Dennis A. Winkler
Themenseite · Art. 26 DSGVO

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Wenn zwei Stellen gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden, sind sie nach Art. 26 DSGVO gemeinsam verantwortlich – mit der Pflicht, eine ausdrückliche Vereinbarung abzuschließen und das Wesentliche dieser Vereinbarung den Betroffenen zugänglich zu machen. In der Praxis ist die schwierigste Frage selten der Vereinbarungstext, sondern die saubere Einordnung: Liegt überhaupt eine Joint-Controller-Konstellation vor? Oder ist es doch eine Auftragsverarbeitung – oder ein bloßer Datenaustausch zwischen zwei eigenständig Verantwortlichen?

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

01

Wann liegt gemeinsame Verantwortlichkeit vor?

Art. 26 Abs. 1 DSGVO bestimmt: Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, sind sie gemeinsam Verantwortliche. Die formale Bezeichnung im Vertrag spielt dabei keine Rolle – maßgebend ist die tatsächliche Zweck- und Mittelherrschaft. Eine gemeinsame Verantwortlichkeit kann sich auch aus konkludentem Zusammenwirken ergeben, ohne dass die Beteiligten sie ausdrücklich vereinbart hätten.

Aus der EuGH-Rechtsprechung und den Leitlinien des Europäischen Datenschutzausschusses (EDPB Guidelines 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter, Version 2.1 vom 20. September 2022) lassen sich drei Tatbestandsmerkmale herausarbeiten:

  • Konvergierende Zwecke. Beide Parteien verfolgen eigene, aber miteinander verbundene oder einander ergänzende Verarbeitungszwecke.
  • Gemeinsame Entscheidung über wesentliche Mittel. Beide Parteien wirken bei zentralen Parametern mit – etwa Datenkategorien, Speicherdauer, eingesetzter Technologie oder Auswertungslogik.
  • Kein Weisungsverhältnis. Keine der Parteien handelt ausschließlich auf Weisung der anderen.

Nicht erforderlich ist nach der EuGH-Rechtsprechung ein gleichgewichtiger Einfluss. Es genügt, wenn jede Partei einen maßgeblichen Beitrag zur Entscheidung über Zwecke und Mittel leistet. Auch ist nicht erforderlich, dass beide Parteien gleichermaßen Zugriff auf die verarbeiteten Daten haben – ein Punkt, den der Gerichtshof in der Sache Zeugen Jehovas (C-25/17) ausdrücklich klargestellt hat.

Die Rechtsgrundlage der Verarbeitung bleibt für jeden gemeinsamen Verantwortlichen eigenständig zu prüfen. Art. 26 DSGVO regelt die gemeinsame Verantwortung – er schafft keine Rechtsgrundlage. Bei öffentlichen Hochschulen kommt regelmäßig Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit den einschlägigen Aufgabennormen in Betracht; in Sachsen-Anhalt etwa § 3 HSG LSA (Aufgaben der Hochschulen) und § 119 HSG LSA (bereichsspezifische Verarbeitungsbefugnis für hochschulspezifische Sachverhalte) sowie ergänzend § 4 DSAG LSA als allgemeine Verarbeitungsbefugnis öffentlicher Stellen.

02

Was muss in einer Art. 26-Vereinbarung stehen?

Art. 26 Abs. 1 Satz 2 DSGVO verpflichtet gemeinsam Verantwortliche, in einer Vereinbarung in transparenter Form festzulegen, wer von ihnen welche Verpflichtungen aus der DSGVO erfüllt – insbesondere bei der Wahrnehmung der Rechte der betroffenen Person und bei den Informationspflichten nach den Art. 13 und 14 DSGVO. Die Vereinbarung muss die jeweiligen tatsächlichen Funktionen und Beziehungen der Beteiligten gegenüber der betroffenen Person widerspiegeln (Art. 26 Abs. 2 Satz 1 DSGVO).

