(13.3.2013)
Die Regeln der Auftragsdatenverarbeitung gelten auch innerhalb von Konzernen und dabei zum Beispiel auch zwischen der Konzernmutter und ihren 100%-Töchtern. Ausschlaggebend ist allein, wer die “verantwortliche Stelle” ist (das ist gem. § 3 Abs. 7 BDSG die konkrete juristische Person).
Das BDSG kennt kein Konzernprivileg. Wenn Daten zwischen zwei verantwortlichen Stellen ausgetauscht werden, ist die Auftragsdatenverarbeitung zu prüfen. Die Eigentumsverhältnisse bleiben dabei außen vor.
Für verbundene Unternehmen gelten zwar handels- und wirtschaftsrechtliche Spezialvorschriften. Im Datenschutzrecht gibt es solche Spezialvorschriften aber nicht. Ob einzelne Unternehmen verbunden sind oder nicht, spielt daher im Datenschutzrecht keine Rolle.
Momentan gilt also:
Wenn im Einzelfall eine vertragliche Vereinbarung oder eine andere Rechtsgrundlage fehlt, ist die Erhebung, Verarbeitung oder Nutzung durch andere Konzernunternehmen datenschutzrechtlich unzulässig.