Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Der Status entsteht, sobald zwei Stellen die Zwecke und die Mittel gemeinsam festlegen. Ein Vertrag ist dafür keine Voraussetzung, sondern die Pflicht, die daraus folgt.

Zwei Konzerngesellschaften betreiben ein gemeinsames Bewerberportal, ein Forschungsverbund wertet Daten aus mehreren Einrichtungen zusammen aus, eine Fachgesellschaft führt ein Register, das ihre Mitglieder befüllen. Verträge gibt es in allen drei Fällen, doch keiner davon regelt den Datenschutz zwischen den Beteiligten.

Der Status kommt deshalb meist spät zur Sprache, nämlich bei einem Auskunftsersuchen, einer Prüfung oder einem Vorfall. Zu diesem Zeitpunkt ist er längst eingetreten.

Der Status entsteht ohne Absicht und ohne Vertrag

Ob eine Zusammenarbeit den Status auslöst, entscheidet sich allein am Tatbestand. Art. 26 Abs. 1 DSGVO knüpft ihn daran, dass zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen.

Löst den Status aus

Eine gemeinsame Entscheidung über Zweck und Mittel
Übereinstimmende Entscheidungen, die sich ergänzen
Das Einbinden eines Werkzeugs, dessen Daten bei der anderen Stelle anfallen
Ein gemeinsam verfolgter eigener Zweck neben dem des Partners

Ist unerheblich

Dass keine Vereinbarung geschlossen wurde
Dass eine Seite die Daten nie zu sehen bekommt
Dass niemand den Status beabsichtigt hat
Dass die Beiträge ungleich groß sind

Der Gerichtshof der Europäischen Union hat am 5. Dezember 2023 entschieden, dass die Vereinbarung keine Voraussetzung der Einstufung ist, sondern eine Pflicht, die aus ihr folgt (C-683/21). Auch übereinstimmende Entscheidungen genügen, sofern sie sich so ergänzen, dass jede sich konkret auf Zwecke und Mittel auswirkt.

Die Verantwortlichkeit reicht nur so weit wie die Festlegung

Wofür tatsächlich gehaftet wird, ist damit noch nicht gesagt. Hier liegt die Entlastung. Nach der Entscheidung vom 29. Juli 2019 ist eine Stelle nur für die Vorgänge verantwortlich, über deren Zwecke und Mittel sie mitentscheidet. Für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder Zwecke noch Mittel festlegt, trifft sie diese Verantwortung nicht (C-40/17).

Was die Vereinbarung nach Art. 26 DSGVO enthalten muss

Was in die Vereinbarung gehört, ergibt sich aus der Aufgabenteilung und nicht aus einem Muster. Art. 26 Abs. 2 DSGVO verlangt, dass sie die tatsächlichen Funktionen und Beziehungen gebührend widerspiegelt. Diese Funktionen sind in jedem Vorhaben andere.

Der gemeinsame Verarbeitungsvorgang ist abgegrenzt, die Phasen davor und danach sind benannt
Festgelegt ist, wer die Information nach Art. 13 und 14 DSGVO erteilt
Festgelegt ist, wer Auskunft, Berichtigung und Löschung bearbeitet und in welcher Frist die andere Seite zuarbeitet
Eine Anlaufstelle für die betroffenen Personen ist benannt
Das Wesentliche der Vereinbarung ist in einer Form abgelegt, in der es bereitgestellt werden kann
Geregelt ist, wer eine Datenpanne meldet und wer die Aufsicht führt

Die Aufteilung wirkt im Innenverhältnis. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gleichwohl bei und gegenüber jedem einzelnen Verantwortlichen geltend machen. Deshalb regelt die Vereinbarung sinnvollerweise auch die Zuarbeit für den Fall, dass die Anfrage beim Falschen eingeht.

Konzern und Forschungsverbund liegen verschieden

Wie der Fall jeweils liegt, hängt an der Struktur und nicht an der Bezeichnung der Zusammenarbeit.

Lage 1: Im Konzern
Der Status wird oft unterstellt, weil eine gemeinsame Infrastruktur besteht. Entscheidend bleibt der einzelne Vorgang. Für zentral vorgegebene Systeme kann die Muttergesellschaft mitentscheiden, für die Personalakte der Tochter in aller Regel nicht.
Lage 2: Im Forschungsverbund
Der Status wird übersehen, weil jede Einrichtung ihre eigene Ethikkommission und ihre eigene Rechtsgrundlage hat. Sobald das Auswertungsdesign gemeinsam festgelegt wird, ist der Tatbestand jedoch erfüllt.
Lage 3: In beiden Fällen
Das Verzeichnis nach Art. 30 Abs. 1 DSGVO führt jede Stelle für sich. Wer dort einen gemeinsamen Vorgang ohne Vereinbarung stehen hat, dokumentiert den Mangel.

Wie wir unterstützen

EinordnungWir prüfen je Verarbeitungsvorgang, ob der Tatbestand erfüllt ist. Danach grenzen wir ihn gegen Auftragsverarbeitung und getrennte Verantwortlichkeit ab.
VereinbarungWir entwerfen die Vereinbarung entlang der tatsächlichen Aufgabenteilung, einschließlich Zuarbeit und Fristen im Innenverhältnis.
Im ForschungsvorhabenWir begleiten das Vorhaben als Konsortialpartner und stimmen die Vereinbarung mit dem Konsortialvertrag ab.

Nicht behandelt ist hier die Auftragsverarbeitung, die eine Weisungsbindung voraussetzt und deshalb einen anderen Tatbestand erfüllt.

Eine Zusammenarbeit läuft, die Vereinbarung fehlt?

Wir ordnen die Vorgänge zu und entwerfen, was Art. 26 DSGVO verlangt.

Zusammenarbeit prüfen lassen

Häufige Fragen

Wir haben nichts unterschrieben. Sind wir trotzdem gemeinsam verantwortlich?

Möglicherweise ja. Der Gerichtshof der Europäischen Union hat am 5. Dezember 2023 entschieden, dass die Einstufung keine Vereinbarung voraussetzt und dass die Vereinbarung eine Pflicht ist, die aus der Einstufung folgt (C-683/21). Es genügen sogar übereinstimmende Entscheidungen zweier Stellen, sofern sie sich so ergänzen, dass jede sich konkret auf die Zwecke und Mittel auswirkt.

Wir sehen die Daten gar nicht. Kann uns der Status treffen?

Ja. Nach dem Gerichtshof ist nicht erforderlich, dass jeder Beteiligte Zugang zu den Daten hat (C-25/17). Maßgeblich ist die Entscheidung über Zwecke und Mittel und nicht die tatsächliche Kenntnisnahme. Der Fall tritt häufig auf, wo eine Stelle ein Werkzeug bereitstellt oder einbindet, dessen Daten bei der anderen anfallen.

Haften wir für alles, was der Partner mit den Daten macht?

Nein. Nach dem Gerichtshof ist eine Stelle nur für die Vorgänge verantwortlich, über deren Zwecke und Mittel sie mitentscheidet. Für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette gilt das nicht (C-40/17). Der Grad der Verantwortlichkeit kann zudem unterschiedlich sein, weil die Beteiligten in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sind.

Gibt es ein Muster für die Vereinbarung?

Für den Aufbau ja, für den Inhalt nicht. Art. 26 Abs. 2 DSGVO verlangt, dass die Vereinbarung die tatsächlichen Funktionen und Beziehungen gebührend widerspiegelt. Diese Funktionen sind in jedem Vorhaben andere. Ein übernommenes Muster beschreibt eine fremde Aufgabenteilung und wird in der Prüfung genau daran gemessen.

Können wir die Betroffenenrechte auf einen Partner abschichten?

Im Innenverhältnis ja, im Außenverhältnis nicht. Art. 26 Abs. 1 DSGVO verlangt gerade die Festlegung, wer welche Pflicht erfüllt. Die Vereinbarung darf eine Anlaufstelle benennen. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gleichwohl bei und gegenüber jedem einzelnen Verantwortlichen geltend machen.