Kurzdefinition: Gemeinsam Verantwortliche sind zwei oder mehr Stellen, die gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. Art. 26 DSGVO verpflichtet sie, in einer transparenten Vereinbarung festzulegen, wer welche Pflichten erfüllt. [N-DSGVO-26]
Der Normwortlaut
Art. 26 Abs. 1 DSGVO lautet: „Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung … erfüllt.“ [N-DSGVO-26]
Wann liegt gemeinsame Verantwortlichkeit vor?
Wenn mehrere Stellen gemeinsam über Zwecke und Mittel entscheiden — nicht, wenn eine nur weisungsgebunden für die andere verarbeitet. Das ist die entscheidende Abgrenzung zur Auftragsverarbeitung: Der Auftragsverarbeiter entscheidet nicht mit, gemeinsam Verantwortliche entscheiden zusammen. Typische Fälle sind gemeinsame Plattformen, geteilte Kundendatenbanken oder Kooperationen mit geteilter Datennutzung. [N-DSGVO-26]
Was muss die Vereinbarung regeln?
Wer welche Pflichten der DSGVO erfüllt — insbesondere die Wahrnehmung der Betroffenenrechte und die Informationspflichten. Das Wesentliche der Vereinbarung ist den betroffenen Personen zur Verfügung zu stellen. Die Vereinbarung verteilt die Verantwortung intern, ändert aber nichts daran, dass die betroffene Person ihre Rechte gegenüber jedem der Verantwortlichen geltend machen kann. [N-DSGVO-26]
Können sich Betroffene an jeden der Verantwortlichen wenden?
Ja. Ungeachtet der internen Aufteilung kann die betroffene Person ihre Rechte nach der DSGVO bei und gegenüber jedem einzelnen der gemeinsam Verantwortlichen geltend machen. Die interne Vereinbarung entfaltet also keine Sperrwirkung gegenüber den Betroffenen. [N-DSGVO-26]
Was ist Voraussetzung der gemeinsamen Verantwortlichkeit?
Die gemeinsame Festlegung. Nach Art. 26 Abs. 1 DSGVO liegt gemeinsame Verantwortlichkeit vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Erst dieses Zusammenwirken bei Zweck und Mittel begründet die gemeinsame Verantwortlichkeit. [N-DSGVO-26]
Genügt eine bloße Datenweitergabe?
Nein. Die bloße Übermittlung von Daten begründet für sich keine gemeinsame Verantwortlichkeit. Erforderlich ist die gemeinsame Festlegung von Zwecken und Mitteln der Verarbeitung. [N-DSGVO-26]
Was bezweckt die Vereinbarung?
Klare Zuordnung. Die Vereinbarung legt in transparenter Form fest, wer von den gemeinsam Verantwortlichen welche Verpflichtung erfüllt. Sie schafft damit Klarheit über die Zuständigkeiten — insbesondere bei der Wahrnehmung der Betroffenenrechte. [N-DSGVO-26]
Häufige Fehlannahmen
- „Wer Daten austauscht, ist gemeinsam verantwortlich.“ Nicht zwingend. Erforderlich ist die gemeinsame Festlegung von Zwecken und Mitteln, nicht bloßer Datenaustausch. [N-DSGVO-26]
- „Gemeinsame Verantwortlichkeit und Auftragsverarbeitung sind dasselbe.“ Nein. Der Auftragsverarbeiter entscheidet nicht über Zwecke und Mittel mit. [N-DSGVO-26]
- „Die interne Vereinbarung bindet auch die Betroffenen.“ Nein. Betroffene können ihre Rechte gegenüber jedem der Verantwortlichen geltend machen. [N-DSGVO-26]
- „Eine gemeinsame Verantwortlichkeit braucht keine Absprache.“ Nein. Die Verantwortlichen legen in einer transparenten Vereinbarung fest, wer welche Pflichten erfüllt, insbesondere bei den Betroffenenrechten und den Informationspflichten nach Art. 13 und 14. [N-DSGVO-26]
- „Wer welche Pflicht trägt, ist egal, solange irgendjemand handelt.“ Nein. Die Vereinbarung muss die tatsächlichen Rollen widerspiegeln; für Betroffene kann eine Anlaufstelle benannt werden. [N-DSGVO-26]
Was die Geschäftsleitung tun sollte
- Rolle bestimmen. Entscheidet man mit über Zwecke und Mittel — oder nur weisungsgebunden?
- Vereinbarung schließen. Bei gemeinsamer Verantwortlichkeit eine transparente Vereinbarung nach Art. 26 DSGVO.
- Betroffenenrechte zuordnen. Klar regeln, wer Auskunft und Information übernimmt.
- Wesentliches offenlegen. Den Kern der Vereinbarung den Betroffenen zugänglich machen.
Für die Geschäftsleitung
Gemeinsame Verantwortlichkeit entsteht durch gemeinsame Entscheidung über Zwecke und Mittel — das ist der Trennstrich zur Auftragsverarbeitung. Wer in Kooperationen und auf geteilten Plattformen Daten nutzt, sollte die Rolle früh klären und die Vereinbarung nach Art. 26 DSGVO schließen. Sie verteilt die Pflichten intern, schützt aber nicht davor, dass Betroffene sich an jeden Einzelnen wenden.
Quellen
- [N-DSGVO-26] Art. 26 DSGVO (Gemeinsam Verantwortliche), Abs. 1 bis 3. Konsolidierte Fassung (CELEX 02016R0679-20160504, Berichtigung ►C2). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
