---
title: "Binding Corporate Rules (BCR, Art. 47 VO 2016/679) – Konzerninterne Drittlandtransfers, Genehmigungsverfahren, Pflichtinhalte"
slug: "dsgvo-binding-corporate-rules-art-47"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-09-14"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-binding-corporate-rules-art-47.md
wikidata_subjects: []
factcheck_status: "ok"
---

# Binding Corporate Rules (BCR, Art. 47 VO 2016/679) – Konzerninterne Drittlandtransfers, Genehmigungsverfahren, Pflichtinhalte

## Kurzantwort

Verbindliche interne Datenschutzvorschriften (englisch Binding Corporate Rules, BCR) sind konzerninterne Datenschutzregeln, mit denen eine Unternehmensgruppe personenbezogene Daten in Drittländer übermitteln darf, für die kein Angemessenheitsbeschluss besteht. Rechtsgrundlage sind Art. 46 Abs. 2 lit. b und Art. 47 der Verordnung (EU) 2016/679 (DSGVO).

BCR sind die einzige geeignete Garantie nach Kapitel V, die eine förmliche behördliche Genehmigung voraussetzt: Die federführende Aufsichtsbehörde (BCR Lead) genehmigt sie nach Art. 47 Abs. 1 DSGVO im Kohärenzverfahren nach Art. 63 ff. DSGVO, nachdem der Europäische Datenschutzausschuss (EDSA/EDPB) nach Art. 64 Abs. 1 lit. f DSGVO eine Stellungnahme abgegeben hat. Anders als Standardvertragsklauseln (SCC) wirken BCR nur innerhalb der Unternehmensgruppe – für Übermittlungen an konzernfremde Empfänger sind sie kein Instrument.

Damit die Genehmigung erteilt wird, müssen die BCR nach Art. 47 Abs. 1 DSGVO rechtlich bindend für jedes Gruppenmitglied einschließlich der Beschäftigten sein, den betroffenen Personen ausdrücklich durchsetzbare Rechte einräumen und den Katalog von 14 Pflichtangaben in Art. 47 Abs. 2 lit. a–n DSGVO vollständig abbilden. Zentral ist die Haftungsübernahme nach Art. 47 Abs. 2 lit. f DSGVO: Das in der EU niedergelassene Gruppenmitglied haftet für Verstöße von Konzerngesellschaften außerhalb der Union – mit Beweislastumkehr, denn es wird nur frei, wenn es *nachweist*, dass der Schaden dem betreffenden Mitglied nicht zur Last gelegt werden kann.

Verstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 46 Abs. 2 lit. b i. V. m. Art. 47 DSGVO (Verordnung (EU) 2016/679) [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | EU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich |
| Anwendbar seit | 25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2) |
| Zweck | Geeignete Garantie für Drittlandsübermittlungen innerhalb einer Unternehmensgruppe |
| Zwei Typen | BCR-C (Controller, Verantwortliche) und BCR-P (Processor, Auftragsverarbeiter) |
| Genehmigung erforderlich | Ja – Art. 47 Abs. 1 DSGVO; einzige Kapitel-V-Garantie mit behördlichem Genehmigungsakt |
| Genehmigende Stelle | Federführende Aufsichtsbehörde am Sitz der EU-Hauptniederlassung („BCR Lead") |
| Verfahren | Kohärenzverfahren nach Art. 63 ff. DSGVO; EDSA-Stellungnahme nach Art. 64 Abs. 1 lit. f DSGVO |
| Frist EDSA-Stellungnahme | 8 Wochen, bei Komplexität um 6 Wochen verlängerbar [Art. 64 Abs. 3 DSGVO] |
| Pflichtinhalte | 14 Angaben, Art. 47 Abs. 2 lit. a–n DSGVO (abschließender Mindestkatalog) |
| Haftungsregel | Art. 47 Abs. 2 lit. f – EU-Mitglied haftet für Nicht-EU-Mitglieder; Exkulpation nur bei Nachweis |
| Rechte betroffener Personen | Müssen als Drittbegünstigtenrechte durchsetzbar sein, inkl. Rechtsbehelf nach Art. 79 und Schadenersatz |
| Verfahrensdokument EDSA | „Co-Operation procedure for the approval of BCR for controllers and processors", angenommen 13.03.2025 (ersetzt Verfahren vom 11.04.2018) |
| Kriterien BCR-C | EDSA-Empfehlungen 1/2022 (Endfassung 2023) – ersetzen WP256 rev.01 |
| Kriterien BCR-P | EDSA-Empfehlungen 1/2026, angenommen 15.01.2026 zur öffentlichen Konsultation (bis 02.03.2026) – sollen WP257 rev.01 und WP265 ersetzen |
| Wirksamwerden BCR-P-Empfehlungen | Erst mit Veröffentlichung der Endfassung; Anpassung bestehender BCR-P dann im Rahmen des jährlichen Updates |
| Genehmigte BCR (Register) | 252 Einträge im EDSA-Register (Abruf 13.09.2026), inkl. vor der DSGVO genehmigter BCR |
| BCR-Lead-Behörden in Deutschland | Landesbehörden BW, BY, HE, NW, RP (laut EDSA-Register) |
| Pflicht zur jährlichen Aktualisierung | Ja – Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und der Aufsichtsbehörde zu melden |
| Bußgeldrahmen | bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO] |
| Abgrenzung SCC | SCC gelten auch konzernfremd und brauchen keine Genehmigung; BCR nur konzernintern, aber mit Genehmigung |

