Im Juni 2003 tauchte der Begriff der ‚Binding Corporate Rules‘ (BCR) erstmals in der EU-Datenschutzgruppe auf. Die Überlegungen richteten sich darauf, ein flexibles Instrument für den Datentransfer zu schaffen, welches zugleich die Vorgaben des Datenschutzgesetzes erfüllen sollte. Das Resultat war ein Verfahren, dass es Unternehmen gestattet, den Datenschutz beim Transfer in Drittstaaten individuell zu gestalten, sofern die angewandten ‚Binding Corporate Rules‘ einige Mindeststandards erfüllen.

Hierzu zählten u.a.:

1. Aufbau und Umsetzung eines Sicherheitskonzeptes 2. Datenschutzschulung von Mitarbeitern 3. Verpflichtende Teilnahme an einem Audit-Programm 4. Leistung von Schadenersatz bei Verstößen 5. Geregeltes Beschwerdeverfahren 6. Zusicherung von Transparenz 7. Festlegung des Geltungsbereichs.

Der Vorteil der Einführung von ‚Corporate Binding Rules‘ schien die Möglichkeit einer individuellen Ausgestaltung der Datenübermittlung in ‚unsichere Drittstaaten‘. Der Nachteil war vor allem der hohe Organisationsaufwand und das langwierige Prüfungsverfahren. Da aber der Datenschutz in der Folge selbst in den ‚sicheren Drittstaaten‘ nicht gewährleistet wurde (s. bspw. Facebook-Skandal und Cambridge Analytica), ersetzt jetzt eine europäische Datenschutzgrundverordnung (DSGVO) die BCR. Die neue Verordnung sieht ungeahnt hohe Strafen für Unternehmen vor, welche den Datenschutz nicht verantwortlich handhaben.