Gemeinsam Verantwortliche (Art. 26 DSGVO)

Eine gemeinsame Verantwortlichkeit liegt vor, wenn mehrere Verantwortliche die Zwecke und Mittel einer Verarbeitung gemeinsam festlegen. Sie ist von der Auftragsverarbeitung (eine Stelle handelt weisungsgebunden für eine andere) und von der getrennten Verantwortlichkeit (jede Stelle entscheidet eigenständig) zu unterscheiden.

1 Vorliegen einer gemeinsamen Verantwortlichkeit

1.1 Grundbegriff

Die Prüfung verläuft in zwei Schritten. Zunächst ist für jede beteiligte Stelle festzustellen, ob sie überhaupt Verantwortlicher ist, also über Zwecke und wesentliche Mittel mitentscheidet und nicht bloß weisungsgebunden als Auftragsverarbeiter handelt. Erst danach stellt sich die Frage, ob mehrere Verantwortliche die Zwecke und Mittel gemeinsam festlegen.

Erforderlich ist ein gewolltes, bewusstes Zusammenwirken. Verarbeiten mehrere Stellen dieselben Daten rein zufällig nebeneinander, ohne abgestimmte Festlegung, liegt keine gemeinsame, sondern getrennte Verantwortlichkeit vor.

1.2 Kriterien

Die Anforderungen an das Merkmal "gemeinsam" sind nach der Rechtsprechung gering:

• Keine gleichberechtigte Festlegung nötig. Es genügt, dass eine Stelle die Zwecke und Mittel nicht allein bestimmt oder sich der Entscheidung der anderen anschließt. "Gemeinsam" bedeutet "zusammen mit" oder "nicht allein". Die Beteiligten müssen auch nicht dieselben Zwecke verfolgen; es reicht, wenn sich ihre Entscheidungen ergänzen und einander bedingen.
• Untrennbare Verarbeitung. Ein wesentliches Kriterium ist, dass die Verarbeitung ohne das gleichzeitige Mitwirken der Beteiligten nicht möglich wäre, ihre Verarbeitungstätigkeiten also untrennbar miteinander verbunden sind.
• Kein Datenzugriff erforderlich. Eine Stelle kann auch dann mitverantwortlich sein, wenn sie auf die Daten keinen Zugriff hat oder sie nur in anonymisierter oder pseudonymisierter Form erhält. Maßgeblich ist der Einfluss auf die Entscheidung, nicht die Zugriffsmöglichkeit.
• Reichweite begrenzt. Die gemeinsame Verantwortlichkeit reicht nur so weit, wie tatsächlich gemeinsam über das Wofür und das Wie entschieden wird. Besteht ein Vorhaben aus mehreren Arbeitspaketen oder Phasen, sind diese gesondert zu betrachten, wenn sie nicht untrennbar verknüpft sind.
• Zweck oder Mittel genügen. Nach den Auslegungshilfen der Aufsichtsbehörden (EDSA, Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter) muss nicht jede Stelle über Zweck und Mittel zugleich entscheiden. Es genügen einander ergänzende (konvergierende) Entscheidungen, etwa wenn eine Stelle die Mittel bereitstellt und die andere sich entscheidet, diese mitzunutzen, sofern beide einen spürbaren Einfluss auf die Verarbeitung haben.
• Gemeinsamer Vorteil genügt nicht. Ein bloß beiderseitiger, auch wirtschaftlicher Vorteil aus einer Verarbeitung begründet für sich genommen noch keine gemeinsame Verantwortlichkeit; erforderlich bleibt die gemeinsame Festlegung von Zweck und Mitteln.

Die Aufsichtsbehörden verdeutlichen diese Kriterien an Beispielen. Eine gemeinsame Verantwortlichkeit nehmen sie etwa an, wenn ein Reiseunternehmen, eine Hotelkette und eine Fluggesellschaft eine gemeinsame Buchungsplattform aufbauen und zusammen über deren Zwecke und wesentliche Funktionen entscheiden, oder wenn mehrere Unternehmen für eine gemeinsame, co-gebrandete Marketingaktion über die Zielgruppe und die ausgewerteten Daten gemeinsam bestimmen. Auch bei einer Plattform, die Daten für einander ergänzende Forschungszwecke mehrerer Institute bündelt, kann eine gemeinsame Verantwortlichkeit für die Bündelung selbst bestehen. Keine gemeinsame Verantwortlichkeit liegt dagegen vor, wenn ein Dienstleister im Auftrag mehrerer Unternehmen Daten verarbeitet, ohne dass diese Unternehmen untereinander Zwecke und Mittel abstimmen, oder wenn Daten lediglich in einer Kette weitergegeben werden, etwa von einem Arbeitgeber an die Finanzbehörden, die jeweils eigenständig über ihre Verarbeitung entscheiden. Stellt eine Stelle nur ein technisches System oder eine Infrastruktur bereit, ohne über die Zwecke der einzelnen Nutzer mitzuentscheiden, ist sie nicht schon deshalb gemeinsam verantwortlich.

Praktische Anhaltspunkte für eine gemeinsame Verantwortlichkeit sind gemeinsam abgestimmte Zwecke, eine gemeinsam verfasste und befolgte Vorhabenbeschreibung, eine gemeinsam genutzte Infrastruktur (etwa eine gemeinsame Datenbank) sowie komplexe Verarbeitungen mit vielen Beteiligten und unklarer Verantwortungsverteilung.

