Entscheiden zwei oder mehr Stellen gemeinsam über Zwecke und wesentliche Mittel einer Verarbeitung personenbezogener Daten, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. Dann reicht eine lose Aufgabenverteilung nicht aus: Die Beteiligten müssen transparent festlegen, wer welche Datenschutzpflicht erfüllt.
Hinweis: Dieser Beitrag bietet eine praktische Orientierung, ersetzt aber keine individuelle Rechtsberatung. Ob tatsächlich eine gemeinsame Verantwortlichkeit vorliegt, hängt vom konkreten Verarbeitungsvorgang ab.
Inhalt
Wann liegt gemeinsame Verantwortlichkeit vor?
Entscheidend ist nicht allein die Vertragsbezeichnung. Maßgeblich ist, ob die Beteiligten ihre Entscheidungen über Zwecke und Mittel der Verarbeitung gemeinsam treffen oder sich ihre Entscheidungen so ergänzen, dass die Verarbeitung ohne beide Seiten nicht in gleicher Weise stattfinden würde. Davon zu unterscheiden ist die Auftragsverarbeitung: Dort verarbeitet ein Dienstleister Daten grundsätzlich nur nach dokumentierter Weisung des Verantwortlichen.
Was muss die Vereinbarung regeln?
- Beschreibung der gemeinsamen Verarbeitung, ihrer Zwecke und Rechtsgrundlagen
- Zuständigkeiten für Informationspflichten nach Art. 13 und 14 DSGVO
- Bearbeitung von Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch
- Technische und organisatorische Maßnahmen sowie Berechtigungskonzepte
- Meldewege bei Datenschutzverletzungen und Zusammenarbeit mit Aufsichtsbehörden
- Durchführung von Datenschutz-Folgenabschätzungen, sofern erforderlich
- Anlaufstelle für betroffene Personen und interne Kommunikationswege
- Dokumentation, Löschfristen, Empfänger und mögliche Drittlandübermittlungen
Die wesentlichen Inhalte der Vereinbarung müssen betroffenen Personen zugänglich gemacht werden. Unabhängig von der internen Aufgabenverteilung können Betroffene ihre Rechte grundsätzlich gegenüber jedem gemeinsam Verantwortlichen geltend machen.
Praktischer Ablauf
- Alle beteiligten Stellen und Verarbeitungsvorgänge erfassen.
- Gemeinsame und getrennte Entscheidungen nachvollziehbar dokumentieren.
- Rollen je Verarbeitung prüfen: eigene, gemeinsame oder Auftragsverantwortung.
- Pflichten, Ansprechpartner und Reaktionszeiten verbindlich zuweisen.
- Vereinbarung rechtlich prüfen, unterzeichnen und regelmäßig aktualisieren.
Vertragsgenerator als Arbeitshilfe
Ein Generator kann dabei helfen, die benötigten Angaben strukturiert zusammenzutragen und einen ersten Entwurf zu erstellen. Vor der Verwendung sollte geprüft werden, ob der Dienst noch aktuell ist und wie eingegebene Daten verarbeitet werden. Der fertige Entwurf muss zum tatsächlichen Prozess passen und sollte bei komplexen oder risikoreichen Verarbeitungen fachkundig geprüft werden.
Vertragsgenerator für gemeinsame Verantwortlichkeit aufrufen
Weiterführende Grundlagen
Für die Rollenabgrenzung sind insbesondere Art. 26 DSGVO und die Leitlinien 07/2020 des Europäischen Datenschutzausschusses relevant. Prüfen Sie zusätzlich die Anforderungen Ihrer zuständigen Aufsichtsbehörde und die Besonderheiten des jeweiligen Verarbeitungsvorgangs.
