BCR (Binding Corporate Rules)
Art. 47 DSGVO — verbindliche Konzern-Datenschutz-Regeln
TL;DR
BCR sind ein Garantie-Instrument für Drittland-Übermittlungen innerhalb eines Konzerns oder einer Unternehmensgruppe. Sie ersetzen SCC und müssen von einer Aufsichtsbehörde genehmigt werden.
Was ist BCR (Binding Corporate Rules)?
BCR-Pflichtinhalte (Art. 47 Abs. 2):
- Struktur des Konzerns + Mitgliedsunternehmen
- Datenkategorien + Verarbeitungszwecke
- Garantien für Betroffenenrechte
- Haftungs- und Sanktionsregeln
- Beschwerdeverfahren
- Schulungsverpflichtungen
- Audit-Mechanismen
Genehmigungsverfahren bei der federführenden Aufsichtsbehörde — Dauer in der Praxis häufig 18-36 Monate (Erfahrungswert, keine gesetzliche Frist).
Praxisbeispiel
Globaler Konzern mit 40 Tochtergesellschaften will weltweite HR-Daten zentral verarbeiten. SCC für jeden Empfänger wäre aufwändig. Nach der Genehmigung durch die federführende Aufsichtsbehörde bilden die BCR eine einheitliche Grundlage für die Übermittlungen an die Konzerngesellschaften in Drittländern.
Häufig gestellte Fragen
Was kostet BCR?
Eine belastbare Pauschale gibt es nicht. Der Aufwand hängt vor allem von der Zahl der beteiligten Gesellschaften und Länder, dem Umfang der Datenflüsse, dem vorhandenen Dokumentationsstand und davon ab, ob externe Beratung hinzugezogen wird. Hinzu kommen die laufenden Pflichten aus den BCR selbst, etwa Schulungen und Audit-Mechanismen (Art. 47 Abs. 2 DSGVO). Für kleinere Unternehmensgruppen sind Standardvertragsklauseln (SCC) nach Praxiseinschätzung meist der einfachere Weg.
Reicht für Drittland?
Ja, BCR ersetzt SCC für gruppeninterne Transfers.
Bußgeld bei Verstoß?
Art. 83 Abs. 5 lit. c — bis 20 Mio. EUR oder 4%.
Siehe auch
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.