So weisen Sie die Einhaltung von Artikel 47 der DSGVO nach

Fehlen in einem Empfängerland sinnvolle Datenschutzgesetze (siehe Artikel 45), DSGVO Artikel 47 ermöglicht Organisationen die Übernahme verbindliche Unternehmensregeln, die als angemessener Schutz für alle zu übertragenden Daten dienen.

DSGVO Artikel 47 Gesetzestext

EU-DSGVO-Version

Verbindliche Unternehmensregeln

1. Die zuständige Aufsichtsbehörde genehmigt verbindliche Unternehmensvorschriften im Einklang mit dem Kohärenzmechanismus gemäß Artikel 63, sofern sie:
• (a) rechtsverbindlich sind und für jedes betroffene Mitglied der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame wirtschaftliche Tätigkeit ausüben, einschließlich ihrer Arbeitnehmer, gelten und von diesem durchgesetzt werden;
• (b) den betroffenen Personen ausdrücklich durchsetzbare Rechte in Bezug auf die Verarbeitung ihrer personenbezogenen Daten einräumen; Und
• (c) die in Absatz 2 festgelegten Anforderungen erfüllen.
2. Die in Absatz 1 genannten verbindlichen Unternehmensvorschriften müssen mindestens Folgendes festlegen:
• (a) die Struktur und Kontaktdaten der Unternehmensgruppe oder der Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und jedes ihrer Mitglieder;
• (b) die Datenübermittlungen oder eine Reihe von Übermittlungen, einschließlich der Kategorien personenbezogener Daten, der Art der Verarbeitung und ihrer Zwecke, der Art der betroffenen betroffenen Personen und der Identifizierung des betreffenden Drittlandes bzw. der betreffenden Drittländer;
• (c) ihre Rechtsverbindlichkeit sowohl nach innen als auch nach außen;
• (d) die Anwendung der allgemeinen Datenschutzgrundsätze, insbesondere Zweckbindung, Datenminimierung, begrenzte Speicherfristen, Datenqualität, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Rechtsgrundlage für die Verarbeitung, Verarbeitung besonderer Kategorien personenbezogener Daten, Maßnahmen dazu Gewährleistung der Datensicherheit und der Anforderungen in Bezug auf die Weitergabe an Stellen, die nicht an die verbindlichen Unternehmensregeln gebunden sind;
• (e) die Rechte der betroffenen Personen in Bezug auf die Verarbeitung und die Mittel zur Ausübung dieser Rechte, einschließlich des Rechts, nicht Entscheidungen unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen, einschließlich Profiling gemäß Artikel 22, und dem Recht, eine Beschwerde einzureichen der zuständigen Aufsichtsbehörde und vor den zuständigen Gerichten der Mitgliedstaaten gemäß Artikel 79 und um Wiedergutmachung und gegebenenfalls Schadensersatz für einen Verstoß gegen die verbindlichen Unternehmensvorschriften zu erhalten;
• (f) die Akzeptanz der Haftung des im Hoheitsgebiet eines Mitgliedstaats ansässigen Verantwortlichen oder Auftragsverarbeiters für etwaige Verstöße gegen die verbindlichen Unternehmensvorschriften durch ein betroffenes Mitglied, das nicht in der Union ansässig ist; Der Verantwortliche oder der Auftragsverarbeiter ist von dieser Haftung nur dann ganz oder teilweise befreit, wenn er nachweist, dass das betreffende Mitglied für das schadensverursachende Ereignis nicht verantwortlich ist.
• (g) wie die Informationen über die verbindlichen Unternehmensvorschriften, insbesondere über die in den Buchstaben (d), (e) und (f) dieses Absatzes genannten Bestimmungen, den betroffenen Personen zusätzlich zu den Artikeln 13 und 14 bereitgestellt werden;
• (h) die Aufgaben eines gemäß Artikel 37 benannten Datenschutzbeauftragten oder einer anderen natürlichen oder juristischen Person, die für die Überwachung der Einhaltung der verbindlichen Unternehmensvorschriften innerhalb der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, zuständig ist, sowie Überwachung von Schulungen und Beschwerdebearbeitung;
• (i) die Beschwerdeverfahren;
• (j) die Mechanismen innerhalb der Unternehmensgruppe oder Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, um die Überprüfung der Einhaltung der verbindlichen Unternehmensvorschriften sicherzustellen. Zu diesen Mechanismen gehören Datenschutzprüfungen und Methoden zur Sicherstellung von Korrekturmaßnahmen zum Schutz der Rechte der betroffenen Person. Die Ergebnisse dieser Überprüfung sollten der in Buchstabe h genannten Person oder Organisation und dem Vorstand des beherrschenden Unternehmens einer Unternehmensgruppe oder der Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, mitgeteilt werden und verfügbar sein auf Anfrage bei der zuständigen Aufsichtsbehörde;
• (k) die Mechanismen zur Meldung und Aufzeichnung von Änderungen der Regeln und zur Meldung dieser Änderungen an die Aufsichtsbehörde;
• (l) der Mechanismus der Zusammenarbeit mit der Aufsichtsbehörde, um sicherzustellen, dass jedes Mitglied der Unternehmensgruppe oder eine Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, die Vorschriften einhält, insbesondere indem der Aufsichtsbehörde die Ergebnisse der Überprüfungen der genannten Maßnahmen zur Verfügung gestellt werden zu Punkt (j);
• (m) die Mechanismen für die Meldung an die zuständige Aufsichtsbehörde über alle rechtlichen Anforderungen, denen ein Mitglied der Unternehmensgruppe oder eine Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem Drittland unterliegt und die voraussichtlich erhebliche nachteilige Auswirkungen haben werden zu den Garantien, die die verbindlichen Unternehmensregeln bieten; Und
• (n) die entsprechende Datenschutzschulung für Personal, das ständigen oder regelmäßigen Zugriff auf personenbezogene Daten hat.
3. Die Kommission kann das Format und die Verfahren für den Informationsaustausch zwischen Verantwortlichen, Auftragsverarbeitern und Aufsichtsbehörden für verbindliche Unternehmensvorschriften im Sinne dieses Artikels festlegen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 93 Absatz 2 festgelegten Prüfverfahren erlassen.

Britische DSGVO-Version

Verbindliche Unternehmensregeln

1. Der Kommissar genehmigt verbindliche Unternehmensregeln, sofern sie:
• (a) rechtsverbindlich sind und für jedes betroffene Mitglied der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame wirtschaftliche Tätigkeit ausüben, einschließlich ihrer Arbeitnehmer, gelten und von diesem durchgesetzt werden;
• (b) den betroffenen Personen ausdrücklich durchsetzbare Rechte in Bezug auf die Verarbeitung ihrer personenbezogenen Daten einräumen; Und
• (c) die in Absatz 2 festgelegten Anforderungen erfüllen.
2. Die in Absatz 1 genannten verbindlichen Unternehmensvorschriften müssen mindestens Folgendes festlegen:
• (a) die Struktur und Kontaktdaten der Unternehmensgruppe oder der Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und jedes ihrer Mitglieder;
• (b) die Datenübermittlungen oder eine Reihe von Übermittlungen, einschließlich der Kategorien personenbezogener Daten, der Art der Verarbeitung und ihrer Zwecke, der Art der betroffenen betroffenen Personen und der Identifizierung des betreffenden Drittlandes bzw. der betreffenden Drittländer;
• (c) ihre Rechtsverbindlichkeit sowohl nach innen als auch nach außen;
• (d) die Anwendung der allgemeinen Datenschutzgrundsätze, insbesondere Zweckbindung, Datenminimierung, begrenzte Speicherfristen, Datenqualität, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Rechtsgrundlage für die Verarbeitung, Verarbeitung besonderer Kategorien personenbezogener Daten, Maßnahmen dazu Gewährleistung der Datensicherheit und der Anforderungen in Bezug auf die Weitergabe an Stellen, die nicht an die verbindlichen Unternehmensregeln gebunden sind;
• (e) die Rechte der betroffenen Personen in Bezug auf die Verarbeitung und die Mittel zur Ausübung dieser Rechte, einschließlich des Rechts, nicht Entscheidungen unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen, einschließlich Profiling gemäß Artikel 22, dem Datenschutzbeauftragten und vor einem Gericht in gemäß Artikel 79 (siehe Abschnitt 180 des Gesetzes von 2018) und um Wiedergutmachung und gegebenenfalls Entschädigung für einen Verstoß gegen die verbindlichen Unternehmensregeln zu erhalten;
• (f) die Akzeptanz der Haftung des im Vereinigten Königreich ansässigen Verantwortlichen oder Auftragsverarbeiters für etwaige Verstöße gegen die verbindlichen Unternehmensregeln durch ein betroffenes Mitglied, das nicht im Vereinigten Königreich ansässig ist; Der Verantwortliche oder der Auftragsverarbeiter ist von dieser Haftung nur dann ganz oder teilweise befreit, wenn er nachweist, dass das betreffende Mitglied für das schadensverursachende Ereignis nicht verantwortlich ist.
• (g) wie die Informationen über die verbindlichen Unternehmensvorschriften, insbesondere über die in den Buchstaben (d), (e) und (f) dieses Absatzes genannten Bestimmungen, den betroffenen Personen zusätzlich zu den Artikeln 13 und 14 bereitgestellt werden;
• (h) die Aufgaben eines gemäß Artikel 37 benannten Datenschutzbeauftragten oder einer anderen natürlichen oder juristischen Person, die für die Überwachung der Einhaltung der verbindlichen Unternehmensvorschriften innerhalb der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, zuständig ist, sowie Überwachung von Schulungen und Beschwerdebearbeitung;
• (i) die Beschwerdeverfahren;
• (j) die Mechanismen innerhalb der Unternehmensgruppe oder Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, um die Überprüfung der Einhaltung der verbindlichen Unternehmensvorschriften sicherzustellen. Zu diesen Mechanismen gehören Datenschutzprüfungen und Methoden zur Sicherstellung von Korrekturmaßnahmen zum Schutz der Rechte der betroffenen Person. Die Ergebnisse dieser Überprüfung sollten der in Buchstabe h genannten Person oder Organisation und dem Vorstand des beherrschenden Unternehmens einer Unternehmensgruppe oder der Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, mitgeteilt werden und verfügbar sein auf Anfrage beim Kommissar;
• (k) die Mechanismen zur Meldung und Aufzeichnung von Änderungen der Regeln und zur Meldung dieser Änderungen an den Kommissar;
• (l) der Kooperationsmechanismus mit der Aufsichtsbehörde, um sicherzustellen, dass jedes Mitglied der Unternehmensgruppe oder eine Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, die Vorschriften einhält, insbesondere indem dem Kommissar die Ergebnisse der Überprüfungen der genannten Maßnahmen zur Verfügung gestellt werden in Punkt (j);
• (m) die Mechanismen zur Meldung an den Kommissar über alle rechtlichen Anforderungen, denen ein Mitglied der Unternehmensgruppe oder eine Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem Drittland unterliegt und die voraussichtlich erhebliche nachteilige Auswirkungen auf das Unternehmen haben Garantien, die durch die verbindlichen Unternehmensregeln bereitgestellt werden; Und
• (n) die entsprechende Datenschutzschulung für Personal, das ständigen oder regelmäßigen Zugriff auf personenbezogene Daten hat.