## Geltungsbereich

Art. 47 DSGVO erfasst **Unternehmensgruppen** und **Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben**. Erwägungsgrund 110 der DSGVO stellt klar, dass eine solche Gruppe genehmigte BCR für ihre internationalen Übermittlungen nutzen können soll.

Voraussetzung ist eine **Niederlassung in der EU bzw. im EWR**, denn die BCR müssen von einem in der Union niedergelassenen Mitglied getragen werden, das nach Art. 47 Abs. 2 lit. f DSGVO die Haftung übernimmt. Ohne EU-Niederlassung scheiden BCR als Instrument aus; in Betracht kommen dann SCC nach Art. 46 Abs. 2 lit. c oder – eng auszulegen – die Ausnahmen des Art. 49 DSGVO.

Die beiden Typen unterscheiden sich nach der datenschutzrechtlichen Rolle der Gruppe:

- **BCR-C (Controller BCR)** decken Übermittlungen ab, bei denen die Gruppenmitglieder **als Verantwortliche** handeln – typischerweise Beschäftigten-, Kunden- und Lieferantendaten der Gruppe selbst.
- **BCR-P (Processor BCR)** decken Daten ab, die Gruppenmitglieder **als Auftragsverarbeiter für einen gruppenfremden Verantwortlichen** verarbeiten und anschließend an Gruppengesellschaften in Drittländern weiterleiten. Typischer Fall: international tätige IT-Dienstleister und BPO-Anbieter.

Wichtig: BCR ersetzen **nicht** die allgemeine Zulässigkeitsprüfung. Auch bei genehmigten BCR bleibt eine **Rechtsgrundlage nach Art. 6 DSGVO** (ggf. Art. 9 DSGVO) für die Verarbeitung selbst erforderlich; BCR legitimieren lediglich die **zweite Stufe**, also die Übermittlung in das Drittland nach Kapitel V.

## Die 14 Pflichtinhalte nach Art. 47 Abs. 2 DSGVO

Der Katalog ist ein **Mindestkatalog** – fehlt eine Angabe, ist die Genehmigung zu versagen:

| lit. | Pflichtangabe |
|---|---|
| a | Struktur und Kontaktdaten der Unternehmensgruppe und jedes Mitglieds |
| b | Die betreffenden Datenübermittlungen: Datenkategorien, Art und Zwecke der Verarbeitung, Kategorien betroffener Personen, betroffene Drittländer |
| c | **Interne und externe Rechtsverbindlichkeit** der Vorschriften |
| d | Anwendung der allgemeinen Datenschutzgrundsätze (Zweckbindung, Datenminimierung, Speicherbegrenzung, Datenqualität, Privacy by Design/Default, Rechtsgrundlage, besondere Datenkategorien, Datensicherheit, Weiterübermittlung an nicht gebundene Stellen) |
| e | Rechte der betroffenen Personen und Mittel zu deren Ausübung – inkl. Recht nach Art. 22, Beschwerde bei der Aufsichtsbehörde, Rechtsbehelf nach Art. 79, Abhilfe und Schadenersatz |
| f | **Haftungsübernahme** des in der EU niedergelassenen Mitglieds für Verstöße von Nicht-EU-Mitgliedern; Befreiung nur bei **Nachweis** fehlender Verantwortlichkeit |
| g | Information der betroffenen Personen über die BCR – **über Art. 13 und 14 hinaus** |
| h | Aufgaben des Datenschutzbeauftragten bzw. der mit der Überwachung betrauten Stelle |
| i | Beschwerdeverfahren |
| j | Verfahren zur **Überprüfung der Einhaltung** (Datenschutzaudits, Abhilfemaßnahmen); Ergebnisse sind der Aufsichtsbehörde **auf Anfrage** zur Verfügung zu stellen |
| k | Verfahren für Meldung und Erfassung von **Änderungen** und deren Meldung an die Aufsichtsbehörde |
| l | Verfahren für die **Zusammenarbeit mit der Aufsichtsbehörde** |
| m | Meldung **entgegenstehender Rechtsvorschriften eines Drittlands** an die Aufsichtsbehörde, wenn sie sich erheblich nachteilig auf die Garantien auswirken können |
| n | Geeignete **Datenschutzschulungen** für Personal mit ständigem oder regelmäßigem Datenzugang |

