Was bedeutet gemeinsame Verantwortlichkeit?

Zwischen Auftrag und Alleingang

Die DSGVO kennt drei Grundkonstellationen, wenn mehrere Stellen mit denselben Daten zu tun haben. Ein Auftragsverarbeiter arbeitet nur nach Weisung. Zwei getrennte Verantwortliche verfolgen jeweils eigene Zwecke, auch wenn Daten zwischen ihnen fließen – etwa wenn ein Unternehmen Lohndaten an das Finanzamt meldet. Und dazwischen liegt die gemeinsame Verantwortlichkeit: Mehrere entscheiden zusammen, warum und wie verarbeitet wird.

Art. 26 Abs. 1 Satz 1 formuliert es knapp: „Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche.“ Ob das der Fall ist, ergibt sich aus der tatsächlichen Zusammenarbeit, nicht aus der Überschrift eines Vertrags.

Was der EuGH dazu entschieden hat

Die Leitentscheidung betraf eine Facebook-Fanpage (C-210/16, 2018): Der Betreiber einer Fanpage ist gemeinsam mit dem Netzwerk für die Verarbeitung der Besucherdaten verantwortlich, weil er mit seinen Einstellungen zur Verarbeitung beiträgt. Der Gerichtshof stellte zugleich klar, dass gemeinsame Verantwortlichkeit „nicht zwangsläufig eine gleichwertige Verantwortlichkeit“ bedeutet – die Beteiligten können in verschiedenen Phasen und in unterschiedlichem Ausmaß eingebunden sein.

Im Fall Fashion ID (C-40/17, 2019) ging es um einen „Gefällt mir“-Button auf einer Shop-Website. Der Shopbetreiber wurde als mitverantwortlich eingestuft, aber nur für die Vorgänge, über die er tatsächlich mitentscheidet: das Erheben der Besucherdaten und ihre Weitergabe. Für das, was der Plugin-Anbieter danach damit macht, ist er nicht verantwortlich. Beide Urteile ergingen noch zur alten Datenschutzrichtlinie.

Die Vereinbarung nach Art. 26

Gemeinsam Verantwortliche müssen „in einer Vereinbarung in transparenter Form“ festlegen, wer welche Pflichten erfüllt. Das Gesetz hebt besonders hervor:

• wer die Anfragen der Betroffenen bearbeitet, etwa Auskunft oder Löschung
• wer welchen Informationspflichten nach Art. 13 und 14 nachkommt
• optional eine gemeinsame Anlaufstelle für Betroffene

Die Vereinbarung muss die tatsächlichen Rollen widerspiegeln, und ihr Wesentliches wird den Betroffenen zur Verfügung gestellt (Art. 26 Abs. 2). Ganz gleich, was intern geregelt ist: Betroffene können ihre Rechte nach Abs. 3 gegenüber jedem einzelnen Verantwortlichen geltend machen. Die interne Aufteilung entlastet also im Verhältnis untereinander, nicht nach außen.

Typische Fälle aus dem Arbeitsalltag

Gemeinsame Verantwortlichkeit taucht häufiger auf, als man denkt: zwei Unternehmen, die gemeinsam eine Veranstaltungsreihe organisieren und eine gemeinsame Teilnehmerliste führen; ein Praxis- oder Kanzleiverbund mit gemeinsamer Terminplattform; ein Konzern, in dem mehrere Gesellschaften ein gemeinsames Bewerbermanagement betreiben.

Keine gemeinsame Verantwortlichkeit liegt dagegen meist vor, wenn du einen Online-Dienst schlicht für deine Zwecke nutzt und der Anbieter nichts Eigenes mit den Daten vorhat – dann ist er Auftragsverarbeiter, und es braucht einen AVV statt einer Vereinbarung nach Art. 26. Die Einordnung lohnt sich, weil die Verträge Unterschiedliches regeln.

Ein Warnsignal für eine falsche Einordnung: Ein Partner bezeichnet sich als Auftragsverarbeiter, möchte aber die Daten auch für eigene Auswertungen, Werbung oder Produktentwicklung nutzen. Dann passt die Rolle nicht zum Vertrag, und ihr solltet klären, ob er für diese Zwecke eigenständig oder gemeinsam mit dir verantwortlich ist.