Die Giesecke+Devrient-Unternehmensgruppe hat für die gruppenangehörigen Unter-nehmen verbindliche interne Datenschutzvorschriften für Auftragsverarbeitung (Bin-ding Corporate Rules for Processors – BCR-Processor) festgelegt. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat diese Datenschutzvorschriften geprüft und festgestellt, dass sie den Anforderungen an ausreichende Datenschutzgarantien, insbesondere auch zur Übermittlung personenbezogener Daten in Nicht-EU-Länder, entsprechen. Der Präsident des BayLDA, Thomas Kranig, hat die Mitteilung über den Abschluss des Prüfungsverfahrens Giesecke+Devrient persönlich übergeben.
AUSREICHENDE GARANTIEN
Die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union (= Drittstaaten) darf nur erfolgen, wenn ausreichende Datenschutzgarantien zum Schutz der Daten erbracht werden. Dieses Erfordernis besteht auch, wenn Datenübermittlungen innerhalb eines Konzerns an konzernangehörige Unternehmen in einem Drittstaat erfolgen sollen. Die datenschutzrechtliche Zulässigkeit von Übermittlungen personenbezogener Daten in Drittstaaten kann zum Beispiel für die USA durch eine Zertifizierung nach dem Privacy Shield oder für die USA und sonstige Drittstaaten durch Verwendung von Standardverträgen, die von der Europäischen Kommission vorgegeben werden, erreicht werden, soweit auch die übrigen datenschutzrechtlichen Anforderungen an Datenübermittlungen erfüllt werden.
VERBINDLICHE INTERNE DATENSCHUTZVORSCHRIFTEN
zustellen und diese von den zuständigen Aufsichtsbehörden der EU-Mitgliedstaaten dahingehend prüfen zu lassen, ob sie ausreichende Datenschutzgarantien für die Übermittlung personenbezogener Daten in Drittstaaten beinhalten. Solche interne Datenschutzvorschriften haben im Wesentlichen zum Inhalt, dass die im europäischen Daten-schutzrecht geregelten Datenschutzgrundsätze wie z. B. Zweckbindung und Rechtmäßigkeit der Verarbeitung auch nach der Datenübermittlung in Drittländer gewahrt bleiben, sowie dass die betroffenen Personen ihre durch das europäische Datenschutzrecht gewährleisteten Rechte (z. B. auf Auskunft und Berichtigung ihrer Da-ten) auch weiterhin wahrnehmen können. Darüber hinaus müssen die Vorschriften Mechanismen zur Gewähr-leistung ihrer effektiven Befolgung vorsehen, darunter ein Netzwerk von Datenschutzbeauftragten, einen Auditierungsprozess sowie einen Mechanismus zur Bearbeitung von Beschwerden betroffener Personen.
Verbindliche interne Datenschutzvorschriften werden von den Datenschutzaufsichtsbehörden mehrerer EU-Mitgliedstaaten in einem koordinierten Verfahren gemeinsam überprüft. Hierbei agieren eine Aufsichtsbehörde als Federführung und zwei weitere als Co-Prüfer. Die Anerkennung der Datenschutzvorschriften als ausreichende Datenschutzgarantien für Datenübermittlungen in Drittstaaten wird von der federführenden Aufsichtsbehörde ausgesprochen, wenn nach Hinzuziehung von zwei weiteren Aufsichtsbehörden aus anderen Mitgliedstaaten der Europäischen Union festgestellt wurde, dass die verbindlichen internen Datenschutzvorschriften dem geltenden europäischen Datenschutzrecht entsprechen und sicherstellen, dass bei ihrer Einhaltung ausreichende Datenschutzgarantien auch bei der Übermittlung personenbezogener Daten in Drittstaaten gewährleistet sind.
