Verbindliche interne Datenschutzvorschriften (DSGVO)
Verbindliche interne Datenschutzvorschriften, im englischen Sprachgebrauch binding corporate rules, sind Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein in der Union niedergelassener Verantwortlicher oder Auftragsverarbeiter für Übermittlungen innerhalb seiner Unternehmensgruppe verpflichtet (Art 4 Z 20, Art 47 DSGVO).
Sie sind eines der Instrumente, mit denen die Übermittlung in Drittländer ohne Angemessenheitsbeschluss auf geeignete Garantien gestützt werden kann.
Erforderlich ist die Genehmigung durch die zuständige Aufsichtsbehörde im Kohärenzverfahren, das den Europäischen Datenschutzausschuss einbindet. Das Verfahren ist aufwendig und dauert regelmäßig lange.
Inhaltlich müssen die Vorschriften rechtlich bindend sein, für alle betroffenen Mitglieder der Gruppe gelten und den betroffenen Personen ausdrücklich durchsetzbare Rechte einräumen. Festzulegen sind unter anderem Struktur der Gruppe, Datenkategorien, Verarbeitungszwecke, Umsetzung der Grundsätze, Rechte der Betroffenen, Haftungsregelungen, Beschwerdeverfahren und Schulungen.
Als Alternative stehen vor allem die Standardvertragsklauseln der Kommission zur Verfügung, die weniger Aufwand verursachen, aber weniger auf die Gruppe zugeschnitten sind.