---
title: "Binding Corporate Rules (BCR, Art. 47 VO 2016/679) – Konzerninterne Drittlandtransfers, Genehmigungsverfahren, Pflichtinhalte"
slug: "dsgvo-binding-corporate-rules-art-47"
domaine: "datenschutz"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-09-14"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-binding-corporate-rules-art-47.md
wikidata_subjects: []
factcheck_status: "ok"
---

# Binding Corporate Rules (BCR, Art. 47 VO 2016/679) – Konzerninterne Drittlandtransfers, Genehmigungsverfahren, Pflichtinhalte

## Kurzantwort

**Verbindliche interne Datenschutzvorschriften** (englisch **Binding Corporate Rules, BCR**) sind konzerninterne Datenschutzregeln, mit denen eine Unternehmensgruppe personenbezogene Daten in **Drittländer** übermitteln darf, für die kein Angemessenheitsbeschluss besteht. Rechtsgrundlage sind **Art. 46 Abs. 2 lit. b und Art. 47 der Verordnung (EU) 2016/679 (DSGVO)**.

BCR sind die **einzige geeignete Garantie nach Kapitel V, die eine förmliche behördliche Genehmigung voraussetzt**: Die federführende Aufsichtsbehörde (BCR Lead) genehmigt sie nach Art. 47 Abs. 1 DSGVO im **Kohärenzverfahren nach Art. 63 ff. DSGVO**, nachdem der **Europäische Datenschutzausschuss (EDSA/EDPB)** nach Art. 64 Abs. 1 lit. f DSGVO eine Stellungnahme abgegeben hat. Anders als Standardvertragsklauseln (SCC) wirken BCR nur **innerhalb** der Unternehmensgruppe – für Übermittlungen an konzernfremde Empfänger sind sie kein Instrument.

Damit die Genehmigung erteilt wird, müssen die BCR nach Art. 47 Abs. 1 DSGVO **rechtlich bindend** für jedes Gruppenmitglied einschließlich der Beschäftigten sein, den betroffenen Personen **ausdrücklich durchsetzbare Rechte** einräumen und den **Katalog von 14 Pflichtangaben in Art. 47 Abs. 2 lit. a–n DSGVO** vollständig abbilden. Zentral ist die **Haftungsübernahme nach Art. 47 Abs. 2 lit. f DSGVO**: Das in der EU niedergelassene Gruppenmitglied haftet für Verstöße von Konzerngesellschaften außerhalb der Union – mit **Beweislastumkehr**, denn es wird nur frei, wenn es *nachweist*, dass der Schaden dem betreffenden Mitglied nicht zur Last gelegt werden kann.

Verstöße gegen die Übermittlungsvorschriften des Kapitels V fallen in den **höheren Bußgeldrahmen des Art. 83 Abs. 5 lit. c DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes** – je nachdem, welcher Betrag höher ist.