  1. Identifikation der gemeinsamen Verantwortlichen Vollständige Bezeichnung beider Stellen mit Anschrift und Vertretungsangabe; bei Hochschulen einschließlich der zuständigen Organisationseinheit. Art. 26 Abs. 1 i. V. m. Art. 4 Nr. 7 DSGVO
  2. Gegenstand und Zweck der gemeinsamen Verarbeitung Welche Daten werden zu welchem konvergierenden Zweck gemeinsam verarbeitet? Klare Abgrenzung zu davon getrennten, eigenverantwortlich verarbeiteten Datenbeständen. Art. 26 Abs. 1 DSGVO
  3. Aufgabenverteilung bei Betroffenenrechten Wer nimmt Auskunfts- (Art. 15), Berichtigungs- (Art. 16), Lösch- (Art. 17), Einschränkungs- (Art. 18), Datenübertragbarkeits- (Art. 20) und Widerspruchsrechte (Art. 21) entgegen? Wer beantwortet sie? Art. 26 Abs. 1 Satz 2 DSGVO
  4. Aufgabenverteilung bei Informationspflichten Wer kommt den Informationspflichten nach den Art. 13 und 14 DSGVO nach? In welcher Form – durch eine gemeinsame Datenschutzerklärung oder durch getrennte Hinweise mit wechselseitigem Verweis? Art. 26 Abs. 1 Satz 2 DSGVO
  5. Anlaufstelle für Betroffene Art. 26 Abs. 1 Satz 3 DSGVO erlaubt es, eine Anlaufstelle festzulegen. Davon unberührt bleibt das Recht der betroffenen Person, sich nach Art. 26 Abs. 3 DSGVO auch direkt an jeden anderen Verantwortlichen zu wenden. Art. 26 Abs. 1 Satz 3 DSGVO
  6. Pflichten zur Datensicherheit (Art. 32 DSGVO) Zuständigkeit für die technisch-organisatorischen Maßnahmen, deren regelmäßige Überprüfung und gegenseitige Information bei Sicherheitsvorfällen. Art. 26 Abs. 1 i. V. m. Art. 32 DSGVO
  7. Pflichten bei Datenpannen (Art. 33, 34 DSGVO) Wer meldet eine Datenschutzverletzung an die zuständige Aufsichtsbehörde? Wer benachrichtigt gegebenenfalls die betroffenen Personen? Welche Frist- und Informationswege gelten intern – innerhalb welcher Zeit muss die jeweils andere Partei informiert sein, damit die 72-Stunden-Frist gehalten werden kann? Art. 26 Abs. 1 i. V. m. Art. 33, 34 DSGVO
  8. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) Klärung, wer das jeweilige Verarbeitungsverzeichnis führt und wie die gemeinsame Verarbeitung darin abgebildet wird. Beide Parteien haben grundsätzlich eine eigenständige Pflicht. Art. 30 DSGVO
  9. Veröffentlichung der wesentlichen Inhalte Das Wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt (Art. 26 Abs. 2 Satz 2 DSGVO). In der Praxis erfolgt das meist als Zusatzabschnitt in der Datenschutzerklärung oder als verlinkte Kurzfassung. Art. 26 Abs. 2 Satz 2 DSGVO
  10. Innenregelung zur Haftung und zum Ausgleich Verteilungsmaßstab für den Innenregress nach Art. 82 Abs. 5 DSGVO – also für den Fall, dass eine Partei nach Art. 82 Abs. 4 DSGVO im Außenverhältnis vollständig in Anspruch genommen wurde. Art. 82 Abs. 4 und 5 DSGVO

Eine ausdrückliche Schriftformpflicht für Art. 26-Vereinbarungen kennt die DSGVO nicht. In der Praxis empfiehlt sich gleichwohl die schriftliche oder elektronische Form – schon aus Gründen der Nachweisbarkeit nach Art. 5 Abs. 2 DSGVO und im Hinblick auf die Veröffentlichungspflicht aus Abs. 2 Satz 2.

03

Prägende EuGH-Rechtsprechung

Drei Entscheidungen des Gerichtshofs der Europäischen Union haben die Konturen der gemeinsamen Verantwortlichkeit maßgeblich gezeichnet. Auffällig daran: Der EuGH legt das Tatbestandsmerkmal der gemeinsamen Entscheidung weit aus – auch dann, wenn nur eine der beiden Parteien tatsächlich auf die Daten zugreifen kann.

EuGH C-210/16 (Wirtschaftsakademie)

Facebook-Fanpage

Im Urteil vom 5. Juni 2018 stufte die Große Kammer den Betreiber einer Facebook-Fanpage als gemeinsam mit Facebook verantwortlich ein. Der Fanpage-Betreiber selbst hatte keinen Zugriff auf die Rohdaten der Besucher. Entscheidend war jedoch, dass er durch die Definition seiner Zielgruppen-Parameter (Insights-Statistiken) maßgeblich auf die Datenverarbeitung einwirkte.

Bewertungsansatz: Vergleichbare Konstellationen mit anderen sozialen Netzwerken, Analyse-Diensten und Auswertungs-Dashboards weisen regelmäßig in dieselbe Richtung zu würdigen sein – soweit der Betreiber durch Konfiguration der Auswertung Einfluss auf die Verarbeitung nimmt.

EuGH C-25/17 (Zeugen Jehovas)

Religionsgemeinschaft und Tür-zu-Tür-Verkündigung

Am 10. Juli 2018 entschied der EuGH, dass eine Religionsgemeinschaft gemeinsam mit ihren Mitgliedern verantwortlich sein kann für personenbezogene Daten, die im Rahmen der Tür-zu-Tür-Verkündigung erhoben werden – und zwar selbst dann, wenn die Religionsgemeinschaft selbst keinen Zugriff auf die von einzelnen Mitgliedern geführten Notizen hat. Genug für die Mitverantwortung war, dass die Gemeinschaft die Verkündigung organisiert, koordiniert und fördert.

Bewertungsansatz: Datenzugriff der zweiten Partei ist also keine zwingende Voraussetzung der gemeinsamen Verantwortlichkeit. Die Mitwirkung an der organisatorischen Ausgestaltung kann genügen.

EuGH C-40/17 (Fashion ID)

„Gefällt mir"-Schaltfläche auf einer Webseite

Mit Urteil vom 29. Juli 2019 stellte der EuGH klar: Wer auf seiner Webseite einen Facebook-„Gefällt mir"-Button einbindet, ist gemeinsam mit Facebook verantwortlich – allerdings nur für die Erhebung der Besucherdaten und deren Übermittlung an Facebook, nicht für die nachfolgende eigenständige Verarbeitung durch Facebook selbst. Eine wichtige Eingrenzung: Die gemeinsame Verantwortlichkeit endet dort, wo der eigene Einfluss aufhört.

Bewertungsansatz: Eine phasenweise Aufteilung der gemeinsamen Verantwortlichkeit erscheint danach möglich – mit unterschiedlichen Pflichtenkreisen je nach Verarbeitungsabschnitt.

Die genannten Urteile betreffen formal noch die Vorgängerrichtlinie 95/46/EG. Wegen der weitgehend identischen Begriffsbestimmungen sind sie nach überwiegender Auffassung aber auch unter der DSGVO heranzuziehen. Die DSGVO selbst hat den Begriff der gemeinsamen Verantwortlichkeit in Art. 26 ausdrücklich kodifiziert und um die Vereinbarungspflicht ergänzt.

DSGVO-Rollen – wer entscheidet über Zwecke und Mittel? Wer entscheidet über Zwecke und Mittel der Verarbeitung? Verantwortlicher Art. 4 Nr. 7 DSGVO Allein-Entscheidung über Zwecke + Mittel Beispiel: Hochschule entscheidet über Lehrveranstaltung Auftragsverarbeiter Art. 4 Nr. 8 DSGVO Weisungsgebunden kein eigener Zweck Beispiel: Cloud-Hoster, Payroll, Standard-SaaS-Anbieter Gemeinsam Verantw. Art. 26 DSGVO Mit-Entscheidung über Zwecke + Mittel Beispiel: Facebook-Fanpage, Like-Button, geteilte Forschung weist an teilen Faustregel: Eigenes Zweckinteresse? Ja → Verantwortlicher (allein) oder gemeinsam Verantwortlicher (zu zweit). Vertrag: Art. 26 i. V. m. Information Betroffener. Nein → Auftragsverarbeiter (Weisungsbindung). Vertrag: AVV nach Art. 28 Abs. 3 DSGVO. Eigene Darstellung nach Art. 4 Nr. 7, 8 und Art. 26, 28 DSGVO sowie EuGH C-210/16 (Wirtschaftsakademie), C-40/17 (Fashion ID) und C-25/17 (Zeugen Jehovas).
04

