Konzernmodul

Sobald mehrere Gesellschaften zusammengehören, stellt sich dieselbe Frage wie beim Hinweisgeberschutz: eine Lösung für alle oder eine je Gesellschaft? Die datenschutzrechtliche Antwort ist eindeutig und wird trotzdem regelmäßig übergangen. Das Konzernmodul ist der Versuch, beides zu haben – rechtliche Trennung und praktische Gemeinsamkeit.

Es gibt kein Konzernprivileg

Der Ausgangspunkt, der die ganze Bauart bestimmt: Jede juristische Person ist eigener Verantwortlicher. Die DSGVO kennt keine Ausnahme für verbundene Unternehmen. Eine Weitergabe von der Tochter an die Mutter ist eine Übermittlung mit eigener Rechtsgrundlage – nicht ein interner Vorgang.

Daraus folgt für ein gemeinsames System, dass die Daten getrennt bleiben müssen: Was die eine Gesellschaft erfasst hat, geht die andere nichts an, solange keine Grundlage für die Weitergabe besteht.

Ebenso richtet sich die Benennungspflicht je Gesellschaft. Ein Konzern kann eine Person für mehrere Gesellschaften benennen – aber jede benennt sie, und jede meldet sie ihrer Aufsichtsbehörde.

Was getrennt bleibt und was geteilt wird

Getrennt: Verzeichnisse, Verträge, Vorfälle, Betroffenenanfragen, Risiken – alles, was der jeweiligen Gesellschaft zugeordnet ist. Zugriffsrechte werden je Mandant vergeben; wer für eine Gesellschaft arbeitet, sieht die anderen nicht.

Geteilt: Vorlagen und Kataloge. Eine Musterbeschreibung für eine Verarbeitung, ein Normenkatalog, eine Checkliste, ein Schulungskurs – das alles einmal zu pflegen und in alle Gesellschaften auszurollen, ist der eigentliche Gewinn. Es erspart nicht nur Arbeit, sondern erzeugt Vergleichbarkeit.

Aggregiert: Der Gesamtblick für die Konzernfunktion. Wie viele offene Aufgaben, wie viele Vorfälle, wo hakt es – ohne Zugriff auf die Einzelinhalte. Das ist die Auskunft, die eine Konzern-Compliance braucht, und sie kommt ohne Datenweitergabe aus.

Die Rollen dahinter

Wer das System für alle betreibt, ist gegenüber den Schwestergesellschaften regelmäßig Auftragsverarbeiter – das gehört vertraglich geregelt und im Dienstleisterverzeichnis geführt.

Bei Gesellschaften außerhalb der EU kommt die Drittlandfrage hinzu, und zwar auch dann, wenn nur ein Zugriff aus dem Ausland stattfindet.

Für den Hinweisgeberschutz gilt dieselbe Systematik mit eigenen Besonderheiten – siehe Konzernlösung im Hinweisgeberschutz.

Grenzen

Getrennte Mandanten lösen die Rechtsfragen nicht. Sie bilden die Trennung ab, die rechtlich ohnehin gilt. Ob eine Weitergabe zwischen den Gesellschaften zulässig ist, entscheidet sich weiterhin an der Rechtsgrundlage – nicht an der Konfiguration.

Der Gesamtblick verführt. Wer aggregierte Zahlen sieht, will bald Einzelfälle sehen. Genau dort verläuft die Grenze, und sie gehört vorher festgelegt statt später verhandelt.