Gemeinsam Verantwortliche

Gemeinsam für die Verarbeitung Verantwortliche sind nach Art. 26 DSGVO zwei oder mehr Verantwortliche, die gemeinsam die Zwecke und die Mittel einer Verarbeitung festlegen. Die gemeinsame Verantwortung kann auf einer gemeinsamen Entscheidung oder auf sich ergänzenden Entscheidungen beruhen. Entscheidend ist, dass die Beteiligung beider Seiten für die konkrete Verarbeitung wesentlich und ihre Festlegung von Zwecken und Mitteln miteinander verbunden ist.

Die gemeinsam Verantwortlichen müssen in einer transparenten Vereinbarung festlegen, wer welche Pflichten erfüllt. Dazu gehören insbesondere die Wahrnehmung der Rechte betroffener Personen sowie die Informationspflichten nach den Art. 13 und 14 DSGVO. Die Vereinbarung muss die tatsächlichen Funktionen und Beziehungen abbilden. Ihr wesentlicher Inhalt ist den betroffenen Personen zur Verfügung zu stellen. Eine Anlaufstelle kann vorgesehen werden.

Die Vereinbarung entscheidet nicht allein über die datenschutzrechtliche Rolle. Maßgeblich bleiben die tatsächlichen Einflussmöglichkeiten im jeweiligen Verarbeitungsvorgang. Ein Dienstleister ist daher nicht schon deshalb Auftragsverarbeiter, weil der Vertrag ihn so bezeichnet. Wer eigene Zwecke festlegt oder gemeinsam mit einem anderen Beteiligten die Verarbeitung prägt, kann für diesen Vorgang Verantwortlicher oder gemeinsam Verantwortlicher sein.

Betroffene Personen können ihre Rechte trotz der internen Zuständigkeitsverteilung bei und gegenüber jedem einzelnen gemeinsam Verantwortlichen geltend machen. Für Unternehmen lohnt sich deshalb eine Prüfung des konkreten Datenflusses, der Entscheidungsbeiträge und der Vereinbarung. Der Bereich Compliance und Datenschutz-Governance ordnet die organisatorischen Aufgaben ein; der Rollen-Check bietet eine erste Orientierung zur Rollenverteilung.