## Kernfakten

| Punkt | Wert |
|---|---|
| Rechtsgrundlage | Art. 46 Abs. 2 lit. b i. V. m. Art. 47 DSGVO (Verordnung (EU) 2016/679) [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | EU-Verordnung → unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz erforderlich |
| Anwendbar seit | 25.05.2018 (Geltungsbeginn DSGVO, Art. 99 Abs. 2) |
| Zweck | Geeignete Garantie für Drittlandsübermittlungen innerhalb einer Unternehmensgruppe |
| Zwei Typen | BCR-C (Controller, Verantwortliche) und BCR-P (Processor, Auftragsverarbeiter) |
| Genehmigung erforderlich | Ja – Art. 47 Abs. 1 DSGVO; einzige Kapitel-V-Garantie mit behördlichem Genehmigungsakt |
| Genehmigende Stelle | Federführende Aufsichtsbehörde am Sitz der EU-Hauptniederlassung („BCR Lead") |
| Verfahren | Kohärenzverfahren nach Art. 63 ff. DSGVO; EDSA-Stellungnahme nach Art. 64 Abs. 1 lit. f DSGVO |
| Frist EDSA-Stellungnahme | 8 Wochen, bei Komplexität um 6 Wochen verlängerbar [Art. 64 Abs. 3 DSGVO] |
| Pflichtinhalte | 14 Angaben, Art. 47 Abs. 2 lit. a–n DSGVO (abschließender Mindestkatalog) |
| Haftungsregel | Art. 47 Abs. 2 lit. f – EU-Mitglied haftet für Nicht-EU-Mitglieder; Exkulpation nur bei Nachweis |
| Rechte betroffener Personen | Müssen als Drittbegünstigtenrechte durchsetzbar sein, inkl. Rechtsbehelf nach Art. 79 und Schadenersatz |
| Verfahrensdokument EDSA | „Co-Operation procedure for the approval of BCR for controllers and processors", angenommen 13.03.2025 (ersetzt Verfahren vom 11.04.2018) |
| Kriterien BCR-C | EDSA-Empfehlungen 1/2022 (Endfassung 2023) – ersetzen WP256 rev.01 |
| Kriterien BCR-P | EDSA-Empfehlungen 1/2026, angenommen 15.01.2026 zur öffentlichen Konsultation (bis 02.03.2026) – sollen WP257 rev.01 und WP265 ersetzen |
| Wirksamwerden BCR-P-Empfehlungen | Erst mit Veröffentlichung der Endfassung; Anpassung bestehender BCR-P dann im Rahmen des jährlichen Updates |
| Genehmigte BCR (Register) | 252 Einträge im EDSA-Register (Abruf 13.09.2026), inkl. vor der DSGVO genehmigter BCR |
| BCR-Lead-Behörden in Deutschland | Landesbehörden BW, BY, HE, NW, RP (laut EDSA-Register) |
| Pflicht zur jährlichen Aktualisierung | Ja – Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und der Aufsichtsbehörde zu melden |
| Bußgeldrahmen | bis zu 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. c DSGVO] |
| Abgrenzung SCC | SCC gelten auch konzernfremd und brauchen keine Genehmigung; BCR nur konzernintern, aber mit Genehmigung |

## Geltungsbereich

Art. 47 DSGVO erfasst **Unternehmensgruppen** und **Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben**. Erwägungsgrund 110 der DSGVO stellt klar, dass eine solche Gruppe genehmigte BCR für ihre internationalen Übermittlungen nutzen können soll.

Voraussetzung ist eine **Niederlassung in der EU bzw. im EWR**, denn die BCR müssen von einem in der Union niedergelassenen Mitglied getragen werden, das nach Art. 47 Abs. 2 lit. f DSGVO die Haftung übernimmt. Ohne EU-Niederlassung scheiden BCR als Instrument aus; in Betracht kommen dann SCC nach Art. 46 Abs. 2 lit. c oder – eng auszulegen – die Ausnahmen des Art. 49 DSGVO.

Die beiden Typen unterscheiden sich nach der datenschutzrechtlichen Rolle der Gruppe:

- **BCR-C (Controller BCR)** decken Übermittlungen ab, bei denen die Gruppenmitglieder **als Verantwortliche** handeln – typischerweise Beschäftigten-, Kunden- und Lieferantendaten der Gruppe selbst.
- **BCR-P (Processor BCR)** decken Daten ab, die Gruppenmitglieder **als Auftragsverarbeiter für einen gruppenfremden Verantwortlichen** verarbeiten und anschließend an Gruppengesellschaften in Drittländern weiterleiten. Typischer Fall: international tätige IT-Dienstleister und BPO-Anbieter.

Wichtig: BCR ersetzen **nicht** die allgemeine Zulässigkeitsprüfung. Auch bei genehmigten BCR bleibt eine **Rechtsgrundlage nach Art. 6 DSGVO** (ggf. Art. 9 DSGVO) für die Verarbeitung selbst erforderlich; BCR legitimieren lediglich die **zweite Stufe**, also die Übermittlung in das Drittland nach Kapitel V.

