Genehmigung verbindlicher interner Richtlinien (BCR)

Der Art. 46 Abs. 2 Buchst. b DSGVO sieht ausdrücklich verbindliche interne Datenvorschriften (Binding Corporate Rules = BCR) als Möglichkeit zur Erbringung „geeigneter Garantien für Datenübermittlungen in Drittländer“ vor, von denen nicht anerkannt wurde, dass sie ein angemessenes Schutzniveau gemäß Art. 45 DSGVO bieten.

BCR können v. a. bei international tätigen Konzernen mit internem Datenfluss (auch) in Drittländer empfehlenswert sein. Dabei legt die Unternehmensgruppe oder eine Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, Regelungen für den Umgang mit personenbezogenen Daten auch in Drittländern fest. Die BCR müssen einen Schutz bieten, der im Wesentlichen der DSGVO entspricht.

Ob dies der Fall ist, entscheidet die federführende Aufsichtsbehörde, die diese verbindlichen internen Richtlinien genehmigen muss. In diesem Zusammenhang ist es wichtig, den Unterschied hervorzuheben zwischen der federführenden Aufsichtsbehörde – die für die Erteilung der Genehmigung der BCR zuständig ist – und der Aufsichtsbehörde, die für den Verantwortlichen zuständig ist, in dessen Auftrag eine bestimmte, unter die BCR fallende Übermittlung durchgeführt wird, sowie ggf. der Aufsichtsbehörde, die für den spezifischen Auftragsverarbeiter zuständig ist, der als Exporteur eine bestimmte Übermittlung (im Auftrag des Verantwortlichen) im Rahmen dieser BCR durchführt.

Ob dies der Fall ist, entscheidet die federführende Aufsichtsbehörde, die diese verbindlichen internen Richtlinien genehmigen muss. In diesem Zusammenhang ist es wichtig, den Unterschied hervorzuheben zwischen der federführenden Aufsichtsbehörde – die für die Erteilung der Genehmigung der BCR zuständig ist – und der Aufsichtsbehörde, die für den Verantwortlichen zuständig ist, in dessen Auftrag eine bestimmte, unter die BCR fallende Übermittlung durchgeführt wird, sowie ggf. der Aufsichtsbehörde, die für den spezifischen Auftragsverarbeiter zuständig ist, der als Exporteur eine bestimmte Übermittlung (im Auftrag des Verantwortlichen) im Rahmen dieser BCR durchführt.

Gruppen von Unternehmen oder eine Unternehmensgruppe können die BCR als ihre globale Datenschutzrichtlinie verwenden, die die Verarbeitung durch alle gebundenen Einheiten, ungeachtet ihres Standorts (innerhalb oder außerhalb des EWR) regelt. Ungeachtet dieser Möglichkeit ist der Umfang der Genehmigung der BCR durch die federführende Aufsichtsbehörde stets auf die Übermittlung personenbezogener Daten von Einheiten im Anwendungsbereich der DSGVO in Drittländer, für die gemäß Art. 45 DSGVO kein angemessenes Schutzniveau festgestellt wurde, und auf deren Weiterübermittlung an andere an die BCR gebundene Gruppenmitglieder beschränkt.

Nach ihrer Genehmigung können die BCR für Übermittlungen aus allen relevanten Mitgliedstaaten verwendet werden. Die für den Datenexporteur zuständige Aufsichtsbehörde ist für die Beurteilung der Einhaltung der BCR durch den Datenimporteur im Drittland in Bezug auf die relevanten Übermittlungen zuständig.

Fundstelle: Veröffentlichung “Recommendations 1/2026 on the Application for Approval and on the elements and principles to be found in Processor Binding Corporate Rules (Art. 47 GDPR)” des Europäischen Datenschutzausschusses – abrufbar im Internet unter https://www.edpb.europa.eu/system/files/2026-01/edpb_recommendations202601_bcr-p_v1_en.pdf