Zusammenfassung

  • Der EDPB sieht keinen nach Artikel 47 DSGVO zu behebenden Punkt im französischen Entscheidungsentwurf zu den verbindlichen internen Datenschutzregeln der Michelin-Gruppe; die CNIL kann den Entwurf wie vorgelegt annehmen.
  • Die Stellungnahme ist weder die abschließende CNIL-Genehmigung noch eine Freigabe konkreter Übermittlungen. Der Exporteur muss die Umstände jedes Transfers weiterhin selbst beurteilen.

Analyse

Die Stellungnahme 24/2026 ist ein Verfahrensschritt, keine pauschale Erlaubnis für Datenübermittlungen. Die CNIL legte als federführende Aufsichtsbehörde ihren Entscheidungsentwurf dem Europäischen Datenschutzausschuss im Kohärenzverfahren der DSGVO vor. Der EDPB prüfte, ob die Binding Corporate Rules für Verantwortliche der Michelin-Gruppe (BCR-C) die Anforderungen aus Artikel 47 und der einschlägigen Ausschuss-Empfehlung enthalten. Er sah keine Bedenken, die ausgeräumt werden müssten, und kam zu dem Schluss, dass die CNIL den Entwurf unverändert annehmen kann.

Die Stellungnahme des Ausschusses und die nationale Entscheidung sind zwei verschiedene Schritte. Der EDPB erteilt keine französische Genehmigung. Die CNIL muss dem Ausschuss binnen zwei Wochen nach Eingang antworten und ihm ihre endgültige Entscheidung für das Register des Kohärenzverfahrens mitteilen. Die für diesen Bericht geprüften öffentlichen Unterlagen umfassen die Stellungnahme vom 13. Oktober; sie belegen nicht, ob später bereits eine endgültige Entscheidung ergangen ist.

Der Entwurf erfasst Übermittlungen von einer EWR-Gesellschaft der Michelin-Gruppe, die als Verantwortliche handelt, an eine Gruppengesellschaft außerhalb des EWR, die dort Verantwortliche oder Auftragsverarbeiterin ist, sowie anschließende Übermittlungen an weitere Gruppengesellschaften außerhalb des EWR. Als möglicherweise betroffene Personen nennt der EDPB unter anderem aktuelle und frühere Beschäftigte, Auftragnehmer, Kunden, Endnutzer, Stakeholder und Lieferanten. Die öffentliche Stellungnahme nennt weder Zielländer noch Volumen, Datensätze oder konkrete Abläufe. Auch der vollständige Regelentwurf liegt ihr nicht bei.

Darin liegt die entscheidende Grenze für die Governance. Verbindliche interne Regeln schaffen gruppenweite, einklagbare Schutzvorgaben und können wiederkehrende konzerninterne Übermittlungen strukturieren. Sie ersetzen jedoch nicht die Prüfung des einzelnen Transfers. Der EDPB erinnert daran, dass der Exporteur, nötigenfalls mit Unterstützung des Importeurs, bewerten muss, ob das Recht des Ziellands die zugesagte Absicherung praktisch zulässt. Falls nicht, sind zusätzliche Maßnahmen zu prüfen.

Eine Genehmigung des Gruppenrahmens kann keine Übermittlung legitimieren, bei der ein im Wesentlichen gleichwertiges Schutzniveau nicht gewährleistet werden kann.

Die Zuständigkeit wird damit geteilt, aber nicht verwischt: Die Aufsicht beurteilt den gemeinsamen Rahmen, der Exporteur die Bedingungen jeder einzelnen Route. Die Stellungnahme beschreibt diese Trennung; sie bewertet keine konkrete Michelin-Übermittlung.

Quellen