## Das Genehmigungsverfahren

Das Verfahren läuft nach dem am **13.03.2025 angenommenen EDSA-Dokument** zur Kooperationsprozedur ab, das die frühere Fassung vom 11.04.2018 (WP263 rev.01) ersetzt:

1. **Bestimmung des BCR Lead.** Zuständig ist grundsätzlich die Aufsichtsbehörde am Sitz der **EU-Hauptniederlassung** der Gruppe. In Deutschland führen laut EDSA-Register die Landesbehörden von **Baden-Württemberg, Bayern, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz** BCR-Verfahren.
2. **Prüfphase beim BCR Lead.** Die Gruppe reicht den Antrag mit dem EDSA-Standardformular ein. Der BCR Lead prüft Vollständigkeit und materielle Anforderungen und arbeitet mit dem Antragsteller auf einen **„consolidated draft"** hin. Zwei weitere Aufsichtsbehörden werden als Co-Reviewer beteiligt.
3. **Kohärenzverfahren, Art. 63 ff. DSGVO.** Der BCR Lead legt den Beschlussentwurf dem EDSA vor. Der EDSA gibt nach **Art. 64 Abs. 1 lit. f DSGVO** eine **Stellungnahme** ab – Frist **8 Wochen**, bei Komplexität um **6 Wochen** verlängerbar (Art. 64 Abs. 3 DSGVO). Die Stellungnahme ist **nicht bindend**; folgt der BCR Lead ihr nicht, kann der EDSA nach Art. 65 DSGVO einen **verbindlichen Beschluss** fassen.
4. **Nationale Genehmigung.** Nach Anpassung der BCR entsprechend der EDSA-Stellungnahme erteilt der BCR Lead die **förmliche Genehmigung** durch nationalen Bescheid. Erst ab diesem Zeitpunkt sind die BCR als Garantie nach Art. 46 Abs. 2 lit. b DSGVO nutzbar.
5. **Laufende Pflichten.** Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und zu melden; die Einhaltung ist nach lit. j durch Audits zu überprüfen. Der EDSA erwartet ein **jährliches Update**.

Ein Kohärenzverfahren ist nur erforderlich, wenn die BCR Übermittlungen aus **mehr als einem Mitgliedstaat** abdecken. Beschränken sie sich auf einen Mitgliedstaat ohne erhebliche Auswirkungen auf betroffene Personen in anderen Mitgliedstaaten, entscheidet allein die nach Art. 55 DSGVO zuständige Behörde.

## Aktueller Stand 2026: neue BCR-P-Empfehlungen in Konsultation

Am **15.01.2026** hat der EDSA die **Empfehlungen 1/2026** zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen von **Processor BCR (Art. 47 DSGVO)** angenommen – ausdrücklich **„adopted for public consultation"**, also als Entwurf. Die Konsultation lief bis zum **02.03.2026**. Die Empfehlungen sollen **WP257 rev.01** (Elemente und Grundsätze, 06.02.2018) und **WP265** (Standardantragsformular, 11.04.2018) aufheben und ersetzen und beide Dokumente zu einem einheitlichen Referenzwerk zusammenführen – parallel zu dem, was die **Empfehlungen 1/2022** (Endfassung 2023) bereits für BCR-C geleistet haben.

