Ein Verbund, viele Gesellschaften: was zentral geht, was bleibt

Eine Pflege-gGmbH, eine Jugendhilfe-gGmbH und eine Service-GmbH unter einer gemeinsamen Leitung, aber jede für sich im Handelsregister eingetragen: Für diese Struktur stellt sich eine Frage, die ein Träger mit nur einer Rechtsperson gar nicht kennt. Was lässt sich für den ganzen Verbund einmal regeln, und was hängt an der einzelnen Gesellschaft, weil das Gesetz dort ansetzt und nicht an der Organisationsstruktur? Die Antwort fällt von Funktion zu Funktion unterschiedlich aus.

Diese Frage stellt sich erst, wenn eine Organisation aus mehreren rechtlich selbstständigen Gesellschaften besteht. Ein Träger mit nur einer Rechtsperson kennt sie nicht, selbst wenn er mehrere Standorte betreibt: Ein Datenschutzbeauftragter, ein Qualitätsmanagementsystem, eine Meldestelle für Hinweise auf Missstände, all das läuft automatisch bei der einen Gesellschaft zusammen, weil es nur diese eine gibt. Auch die Betriebserlaubnis für jeden Standort ist zwar einzeln erteilt, aber die dahinterstehende Rechtsperson bleibt überall dieselbe.

In einem Verbund oder einer Holding laufen Organisation und Rechtsträgerschaft dagegen auseinander. Die Leitung ist gemeinsam, die Rechtspersönlichkeit ist es nicht: Jede Gesellschaft hat einen eigenen Handelsregistereintrag, eine eigene Geschäftsführung und haftet für sich. Damit wird eine Frage nötig, die sich bei nur einer Rechtsperson gar nicht stellt: Welche Funktionen darf die Leitung für den ganzen Verbund einmal regeln, und welche verlangt das Gesetz von jeder Gesellschaft einzeln?

Die Antwort ist nicht einheitlich, sondern hängt an einem einzigen Unterschied. Knüpft eine Vorschrift an die Organisation an, lässt sie sich frei gestalten. Knüpft sie dagegen an den Rechtsträger an, verändert sich daran nichts, solange dieser Rechtsträger derselbe bleibt. Die folgenden Abschnitte gehen diesen Unterschied Funktion für Funktion durch, zuerst das, was sich bündeln lässt.

Drei Funktionen lassen sich für einen Verbund zentral organisieren: der Datenschutzbeauftragte, das Qualitätsmanagement-Zertifikat und die interne Meldestelle für Hinweise auf Missstände. Für jede gilt allerdings eine eigene Bedingung.

Datenschutzbeauftragter

Nach Art. 37 Absatz 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten bestellen, sofern dieser von jeder Niederlassung aus leicht erreichbar ist. Das ist keine Formalie, sondern eine organisatorische Bedingung. Leicht erreichbar heißt: in der Sprache der jeweiligen Gesellschaft ansprechbar, mit tatsächlichem Zugang zu den dortigen Verarbeitungen, nicht nur mit einer E-Mail-Adresse im Impressum. Ist das nicht gegeben, gilt die gemeinsame Bestellung im Zweifel nicht für jede Gesellschaft, und der Verbund braucht doch mehrere Beauftragte.

QM-Zertifikat

Ein Zertifizierungsverfahren, etwa nach ISO 9001 oder im Rahmen einer AZAV-Trägerzulassung, kann im Geltungsbereich mehrere Gesellschaften einschließen, wenn die Zertifizierungsstelle oder die fachkundige Stelle jede einzelne Gesellschaft im Zertifikat ausdrücklich benennt. Das klärt die Stelle, nicht der Verbund allein. Es entbindet außerdem keine Geschäftsführung von ihrer eigenen Managementbewertung für die eigene Gesellschaft. Soll das gemeinsame Zertifikat per Stichprobe über mehrere Standorte geprüft werden, verlangt die Stichprobenregel zusätzlich eine zentrale Managementbewertung für das ganze System, wie der Beitrag Stichprobe statt Vollprüfung zeigt.

Interne Meldestelle

Auch die interne Meldestelle für Hinweise auf Missstände lässt sich zentral organisieren. Nach § 14 Absatz 1 des Hinweisgeberschutzgesetzes, kurz HinSchG, kann jeder Beschäftigungsgeber die Aufgaben seiner internen Meldestelle einem Dritten übertragen. Die Gesetzesbegründung stellt klar, dass dieser Dritte auch eine andere Konzerngesellschaft sein kann, etwa eine Mutter-, Schwester- oder Tochtergesellschaft, die für mehrere rechtlich selbstständige Unternehmen der Gruppe tätig wird (BT-Drucksache 20/3442, S. 79). Das ist ein anderer Weg als der in § 14 Absatz 2 HinSchG, der nur mehreren privaten Beschäftigungsgebern mit 50 bis 249 Beschäftigten eine gemeinsame Stelle erlaubt. In beiden Fällen gilt aber dieselbe Grenze: Die Pflicht, einen gemeldeten Verstoß abzustellen, und die Rückmeldung an die hinweisgebende Person bleiben bei der einzelnen Gesellschaft, nicht bei der zentralen Stelle.

Wo eine Vorschrift dagegen an die einzelne juristische Person anknüpft, hilft keine noch so klare Organisationsstruktur.

AZAV-Trägerzulassung

Grundlage ist § 176 SGB III: Wer Maßnahmen der Arbeitsförderung durchführen will, braucht die Zulassung einer fachkundigen Stelle nach der Akkreditierungs- und Zulassungsverordnung Arbeitsförderung, kurz AZAV. § 2 AZAV nennt für diese Zulassung ausdrücklich natürliche und juristische Personen als Träger. Die Zulassung wird also der einzelnen Gesellschaft erteilt, die den Nachweis erbringt, nicht dem Verbund als Ganzem. Der Wortlaut von § 176 SGB III trifft zur Übertragbarkeit keine Aussage. Klären Sie diese Frage deshalb frühzeitig mit der zuständigen fachkundigen Stelle, statt sie intern zu unterstellen.

Betriebserlaubnis und Versorgungsvertrag

Dieselbe Logik gilt für die Betriebserlaubnis nach § 45 SGB VIII und für Versorgungsverträge im Pflegebereich: Beide hängen an dem Rechtsträger, der die Einrichtung betreibt, nicht an der Struktur, in die er organisatorisch eingebunden ist. Eine neue Gesellschaft im selben Verbund muss deshalb beides eigenständig beantragen, selbst wenn eine Schwestergesellschaft dieselbe Leistung längst erbringt.

Geschäftsführungsverantwortung

Auch die Haftung lässt sich nicht bündeln. Jede Geschäftsführung verantwortet ihre eigene Gesellschaft. Läuft ein Datenfluss zwischen zwei Gesellschaften ohne tragfähige Grundlage, haftet deshalb die Geschäftsführung der betroffenen Gesellschaft dafür, nicht der Verbund als abstrakte Größe. Das gilt unabhängig davon, wie viele weitere Gesellschaften im selben Verbund an der Entscheidung beteiligt waren.

Darf eine Gesellschaft Daten einfach an ihre Schwestergesellschaft weitergeben, weil beide zum selben Verbund gehören? Das ist der häufigste Stolperstein im Datenaustausch zwischen den Gesellschaften eines Verbunds. Die DSGVO kennt kein pauschales Konzernprivileg, also keine automatische Erleichterung für den Datenaustausch innerhalb einheitlich geführter Unternehmensgruppen. Jede rechtlich selbstständige Gesellschaft ist eine eigene datenschutzrechtliche Stelle, auch gegenüber der eigenen Muttergesellschaft. Wer Daten zwischen zwei Gesellschaften desselben Verbunds austauscht, braucht dafür deshalb dieselbe Grundlage wie gegenüber einem fremden Unternehmen.

Zwei Wege stehen offen: eine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, wenn beide Gesellschaften gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden, oder ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, wenn eine Gesellschaft für die andere weisungsgebunden verarbeitet. Dass es keinen automatischen dritten Weg gibt, zeigt sich an einem Beispiel aus der Praxishilfe der deutschen Datenschutzaufsichtsbehörden: Die Zentralisierung bestimmter Shared-Services-Dienstleistungen, etwa einer gemeinsamen Personalverwaltung oder IT, führen sie ausdrücklich als Beispiel für Auftragsverarbeitung auf, und zwar nur, sofern kein Fall gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO vorliegt (Datenschutzkonferenz, Kurzpapier Nr. 13). Eine dritte, vereinbarungsfreie Kategorie für konzerninterne Datenflüsse sehen die Aufsichtsbehörden darin nicht.

Das ist an dieser Stelle keine Einzelfallberatung, sondern der Hinweis, dass eine Vereinbarung überhaupt gebraucht wird. Welche der beiden Formen im Einzelfall passt, hängt an der konkreten Verarbeitung und sollte mit dem eigenen Datenschutzbeauftragten geklärt werden.

Die folgenden acht Schritte übersetzen den Unterschied zwischen Organisation und Rechtsträger in eine konkrete Reihenfolge. Sie richten sich an die Geschäftsführung des Verbunds, nicht an eine einzelne Fachabteilung.

Diese Tabelle bündelt, was die vorigen Abschnitte einzeln erklärt haben, mitsamt den dort genannten Fundstellen. Nutzen Sie sie als schnelle Nachschlagehilfe, wenn Sie über eine einzelne Funktion erneut entscheiden müssen.

Landesrahmenverträge und Vereinbarungen mit Kostenträgern können für einzelne Gesellschaften weitergehende Anforderungen enthalten.

Wie viele Vereinbarungen dafür mindestens nötig sind, hängt von der Zahl der Gesellschaften und vom gewählten Organisationsmodell ab. Der folgende Rechner arbeitet nur in Ihrem Browser, nichts wird übertragen oder gespeichert. Er liefert eine Mindestzahl an Verträgen und eine Merkliste, keine juristische Bewertung Ihres Einzelfalls. Für eine erste Einschätzung reicht das, für eine verbindliche Zuordnung braucht es die Prüfung im Einzelfall.

Wenn diese Übersicht für Ihren Verbund noch nicht vorliegt, würde ich in der kommenden Woche mit der vollständigen Gesellschaftsstruktur beginnen. Lassen Sie zuerst jede Gesellschaft auflisten. Ordnen Sie danach jede Funktion einzeln zu, statt die ganze Frage in einer Sitzung pauschal zu entscheiden. Prüfen Sie insbesondere jeden Datenfluss zwischen den Gesellschaften auf eine tragfähige Grundlage, denn das ist der Punkt, an dem die Bündelungsfrage am leichtesten übersehen wird. Wer diese Zuordnung einmal sauber vornimmt, muss sie bei der nächsten Prüfung oder Zertifizierung nicht neu klären, sondern nur noch nachführen.

Quellen

Stand aller Angaben: 19. September 2026.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen.