Das fehlende datenschutzrechtliche Konzernprivileg führt dazu, dass für konzerninterne Datenflüsse eine gesetzliche Übermittlungsbefugnis bestehen oder bei Auftragsdatenverarbeitungen umfangreiche Verträge abgeschlossen werden müssen. Zudem sind die beteiligten Konzernunternehmen im Rahmen der Auftragsdatenverarbeitung zur gegenseitigen Kontrolle und Auditierung verpflichtet.
Einen ersten Schritt in Richtung eines „Konzernprivilegs“ im (europäischen) Datenschutzrecht hat das Europäische Parlament unternommen. In seiner Entschließung vom 6.7.2011 zum Gesamtkonzept für den Datenschutz in der Europäischen Union stellt es unter anderem dar, dass […]
„bürokratische und finanzielle Belastungen auf ein Minimum begrenzt und Instrumente angeboten werden sollten, die es als eine Einheit wahrgenommenen Konzernen erlauben, als eine Einheit zu handeln, und nicht wie eine Vielzahl von getrennten Unternehmen“.
Ähnliche Überlegungen haben auf deutscher Ebene die Regierungsfraktionen beim Thema Beschäftigtendatenschutzgesetz angestellt. Auch hier wird die Notwendigkeit der Schaffung eines Konzernprivilegs, alternativ
„die Schaffung einer Norm zur gemeinsamen Verantwortlichkeit („joint controllership“) der beteiligten datenverarbeitenden Stellen“
gesehen.
Solange diese Überlegungen nicht gesetzlich umgesetzt werden, sind Unternehmen weiterhin verpflichtet, die konzerninternen Datenflüsse datenschutzkonform auszugestalten. Auf welche Weise dies möglich ist, zeigt unter anderem der Arbeitsbericht „Konzerninterner Datentransfer“ des Düsseldorfer Kreises.