Nexvyra

Binding Corporate Rules (BCR, Art. 47 VO 2016/679) – Konzerninterne Drittlandtransfers, Genehmigungsverfahren, Pflichtinhalte In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-14 · letzte Prüfung: 2026-09-14 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Verbindliche interne Datenschutzvorschriften (englisch Binding Corporate Rules, BCR) sind konzerninterne Datenschutzregeln, mit denen eine Unternehmensgruppe personenbezogene Daten in Drittländer übermitteln darf, für die kein Angemessenheitsbeschluss besteht. Rechtsgrundlage sind Art. 46 Abs. 2 lit. b und Art. 47 der Verordnung (EU) 2016/679 (DSGVO). BCR sind die einzige geeignete Garantie nach Kapitel V, die eine förmliche behördliche Genehmigung voraussetzt: Die federführende Aufsichtsbehörde (BCR Lead) genehmigt sie nach Art. 47 Abs. 1 DSGVO im Kohärenzverfahren nach Art. 63 ff. DSGVO, nachdem der Europäische Datenschutzausschuss (EDSA/EDPB) nach Art. 64 Abs. 1 lit. f DSGVO eine Stellungnahme abgegeben hat. Anders als Standardvertragsklauseln (SCC) wirken BCR nur innerhalb der Unternehmensgruppe – für Übermittlungen an konzernfremde Empfänger sind sie kein Instrument. Damit die Genehmigung erteilt wird, müssen die BCR nach Art. 47 Abs. 1 DSGVO rechtlich bindend für jedes Gruppenmitglied einschließlich der Beschäftigten sein, den betroffenen Personen ausdrücklich durchsetzbare Rechte einräumen und den Katalog von 14 Pflichtangaben in Art. 47 Abs. 2 lit. a–n DSGVO vollständig abbilden. Zentral ist die Haftungsübernahme nach Art. 47 Abs. 2 lit. f DSGVO: Das in der EU niedergelassene Gruppenmitglied haftet für Verstöße von Konzerngesellschaften außerhalb der Union – mit Beweislastumkehr, denn es wird nur frei, wenn es *nachweist*, dass der Schaden dem betreffenden Mitglied nicht zur Last gelegt werden kann. Verstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Kernfakten

PunktWert
RechtsgrundlageArt. 46 Abs. 2 lit. b i. V. m. Art. 47 DSGVO (Verordnung (EU) 2016/679) [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich
Anwendbar seit25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2)
ZweckGeeignete Garantie für Drittlandsübermittlungen innerhalb einer Unternehmensgruppe
Zwei TypenBCR-C (Controller, Verantwortliche) und BCR-P (Processor, Auftragsverarbeiter)
Genehmigung erforderlichJa – Art. 47 Abs. 1 DSGVO; einzige Kapitel-V-Garantie mit behördlichem Genehmigungsakt
Genehmigende StelleFederführende Aufsichtsbehörde am Sitz der EU-Hauptniederlassung („BCR Lead")
VerfahrenKohärenzverfahren nach Art. 63 ff. DSGVO; EDSA-Stellungnahme nach Art. 64 Abs. 1 lit. f DSGVO
Frist EDSA-Stellungnahme8 Wochen, bei Komplexität um 6 Wochen verlängerbar [Art. 64 Abs. 3 DSGVO]
Pflichtinhalte14 Angaben, Art. 47 Abs. 2 lit. a–n DSGVO (abschließender Mindestkatalog)
HaftungsregelArt. 47 Abs. 2 lit. f – EU-Mitglied haftet für Nicht-EU-Mitglieder; Exkulpation nur bei Nachweis
Rechte betroffener PersonenMüssen als Drittbegünstigtenrechte durchsetzbar sein, inkl. Rechtsbehelf nach Art. 79 und Schadenersatz
Verfahrensdokument EDSA„Co-Operation procedure for the approval of BCR for controllers and processors", angenommen 13.03.2025 (ersetzt Verfahren vom 11.04.2018)
Kriterien BCR-CEDSA-Empfehlungen 1/2022 (Endfassung 2023) – ersetzen WP256 rev.01
Kriterien BCR-PEDSA-Empfehlungen 1/2026, angenommen 15.01.2026 zur öffentlichen Konsultation (bis 02.03.2026) – sollen WP257 rev.01 und WP265 ersetzen
Wirksamwerden BCR-P-EmpfehlungenErst mit Veröffentlichung der Endfassung; Anpassung bestehender BCR-P dann im Rahmen des jährlichen Updates
Genehmigte BCR (Register)252 Einträge im EDSA-Register (Abruf 13.09.2026), inkl. vor der DSGVO genehmigter BCR
BCR-Lead-Behörden in DeutschlandLandesbehörden BW, BY, HE, NW, RP (laut EDSA-Register)
Pflicht zur jährlichen AktualisierungJa – Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und der Aufsichtsbehörde zu melden
Bußgeldrahmenbis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO]
Abgrenzung SCCSCC gelten auch konzernfremd und brauchen keine Genehmigung; BCR nur konzernintern, aber mit Genehmigung

Geltungsbereich

Art. 47 DSGVO erfasst Unternehmensgruppen und Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben. Erwägungsgrund 110 der DSGVO stellt klar, dass eine solche Gruppe genehmigte BCR für ihre internationalen Übermittlungen nutzen können soll.

