Verträge für konzerninterne Übermittlungen einheitlich, flexibel und leicht anpassbar umzusetzen:

• Auftragsverarbeitungsverträge nach Art. 28 DSGVO,
• Standardvertragsklauseln für Übermittlungen in unsichere Drittländer nach Art. 44 ff. DSGVO,
• Vereinbarungen zwischen gemeinsam Verantwortlichen nach Art. 26 DSGVO,
• optional eine Vereinbarung zwischen getrennten Verantwortlichen innerhalb der EU, um eine Rechtsgrundlage für die Übermittlung (etwa das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO) abzusichern.

2. Vertragskonstrukt im Überblick

Der Rahmenvertrag besteht aus einem allgemeinen Teil, mehreren Anhängen mit Musterklauseln, einer Verteilerklausel und dem Data Transfer Directory.

Die Anhänge enthalten je einen Satz fertiger Klauseln. Die Verteilerklausel verweist abhängig von der Konstellation auf den passenden Anhang. Das Data Transfer Directory liefert die transferbezogenen Angaben, die sonst in den Anhängen der einzelnen Verträge auszufüllen wären.

3. Die Verteilerklausel

Die Verteilerklausel ordnet jeder Übermittlungskonstellation das anzuwendende Instrument zu. Maßgeblich sind die Rolle (Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche) und das Sitzland (EU/EWR oder Drittland) von Datenexporteur und Datenempfänger.

Die Zuordnung der Module entspricht der allgemeinen Modulstruktur der Standardvertragsklauseln.

4. Das Data Transfer Directory

Das Data Transfer Directory ist ein laufend gepflegtes Verzeichnis aller konzerninternen Übermittlungssachverhalte. Es enthält die Angaben, die sonst sachverhaltsbezogen in den Anhängen zu Auftragsverarbeitungsvertrag, Standardvertragsklauseln oder Vereinbarung gemeinsam Verantwortlicher anzugeben wären, und füllt diese Anhänge zugleich aus.

4.1 Pflichtangaben je Transfer

Je Übermittlungssachverhalt (etwa ein Prozess oder ein Tool) sind insbesondere zu erfassen:

• welche Gesellschaft die Daten übermittelt und welche sie erhält,
• die Rolle der übermittelnden und der empfangenden Gesellschaft (Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche),
• die Kategorien betroffener Personen und übermittelter Daten, einschließlich besonderer Datenkategorien,
• Art und Zwecke der Verarbeitung,
• Häufigkeit (einmalig oder laufend) und Speicherdauer oder deren Kriterien,
• eingesetzte Unterauftragsverarbeiter sowie die technischen und organisatorischen Maßnahmen.

4.2 Form und Pflege

Das Directory kann elektronisch geführt werden, etwa in einem Datenschutzmanagement-Tool, und gegebenenfalls Teil des Verzeichnisses von Verarbeitungstätigkeiten sein. Die Pflege übernimmt zentral die Muttergesellschaft; die beteiligten Gesellschaften haben Einsicht. Typische Sachverhalte sind Matrixorganisation, HR- und CRM-Software, Intranet und Mitarbeiterverzeichnis, zentrale Kommunikations- und Projektwerkzeuge sowie Shared Services.

5. Drittlandsübermittlungen im Rahmenvertrag

Für Übermittlungen an einen Empfänger außerhalb von EU/EWR bindet der Rahmenvertrag die Standardvertragsklauseln ein. Praktisch geschieht dies über folgende Festlegungen:

• Einbindung durch Bezugnahme. Die Standardvertragsklauseln werden durch Verweis in den Rahmenvertrag einbezogen und mit dessen Inkrafttreten als zwischen den betroffenen Parteien geschlossen behandelt, ohne den Text vollständig wiederzugeben.
• Anhänge aus den Schedules. Die Parteiliste und die Beschreibung der Übermittlung aus dem Directory dienen als die entsprechenden Anhänge der Klauseln; die Sicherheitsmaßnahmen bilden den Maßnahmen-Anhang.
• Optionale Klauseln. Üblich ist die Wahl der Docking-Klausel (Beitritt weiterer Parteien) sowie für die Module 2 und 3 die allgemeine schriftliche Genehmigung von Unterauftragsverarbeitern mit einer Vorabinformationsfrist (etwa 30 Tage).
• Aufsichtsbehörde, Rechtswahl und Gerichtsstand werden einheitlich festgelegt.
• Fortbestehensklausel. Werden die Standardvertragsklauseln geändert, ersetzt oder für unwirksam erklärt, verpflichten sich die Parteien, in gutem Glauben auf eine aktualisierte Fassung oder ein anderes geeignetes Übermittlungsinstrument umzustellen.
• Länderspezifische Anpassungen. Für Empfänger, die zusätzlichem nationalem Recht unterliegen (etwa das britische Recht), kommt ein ergänzendes Addendum hinzu.

6. Mechanik des Rahmenvertrags

Damit der Rahmenvertrag mit der Gruppe mitwächst, enthält er einige Verfahrensregeln:

• Beitritt und Austritt. Neue Gesellschaften treten über eine Beitrittserklärung bei; austretende Gesellschaften scheiden aus, bleiben aber für bis dahin entstandene Pflichten verantwortlich.
• Vereinfachte Anpassung. Die Muttergesellschaft kann den Vertrag unter engen Voraussetzungen einseitig anpassen (etwa bei neuen Standardvertragsklauseln), mit Vorabinformation und einem Widerspruchsrecht der betroffenen Gesellschaften innerhalb einer Frist (etwa sechs Wochen).
• Abschlussform. Der elektronische Vertragsschluss genügt; die Gesellschaften senden ein unterzeichnetes Exemplar an die Muttergesellschaft oder nutzen ein E-Signing-Verfahren.
• Laufzeit und Kündigung sowie Fallback-Regelungen für technische und organisatorische Maßnahmen und Löschfristen runden den Rahmen ab.

7. Grenzen des Rahmenvertrags

Der Rahmenvertrag stellt die vertraglichen Garantien bereit, ersetzt aber nicht die übrigen Pflichten. Außerhalb seines Anwendungsbereichs bleiben insbesondere:

• das Transfer Impact Assessment für jede Drittlandsübermittlung, das gesondert durchzuführen ist,
• die materielle Rechtmäßigkeitsprüfung jeder Übermittlung (Rechtsgrundlage nach Art. 6 DSGVO, Zweckbindung, Speicherfristen, Transparenz, Betriebsvereinbarungen),
• die Berücksichtigung lokaler Datenschutzgesetze außerhalb des eigenen Sitzstaats.