Art. 26, Art. 28 oder eigenständige Verantwortlichkeit?

Die Einordnung in eine der drei Kategorien ist häufig die schwierigste Frage in der Vertragsprüfung – und zugleich die mit den weitreichendsten Folgen. Eine falsche Einordnung lässt sich nicht durch nachträgliches Umetikettieren heilen, weil die rechtliche Würdigung der tatsächlichen Verarbeitung folgt, nicht dem Vertragstitel.

Vergleichsübersicht

Merkmal Auftragsverarbeitung (Art. 28) Gemeinsame Verantwortlichkeit (Art. 26) Eigenständige Verantwortlichkeit (Übermittlung)
Wer entscheidet über Zwecke? Ausschließlich der Verantwortliche. Beide Parteien gemeinsam. Jede Partei für ihre eigene Verarbeitung.
Eigenes Zweckinteresse des Empfängers? Nein – keine Verarbeitung zu eigenen Zwecken. Ja – beide verfolgen eigene, konvergierende Zwecke. Ja – jede Partei verfolgt eigene, getrennte Zwecke.
Weisungsverhältnis Ja – dokumentierte Weisungsbindung. Nein – keine Weisungsbindung. Nein – jede Partei handelt eigenverantwortlich.
Vertragsform AVV nach Art. 28 Abs. 3 DSGVO. Vereinbarung nach Art. 26 Abs. 1 DSGVO; Veröffentlichungspflicht nach Abs. 2. Keine spezifische DSGVO-Vertragspflicht; ggf. fachgesetzliche Übermittlungsregelungen.
Haftung gegenüber Betroffenen Primär der Verantwortliche; Auftragsverarbeiter nur bei eigenständigem Verstoß. Gesamtschuldnerische Haftung beider Parteien (Art. 82 Abs. 4 DSGVO). Jede Partei haftet eigenständig für ihren Verarbeitungsabschnitt.
Informationspflichten Art. 13/14 Verantwortlicher informiert; Auftragsverarbeiter wird als Empfängerkategorie genannt. Beide informieren entsprechend der Aufgabenverteilung; das Wesentliche der Vereinbarung wird Betroffenen bereitgestellt. Jede Partei informiert eigenständig nach Art. 13 oder 14 DSGVO.
Typische Beispiele Externer Cloud-Speicher; Hoster; Payroll-Dienstleister; SaaS-Videokonferenz. Fanpage-Betrieb in sozialem Netzwerk; Like-Button-Einbindung; gemeinsame Forschungskohorten mit verbundener Auswertung. Übermittlung an Behörden mit eigener Aufgabenzuständigkeit (z. B. Statistikamt, Prüfungsbehörden).

Vier Leitfragen zur Einordnung

In der Praxis hat sich folgende Reihenfolge bewährt. Die Antworten sind als Indizien zu verstehen; eine abschließende Einordnung erfordert immer die Gesamtschau aller Umstände im Einzelfall.

Prüfschema

  • Frage 1 – Eigeninteresse: Verfolgt der Partner ein eigenes Zweckinteresse, das über die bloße Erbringung einer Dienstleistung hinausgeht? Wenn ja: Auftragsverarbeitung scheidet in aller Regel aus.
  • Frage 2 – Konvergenz: Sind die Zwecke inhaltlich miteinander verbunden, ergänzen sie sich oder überlappen sie? Wenn ja: Indiz für gemeinsame Verantwortlichkeit.
  • Frage 3 – Mitentscheidung über Mittel: Bestimmt die andere Partei mit über die wesentlichen Parameter (Datenkategorien, Speicherdauer, Auswertungslogik)? Wenn ja: Indiz für gemeinsame Verantwortlichkeit.
  • Frage 4 – Trennbarkeit: Lassen sich die Verarbeitungen sauber in voneinander unabhängige Verantwortungsbereiche trennen, ohne dass die Parteien gemeinsam über eine identifizierbare Verarbeitungsphase entscheiden? Wenn ja: Indiz für eigenständige Verantwortlichkeit mit Übermittlung.

Der EuGH prüft die gemeinsame Verantwortlichkeit wertend, nicht kleinteilig. Es genügt, wenn beide Parteien einen maßgeblichen Einfluss auf Zwecke und Mittel ausüben – nicht erforderlich ist, dass beide gleichberechtigt oder symmetrisch beteiligt sind (vgl. EuGH C-40/17 – Fashion ID; C-210/16 – Wirtschaftsakademie; C-25/17 – Zeugen Jehovas).

05

Typische Fallbeispiele aus dem Hochschul- und Verwaltungskontext

Verbundforschung

Gemeinsame Forschungskohorte mit Partneruniversität

Zwei Universitäten betreiben gemeinsam eine Längsschnittstudie. Sie entwerfen das Studiendesign zusammen, definieren gemeinsam Datenkategorien und Auswertungsverfahren und teilen sich die wissenschaftliche Auswertung. Beide Einrichtungen veröffentlichen eigene Beiträge auf Grundlage des gemeinsamen Datenbestands.

Bewertungsansatz: Hier liegt typischerweise eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Praktisch bedeutet das: Joint-Controller-Vereinbarung vor Studienbeginn, gemeinsame Datenschutzhinweise und Veröffentlichung des Wesentlichen der Vereinbarung gegenüber den Probanden.

Soziale Medien

Hochschul-Fanpage in einem sozialen Netzwerk

Eine Hochschule betreibt zur Außendarstellung eine Fanpage in einem sozialen Netzwerk. Der Plattformbetreiber verarbeitet Besucherdaten auch zu eigenen Werbezwecken und liefert der Hochschule Auswertungs-Statistiken, deren Parameter (etwa Zielgruppenzuschnitt) die Hochschule mitkonfiguriert.

Bewertungsansatz: Vieles spricht hier für eine gemeinsame Verantwortlichkeit; in diese Richtung weist auch EuGH C-210/16 (Wirtschaftsakademie). Eine reine Auftragsverarbeitung dürfte den Sachverhalt nicht treffend abbilden. Empfohlen wird eine sorgfältige Prüfung des Plattform-Vertragsangebots (Insights-Bedingungen, Joint-Controller-Addendum) und ein klarer Hinweis in den Datenschutzhinweisen der Hochschule.

Drittinhalte auf Webseiten

Social-Media-Plugins und Tracking-Pixel

Eine Hochschule bindet auf ihrer Webseite ein Social-Media-Plugin eines US-Anbieters ein. Beim Aufruf der Seite werden Daten der Besucher an den Anbieter übermittelt; die Hochschule entscheidet sich aktiv für die Einbindung und konfiguriert die Anzeige.

Bewertungsansatz: Bezogen auf die Phase der Erhebung und Übermittlung an den Anbieter lässt sich eine solche Konstellation häufig als gemeinsame Verantwortlichkeit darstellen, vergleichbar mit EuGH C-40/17 (Fashion ID). Für die nachfolgende eigenständige Verarbeitung beim Anbieter ist eine gemeinsame Verantwortlichkeit in der Regel nicht anzunehmen. Wegen des Drittlandstransfers ergibt sich zusätzlich Prüfungsbedarf nach Kapitel V DSGVO – vertieft auf der Themenseite Drittlandstransfer.

