Gemeinsam Verantwortliche (Joint Controller, Art. 26 DSGVO)

Kurz beantwortet: Legen zwei Unternehmen gemeinsam Zweck und Mittel einer Datenverarbeitung fest, sind sie gemeinsam Verantwortliche und brauchen eine transparente Vereinbarung nach Art. 26 DSGVO, keine AVV. Betroffene können ihre Rechte dabei gegenüber jedem der Verantwortlichen geltend machen, unabhängig von der internen Aufteilung.

Wann liegt gemeinsame Verantwortlichkeit vor?

Nicht jede Zusammenarbeit mit Datenbezug ist eine Auftragsverarbeitung. Manchmal entscheiden zwei Unternehmen gemeinsam, wozu und wie Daten verarbeitet werden, dann sind sie gemeinsam Verantwortliche, und es gelten andere Regeln als bei der AVV. Wer die falsche Konstruktion wählt, baut den ganzen Datenschutz auf dem falschen Fundament. Die Abgrenzung ist deshalb einer der häufigsten Praxisfehler.

Nach Art. 26 Abs. 1 DSGVO sind zwei oder mehr Verantwortliche gemeinsam verantwortlich, wenn sie gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Das ist der entscheidende Unterschied zur Auftragsverarbeitung: Der Auftragsverarbeiter verarbeitet weisungsgebunden für einen fremden Zweck (Art. 28 DSGVO). Beim Joint Controlling bestimmen beide Seiten gemeinsam über das „Warum“ und „Wie“. Typische Fälle sind gemeinsame Plattformen, geteilte Marketing-Aktionen, manche Analyse- und Tracking-Konstellationen oder Kooperationsprojekte mit geteilter Datennutzung.

Welche Vereinbarung verlangt das Gesetz?

Liegt gemeinsame Verantwortlichkeit vor, verlangt Art. 26 Abs. 1 DSGVO eine Vereinbarung in transparenter Form, in der die Beteiligten festlegen, wer welche Pflicht erfüllt, insbesondere die Wahrnehmung der Betroffenenrechte und die Informationspflichten nach Art. 13 und 14. Diese Vereinbarung muss nach Art. 26 Abs. 2 DSGVO die tatsächlichen Funktionen und Beziehungen widerspiegeln, ihr Wesentliches ist den betroffenen Personen zur Verfügung zu stellen. Eine reine AVV genügt hier gerade nicht, sie regelt das falsche Verhältnis. Wann stattdessen eine AVV der richtige Rahmen ist, ordnet der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO ein.

Warum können Betroffene sich an jeden Verantwortlichen wenden?

Besonders wichtig ist Art. 26 Abs. 3 DSGVO: Ungeachtet der internen Aufteilung in der Vereinbarung kann die betroffene Person ihre Rechte bei und gegenüber jedem der Verantwortlichen geltend machen. Sie können sich also nicht darauf berufen, dass „der andere“ für Auskunft oder Löschung zuständig ist. Die interne Vereinbarung regelt den Ausgleich im Innenverhältnis, nach außen haften und reagieren müssen beide. Das macht die klare interne Zuständigkeitsregelung umso wichtiger.

Was sollten Sie als Anbieter konkret prüfen?

• Rolle korrekt bestimmen: Auftragsverarbeitung, gemeinsame oder getrennte Verantwortlichkeit? Davon hängt das gesamte Vertragswerk ab;
• Richtiges Instrument wählen: Joint Controlling braucht eine Art.-26-Vereinbarung, keine AVV;
• Zuständigkeiten aufteilen: wer beantwortet Betroffenenanfragen, wer erfüllt die Informationspflichten;
• Betroffene informieren: das Wesentliche der Vereinbarung transparent bereitstellen (Datenschutzerklärung);
• Anlaufstelle benennen: eine gemeinsame Kontaktstelle erleichtert die Praxis (Art. 26 Abs. 1 S. 3 DSGVO).

Wer die Rolle früh richtig bestimmt, vermeidet den teuersten Fehler: ein Datenschutz-Konstrukt, das an der falschen Rechtsgrundlage hängt.

Häufige Fragen

Was unterscheidet gemeinsame Verantwortlichkeit von Auftragsverarbeitung?

Bei der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO legen beide Seiten Zweck und Mittel der Verarbeitung gemeinsam fest. Der Auftragsverarbeiter nach Art. 28 DSGVO verarbeitet dagegen weisungsgebunden für einen fremden Zweck. Entscheidend ist, wer über das Warum und Wie der Verarbeitung bestimmt.

Reicht eine Auftragsverarbeitungsvereinbarung bei gemeinsamer Verantwortlichkeit?

Nein. Liegt gemeinsame Verantwortlichkeit vor, verlangt Art. 26 DSGVO eine Vereinbarung in transparenter Form, die festlegt, wer welche Pflicht erfüllt. Eine reine Auftragsverarbeitungsvereinbarung regelt das falsche Verhältnis und genügt gerade nicht.

An welchen der Verantwortlichen können sich Betroffene wenden?

Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte ungeachtet der internen Aufteilung bei und gegenüber jedem der Verantwortlichen geltend machen. Die interne Vereinbarung regelt allein den Ausgleich im Innenverhältnis.

Muss die Vereinbarung veröffentlicht werden?

Nach Art. 26 Abs. 2 DSGVO muss das Wesentliche der Vereinbarung den betroffenen Personen zur Verfügung gestellt werden, in der Praxis über die Datenschutzerklärung. Die Vereinbarung muss zudem die tatsächlichen Funktionen und Beziehungen widerspiegeln.

Sie kooperieren mit Partnern rund um Daten und sind unsicher über die Rolle? In einem 30-minütigen Erstgespräch ordnen wir Verantwortlichkeit und Vertragswerk ein. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen