Eine Pflege-gGmbH, eine Jugendhilfe-gGmbH und eine Service-GmbH unter einer gemeinsamen Leitung, aber jede für sich im Handelsregister eingetragen: Für diese Struktur stellt sich eine Frage, die ein Träger mit nur einer Rechtsperson gar nicht kennt. Was lässt sich für den ganzen Verbund einmal regeln und was hängt an der einzelnen Gesellschaft, weil das Gesetz dort ansetzt und nicht an der Organisationsstruktur? Die Antwort fällt von Funktion zu Funktion unterschiedlich aus.
Das Wichtigste in Kürze
- Ein Trägerverbund besteht aus mehreren rechtlich selbstständigen Gesellschaften unter einer gemeinsamen Leitung, jede mit eigener Geschäftsführung und eigener Haftung.
- Ein Datenschutzbeauftragter, ein Qualitätsmanagement-Zertifikat und eine Meldestelle für Hinweise auf Missstände lassen sich für den ganzen Verbund zentral organisieren, wenn bestimmte Bedingungen erfüllt sind.
- Zulassungen wie die für Bildungsträger und die Betriebserlaubnis für eine Einrichtung hängen dagegen an der einzelnen Gesellschaft und lassen sich nicht auf den Verbund übertragen.
- Für den Datenaustausch zwischen den Gesellschaften gibt es kein automatisches Konzernprivileg. Jeder Datenfluss braucht eine Rechtsgrundlage, bei Auftragsverarbeitung und gemeinsamer Verantwortung zusätzlich einen Vertrag.
- Wer die eigene Gesellschaftsstruktur noch nicht vollständig dokumentiert hat, sollte damit in den kommenden Wochen beginnen.
Trägerverbund oder Holding bezeichnet in diesem Beitrag mehrere rechtlich selbstständige Gesellschaften unter einer gemeinsamen Leitung, etwa eine Pflege-gGmbH, eine Jugendhilfe-gGmbH und eine Service-GmbH. Jede Gesellschaft ist für sich im Handelsregister eingetragen und hat eine eigene Geschäftsführung, eine eigene Bilanz und eine eigene Haftung. Das Statistische Bundesamt nennt eine einzelne Gesellschaft eine rechtliche Einheit. Mehrere solcher Einheiten können zusammen ein Unternehmen im statistischen Sinn bilden, die wirtschaftlich kleinste Kombination mit eigener Entscheidungsfreiheit. Das ist die statistische Spur eines Verbunds.
Wann stellt sich die Bündelungsfrage?
Diese Frage stellt sich erst, wenn eine Organisation aus mehreren rechtlich selbstständigen Gesellschaften besteht. Ein Träger mit nur einer Rechtsperson kennt sie nicht, selbst wenn er mehrere Standorte betreibt: Ein Datenschutzbeauftragter, ein Qualitätsmanagementsystem, eine Meldestelle für Hinweise auf Missstände, all das läuft automatisch bei der einen Gesellschaft zusammen, weil es nur diese eine gibt. Auch die Betriebserlaubnis für jeden Standort ist zwar einzeln erteilt, aber die dahinterstehende Rechtsperson bleibt überall dieselbe.
In einem Verbund oder einer Holding laufen Organisation und Rechtsträgerschaft dagegen auseinander. Die Leitung ist gemeinsam, die Rechtspersönlichkeit ist es nicht: Jede Gesellschaft hat einen eigenen Handelsregistereintrag, eine eigene Geschäftsführung und haftet für sich. Damit wird eine Frage nötig, die sich bei nur einer Rechtsperson gar nicht stellt: Welche Funktionen darf die Leitung für den ganzen Verbund einmal regeln und welche verlangt das Gesetz von jeder Gesellschaft einzeln?
Die Antwort ist nicht einheitlich, sondern hängt an einem einzigen Unterschied. Knüpft eine Vorschrift an die Organisation an, lässt sich die Organisationsstruktur frei gestalten. Knüpft sie dagegen an den Rechtsträger an, verändert sich daran nichts, solange dieser Rechtsträger derselbe bleibt. Die folgenden Abschnitte gehen diesen Unterschied Funktion für Funktion durch, zuerst das, was sich bündeln lässt.
Was lässt sich zentral bündeln?
Drei Funktionen lassen sich für einen Verbund zentral organisieren: der Datenschutzbeauftragte, das Qualitätsmanagement-Zertifikat und die interne Meldestelle für Hinweise auf Missstände. Für jede gilt allerdings eine eigene Bedingung.
Datenschutzbeauftragter
Nach Art. 37 Absatz 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten bestellen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Das ist keine Formalie, sondern eine organisatorische Bedingung. Leicht erreichbar heißt: in der Sprache der jeweiligen Gesellschaft ansprechbar, mit tatsächlichem Zugang zu den dortigen Verarbeitungen, nicht nur mit einer E-Mail-Adresse im Impressum. Ist das nicht gegeben, gilt die gemeinsame Bestellung im Zweifel nicht für jede Gesellschaft und der Verbund braucht doch mehrere Beauftragte.
QM-Zertifikat
Ein Zertifizierungsverfahren, etwa nach ISO 9001, kann im Geltungsbereich mehrere Gesellschaften einschließen, wenn die Zertifizierungsstelle oder die fachkundige Stelle jede einzelne Gesellschaft im Zertifikat ausdrücklich benennt. Das klärt die Stelle, nicht der Verbund allein. Es entbindet außerdem keine Geschäftsführung von ihrer eigenen Managementbewertung für die eigene Gesellschaft. Soll das gemeinsame Zertifikat per Stichprobe über mehrere Standorte geprüft werden, verlangt die Stichprobenregel zusätzlich eine zentrale Managementbewertung für das ganze System, wie der Beitrag Stichprobe statt Vollprüfung zeigt.
Interne Meldestelle
Auch die interne Meldestelle für Hinweise auf Missstände lässt sich zentral organisieren. Nach § 14 Absatz 1 des Hinweisgeberschutzgesetzes, kurz HinSchG, kann jeder Beschäftigungsgeber die Aufgaben seiner internen Meldestelle einem Dritten übertragen. Die Gesetzesbegründung stellt klar, dass dieser Dritte auch eine andere Konzerngesellschaft sein kann, etwa eine Mutter-, Schwester- oder Tochtergesellschaft, die für mehrere rechtlich selbstständige Unternehmen der Gruppe tätig wird (BT-Drucksache 20/3442, S. 79). Das ist ein anderer Weg als der in § 14 Absatz 2 HinSchG, der nur mehreren privaten Beschäftigungsgebern mit 50 bis 249 Beschäftigten eine gemeinsame Stelle erlaubt. In beiden Fällen gilt aber dieselbe Grenze: Die Pflicht, einen gemeldeten Verstoß abzustellen, bleibt bei der einzelnen Gesellschaft, nicht bei der zentralen Stelle. Bei der gemeinsamen Stelle nach Absatz 2 gilt das ausdrücklich auch für die Rückmeldung an die hinweisgebende Person.
Beispiel
Angenommen, die Service-GmbH des Verbunds führt die interne Meldestelle für alle drei Gesellschaften. Geht eine Meldung ein, die eine Situation in der Pflege-gGmbH betrifft, prüft die Service-GmbH sie. Den gemeldeten Missstand abstellen muss trotzdem die Pflege-gGmbH selbst, denn diese Pflicht kann die Service-GmbH als Dritte nicht übernehmen.
Was bleibt an der einzelnen Gesellschaft hängen?
Wo eine Vorschrift dagegen an die einzelne juristische Person anknüpft, hilft keine noch so klare Organisationsstruktur.
AZAV-Trägerzulassung
Grundlage ist § 176 SGB III: Wer Maßnahmen der Arbeitsförderung durchführen will, braucht die Zulassung einer fachkundigen Stelle nach der Akkreditierungs- und Zulassungsverordnung Arbeitsförderung, kurz AZAV. § 2 AZAV nennt für diese Zulassung ausdrücklich natürliche und juristische Personen als Träger. Die Zulassung wird also der einzelnen Gesellschaft erteilt, die den Nachweis erbringt, nicht dem Verbund als Ganzem. Der Wortlaut von § 176 SGB III trifft zur Übertragbarkeit keine Aussage. Klären Sie diese Frage deshalb frühzeitig mit der zuständigen fachkundigen Stelle, statt sie intern zu unterstellen.
Beispiel
Angenommen, der Verbund gründet eine neue Bildungs-gGmbH für einen Kurs der Arbeitsförderung. Die AZAV-Zulassung der Schwestergesellschaft gilt für diese neue Gesellschaft nicht automatisch mit. Die neue gGmbH muss die Zulassung bei der fachkundigen Stelle selbst beantragen, auch wenn dieselbe Leitung beide Gesellschaften führt.
Betriebserlaubnis und Versorgungsvertrag
Dieselbe Logik gilt für die Betriebserlaubnis nach § 45 SGB VIII und für Versorgungsverträge im Pflegebereich: Beide hängen an dem Rechtsträger, der die Einrichtung betreibt, nicht an der Struktur, in die er organisatorisch eingebunden ist. Eine neue Gesellschaft im selben Verbund muss deshalb beides eigenständig beantragen, selbst wenn eine Schwestergesellschaft dieselbe Leistung längst erbringt.
Geschäftsführungsverantwortung
Auch die Haftung lässt sich nicht bündeln. Jede Geschäftsführung verantwortet ihre eigene Gesellschaft. Läuft ein Datenfluss zwischen zwei Gesellschaften ohne tragfähige Grundlage, haftet deshalb die Geschäftsführung der betroffenen Gesellschaft dafür, nicht der Verbund als abstrakte Größe. Das gilt unabhängig davon, wie viele weitere Gesellschaften im selben Verbund an der Entscheidung beteiligt waren.
Eine Organisationsstruktur ist gestaltbar. Ein Rechtsträger ist es nicht. Jede Bündelungsfrage lässt sich an diesem Unterschied entlang beantworten.
Warum gibt es kein Konzernprivileg für den Datenaustausch?
Darf eine Gesellschaft Daten einfach an ihre Schwestergesellschaft weitergeben, weil beide zum selben Verbund gehören? Die DSGVO kennt kein pauschales Konzernprivileg, also keine automatische Erleichterung für den Datenaustausch innerhalb einheitlich geführter Unternehmensgruppen. Jede rechtlich selbstständige Gesellschaft ist eine eigene datenschutzrechtliche Stelle, auch gegenüber der eigenen Muttergesellschaft. Wer Daten zwischen zwei Gesellschaften desselben Verbunds austauscht, braucht dafür deshalb dieselbe Grundlage wie gegenüber einem fremden Unternehmen.
Welche Grundlage passt, hängt an der Rolle der Gesellschaften bei der einzelnen Verarbeitung. Es gibt drei Konstellationen. Verarbeitet eine Gesellschaft weisungsgebunden für eine andere, braucht es einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO).
Entscheiden mehrere Gesellschaften gemeinsam über Zwecke und Mittel einer Verarbeitung, sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung fest, wer welche Pflichten erfüllt, und diese eine Vereinbarung kann alle beteiligten Gesellschaften zugleich erfassen (Art. 26 DSGVO).
Gibt eine Gesellschaft Daten an eine Schwestergesellschaft weiter, die sie für eigene Zwecke verarbeitet, braucht diese Übermittlung keinen der beiden Verträge, wohl aber eine Rechtsgrundlage, bei Gesundheitsdaten zusätzlich eine Ausnahme nach Art. 9 DSGVO. Dass Unternehmen einer Gruppe ein berechtigtes Interesse an Übermittlungen für interne Verwaltungszwecke haben können, erkennt die DSGVO zwar an (Erwägungsgrund 48). Das ersetzt aber weder die Abwägung im Einzelfall noch genügt es für Gesundheitsdaten.
Wie die Aufsichtsbehörden typische Konzernfälle einordnen, zeigt ihre Praxishilfe: Die Zentralisierung bestimmter Shared-Services-Dienstleistungen, etwa einer gemeinsamen Personalverwaltung oder IT, führen sie als Beispiel für Auftragsverarbeitung auf, sofern kein Fall gemeinsamer Verantwortlichkeit vorliegt (Datenschutzkonferenz, Kurzpapier Nr. 13).
Beispiel
Angenommen, die Service-GmbH führt für die Pflege-gGmbH nach deren Weisung die Lohnbuchhaltung durch. Dann ist die Service-GmbH Auftragsverarbeiterin und beide Gesellschaften brauchen dafür einen Vertrag nach Art. 28 DSGVO. Entscheiden beide Gesellschaften dagegen gemeinsam, welche Kennzahlen sie zu welchem Zweck auswerten, sind sie stattdessen gemeinsam Verantwortliche nach Art. 26 DSGVO.
Das ist an dieser Stelle keine Einzelfallberatung, sondern der Hinweis, dass jeder Datenfluss eine geprüfte Grundlage braucht. Welche der drei Konstellationen im Einzelfall vorliegt, hängt an der konkreten Verarbeitung und sollte mit dem eigenen Datenschutzbeauftragten geklärt werden.
Wie gehen Sie die Bündelung Schritt für Schritt an?
Die folgenden acht Schritte übersetzen den Unterschied zwischen Organisation und Rechtsträger in eine konkrete Reihenfolge. Sie richten sich an die Geschäftsführung des Verbunds, nicht an eine einzelne Fachabteilung.
Gesellschaftsstruktur vollständig erfassen lassen
Lassen Sie jede Gesellschaft des Verbunds mit Rechtsform, Handelsregisternummer und Tätigkeitsfeld auflisten, bevor Sie über Bündelung entscheiden.
Jede Funktion einordnen
Entscheiden Sie für Datenschutz, QM, Meldestelle, IT, Personal und Zulassungen einzeln, ob die Funktion an der Organisation oder am Rechtsträger hängt.
Meldestelle beauftragen
Legen Sie fest, welche Gesellschaft als Dritte im Sinn von § 14 Absatz 1 HinSchG die Meldestelle für den Verbund führt, und lassen Sie schriftlich festhalten, dass die Abhilfepflicht bei der einzelnen Gesellschaft bleibt.
Datenflüsse klären lassen
Lassen Sie für jeden gesellschaftsübergreifenden Datenfluss Rolle und Rechtsgrundlage festhalten, bei Auftragsverarbeitung oder gemeinsamer Verantwortung samt Vertrag nach Art. 28 oder Art. 26 DSGVO, bevor der Fluss produktiv geht.
Erreichbarkeit des Datenschutzbeauftragten prüfen lassen
Lassen Sie prüfen, ob ein gemeinsamer Datenschutzbeauftragter von jeder Gesellschaft aus im Sinn von Art. 37 Absatz 2 DSGVO tatsächlich leicht erreichbar ist, nicht nur formal benannt.
Geltungsbereich des QM-Systems festlegen
Bestimmen Sie, welche Gesellschaften ein gemeinsames Zertifikat trägt, und halten Sie die Zuständigkeit jeder Geschäftsführung für ihre eigene Managementbewertung fest.
Zulassungen dem Rechtsträger zuordnen
Ordnen Sie jede AZAV-Trägerzulassung, jede Betriebserlaubnis und jeden Versorgungsvertrag der jeweiligen Gesellschaft zu und lassen Sie das bei neuen Gesellschaften mit der zuständigen fachkundigen Stelle abgleichen.
Bündelungskarte dokumentieren und aktualisieren
Lassen Sie die fertige Übersicht dokumentieren und bei jeder Änderung der Gesellschaftsstruktur, etwa einer Neugründung oder einer Verschmelzung, nachführen. Die Zeilen dafür gibt die Checkliste zur Bündelungskarte vor.
Übersicht: was zentral geht, was bleibt
Diese Tabelle bündelt, was die vorigen Abschnitte einzeln erklärt haben, mitsamt den dort genannten Fundstellen. Nutzen Sie sie als schnelle Nachschlagehilfe, wenn Sie über eine einzelne Funktion erneut entscheiden müssen.
| Bereich | Zentral bündelbar | Rechtsgrundlage | Kurz |
|---|---|---|---|
| Datenschutzbeauftragter | Ja | Art. 37 Abs. 2 DSGVO | Muss von jeder Gesellschaft aus leicht erreichbar sein. |
| Datenfluss zwischen Gesellschaften | Nur mit Rechtsgrundlage | Art. 6, bei Gesundheitsdaten Art. 9 DSGVO; dazu Art. 28 oder Art. 26 DSGVO, wo sie greifen | Kein Konzernprivileg. Eine Vereinbarung nach Art. 26 kann alle beteiligten Gesellschaften erfassen. |
| Interne Meldestelle | Ja, über einen Dritten | § 14 Abs. 1 HinSchG; BT-Drs. 20/3442, S. 79 | Abhilfepflicht bleibt bei der einzelnen Gesellschaft. |
| QM-Zertifikat, Geltungsbereich | Ja, wenn jede Gesellschaft benannt ist | Vereinbarung mit der Zertifizierungsstelle | Managementbewertung bleibt Sache jeder Geschäftsführung. |
| AZAV-Trägerzulassung | Nein | § 176 SGB III; § 2 AZAV | An der einzelnen juristischen Person, neue Gesellschaft braucht eigene Zulassung. |
| Betriebserlaubnis | Nein | § 45 SGB VIII | Am Rechtsträger der jeweiligen Einrichtung. |
| Geschäftsführungshaftung | Nein | Gesellschaftsrecht der jeweiligen Rechtsform | Jede Geschäftsführung haftet für ihre eigene Gesellschaft. |
Landesrahmenverträge und Vereinbarungen mit Kostenträgern können für einzelne Gesellschaften weitergehende Anforderungen enthalten.