Eigenständige Verantwortlichkeit

Übermittlung von Prüfungsergebnissen an das Landesprüfungsamt

Eine Hochschule übermittelt Prüfungsergebnisse an ein Landesprüfungsamt, das diese in eigener gesetzlicher Zuständigkeit und nach eigener Rechtsgrundlage für die Erstellung staatlicher Prüfungsbescheide weiterverarbeitet. Beide Stellen treffen keine gemeinsame Verarbeitungsentscheidung; jede handelt im eigenen gesetzlichen Aufgabenbereich.

Bewertungsansatz: Eine solche Konstellation dürfte sich in aller Regel als Übermittlung zwischen zwei eigenständigen Verantwortlichen darstellen. Eine Vereinbarung nach Art. 26 DSGVO erscheint in diesem Fall vermutlich nicht sachgerecht. Empfohlen wird, die jeweilige eigenständige Rechtsgrundlage für die Übermittlung zu identifizieren; in Sachsen-Anhalt regelt § 119 Abs. 3 Nr. 2 HSG LSA die Übermittlung an Landesprüfungsämter ausdrücklich.

Grenzfall

Drittmittelprojekt mit Industriepartner und gemeinsamer Auswertung

Eine Hochschule führt mit einem Industriepartner ein Drittmittelforschungsprojekt durch. Der Industriepartner ist nicht nur Geldgeber, sondern wirkt aktiv an Studiendesign und Datenauswertung mit und nutzt die Ergebnisse für eigene Produktentwicklungen. Personenbezogene Daten von Probanden werden gemeinsam ausgewertet.

Bewertungsansatz: Eine eigenständige Forschungsverarbeitung des Industriepartners zu eigenen Produktzwecken verlässt den weisungsgebundenen Rahmen einer Auftragsverarbeitung in aller Regel. Je nach konkreter Ausgestaltung kommen unterschiedliche Einordnungen in Betracht – etwa eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder zwei nacheinander geschaltete eigenständige Verantwortlichkeiten mit klarer Datentrennung. Empfohlen wird, diese Frage vor Projektstart eindeutig zu klären und in einer Joint-Controller- oder Übermittlungsvereinbarung abzubilden.

06

Folgen für Betroffenenrechte und Haftung

Die Einordnung als gemeinsame Verantwortlichkeit hat erhebliche praktische Konsequenzen – für die betroffenen Personen ebenso wie für die beteiligten Stellen.

Betroffenenrechte (Art. 26 Abs. 3 DSGVO)

Ungeachtet der internen Aufgabenverteilung in der Vereinbarung kann die betroffene Person ihre Rechte bei und gegenüber jedem der gemeinsam Verantwortlichen geltend machen. Die interne Vereinbarung entfaltet ihre Wirkung damit nicht zulasten der Betroffenen. Praktisch bedeutet das: Jede beteiligte Stelle muss in der Lage sein, eingehende Anfragen zumindest entgegenzunehmen und an die intern zuständige Stelle weiterzuleiten – auch dann, wenn nicht sie selbst die materielle Antwort erteilt.

Gesamtschuldnerische Außenhaftung (Art. 82 Abs. 4 DSGVO)

Sind an einer Verarbeitung mehrere Verantwortliche beteiligt, haftet jeder von ihnen gegenüber der betroffenen Person für den gesamten Schaden. Hintergrund ist der Schutzgedanke der DSGVO: Die betroffene Person soll ihren Schadensersatz vollständig und wirksam erhalten können, ohne im Innenverhältnis der Verantwortlichen ermitteln zu müssen, wer welchen Anteil am Schaden hat. Für die in Anspruch genommene Stelle bedeutet das ein nicht zu unterschätzendes wirtschaftliches Risiko.

Innenregress (Art. 82 Abs. 5 DSGVO)

Hat eine Stelle den Schaden vollständig beglichen, kann sie von den übrigen Verantwortlichen denjenigen Teil des Schadensersatzes zurückfordern, der ihrem Anteil an der Verantwortung entspricht. Damit dieser Innenausgleich in der Praxis tragfähig funktioniert, sollten verbindliche Maßstäbe für die Verteilung schon in der Joint-Controller-Vereinbarung festgelegt werden – sonst entstehen die schwierigen Diskussionen erst im Schadensfall.

