Verbindliche interne Datenschutzvorschriften

Begriffsbestimmung nach Artikel 4 der DSGVO

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

„verbindliche interne Datenschutzvorschriften“ Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern;

Erläuterung

Verbindliche interne Datenschutzvorschriften werden häufig als Binding Corporate Rules (BCR) bezeichnet. Sie können unter den Voraussetzungen der DSGVO geeignete Garantien für bestimmte Übermittlungen personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe mit gemeinsamer Wirtschaftstätigkeit in Drittländer schaffen.

Eine selbst formulierte interne Richtlinie reicht dafür nicht aus. Artikel 47 verlangt unter anderem rechtliche Bindung, durchsetzbare Rechte der betroffenen Personen, festgelegte Mindestinhalte und die Genehmigung durch die zuständige Aufsichtsbehörde im vorgesehenen Verfahren.

BCR betreffen die von ihnen erfassten Übermittlungen. Sie ersetzen weder eine Rechtsgrundlage für die Verarbeitung noch die übrigen Pflichten der DSGVO.

Quellen: DSGVO – amtlicher Verordnungstext. Geprüft am 27. Oktober 2026.