Große internationale Konzerne mit vielen oft weltweit verbundenen Unternehmen verarbeiten personenbezogene Daten massenweise arbeitsteilig. Das heißt, dass Mitarbeiter mehrerer Konzernunternehmen Datenverarbeitungsaufgaben gemeinsam wahrnehmen, z.B. in den Bereichen IT, HR, Finance, Einkauf und anderen zentralen Funktionen. Die Arbeitsteilung bei der Datenverarbeitung (DV) im Konzern kann verschiedene Formen annehmen. Für all diese Formen ist ein flexibler vertraglicher Rahmen innerhalb des Konzerns nötig, der den Vorgaben der DSGVO Rechnung trägt. Der Beitrag zeigt einige Aspekte auf, die es bei diesem vertraglichen Rahmen in Form eines Group Data Protection Agreements zu bedenken gilt.

1. Formen der Zusammenarbeit bei der konzerninternen DV

a) Zentrale Servicegesellschaft im Konzern

b) DV durch Mitarbeiterpool in Matrixorganisationen

c) Gemeinschaftliche DV

2. Group Data Protection Agreement als Vertragsrahmen für arbeitsteilige DV

a) Konzernweiter Rahmenvertrag für DV

b) Auftragsverarbeitungs-Konstellationen

c) Konstellationen gemeinsamer Verantwortlichkeit

3. Einzelne Datenverarbeitungsprozesse im Rahmen des GDPA
 

1. Formen der Zusammenarbeit bei der konzerninternen DV

a) Zentrale Servicegesellschaft im Konzern

Es ist denkbar, zentrale Funktionen in einem Konzern einheitlich durch einen zentralen internen Dienstleister (Shared Servicegesellschaft) erbringen zu lassen. In dieser Gesellschaft sind DV-Mitarbeiter beschäftigt, die für andere Konzernunternehmen datenverarbeitende Dienstleistungen erbringen und intern verrechnen. Das funktioniert umso besser und schneller, je genauer die Dienstleistungen der Servicegesellschaft definiert und standardisiert sind.

Beispiel

Eine zentrale IT-Servicegesellschaft ist verantwortlich für die internen IT-Systeme aller Konzernunternehmen und betreibt einen IT-Servicedesk, an den sich alle Konzernmitarbeiter mit ihren IT-bezogenen Fragen wenden. In den Tickets im Servicedesk werden personenbezogene Mitarbeiterdaten erfasst und gespeichert.

Personenbezogene Daten der Konzernmitarbeiter verarbeitet die Servicegesellschaft hier nicht (...)