## Die 14 Pflichtinhalte nach Art. 47 Abs. 2 DSGVO

Der Katalog ist ein **Mindestkatalog** – fehlt eine Angabe, ist die Genehmigung zu versagen:

| lit. | Pflichtangabe |
|---|---|
| a | Struktur und Kontaktdaten der Unternehmensgruppe und jedes Mitglieds |
| b | Die betreffenden Datenübermittlungen: Datenkategorien, Art und Zwecke der Verarbeitung, Kategorien betroffener Personen, betroffene Drittländer |
| c | **Interne und externe Rechtsverbindlichkeit** der Vorschriften |
| d | Anwendung der allgemeinen Datenschutzgrundsätze (Zweckbindung, Datenminimierung, Speicherbegrenzung, Datenqualität, Privacy by Design/Default, Rechtsgrundlage, besondere Datenkategorien, Datensicherheit, Weiterübermittlung an nicht gebundene Stellen) |
| e | Rechte der betroffenen Personen und Mittel zu deren Ausübung – inkl. Recht nach Art. 22, Beschwerde bei der Aufsichtsbehörde, Rechtsbehelf nach Art. 79, Abhilfe und Schadenersatz |
| f | **Haftungsübernahme** des in der EU niedergelassenen Mitglieds für Verstöße von Nicht-EU-Mitgliedern; Befreiung nur bei **Nachweis** fehlender Verantwortlichkeit |
| g | Information der betroffenen Personen über die BCR – **über Art. 13 und 14 hinaus** |
| h | Aufgaben des Datenschutzbeauftragten bzw. der mit der Überwachung betrauten Stelle |
| i | Beschwerdeverfahren |
| j | Verfahren zur **Überprüfung der Einhaltung** (Datenschutzaudits, Abhilfemaßnahmen); Ergebnisse sind der Aufsichtsbehörde **auf Anfrage** zur Verfügung zu stellen |
| k | Verfahren für Meldung und Erfassung von **Änderungen** und deren Meldung an die Aufsichtsbehörde |
| l | Verfahren für die **Zusammenarbeit mit der Aufsichtsbehörde** |
| m | Meldung **entgegenstehender Rechtsvorschriften eines Drittlands** an die Aufsichtsbehörde, wenn sie sich erheblich nachteilig auf die Garantien auswirken können |
| n | Geeignete **Datenschutzschulungen** für Personal mit ständigem oder regelmäßigem Datenzugang |

## Das Genehmigungsverfahren

Das Verfahren läuft nach dem am **13.03.2025 angenommenen EDSA-Dokument** zur Kooperationsprozedur ab, das die frühere Fassung vom 11.04.2018 (WP263 rev.01) ersetzt:

1. **Bestimmung des BCR Lead.** Zuständig ist grundsätzlich die Aufsichtsbehörde am Sitz der **EU-Hauptniederlassung** der Gruppe. In Deutschland führen laut EDSA-Register die Landesbehörden von **Baden-Württemberg, Bayern, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz** BCR-Verfahren.
2. **Prüfphase beim BCR Lead.** Die Gruppe reicht den Antrag mit dem EDSA-Standardformular ein. Der BCR Lead prüft Vollständigkeit und materielle Anforderungen und arbeitet mit dem Antragsteller auf einen **„consolidated draft"** hin. Zwei weitere Aufsichtsbehörden werden als Co-Reviewer beteiligt.
3. **Kohärenzverfahren, Art. 63 ff. DSGVO.** Der BCR Lead legt den Beschlussentwurf dem EDSA vor. Der EDSA gibt nach **Art. 64 Abs. 1 lit. f DSGVO** eine **Stellungnahme** ab – Frist **8 Wochen**, bei Komplexität um **6 Wochen** verlängerbar (Art. 64 Abs. 3 DSGVO). Die Stellungnahme ist **nicht bindend**; folgt der BCR Lead ihr nicht, kann der EDSA nach Art. 65 DSGVO einen **verbindlichen Beschluss** fassen.
4. **Nationale Genehmigung.** Nach Anpassung der BCR entsprechend der EDSA-Stellungnahme erteilt der BCR Lead die **förmliche Genehmigung** durch nationalen Bescheid. Erst ab diesem Zeitpunkt sind die BCR als Garantie nach Art. 46 Abs. 2 lit. b DSGVO nutzbar.
5. **Laufende Pflichten.** Änderungen sind nach Art. 47 Abs. 2 lit. k zu erfassen und zu melden; die Einhaltung ist nach lit. j durch Audits zu überprüfen. Der EDSA erwartet ein **jährliches Update**.

