Читать книгу DSGVO - BDSG - TTDSG - Группа авторов - Страница 265

457

„Verbindliche interne Datenschutzvorschriften“ – besser bekannt unter ihrer englischen Bezeichnung „binding corporate rules“ – sind gem. Art. 4 Nr. 20 DSGVO Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern.

458

Diese Begriffsdefinition stellt eine Neuerung dar, als dass die DSRl keine entsprechende Definition beinhaltete. Allerdings war das Konzept der verbindlichen internen Datenschutzvorschriften auch unter der EG-DSRl schon (ohne entsprechende Begriffsdefinition) anerkannt, sodass internationale Datentransfers unter den in Art. 26 Abs. 2 DSRl statuierten Voraussetzungen auf der sogenannten zweiten Stufe822 durch verbindliche interne Datenschutzvorschriften legitimiert werden konnten.823

459

In der DSGVO wird der Begriff vor allem in Art. 47 DSGVO, der die Vorgaben zum Inhalt von verbindlichen internen Datenschutzvorschriften und die Voraussetzungen für ihre Genehmigung durch die Aufsichtsbehörden beinhaltet, in Art. 46 Abs. 2 lit. b DSGVO, der festlegt, dass verbindliche interne Datenschutzvorschriften gem. Art. 47 DSGVO geeignete Garantien für internationale Datentransfers sind und somit internationale Datentransfers auf der sogenannten zweiten Stufe rechtfertigen können, sowie in den dazugehörigen ErwG 107, 108 und 110 verwendet. Außerdem wird der Begriff in Art. 57 Abs. 1 lit. s, 58 Abs. 3 lit. j und 70 Abs. 1 lit. c und lit. i DSGVO benutzt, in denen die Aufgaben und Befugnisse der Aufsichtsbehörden sowie die Aufgaben des Europäischen Datenschutzausschusses geregelt werden, so auch im Hinblick auf verbindliche interne Datenschutzvorschriften. Eine weitere Erwähnung findet der Begriff in ErwG 168, der Art. 92 DSGVO im Hinblick auf den Erlass von Durchführungsrechtsakten durch die EU-Kommission u.a. im Hinblick auf verbindliche interne Datenschutzvorschriften konkretisiert.824