Binding Corporate Rules
Grenzüberschreitender Datenverkehr im Blick

Hans Gliss,
Herausgeber
DATENSCHUTZ-BERATER

Um den Transfer personenbezogener Daten in Drittländer zu rechtfertigen, braucht es anerkannte rechtliche Grundlagen. „Safe Harbor“ gilt nur für den Datenfluss mit den USA. BCR sind eine brauchbare Alternative.

Mit dem grenzüberschreitenden Datenverkehr – außerhalb des Binnenmarkts des Europäischen Wirtschaftsraums – müssen sich Datenschutzbeauftragte immer häufiger befassen. Die internationale Vernetzung von Unternehmen spielt dabei eine ebenso wichtige Rolle wie die Nutzung von Cloud-Lösungen. Dr. Alexander Dix hat sich im DATENSCHUTZ-BERATER 3/15 (Seiten 62 f.) zu „Safe Harbor“ kritisch zu Wort gemeldet. Die Beschränkung auf den Rechtsraum der USA lässt dieses Instrument ohnehin bei weltweiter Vernetzung als unnütz wirken. Es bleiben also nur zwei Hilfsmittel übrig: (1) Bilaterale Verträge mit den Standardvertragsklauseln der EU, (2) Binding Corporate Rules – BCR.

Während die Standardvertragsklauseln von der EU-Seite leicht herunter zu laden sind, gibt es in international agierenden Konzernen verschiedene Texte zu BCR; diese müssen erst einmal erarbeitet und bei allen Partnern durchgesetzt werden. Ist dies geschehen, sind keine Verträge mehr nötig, bei denen man des EU-Rechts Unkundigen die Standardvertragsklauseln vermitteln muss. Was müssen BCR mindestens enthalten? Allgemeine Verbindlichkeit, Bekanntmachung und Auditierung. Sodann die Umsetzung der Anforderungen der EU-Datenschutzrichtlinien 95/46/EC und 2002/58/EC. Hinzu kommen Informationspflichten nach außen – am besten durch Veröffentlichung auf allen Websites des Konzerns. Die Benennung eines „Data Privacy Officers“, in unserem Sprachgebrauch eines Datenschutzbeauftragten, gehört auch dazu, damit ein Ansprechpartner bekannt ist.

Die praktische Herangehensweise wird in den nächsten Ausgaben des DATENSCHUTZ-BERATER thematisiert.

Ihr

Hans Gliss