Ein Kohärenzverfahren ist nur erforderlich, wenn die BCR Übermittlungen aus **mehr als einem Mitgliedstaat** abdecken. Beschränken sie sich auf einen Mitgliedstaat ohne erhebliche Auswirkungen auf betroffene Personen in anderen Mitgliedstaaten, entscheidet allein die nach Art. 55 DSGVO zuständige Behörde.

## Aktueller Stand 2026: neue BCR-P-Empfehlungen in Konsultation

Am **15.01.2026** hat der EDSA die **Empfehlungen 1/2026** zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen von **Processor BCR (Art. 47 DSGVO)** angenommen – ausdrücklich **„adopted for public consultation"**, also als Entwurf. Die Konsultation lief bis zum **02.03.2026**. Die Empfehlungen sollen **WP257 rev.01** (Elemente und Grundsätze, 06.02.2018) und **WP265** (Standardantragsformular, 11.04.2018) aufheben und ersetzen und beide Dokumente zu einem einheitlichen Referenzwerk zusammenführen – parallel zu dem, was die **Empfehlungen 1/2022** (Endfassung 2023) bereits für BCR-C geleistet haben.

Für die Praxis sind drei Punkte des Entwurfs relevant:

- Die Empfehlungen werden **erst mit Veröffentlichung der Endfassung** nach der Konsultation wirksam.
- **Neue und laufende BCR-P-Anträge** sollen dann den neuen Anforderungen entsprechen.
- **Bestehende BCR-P-Inhaber** müssen die Anpassungen im Rahmen ihres **jährlichen Updates** vornehmen. Da die Änderungen den Schutz der betroffenen Personen verbessern, löst dieses Update nach Kapitel 3 Abschnitt 11 des Entwurfs **grundsätzlich keine neue Genehmigungspflicht** aus.

Der Entwurf enthält an mehreren Stellen noch **Platzhalter für Stichtage** („to be completed in final version"). Konkrete Übergangsfristen für BCR-P stehen daher zum Stand dieser Seite **noch nicht fest** – die Endfassung ist abzuwarten.

**Stand der Konsultation (geprüft am 14.09.2026):** Die Konsultation ist am **02.03.2026** abgelaufen. Eine **Endfassung der Empfehlungen 1/2026 war am 14.09.2026 nicht auffindbar** – weder als EDSA-Meldung noch in der Ereignischronik des Digital Policy Alert zu diesem Rechtsakt, die mit dem Eintrag „processing consultation" vom 02.03.2026 endet. Maßgeblich bleiben für BCR-P deshalb weiterhin **WP257 rev.01** und **WP265**. Die Reichweite dieses Befundes ist begrenzt: Er belegt, dass an den geprüften Stellen keine Endfassung nachgewiesen ist – nicht, dass keine existiert. Zum Vergleich: Bei den BCR-C-Empfehlungen 1/2022 lagen zwischen Entwurf und Endfassung rund acht Monate.