Für die Praxis sind drei Punkte des Entwurfs relevant:

- Die Empfehlungen werden **erst mit Veröffentlichung der Endfassung** nach der Konsultation wirksam.
- **Neue und laufende BCR-P-Anträge** sollen dann den neuen Anforderungen entsprechen.
- **Bestehende BCR-P-Inhaber** müssen die Anpassungen im Rahmen ihres **jährlichen Updates** vornehmen. Da die Änderungen den Schutz der betroffenen Personen verbessern, löst dieses Update nach Kapitel 3 Abschnitt 11 des Entwurfs **grundsätzlich keine neue Genehmigungspflicht** aus.

Der Entwurf enthält an mehreren Stellen noch **Platzhalter für Stichtage** („to be completed in final version"). Konkrete Übergangsfristen für BCR-P stehen daher zum Stand dieser Seite **noch nicht fest** – die Endfassung ist abzuwarten.

**Stand der Konsultation (geprüft am 14.09.2026):** Die Konsultation ist am **02.03.2026** abgelaufen. Eine **Endfassung der Empfehlungen 1/2026 war am 14.09.2026 nicht auffindbar** – weder als EDSA-Meldung noch in der Ereignischronik des Digital Policy Alert zu diesem Rechtsakt, die mit dem Eintrag „processing consultation" vom 02.03.2026 endet. Maßgeblich bleiben für BCR-P deshalb weiterhin **WP257 rev.01** und **WP265**. Die Reichweite dieses Befundes ist begrenzt: Er belegt, dass an den geprüften Stellen keine Endfassung nachgewiesen ist – nicht, dass keine existiert. Zum Vergleich: Bei den BCR-C-Empfehlungen 1/2022 lagen zwischen Entwurf und Endfassung rund acht Monate.

## BCR im Vergleich zu Standardvertragsklauseln

| Kriterium | BCR (Art. 47) | SCC (Beschluss (EU) 2021/914) |
|---|---|---|
| Anwendungsbereich | Nur **innerhalb** der Unternehmensgruppe | Auch gegenüber **konzernfremden** Empfängern |
| Behördliche Genehmigung | **Erforderlich** (Art. 47 Abs. 1) | **Nicht erforderlich** (Art. 46 Abs. 2 lit. c) |
| Aufwand bis Einsatzfähigkeit | Hoch – Verfahren dauert regelmäßig **mehrere Jahre** | Gering – Vertragsabschluss genügt |
| Änderbarkeit des Textes | Individuell auf die Gruppe zugeschnitten | Kerntext **unveränderlich** |
| Prüfung des Drittlandsrechts | Erforderlich; Meldepflicht nach Art. 47 Abs. 2 lit. m | Erforderlich als **TIA** nach Klausel 14 |
| Verbreitung | Nischeninstrument – **252 Registereinträge** | Standardinstrument der Praxis |

Auch bei genehmigten BCR entfällt die **Prüfung der Rechtslage im Zielland nicht**: Art. 47 Abs. 2 lit. m verpflichtet die Gruppe ausdrücklich, entgegenstehende Drittlandsvorschriften der Aufsichtsbehörde zu melden. Die Maßstäbe des Urteils **Schrems II (EuGH, 16.07.2020, C-311/18)** gelten für alle Garantien nach Art. 46 DSGVO gleichermaßen.