Voraussetzung ist eine Niederlassung in der EU bzw. im EWR, denn die BCR müssen von einem in der Union niedergelassenen Mitglied getragen werden, das nach Art. 47 Abs. 2 lit. f DSGVO die Haftung übernimmt. Ohne EU-Niederlassung scheiden BCR als Instrument aus; in Betracht kommen dann SCC nach Art. 46 Abs. 2 lit. c oder – eng auszulegen – die Ausnahmen des Art. 49 DSGVO.

Die beiden Typen unterscheiden sich nach der datenschutzrechtlichen Rolle der Gruppe:

Wichtig: BCR ersetzen nicht die allgemeine Zulässigkeitsprüfung. Auch bei genehmigten BCR bleibt eine Rechtsgrundlage nach Art. 6 DSGVO (ggf. Art. 9 DSGVO) für die Verarbeitung selbst erforderlich; BCR legitimieren lediglich die zweite Stufe, also die Übermittlung in das Drittland nach Kapitel V.

Die 14 Pflichtinhalte nach Art. 47 Abs. 2 DSGVO

Der Katalog ist ein Mindestkatalog – fehlt eine Angabe, ist die Genehmigung zu versagen:

| lit. | Pflichtangabe | |---|---| | a | Struktur und Kontaktdaten der Unternehmensgruppe und jedes Mitglieds | | b | Die betreffenden Datenübermittlungen: Datenkategorien, Art und Zwecke der Verarbeitung, Kategorien betroffener Personen, betroffene Drittländer | | c | Interne und externe Rechtsverbindlichkeit der Vorschriften | | d | Anwendung der allgemeinen Datenschutzgrundsätze (Zweckbindung, Datenminimierung, Speicherbegrenzung, Datenqualität, Privacy by Design/Default, Rechtsgrundlage, besondere Datenkategorien, Datensicherheit, Weiterübermittlung an nicht gebundene Stellen) | | e | Rechte der betroffenen Personen und Mittel zu deren Ausübung – inkl. Recht nach Art. 22, Beschwerde bei der Aufsichtsbehörde, Rechtsbehelf nach Art. 79, Abhilfe und Schadenersatz | | f | Haftungsübernahme des in der EU niedergelassenen Mitglieds für Verstöße von Nicht-EU-Mitgliedern; Befreiung nur bei Nachweis fehlender Verantwortlichkeit | | g | Information der betroffenen Personen über die BCR – über Art. 13 und 14 hinaus | | h | Aufgaben des Datenschutzbeauftragten bzw. der mit der Überwachung betrauten Stelle | | i | Beschwerdeverfahren | | j | Verfahren zur Überprüfung der Einhaltung (Datenschutzaudits, Abhilfemaßnahmen); Ergebnisse sind der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen | | k | Verfahren für Meldung und Erfassung von Änderungen und deren Meldung an die Aufsichtsbehörde | | l | Verfahren für die Zusammenarbeit mit der Aufsichtsbehörde | | m | Meldung entgegenstehender Rechtsvorschriften eines Drittlands an die Aufsichtsbehörde, wenn sie sich erheblich nachteilig auf die Garantien auswirken können | | n | Geeignete Datenschutzschulungen für Personal mit ständigem oder regelmäßigem Datenzugang |

Das Genehmigungsverfahren

Das Verfahren läuft nach dem am 13.03.2025 angenommenen EDSA-Dokument zur Kooperationsprozedur ab, das die frühere Fassung vom 11.04.2018 (WP263 rev.01) ersetzt:

  1. Bestimmung des BCR Lead. Zuständig ist grundsätzlich die Aufsichtsbehörde am Sitz der EU-Hauptniederlassung der Gruppe. In Deutschland führen laut EDSA-Register die Landesbehörden von Baden-Württemberg, Bayern, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz BCR-Verfahren.
  2. Prüfphase beim BCR Lead. Die Gruppe reicht den Antrag mit dem EDSA-Standardformular ein. Der BCR Lead prüft Vollständigkeit und materielle Anforderungen und arbeitet mit dem Antragsteller auf einen „consolidated draft" hin. Zwei weitere Aufsichtsbehörden werden als Co-Reviewer beteiligt.
  3. Kohärenzverfahren, Art. 63 ff. DSGVO. Der BCR Lead legt den Beschlussentwurf dem EDSA vor. Der EDSA gibt nach Art. 64 Abs. 1 lit. f DSGVO eine Stellungnahme ab – Frist 8 Wochen, bei Komplexität um 6 Wochen verlängerbar (Art. 64 Abs. 3 DSGVO). Die Stellungnahme ist nicht bindend; folgt der BCR Lead ihr nicht, kann der EDSA nach Art. 65 DSGVO einen verbindlichen Beschluss fassen.
  4. Nationale Genehmigung. Nach Anpassung der BCR entsprechend der EDSA-Stellungnahme erteilt der BCR Lead die förmliche Genehmigung durch nationalen Bescheid. Erst ab diesem Zeitpunkt sind die BCR als Garantie nach Art. 46 Abs. 2 lit. b DSGVO nutzbar.
  5. Laufende Pflichten. Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und zu melden; die Einhaltung ist nach lit. j durch Audits zu überprüfen. Der EDSA erwartet ein jährliches Update.

Ein Kohärenzverfahren ist nur erforderlich, wenn die BCR Übermittlungen aus mehr als einem Mitgliedstaat abdecken. Beschränken sie sich auf einen Mitgliedstaat ohne erhebliche Auswirkungen auf betroffene Personen in anderen Mitgliedstaaten, entscheidet allein die nach Art. 55 DSGVO zuständige Behörde.

Aktueller Stand 2026: neue BCR-P-Empfehlungen in Konsultation

Am 15.01.2026 hat der EDSA die Empfehlungen 1/2026 zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen von Processor BCR (Art. 47 DSGVO) angenommen – ausdrücklich „adopted for public consultation", also als Entwurf. Die Konsultation lief bis zum 02.03.2026. Die Empfehlungen sollen WP257 rev.01 (Elemente und Grundsätze, 06.02.2018) und WP265 (Standardantragsformular, 11.04.2018) aufheben und ersetzen und beide Dokumente zu einem einheitlichen Referenzwerk zusammenführen – parallel zu dem, was die Empfehlungen 1/2022 (Endfassung 2023) bereits für BCR-C geleistet haben.

Für die Praxis sind drei Punkte des Entwurfs relevant:

Der Entwurf enthält an mehreren Stellen noch Platzhalter für Stichtage („to be completed in final version"). Konkrete Übergangsfristen für BCR-P stehen daher zum Stand dieser Seite noch nicht fest – die Endfassung ist abzuwarten.

Stand der Konsultation (geprüft am 14.09.2026): Die Konsultation ist am 02.03.2026 abgelaufen. Eine Endfassung der Empfehlungen 1/2026 war am 14.09.2026 nicht auffindbar – weder als EDSA-Meldung noch in der Ereignischronik des Digital Policy Alert zu diesem Rechtsakt, die mit dem Eintrag „processing consultation" vom 02.03.2026 endet. Maßgeblich bleiben für BCR-P deshalb weiterhin WP257 rev.01 und WP265. Die Reichweite dieses Befundes ist begrenzt: Er belegt, dass an den geprüften Stellen keine Endfassung nachgewiesen ist – nicht, dass keine existiert. Zum Vergleich: Bei den BCR-C-Empfehlungen 1/2022 lagen zwischen Entwurf und Endfassung rund acht Monate.

BCR im Vergleich zu Standardvertragsklauseln

| Kriterium | BCR (Art. 47) | SCC (Beschluss (EU) 2021/914) | |---|---|---| | Anwendungsbereich | Nur innerhalb der Unternehmensgruppe | Auch gegenüber konzernfremden Empfängern | | Behördliche Genehmigung | Erforderlich (Art. 47 Abs. 1) | Nicht erforderlich (Art. 46 Abs. 2 lit. c) | | Aufwand bis Einsatzfähigkeit | Hoch – Verfahren dauert regelmäßig mehrere Jahre | Gering – Vertragsabschluss genügt | | Änderbarkeit des Textes | Individuell auf die Gruppe zugeschnitten | Kerntext unveränderlich | | Prüfung des Drittlandsrechts | Erforderlich; Meldepflicht nach Art. 47 Abs. 2 lit. m | Erforderlich als TIA nach Klausel 14 | | Verbreitung | Nischeninstrument – 252 Registereinträge | Standardinstrument der Praxis |

Auch bei genehmigten BCR entfällt die Prüfung der Rechtslage im Zielland nicht: Art. 47 Abs. 2 lit. m verpflichtet die Gruppe ausdrücklich, entgegenstehende Drittlandsvorschriften der Aufsichtsbehörde zu melden. Die Maßstäbe des Urteils Schrems II (EuGH, 16.07.2020, C-311/18) gelten für alle Garantien nach Art. 46 DSGVO gleichermaßen.

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-09-14
Letzte Prüfung:
2026-09-14
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.