Checkliste: Bündelungskarte für den Verbund
Die Bündelungskarte aus dem letzten Schritt hält fest, welche Gesellschaft welche Funktion trägt und auf welcher Grundlage Daten zwischen den Gesellschaften fließen. Die Checkliste gibt die Zeilen und das jeweils Festzuhaltende vor. Im Ausdruck erscheinen zusätzlich leere Spalten, in die Sie für Ihren Verbund eintragen, wo die Funktion liegt, ob Nachweis oder Vertrag vorhanden sind und wer zuständig ist.
Die Zahl der nötigen Verträge lässt sich daraus nicht ableiten: Verträge richten sich nach Verarbeitungen und Rollen, nicht nach Gesellschaftspaaren. Die Checkliste ersetzt keine Rechtsberatung im Einzelfall.
| Funktion | Was festzuhalten ist | Bei uns: Gesellschaft oder zentral | Nachweis oder Vertrag vorhanden | Zuständig |
|---|---|---|---|---|
| 1. Gesellschaften des Verbunds | jede Gesellschaft mit Rechtsform, Handelsregisternummer und Tätigkeitsfeld | |||
| 2. Datenschutzbeauftragter | gemeinsam bestellt oder je Gesellschaft; leichte Erreichbarkeit von jeder Niederlassung aus belegt (Art. 37 Abs. 2 DSGVO) | |||
| 3. Interne Meldestelle | welche Gesellschaft sie als Dritte führt (§ 14 Abs. 1 HinSchG); schriftlich festgehalten, dass die Pflicht, Verstöße abzustellen, bei der einzelnen Gesellschaft bleibt | |||
| 4. QM-Geltungsbereich | welche Gesellschaften im Zertifikat ausdrücklich benannt sind; wer je Gesellschaft die Managementbewertung verantwortet | |||
| 5. AZAV-Trägerzulassung | welche Gesellschaft sie hält; bei einer neuen Gesellschaft mit der fachkundigen Stelle geklärt | |||
| 6. Betriebserlaubnis | je Einrichtung der Rechtsträger, der sie betreibt (§ 45 SGB VIII) | |||
| 7. Versorgungsvertrag Pflege | je Pflegeeinrichtung der Rechtsträger, mit dem der Vertrag besteht | |||
| 8. Datenflüsse zwischen Gesellschaften | je Verarbeitung die beteiligten Gesellschaften, ihre Rolle (Auftragsverarbeitung, gemeinsame Verantwortung oder Übermittlung an eine eigenständig verantwortliche Gesellschaft), die Rechtsgrundlage und, wo nötig, der Vertrag nach Art. 28 oder Art. 26 DSGVO | |||
| 9. Änderungen der Struktur | bei Neugründung, Verschmelzung oder Übertragung einer Einrichtung die Karte nachführen, mit Datum |
Grundlage: die in den Abschnitten zuvor genannten Vorschriften, Stand 19. September 2026. Landesrecht, Landesrahmenverträge und Vereinbarungen mit Kostenträgern können für einzelne Gesellschaften weitergehende Anforderungen enthalten.
Was in den nächsten Wochen zu tun ist
Wenn diese Übersicht für Ihren Verbund noch nicht vorliegt, würde ich in der kommenden Woche mit der vollständigen Gesellschaftsstruktur beginnen. Lassen Sie zuerst jede Gesellschaft auflisten. Ordnen Sie danach jede Funktion einzeln zu, statt die ganze Frage in einer Sitzung pauschal zu entscheiden. Prüfen Sie insbesondere jeden Datenfluss zwischen den Gesellschaften auf eine tragfähige Grundlage, denn dort greift keine der zentralen Lösungen von selbst. Wer diese Zuordnung einmal sauber vornimmt, muss sie bei der nächsten Prüfung oder Zertifizierung nicht neu klären, sondern nur noch nachführen.
Häufige Fragen
Brauchen wir für jede Gesellschaft im Verbund einen eigenen Datenschutzbeauftragten?
Nein, das ist nicht zwingend. Nach Art. 37 Absatz 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten bestellen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Das ist eine organisatorische Frage, keine juristische Formsache: Sprache, Erreichbarkeit und Zuständigkeit müssen für jede Gesellschaft tatsächlich gegeben sein.
Reicht ein QM-Zertifikat für alle Gesellschaften unseres Verbunds?
Nur wenn jede einzelne Gesellschaft im Geltungsbereich des Zertifikats ausdrücklich benannt ist. Das klärt die Zertifizierungsstelle oder die fachkundige Stelle, nicht der Verbund allein. Unabhängig vom Zertifikat bleibt jede Geschäftsführung für die Managementbewertung ihrer eigenen Gesellschaft zuständig.
Gilt ein Konzernprivileg auch für Daten zwischen unseren Gesellschaften?
Nein, die DSGVO kennt kein pauschales Konzernprivileg. Jede rechtlich selbstständige Gesellschaft ist eine eigene datenschutzrechtliche Stelle, auch gegenüber der eigenen Muttergesellschaft. Jeder Datenfluss zwischen den Gesellschaften braucht deshalb eine Rechtsgrundlage, bei Auftragsverarbeitung oder gemeinsamer Verantwortung zusätzlich einen Vertrag nach Art. 28 oder Art. 26 DSGVO.
Kann unsere AZAV-Zulassung von einer Gesellschaft auf eine neue Gesellschaft im selben Verbund übertragen werden?
Das ist im Wortlaut von § 176 SGB III nicht ausdrücklich geregelt. Die Zulassung nach § 2 AZAV wird der einzelnen natürlichen oder juristischen Person erteilt, die den Nachweis erbringt, nicht dem Verbund als Ganzem. Klären Sie das für eine neue Gesellschaft frühzeitig mit der zuständigen fachkundigen Stelle, statt es zu unterstellen.
Muss jede Tochtergesellschaft eine eigene Meldestelle nach dem Hinweisgeberschutzgesetz einrichten?
Nicht zwingend. Nach § 14 Absatz 1 HinSchG kann jeder Beschäftigungsgeber die Aufgaben seiner internen Meldestelle einem Dritten übertragen. Laut der Gesetzesbegründung kann dieser Dritte auch eine andere Konzerngesellschaft sein, die für mehrere rechtlich selbstständige Unternehmen der Gruppe tätig wird. Die Pflicht, einen Verstoß abzustellen, verbleibt dabei bei der einzelnen Gesellschaft.
Wer haftet, wenn die zentrale Service-Gesellschaft Personaldaten für den ganzen Verbund verarbeitet?
Verarbeitet die Service-Gesellschaft im Auftrag, ist sie Auftragsverarbeiterin nach Art. 28 DSGVO und die Verantwortung bleibt bei der jeweils beauftragenden Gesellschaft. Entscheiden beide gemeinsam über Zwecke und Mittel, sind sie gemeinsam Verantwortliche nach Art. 26 DSGVO und beide haften. Fehlt der dafür nötige Vertrag, ist die Konstruktion nicht datenschutzkonform.
Zum Weiterlesen
- Stichprobe statt Vollprüfung: Wenn ein Standort alle gefährdetFür ein gemeinsames Zertifikat im Verbund: wann per Stichprobe geprüft wird und was die zentrale Funktion leisten muss.
- Leistung: System-CheckVor einer Erstzertifizierung nach ISO 9001 nimmt der System-Check auf, welche Funktion bei welcher Gesellschaft des Verbunds liegt.
Quellen
- Statistisches Bundesamt, Glossar: Rechtliche Einheiten und Unternehmen, abgerufen am 19.09.2026.
- Bundesamt für Justiz, gesetze-im-internet.de, abgerufen am 19.09.2026: § 14 HinSchG, § 176 SGB III, § 45 SGB VIII, § 2 AZAV.
- Deutscher Bundestag: Gesetzesbegründung zum HinSchG, BT-Drucksache 20/3442, S. 79 (2022), zur Konzerngesellschaft als Dritter im Sinn von § 14 Abs. 1 HinSchG.
- Datenschutzkonferenz der deutschen Aufsichtsbehörden: Kurzpapier Nr. 13, Auftragsverarbeitung, Art. 28 DS-GVO, Stand 16.01.2018, zur Zentralisierung von Shared-Services-Dienstleistungen im Konzern.
- Verordnung (EU) 2016/679 (DSGVO): Art. 6, Art. 9, Art. 26, Art. 28, Art. 37 und Erwägungsgrund 48 (abgerufen am 24.09.2026).
Stand aller Angaben: 19. September 2026.
Hinweis
Dieser Beitrag erklärt Rechtslage und Verfahren zum Stand 19. September 2026 und ersetzt keine Rechtsberatung im Einzelfall. Landesrecht, Landesrahmenverträge und Vereinbarungen mit Kostenträgern können weitergehende Anforderungen enthalten.
Christian Monat
Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich
