Externer Datenschutzbeauftragter Bad Homburg

Bad Homburg vor der Höhe ist Kreisstadt des Hochtaunuskreises, Kurstadt – und ein Standort für Konzernzentralen, die die Nähe zu Frankfurt suchen, ohne in Frankfurt zu sitzen. Wo eine Zentrale steht, laufen die Daten der ganzen Gruppe zusammen: Personalsysteme, Konzerncontrolling, gemeinsame IT. Ein externer Datenschutzbeauftragter in Bad Homburg arbeitet deshalb überdurchschnittlich oft an der Frage, was innerhalb eines Konzerns fließen darf. Ab 137 € im Monat.

Externen DSB anfragen

Ein Konzernprivileg gibt es nicht

Die verbreitetste Fehlannahme im Konzerndatenschutz lautet: Innerhalb der Gruppe sei die Weitergabe frei. Sie ist es nicht. Jede Gesellschaft ist eine eigene verantwortliche Stelle, und jede Weitergabe an eine Schwester- oder Muttergesellschaft ist eine Übermittlung, die eine Rechtsgrundlage braucht.

Was die DSGVO tatsächlich sagt, steht in Erwägungsgrund 48: Unternehmensgruppen können ein berechtigtes Interesse an der Übermittlung zu internen Verwaltungszwecken haben – auch für Beschäftigten- und Kundendaten. Das ist eine Erwägung, kein Freibrief. Sie trägt nur nach einer Abwägung im Einzelfall nach Art. 6 Abs. 1 lit. f DSGVO, und sie trägt umso weniger, je weiter die Verarbeitung vom bloßen Verwaltungszweck entfernt ist.

Reicht das nicht, ist zu klären, ob eine Gesellschaft für die andere im Auftrag verarbeitet – dann Art. 28 DSGVO – oder ob beide gemeinsam über Zwecke und Mittel entscheiden. Bei einem konzernweiten Personalsystem trifft häufig Letzteres zu: gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, mit einer Vereinbarung, deren wesentlicher Inhalt den Beschäftigten zugänglich sein muss.

Übermittlung über die EU hinaus

Reicht die Gruppe über die Union hinaus, kommt Kapitel V DSGVO hinzu. Für dauerhafte konzerninterne Übermittlungen sind verbindliche interne Datenschutzvorschriften nach Art. 47 DSGVO das dafür vorgesehene Werkzeug – sie werden von der zuständigen Aufsichtsbehörde genehmigt und binden alle Mitglieder der Gruppe.

Das Verfahren dauert und lohnt sich nicht für jede Struktur. Der übliche Weg bleiben Standardvertragsklauseln mit einer dokumentierten Prüfung des Ziellandes. Welcher Weg der richtige ist, entscheidet sich an der Zahl der beteiligten Gesellschaften und daran, wie dauerhaft die Übermittlung ist – nicht an der Größe des Konzerns.

Die Gesundheitswirtschaft am Ort

Bad Homburg ist Staatsbad. Kliniken, Rehabilitation, Kurbetrieb und die Zulieferer dieser Häuser verarbeiten Gesundheitsdaten nach Art. 9 DSGVO, für die strengere Anforderungen an Rechtsgrundlage, Zugriffsbeschränkung und Löschung gelten. Kommt ärztliches Personal hinzu, steht die Schweigepflicht nach § 203 StGB neben der DSGVO – Gesundheitswesen.

Die zuständige Aufsichtsbehörde

Zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in Wiesbaden. Für Konzerne mit Zentrale in Bad Homburg ist er zugleich federführende Behörde im Sinne von Art. 56 DSGVO, soweit hier die Hauptniederlassung in der Union liegt – die Behörden der anderen Mitgliedstaaten sind dann betroffene Behörden. Wo die Hauptniederlassung liegt, gehört vor der ersten Meldung geklärt, nicht danach.

Meldungen nach Art. 33 DSGVO sind binnen 72 Stunden abzusetzen. Siehe die Übersicht der Aufsichtsbehörden.

Ab wann Sie benennen müssen

Nach § 38 Abs. 1 BDSG ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Im Konzern zählt jede Gesellschaft für sich – die Schwelle wird nicht über die Gruppe hinweg addiert, aber jede Gesellschaft muss für sich geprüft werden. Eine Konzerngesellschaft mit acht Beschäftigten kann benennungsfrei sein, während die Schwestergesellschaft im selben Haus benennungspflichtig ist. Ein gemeinsamer Datenschutzbeauftragter für die Gruppe ist nach Art. 37 Abs. 2 DSGVO zulässig, wenn er von jeder Niederlassung aus leicht erreichbar ist.

Leistungsumfang als externer Datenschutzbeauftragter in Bad Homburg

Benennung für mehrere Gesellschaften der Gruppe über einen Vertrag
Verarbeitungsverzeichnis nach Art. 30 DSGVO je Gesellschaft, einheitlich geführt
Rollenklärung im Konzern: Art. 26, Art. 28 oder eigene Verantwortlichkeit
Prüfung der Drittlandübermittlungen samt Transfer Impact Assessment
Rechtsgrundlagen und Zugriffskonzept für Daten nach Art. 9 DSGVO
Schulungen über unsere E-Learning-Plattform und Jahresbericht für die Geschäftsleitung

Preise und Pakete ansehen

Betreuungsgebiet Bad Homburg und Vordertaunus

Im Stadtgebiet betreuen wir die Kernstadt sowie Gonzenheim, Kirdorf, Dornholzhausen, Ober-Erlenbach und Ober-Eschbach. Im Vordertaunus kommen Oberursel, Friedrichsdorf, Kronberg, Königstein und Steinbach hinzu, dazu Frankfurt und der Wetteraukreis. Den gesamten Kreis beschreibt die Seite zum Hochtaunuskreis.

Für Gruppen bieten wir die Rolle auch in der Informationssicherheit an: externer ISB. Eine Übersicht aller Standorte finden Sie hier.

Kontakt

Sie führen Gesellschaften in mehreren Ländern und wissen nicht, worauf der Datenfluss zwischen ihnen gestützt ist? Das klären wir zuerst.