VON DEN AUFSICHTSBEHÖRDEN ANERKANNT
Die Giesecke+Devrient-Unternehmensgruppe besitzt bereits von den Datenschutzaufsichtsbehörden anerkannte verbindliche interne Datenschutzvorschriften für die konzerninterne Übermittlung personenbezogener Daten durch Konzernunternehmen, die bei der Übermittlung als für die Verarbeitung Verantwortliche handeln (BCR-Controller). Giesecke+Devrient hat darüber hinaus beim BayLDA einen entsprechenden Antrag im Hinblick auf ihre verbindlichen internen Datenschutzvorschriften für gruppenangehörige Unternehmen in ihrer Eigenschaft als Auftragsdatenverarbeiter gestellt. Die italienische und die französische Aufsichtsbehörde wurden vom BayLDA als Co-Prüfer zu diesem Verfahren beigezogen. Giesecke+Devrient hat die im Rahmen der Prüfung von den Aufsichtsbehörden gegebenen inhaltlichen Hinweise umgesetzt, so dass nach entsprechender Umsetzung das BayLDA und die als Co-Prüfer hinzugezogenen Aufsichtsbehörden der Auffassung sind, dass diese verbindlichen internen Datenschutzvorschriften ausreichende Garantien für die Übermittlung personenbezogener Daten in Drittstaaten darstellen.
LOB VOM PRÄSIDENTEN DS BAYLDA
Bei der persönlichen Übergabe der Mitteilung des Verfahrensabschlusses am 2. Februar 2018 hat der Präsident des BayLDA, Thomas Kranig, gegenüber Herrn Dr. Peter Zattler, Mitglied der Geschäftsführung von Giesecke+Devrient seine Anerkennung für die erhebliche Arbeit, die mit diesem Verfahren verbunden ist, wie folgt zum Ausdruck gebracht: „Es ist mir bewusst, dass die Erstellung von BCR für Unternehmen, aber auch für uns als Aufsichtsbehörde, mit einem erheblichen Aufwand verbunden ist. Diese BCR bringen aber auch zum Ausdruck, dass der Geschäftsführung des Unternehmens der Datenschutz im Konzern, das heißt in der Zentrale und allen konzernangehörigen Unternehmen, ein wirkliches Anliegen ist. Durch diese BCR haben Sie nicht nur die rechtlichen Voraussetzungen geschaffen, personenbezogene Daten innerhalb des Konzerns übermitteln zu können, sondern sich ein hervorragendes Gerüst für ein Datenschutzmanagement im Unternehmen gegeben, um damit die Einhal-tung der Vorschriften des europäischen Datenschutzrechts sicherzustellen.“
BAYLDA FEDERFÜHREND
In Deutschland haben inzwischen zehn Unternehmensgruppen BCR erstellt, die von den Datenschutzaufsichtsbehörden geprüft und als ausreichende Datenschutzgarantien anerkannt wurden. Das BayLDA hat in Deutschland mit Siemens, BMW, OSRAM, Ledvance sowie Giesecke+Devrient (Controller-BCR und Processor-BCR) bisher die meisten Verfahren federführend geprüft und abgeschlossen. Unternehmen, die über genehmigte BCR verfügen, werden auf einer Webseite der Europäischen Kommission (https://ec.europa.eu/info/strategy/justice-and-fundamental-rights/data-protection/data-transfers-outside-eu/binding-corporate-rules_en) veröffentlicht.
DATENSCHUTZ IST CHEFSACHE
Thomas Kranig: „Selbst wenn ich heute noch keine verbindliche Aussage darüber treffen kann, wie wir in Zukunft den mit den Verfahren zur Prüfung von BCR verbundenen Arbeitsaufwand bewältigen können, wenn noch mehr Unternehmen ihre BCR zur Anerkennung vorlegen, womit im Zuge des Ausscheidens des Vereinigten Königreichs durch den Brexit zu rechnen ist, halte ich diese Arbeit der Unternehmen für ausgesprochen positiv. Die Unternehmen geben sich selbst interne Richtlinien für den Umgang mit personenbezogenen Daten und stellen sicher, dass der Datenschutz bei der Kommunikation unter den konzernangehörigen Unternehmen gewährleistet wird. Ein besseres Signal für den von mir immer wieder propagierten Grundsatz „Datenschutz ist Chefsache“ als durch die Verabschiedung von BCR kann es in einem Unternehmen kaum geben.“