1.3 Fallgruppen

1.4 Leitentscheidungen des EuGH

Der EuGH hat die gemeinsame Verantwortlichkeit weit ausgelegt und dabei die genannten Kriterien entwickelt.

1.5 Reichweite und praktische Eingrenzung

Die weite Auslegung birgt die Gefahr, die gemeinsame Verantwortlichkeit zu überdehnen. Für die Praxis sind drei Eingrenzungen wichtig:

• Begrenzung auf die gemeinsamen Phasen. Eine Stelle ist nur für die Verarbeitungsvorgänge gemeinsam verantwortlich, über die sie tatsächlich mitentscheidet. Für nachgelagerte Vorgänge, die allein die andere Stelle bestimmt, trägt sie keine Verantwortung (so die Begrenzung in der Fashion-ID-Entscheidung).
• Tatsächliche Einflussmöglichkeit. Maßgeblich ist, ob eine Stelle die Verarbeitung wirklich beeinflussen kann. Wer einer vorgegebenen Verarbeitung nur faktisch ausgesetzt ist, ohne sie steuern zu können, ist nicht schon deshalb gemeinsam verantwortlich.
• Enger Prüfgegenstand. In Zweifelsfällen ist die einzelne Verarbeitungstätigkeit zu einem bestimmten Zweck zu betrachten, nicht die gesamte Zusammenarbeit pauschal. So lässt sich klären, für welche Vorgänge tatsächlich eine gemeinsame Festlegung vorliegt.

2 Vereinbarung zwischen gemeinsam Verantwortlichen

2.1 Pflicht und Form

Gemeinsam Verantwortliche müssen in einer Vereinbarung festlegen, wer von ihnen welche Pflichten der DSGVO erfüllt, insbesondere im Hinblick auf die Wahrnehmung der Betroffenenrechte und die Informationspflichten nach Art. 13 und 14 DSGVO (Art. 26 Abs. 1 S. 2 DSGVO). Eine bestimmte Form ist nicht vorgeschrieben; aus Nachweisgründen ist eine schriftliche oder elektronische Fassung dringend zu empfehlen.

Die Vereinbarung ist nicht konstitutiv: Die gemeinsame Verantwortlichkeit entsteht durch die tatsächliche gemeinsame Festlegung, nicht durch den Vertrag. Fehlt die Vereinbarung, ist dies bußgeldbewehrt (Art. 83 Abs. 4 lit. a DSGVO), macht die Verarbeitung selbst aber nicht rechtswidrig (EuGH, Urt. v. 04.05.2023, C-60/22).

2.2 Mindestinhalt

Die Vereinbarung muss die jeweiligen tatsächlichen Funktionen und Beziehungen der Beteiligten gegenüber den Betroffenen widerspiegeln (Art. 26 Abs. 2 S. 1 DSGVO). Sie kann darüber hinaus weitere Punkte regeln, ähnlich einem Auftragsverarbeitungsvertrag.

Die Pflichten müssen nicht gleichmäßig verteilt werden. Zulässig ist eine asymmetrische Verteilung, bei der eine Stelle bestimmte Aufgaben vollständig übernimmt, etwa die Beantwortung aller Betroffenenanfragen, auch wenn die andere Stelle keinen Datenzugriff hat.

2.3 Bekanntgabe an Betroffene

Das Wesentliche der Vereinbarung ist den Betroffenen zur Verfügung zu stellen (Art. 26 Abs. 2 S. 2 DSGVO). In der Praxis geschieht dies regelmäßig in den Datenschutzhinweisen, die offenlegen, dass eine gemeinsame Verantwortlichkeit besteht, wer beteiligt ist und an wen sich Betroffene wenden können.

2.4 Rechtsfolgen und strategische Erwägungen

Unabhängig von der internen Verteilung kann die betroffene Person ihre Rechte bei und gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3 DSGVO). Nach außen haften gemeinsam Verantwortliche gesamtschuldnerisch (Art. 82 DSGVO); der interne Ausgleich richtet sich nach der Vereinbarung. Die gemeinsame Verantwortlichkeit begründet keine Erleichterung bei der Rechtsgrundlage: Jeder Beteiligte benötigt eine eigene Rechtsgrundlage nach Art. 6 DSGVO, ein Konzernprivileg gibt es nicht.

Anders als bei der Auftragsverarbeitung sind gemeinsam Verantwortliche füreinander Dritte und Empfänger (Art. 4 Nr. 9, 10 DSGVO); die gemeinsame Festlegung der Zwecke privilegiert die Datenweitergabe gerade nicht. Gibt eine Stelle Daten an die andere weiter oder macht sie ihr zugänglich, ist dieser Vorgang daher ein eigenständig zu rechtfertigender Übermittlungsschritt, der eine eigene Rechtsgrundlage nach Art. 6 DSGVO (bei besonderen Kategorien zusätzlich Art. 9 DSGVO) erfordert. Die Vereinbarung nach Art. 26 DSGVO ersetzt diese Rechtsgrundlage nicht, sondern setzt sie voraus.

Jeder gemeinsam Verantwortliche kann zudem allein Adressat von Maßnahmen der Aufsichtsbehörde sein. Verstöße gegen die Pflichten aus Art. 26 DSGVO, insbesondere das Fehlen der Vereinbarung, sind bußgeldbewehrt (Art. 83 Abs. 4 lit. a DSGVO, bis 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes).