Startseite
Podcasts
Der Datenschutz Talk Podcast
Binding Corporate Rules verständlich erklärt – Dr. Jörg Friedrichs im Datenschutz Talk

Binding Corporate Rules verständlich erklärt – Dr. Jörg Friedrichs im Datenschutz Talk

Der Datenschutz Talk vor 1 Monat

Binding Corporate Rules statt Standardvertragsklauseln? Dr. Jörg Friedrichs von der Telekom erklärt, wann BCR für internationale Konzerne sinnvoll sind, wie die Genehmigung abläuft und warum TIA, Audits und laufende Pflege trotzdem bleiben.

0:00

42:57

Podcast

Der Datenschutz Talk

407 Episoden

Ihr Podcast rund um die Themen Datenschutz und Informationssicherheit

Wissen Nachrichten

Podcaster

migosens

In dieser Themenfolge spricht Heiko Gossen mit Dr. Jörg Friedrichs
über Binding Corporate Rules, kurz BCR, und ihre Bedeutung für
internationale Datentransfers innerhalb von Unternehmensgruppen.
Binding Corporate Rules werden in Artikel 47 DSGVO als
„verbindliche interne Datenschutzvorschriften“ bezeichnet. Sie
können multinationalen Konzernen als dauerhaftes Instrument dienen,
um personenbezogene Daten zwischen europäischen Gesellschaften und
Konzerngesellschaften in Drittländern zu übermitteln. Im
Mittelpunkt stehen die Fragen: Was genau sind Binding Corporate
Rules und welche Funktion erfüllen sie bei internationalen
Datentransfers? Wann lohnt sich der erhebliche Aufwand für die
Einführung und Genehmigung von BCR? Welche Unterschiede bestehen
zwischen BCR für Verantwortliche und BCR für Auftragsverarbeiter?
Können Binding Corporate Rules die Standardvertragsklauseln
ersetzen? Warum bleiben Transfer Impact Assessments, Verträge zur
Auftragsverarbeitung und zusätzliche Schutzmaßnahmen weiterhin
erforderlich? Wie lassen sich Binding Corporate Rules zugleich als
konzernweite Datenschutzrichtlinie und Compliance-Instrument
einsetzen? Dr. Jörg Friedrichs ist Senior Legal Counsel im
Konzerndatenschutz der Deutschen Telekom und beschäftigt sich dort
unter anderem mit den Binding Corporate Rules Privacy des Konzerns.
Im Gespräch erläutert er, wie die Deutsche Telekom ihre BCR nutzt,
um ein weltweit einheitliches Datenschutzverständnis, gemeinsame
Prozesse und eine internationale Datenschutzorganisation zu
etablieren. Die Folge macht deutlich: Binding Corporate Rules sind
kein Freibrief für Datenübermittlungen in Drittländer. Sie ersetzen
weder die Prüfung der Rechtmäßigkeit einer Verarbeitung noch die
Bewertung der Rechtslage im Empfängerland. Auch ein Transfer Impact
Assessment kann weiterhin notwendig sein. BCR schaffen vielmehr
eine dauerhaft implementierte und von den
Datenschutzaufsichtsbehörden genehmigte Struktur für konzerninterne
Datentransfers. Besonders interessant kann dieses Instrument für
Unternehmensgruppen sein, die regelmäßig aus mehreren europäischen
Ländern in mehrere Drittländer übermitteln und bereits über eine
reife Datenschutzorganisation verfügen. Neben den Vorteilen
behandelt das Gespräch auch die erheblichen Anforderungen: Das
Genehmigungsverfahren muss vorbereitet und mit der zuständigen
federführenden Aufsichtsbehörde durchlaufen werden. Die Regeln
müssen innerhalb des Konzerns verbindlich sein, Beschäftigte sind
zu schulen und die Umsetzung ist regelmäßig zu kontrollieren. Hinzu
kommen laufende Melde-, Dokumentations- und
Aktualisierungspflichten. Themen im Überblick Grundlagen der
Binding Corporate Rules nach Artikel 47 DSGVO BCR als Instrument
für konzerninterne Drittlandtransfers Abgrenzung zu
Angemessenheitsbeschlüssen und Standardvertragsklauseln Binding
Corporate Rules als weltweite Konzerndatenschutzrichtlinie BCR für
Verantwortliche und BCR für Auftragsverarbeiter Transfer Impact
Assessment und zusätzliche Schutzmaßnahmen Voraussetzungen und
Ablauf des Genehmigungsverfahrens Auswahl der federführenden
Datenschutzaufsichtsbehörde Internationale Implementierung,
Schulungen und Datenschutzorganisation Grenzen bei Übermittlungen
an Unternehmen außerhalb der Gruppe BCR als Vertrauenssignal
gegenüber Kunden, Investoren und Geschäftspartnern Jährliche
Meldungen, Audits und laufende Pflege der Regeln Linkliste zu den
erwähnten Quellen und weiterführenden Informationen EDPB
Recommendations 1/2022 zum Antrag auf Genehmigung und zu den
Bestandteilen von BCR-C (BCR für Controller)
https://www.edpb.europa.eu/documents/recommendation/recommendations-12022-on-the-application-for-approval-and-on-the-elements_en
EDPB Recommendations 1/2026 zum Antrag auf Genehmigung und zu den
Bestandteilen von BCR-P (BCR für Processor) – nicht final
https://www.edpb.europa.eu/public-consultations/recommendations-12026-on-the-application-for-approval-and-on-the-elements-and_en
EDPB zum Kooperationsverfahren der Datenschutzaufsichtsbehörden bei
der Genehmigung von BCR
https://www.edpb.europa.eu/documents/procedure/edpb-document-setting-forth-a-co-operation-procedure-for-the-approval-of_en
CNIL allgemein zu BCR
https://www.cnil.fr/en/binding-corporate-rules-bcrs CNIL:
Grundlagen und Voraussetzungen von Binding Corporate Rules
https://www.cnil.fr/en/what-you-need-know-binding-corporate-rules-bcrs
CNIL Self-Assessment Tool zur Einführung von BCR
https://www.cnil.fr/en/binding-corporate-rules-bcr-cnil-publishes-self-assessment-tool
CNIL: Einreichung und Genehmigungsverfahren
https://www.cnil.fr/en/when-and-how-submit-your-bcrs-project-data-protection-authorities
EDSA-Register genehmigter Binding Corporate Rules
https://www.edpb.europa.eu/registers/register-of-consistency-and-of-accountability-tools/binding-corporate-rules_en
Binding Corporate Rules Privacy der Deutschen Telekom
https://www.telekom.com/resource/blob/1062630/7fa3e031c54a1bf06995f687d99a8552/dl-binding-corporate-rules-privacy-3-0-data.pdf
Datenschutzorganisation der Deutschen Telekom
https://www.telekom.com/de/konzern/datenschutz-und-sicherheit/news/datenschutzorganisation-596254
Weitere Informationen, Blog und Newsletter:
https://migosens.de/newsroom/ X: https://x.com/DS_Talk Übersicht
aller Themenfolgen:
https://migosens.de/datenschutz-podcast-themenfolgen/ Eigener Feed
der Themenfolgen: https://migosens.de/show/tf/feed/ddt/ Instagram:
https://www.instagram.com/datenschutztalk_podcast/