## BCR im Vergleich zu Standardvertragsklauseln

| Kriterium | BCR (Art. 47) | SCC (Beschluss (EU) 2021/914) |
|---|---|---|
| Anwendungsbereich | Nur **innerhalb** der Unternehmensgruppe | Auch gegenüber **konzernfremden** Empfängern |
| Behördliche Genehmigung | **Erforderlich** (Art. 47 Abs. 1) | **Nicht erforderlich** (Art. 46 Abs. 2 lit. c) |
| Aufwand bis Einsatzfähigkeit | Hoch – Verfahren dauert regelmäßig **mehrere Jahre** | Gering – Vertragsabschluss genügt |
| Änderbarkeit des Textes | Individuell auf die Gruppe zugeschnitten | Kerntext **unveränderlich** |
| Prüfung des Drittlandsrechts | Erforderlich; Meldepflicht nach Art. 47 Abs. 2 lit. m | Erforderlich als **TIA** nach Klausel 14 |
| Verbreitung | Nischeninstrument – **252 Registereinträge** | Standardinstrument der Praxis |

Auch bei genehmigten BCR entfällt die **Prüfung der Rechtslage im Zielland nicht**: Art. 47 Abs. 2 lit. m verpflichtet die Gruppe ausdrücklich, entgegenstehende Drittlandsvorschriften der Aufsichtsbehörde zu melden. Die Maßstäbe des Urteils **Schrems II (EuGH, 16.07.2020, C-311/18)** gelten für alle Garantien nach Art. 46 DSGVO gleichermaßen.

## Häufige Fehler

- **„BCR brauchen keine Genehmigung, weil Art. 46 Abs. 2 sagt ‚ohne besondere Genehmigung'."** Falsch. Die Formulierung in Art. 46 Abs. 2 DSGVO bedeutet nur, dass für die **einzelne Übermittlung** keine Genehmigung nötig ist. Die BCR selbst müssen nach **Art. 47 Abs. 1 DSGVO** einmalig behördlich genehmigt werden.
- **BCR für konzernfremde Empfänger verwendet.** BCR binden nur Mitglieder der Unternehmensgruppe. Für Übermittlungen an externe Dienstleister oder Kunden im Drittland sind SCC oder ein anderes Instrument nach Kapitel V nötig.
- **Haftungsklausel zu schwach formuliert.** Art. 47 Abs. 2 lit. f verlangt eine echte Haftungsübernahme des EU-Mitglieds **mit Beweislast beim Unternehmen**. Klauseln, die die Haftung auf eigenes Verschulden begrenzen oder der betroffenen Person die Beweislast auferlegen, sind nicht genehmigungsfähig.
- **Keine durchsetzbaren Drittbegünstigtenrechte.** Nach Art. 47 Abs. 1 lit. b müssen betroffene Personen die BCR selbst gerichtlich durchsetzen können. Eine rein interne Konzernrichtlinie ohne Drittwirkung erfüllt das nicht.
- **Rechtsgrundlage mit Übermittlungsgarantie verwechselt.** BCR ersetzen nicht Art. 6 DSGVO. Beide Stufen müssen erfüllt sein.
- **Nach der Genehmigung nichts mehr getan.** Art. 47 Abs. 2 lit. j und k verlangen fortlaufende Audits, Änderungsmeldungen und – nach EDSA-Praxis – ein jährliches Update. Wer die BCR einmalig genehmigen lässt und dann einfriert, verliert die Grundlage.
- **Falscher Bußgeldrahmen angenommen.** Verstöße gegen Kapitel V fallen unter **Art. 83 Abs. 5 lit. c DSGVO** (bis 20 Mio. €/4 %), **nicht** unter den niedrigeren Rahmen des Art. 83 Abs. 4.
- **Entwurfsdokumente als geltendes Recht behandelt.** Die EDSA-Empfehlungen **1/2026** zu BCR-P sind zum Stand dieser Seite ein **Konsultationsentwurf mit offenen Stichtagen**, keine verbindliche Endfassung.
- **BCR-C-Kriterien auf BCR-P angewandt.** Für Auftragsverarbeiter-BCR gelten eigene Anforderungen – insbesondere zum Verhältnis zwischen BCR-P und dem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

