Kurz erklärt: Gemeinsam verantwortlich sind zwei oder mehr Stellen, die zusammen über Zwecke und Mittel einer Verarbeitung entscheiden. Sie müssen in einer Vereinbarung festlegen, wer welche Pflichten erfüllt, und das Wesentliche davon den Betroffenen mitteilen.
Was bedeutet Gemeinsame Verantwortlichkeit?
Anders als beim Auftragsverarbeiter entscheiden hier beide Partner mit. Der Europäische Gerichtshof hat den Begriff weit ausgelegt: Schon wer die Datenverarbeitung eines anderen ermöglicht und davon profitiert, kann gemeinsam verantwortlich sein, etwa der Betreiber einer Facebook-Seite zusammen mit Meta.
Die Vereinbarung nach Art. 26 DSGVO ist kein Auftragsverarbeitungsvertrag; sie regelt die Aufteilung der Pflichten (Information, Betroffenenrechte, Sicherheit, Meldungen). Betroffene können ihre Rechte trotzdem gegenüber jedem der Verantwortlichen geltend machen.
Rechtsgrundlage
- Art. 26 DSGVO (gemeinsam Verantwortliche)
- Art. 4 Nr. 7 DSGVO (Verantwortlicher)
- EuGH, Urteil vom 5. Juni 2018, C-210/16 (Facebook-Fanpage)
In der Praxis
Typische Fälle im Mittelstand: gemeinsame Kundendatenbank mehrerer Schwesterunternehmen, Kooperation mehrerer Praxen, gemeinsame Veranstaltung mit Teilnehmerliste, Social-Media-Seiten. Die Rollenklärung gehört an den Anfang jeder Zusammenarbeit, nicht ans Ende.
Häufige Fragen
Fragen zu Gemeinsame Verantwortlichkeit
Ist ein Konzernverbund automatisch gemeinsam verantwortlich?
Nein. Jede Gesellschaft ist für ihre Verarbeitungen verantwortlich. Gemeinsame Verantwortlichkeit entsteht nur dort, wo tatsächlich gemeinsam über Zweck und Mittel entschieden wird, etwa bei einer geteilten Datenbank.
Was muss den Betroffenen mitgeteilt werden?
Das Wesentliche der Vereinbarung, insbesondere welcher Partner Anlaufstelle für Betroffenenrechte ist. Das geschieht meist in der Datenschutzerklärung.
Verwandte Begriffe