Die konzerninterne Übermittlung von Personendaten ist im Datenschutzrecht nicht privilegiert, d.h. sie wird behandelt wie eine Übermittlung zwischen unabhängigen Unternehmen. Eine Bekanntgabe von Personendaten an einen Dritten liegt vor, wenn der Dritte (das können auch Konzerngesellschaften sein) die Daten nicht ausschliesslich für Zwecke und im Auftrag des übermittelnden Dateninhabers bearbeitet, sondern sie auch für eigene Zwecke benützt. Eine solche Bekanntgabe ist nur zulässig, wenn sie vom Zweck gedeckt ist, der bei der seinerzeitigen Beschaffung der Personendaten angegeben oder für die betroffene Person erkennbar war. Strengere Anforderungen gelten bei der Bekanntgabe von besonders schützenswerten Personendaten, die nur bei Vorliegen eines Rechtfertigungsgrundes zulässig ist.