## Änderungsverlauf

- 2026-09-14: Faktencheck-Nachlauf, **freigegeben**. Der einzige Hinderungsgrund vom 13.09.2026 – der Abschluss der Konsultation zu den EDSA-Empfehlungen 1/2026 (BCR-P) war nicht verifiziert – ist aufgelöst, und zwar bestätigend. Befund: Die Konsultation endete am **02.03.2026**; eine **Endfassung war am 14.09.2026 nicht auffindbar**. Geprüft wurden die EDSA-Meldungsseite zum Beschluss vom 15.01.2026 (liefert Prüfabrufen einen leeren Body) sowie die Ereignischronik des Digital Policy Alert zu diesem Rechtsakt (Policy change 17882), die genau drei Stationen führt – 15.01.2026 „under deliberation", 19.01.2026 „in consultation", 02.03.2026 „processing consultation" – und **keinen Eintrag über eine Endfassung** enthält. Die Darstellung der Seite, die Empfehlungen 1/2026 seien ein Konsultationsentwurf mit offenen Stichtagen und WP257 rev.01/WP265 gälten fort, ist damit zum Prüfdatum richtig. Abschnitt „Aktueller Stand 2026" um einen datierten Absatz zum Konsultationsstand ergänzt, der die **Reichweite des Negativbefundes ausdrücklich begrenzt** (nicht nachgewiesen ≠ nicht vorhanden). Der zweite genannte Grund – der Registerstand von **252 Einträgen** schwanke tagesaktuell – ist kein Freigabehindernis: Die Zahl ist an beiden Fundstellen mit dem Abrufdatum 13.09.2026 versehen und damit als Stichtagsangabe gekennzeichnet, nicht als Dauerzustand behauptet. Gleiche Lage wie bei `dsgvo-art-22-automatisierte-entscheidung-schufa` und `eu-ki-verordnung-art-50-transparenzpflichten-kennzeichnung`: Die Seite behauptet zum offenen Punkt keine Rechtslage, sondern weist ihn transparent aus. Keine Sachaussage musste korrigiert werden; die Normangaben (Art. 47 Abs. 1 und Abs. 2 lit. a–n, Art. 64 Abs. 1 lit. f und Abs. 3 mit 8 + 6 Wochen, Art. 83 Abs. 5 lit. c) bleiben unverändert. Quellenlage offengelegt: Der Negativbefund ruht auf einer Sekundärchronik – **Autoritätsniveau B**; die Normaussagen sind unverändert A-belegt. Frontmatter steht jetzt auf ok, last_reviewed 2026-09-14. Neu bewerten, sobald die Endfassung der Empfehlungen 1/2026 veröffentlicht ist. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra-Faktenchecker (Freigabe-Aufholer 14.09.2026)"
- 2026-09-13: Erstveröffentlichung der Faktenseite. Art. 47 DSGVO (Genehmigung im Kohärenzverfahren nach Art. 47 Abs. 1, Mindestkatalog der 14 Pflichtangaben nach Art. 47 Abs. 2 lit. a–n, Haftungsübernahme mit Beweislastumkehr nach lit. f) gegen EUR-Lex gegengeprüft; Genehmigungsverfahren gegen die EU-Kommission (BCR-Seite) und das EDSA-Kooperationsdokument vom 13.03.2025 abgeglichen; EDSA-Empfehlungen 1/2022 (BCR-C) und Konsultationsentwurf 1/2026 (BCR-P, angenommen 15.01.2026, Konsultation bis 02.03.2026) eingeordnet; Registerstand 252 Einträge und deutsche BCR-Lead-Behörden (BW, BY, HE, NW, RP) aus dem EDSA-Register am 13.09.2026 abgerufen; Bußgeldrahmen Art. 83 Abs. 5 lit. c DSGVO; EuGH C-311/18 (Schrems II) über dejure.org-Permalink eingebunden. factcheck_status=review_needed, weil der Abschluss der Konsultation zu den Empfehlungen 1/2026 (Endfassung, Übergangsstichtage) nicht abschließend verifiziert werden konnte und der Registerstand tagesaktuell schwankt. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [EU-Standardvertragsklauseln (SCC, Beschluss (EU) 2021/914)](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)
- [Drittlandtransfer nach Schrems II](/fakten/drittlandtransfer-schrems-ii.html)
- [Transfer Impact Assessment (TIA)](/fakten/transfer-impact-assessment-tia-schrems-ii.html)
- [EU-US Data Privacy Framework (Beschluss (EU) 2023/1795)](/fakten/eu-us-data-privacy-framework-2023-1795.html)
- [DSGVO Art. 28 – Auftragsverarbeitung](/fakten/dsgvo-auftragsverarbeitung-art-28.html)
- [DSGVO-Bußgelder](/fakten/dsgvo-bussgelder.html)

## Stand

- Stand: 2026-09-14
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
- Offen: Endfassung der EDSA-Empfehlungen 1/2026 zu BCR-P – Konsultation endete 02.03.2026, eine Endfassung war am 14.09.2026 nicht auffindbar (siehe Änderungsverlauf); bis dahin gelten WP257 rev.01 und WP265 fort
- Status: aktuell
- Quellenautorität: A (EUR-Lex, EU-Kommission, EDSA/EDPB, EuGH, BfDI), B (Negativbefund zur Endfassung der Empfehlungen 1/2026 – Sekundärchronik)
- Lizenz: CC BY 4.0

## Quellen

- Verordnung (EU) 2016/679 (DSGVO) – Art. 47 „Verbindliche interne Datenschutzvorschriften", Volltext (EUR-Lex):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- Verordnung (EU) 2016/679 – amtliche Fassung (ELI, EUR-Lex):
  https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de
- Europäische Kommission – Binding Corporate Rules (BCR), Genehmigungsverfahren und Referenzdokumente:
  https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/binding-corporate-rules-bcr_de
- EDSA/EDPB – Register der genehmigten Binding Corporate Rules:
  https://www.edpb.europa.eu/our-work-tools/accountability-tools/bcr_en
- EDSA/EDPB – Document Setting Forth a Co-Operation procedure for the approval of Binding Corporate Rules for controllers and processors, angenommen 13.03.2025:
  https://www.edpb.europa.eu/our-work-tools/our-documents/procedure/edpb-document-setting-forth-co-operation-procedure-approval_en
- EDSA/EDPB – Empfehlungen 1/2022 zum Antrag auf Genehmigung und zu den Elementen und Grundsätzen von Controller BCR (Art. 47 DSGVO), Endfassung:
  https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-12022-application-approval-and_en
- EDSA/EDPB – Empfehlungen 1/2026 zu Processor BCR (Art. 47 DSGVO), angenommen 15.01.2026 zur öffentlichen Konsultation:
  https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/recommendations-12026-application-approval-and_en
- EDSA/EDPB – Empfehlungen 1/2026, Volltext des Konsultationsentwurfs (PDF):
  https://www.edpb.europa.eu/system/files/2026-01/edpb_recommendations202601_bcr-p_v1_en.pdf
- EuGH, Urteil v. 16.07.2020, C-311/18 (Schrems II) – Maßstäbe für Garantien nach Art. 46 DSGVO (dejure.org):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=16.07.2020&Aktenzeichen=C-311%2F18
- BfDI – Internationale Datenübermittlungen (Grundlagen Kapitel V DSGVO):
  https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Internationaler_Datentransfer.html

## Stand

- Letzte Änderung: 2026-09-14
- Letzte Prüfung: 2026-09-14
- In Kraft seit: 2018-05-25
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0