## Häufige Fehler

- **„BCR brauchen keine Genehmigung, weil Art. 46 Abs. 2 sagt ‚ohne besondere Genehmigung'."** Falsch. Die Formulierung in Art. 46 Abs. 2 DSGVO bedeutet nur, dass für die **einzelne Übermittlung** keine Genehmigung nötig ist. Die BCR selbst müssen nach **Art. 47 Abs. 1 DSGVO** einmalig behördlich genehmigt werden.
- **BCR für konzernfremde Empfänger verwendet.** BCR binden nur Mitglieder der Unternehmensgruppe. Für Übermittlungen an externe Dienstleister oder Kunden im Drittland sind SCC oder ein anderes Instrument nach Kapitel V nötig.
- **Haftungsklausel zu schwach formuliert.** Art. 47 Abs. 2 lit. f verlangt eine echte Haftungsübernahme des EU-Mitglieds **mit Beweislast beim Unternehmen**. Klauseln, die die Haftung auf eigenes Verschulden begrenzen oder der betroffenen Person die Beweislast auferlegen, sind nicht genehmigungsfähig.
- **Keine durchsetzbaren Drittbegünstigtenrechte.** Nach Art. 47 Abs. 1 lit. b müssen betroffene Personen die BCR selbst gerichtlich durchsetzen können. Eine rein interne Konzernrichtlinie ohne Drittwirkung erfüllt das nicht.
- **Rechtsgrundlage mit Übermittlungsgarantie verwechselt.** BCR ersetzen nicht Art. 6 DSGVO. Beide Stufen müssen erfüllt sein.
- **Nach der Genehmigung nichts mehr getan.** Art. 47 Abs. 2 lit. j und k verlangen fortlaufende Audits, Änderungsmeldungen und – nach EDSA-Praxis – ein jährliches Update. Wer die BCR einmalig genehmigen lässt und dann einfriert, verliert die Grundlage.
- **Falscher Bußgeldrahmen angenommen.** Verstöße gegen Kapitel V fallen unter **Art. 83 Abs. 5 lit. c DSGVO** (bis 20 Mio. €/4 %), **nicht** unter den niedrigeren Rahmen des Art. 83 Abs. 4.
- **Entwurfsdokumente als geltendes Recht behandelt.** Die EDSA-Empfehlungen **1/2026** zu BCR-P sind zum Stand dieser Seite ein **Konsultationsentwurf mit offenen Stichtagen**, keine verbindliche Endfassung.
- **BCR-C-Kriterien auf BCR-P angewandt.** Für Auftragsverarbeiter-BCR gelten eigene Anforderungen – insbesondere zum Verhältnis zwischen BCR-P und dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

## Änderungsverlauf

- 2026-09-14: Faktencheck-Nachlauf, **freigegeben**. Der einzige Hinderungsgrund vom 13.09.2026 – der Abschluss der Konsultation zu den EDSA-Empfehlungen 1/2026 (BCR-P) war nicht verifiziert – ist aufgelöst, und zwar bestätigend. Befund: Die Konsultation endete am **02.03.2026**; eine **Endfassung war am 14.09.2026 nicht auffindbar**. Geprüft wurden die EDSA-Meldungsseite zum Beschluss vom 15.01.2026 (liefert Prüfabrufen einen leeren Body) sowie die Ereignischronik des Digital Policy Alert zu diesem Rechtsakt (Policy change 17882), die genau drei Stationen führt – 15.01.2026 „under deliberation", 19.01.2026 „in consultation", 02.03.2026 „processing consultation" – und **keinen Eintrag über eine Endfassung** enthält. Die Darstellung der Seite, die Empfehlungen 1/2026 seien ein Konsultationsentwurf mit offenen Stichtagen und WP257 rev.01/WP265 gälten fort, ist damit zum Prüfdatum richtig. Abschnitt „Aktueller Stand 2026" um einen datierten Absatz zum Konsultationsstand ergänzt, der die **Reichweite des Negativbefundes ausdrücklich begrenzt** (nicht nachgewiesen ≠ nicht vorhanden). Der zweite genannte Grund – der Registerstand von **252 Einträgen** schwanke tagesaktuell – ist kein Freigabehindernis: Die Zahl ist an beiden Fundstellen mit dem Abrufdatum 13.09.2026 versehen und damit als Stichtagsangabe gekennzeichnet, nicht als Dauerzustand behauptet. Gleiche Lage wie bei `dsgvo-art-22-automatisierte-entscheidung-schufa` und `eu-ki-verordnung-art-50-transparenzpflichten-kennzeichnung`: Die Seite behauptet zum offenen Punkt keine Rechtslage, sondern weist ihn transparent aus. Keine Sachaussage musste korrigiert werden; die Normangaben (Art. 47 Abs. 1 und Abs. 2 lit. a–n, Art. 64 Abs. 1 lit. f und Abs. 3 mit 8 + 6 Wochen, Art. 83 Abs. 5 lit. c) bleiben unverändert. Quellenlage offengelegt: Der Negativbefund ruht auf einer Sekundärchronik – **Autoritätsniveau B**; die Normaussagen sind unverändert A-belegt. Frontmatter steht jetzt auf ok, last_reviewed 2026-09-14. Neu bewerten, sobald die Endfassung der Empfehlungen 1/2026 veröffentlicht ist. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra-Faktenchecker (Freigabe-Aufholer 14.09.2026)"
- 2026-09-13: Erstveröffentlichung der Faktenseite. Art. 47 DSGVO (Genehmigung im Kohärenzverfahren nach Art. 47 Abs. 1, Mindestkatalog der 14 Pflichtangaben nach Art. 47 Abs. 2 lit. a–n, Haftungsübernahme mit Beweislastumkehr nach lit. f) gegen EUR-Lex gegengeprüft; Genehmigungsverfahren gegen die EU-Kommission (BCR-Seite) und das EDSA-Kooperationsdokument vom 13.03.2025 abgeglichen; EDSA-Empfehlungen 1/2022 (BCR-C) und Konsultationsentwurf 1/2026 (BCR-P, angenommen 15.01.2026, Konsultation bis 02.03.2026) eingeordnet; Registerstand 252 Einträge und deutsche BCR-Lead-Behörden (BW, BY, HE, NW, RP) aus dem EDSA-Register am 13.09.2026 abgerufen; Bußgeldrahmen Art. 83 Abs. 5 lit. c DSGVO; EuGH C-311/18 (Schrems II) über dejure.org-Permalink eingebunden. factcheck_status=review_needed, weil der Abschluss der Konsultation zu den Empfehlungen 1/2026 (Endfassung, Übergangsstichtage) nicht abschließend verifiziert werden konnte und der Registerstand tagesaktuell schwankt. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [EU-Standardvertragsklauseln (SCC, Beschluss (EU) 2021/914)](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)
- [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)
- [Transfer Impact Assessment (TIA)](/fakten/transfer-impact-assessment-tia-schrems-ii.html)
- [EU-US Data Privacy Framework (Beschluss (EU) 2023/1795)](/fakten/eu-us-data-privacy-framework-2023-1795.html)
- [DSGVO Art. 28 – Auftragsverarbeitung](/fakten/dsgvo-auftragsverarbeitung-art-28.html)
- [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)

## Stand

- Stand: 2026-09-14
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
- Offen: Endfassung der EDSA-Empfehlungen 1/2026 zu BCR-P – Konsultation endete 02.03.2026, eine Endfassung war am 14.09.2026 nicht auffindbar (siehe Änderungsverlauf); bis dahin gelten WP257 rev.01 und WP265 fort
- Status: aktuell
- Quellenautorität: A (EUR-Lex, EU-Kommission, EDSA/EDPB, EuGH, BfDI), B (Negativbefund zur Endfassung der Empfehlungen 1/2026 – Sekundärchronik)
- Lizenz: CC BY 4.0

## Quellen

- Verordnung (EU) 2016/679 (DSGVO) – Art. 47 „Verbindliche interne Datenschutzvorschriften", Volltext (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- Verordnung (EU) 2016/679 – amtliche Fassung (ELI, EUR-Lex):
  https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de
- Europäische Kommission – Binding Corporate Rules (BCR), Genehmigungsverfahren und Referenzdokumente:
  https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/binding-corporate-rules-bcr_de
- EDSA/EDPB – Register der genehmigten Binding Corporate Rules:
  https://www.edpb.europa.eu/our-work-tools/accountability-tools/bcr_en
- EDSA/EDPB – Document Setting Forth a Co-Operation procedure for the approval of Binding Corporate Rules for controllers and processors, angenommen 13.03.2025:
  https://www.edpb.europa.eu/our-work-tools/our-documents/procedure/edpb-document-setting-forth-co-operation-procedure-approval_en
- EDSA/EDPB – Empfehlungen 1/2022 zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen von Controller BCR (Art. 47 DSGVO), Endfassung:
  https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-12022-application-approval-and_en
- EDSA/EDPB – Empfehlungen 1/2026 zu Processor BCR (Art. 47 DSGVO), angenommen 15.01.2026 zur öffentlichen Konsultation:
  https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/recommendations-12026-application-approval-and_en
- EDSA/EDPB – Empfehlungen 1/2026, Volltext des Konsultationsentwurfs (PDF):
  https://www.edpb.europa.eu/system/files/2026-01/edpb_recommendations202601_bcr-p_v1_en.pdf
- EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Maßstäbe für Garantien nach Art. 46 DSGVO (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18
- BfDI – Internationale Datenübermittlungen (Grundlagen Kapitel V DSGVO):
  https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html

## Stand

- Letzte Änderung: 2026-09-14
- Letzte Prüfung: 2026-09-14
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0