Aufsichtsbehördliche Folgen

Bei der zuständigen Aufsichtsbehörde – in Sachsen-Anhalt der Landesbeauftragte für den Datenschutz Sachsen-Anhalt – können Beschwerden gegen jeden der gemeinsam Verantwortlichen erhoben werden. Behördliche Maßnahmen können sich gegen jeden Beteiligten richten. Für öffentliche Stellen des Landes Sachsen-Anhalt schließt § 31 Abs. 2 Satz 1 DSAG LSA in Verbindung mit Art. 83 Abs. 7 DSGVO die Verhängung von Geldbußen aus. In Betracht kommen aber Untersagungsverfügungen nach Art. 58 Abs. 2 DSGVO sowie Schadensersatzansprüche Betroffener nach Art. 82 DSGVO.

07

Häufig auftretende Stolperstellen

Bei Vertragsprüfungen begegnen sieben Punkte besonders häufig. Sie werden zur Sensibilisierung empfohlen.

  1. Falsche Einordnung als Auftragsverarbeitung. Bei Plattformen mit eigenem Zweckinteresse des Anbieters – soziale Netzwerke, bestimmte Analytics-Dienste, einzelne Lern-KI-Anbieter – erscheint die Wahl eines AVV nicht in jedem Fall passend. Empfohlen wird, vor Vertragsschluss zu prüfen, ob nicht eher Art. 26 DSGVO einschlägig ist.
  2. Fehlende Vereinbarung trotz erkennbarer gemeinsamer Verarbeitung. In manchen Forschungsverbünden, Kooperationsprojekten oder Plattformkonstellationen wird die Frage der Verantwortlichkeit gar nicht ausdrücklich geregelt. Eine fehlende Vereinbarung wird in der Aufsichtspraxis häufig als klärungsbedürftig im Sinne des Art. 26 Abs. 1 DSGVO bewertet.
  3. Unterbliebene Veröffentlichung der wesentlichen Inhalte. Die Pflicht aus Art. 26 Abs. 2 Satz 2 DSGVO, das Wesentliche der Vereinbarung den Betroffenen zugänglich zu machen, wird in der Praxis häufig übersehen oder nur unvollständig erfüllt.
  4. Pauschale Aufgabenverteilung ohne Detailregelung. Vereinbarungen, die nur abstrakt festlegen, dass „beide Parteien die Pflichten der DSGVO erfüllen", dürften hinter den Anforderungen des Art. 26 Abs. 1 Satz 2 DSGVO zurückbleiben. Empfohlen wird eine konkrete Aufgabenzuweisung für jeden einzelnen Pflichtenkreis – Information, Auskunft, Löschung, Datenpannen-Meldung.
  5. Vermischung mit AVV-Klauseln (Toxic Hybridity). In manchen Vertragsentwürfen werden Elemente aus Art. 28 DSGVO (Weisungsbindung) und aus Art. 26 DSGVO (gemeinsame Entscheidung) vermischt. Eine solche Vermischung erscheint kaum tragfähig und dürfte einer aufsichtsbehördlichen Prüfung schwerlich standhalten.
  6. Übersehen der phasenweisen Aufteilung. Nicht jede gemeinsame Verantwortlichkeit umfasst die gesamte Verarbeitungskette. Insbesondere nach EuGH C-40/17 (Fashion ID) erscheint eine phasenweise Aufteilung möglich – mit unterschiedlichen Pflichten je nach Phase. Eine pauschale Erfassung der gesamten Kette dürfte häufig nicht der tatsächlichen Beteiligungslage entsprechen.
  7. Unterschätzte Außenhaftung. Die gesamtschuldnerische Außenhaftung nach Art. 82 Abs. 4 DSGVO wird in Vertragsverhandlungen häufig nicht hinreichend gewürdigt. Empfohlen wird, die Innenausgleichsregelung sorgfältig auszugestalten und die wirtschaftlichen Folgen einer möglichen Inanspruchnahme vor Vertragsschluss realistisch zu bewerten.

Eine abschließende Bewertung, ob konkrete Verstöße vorliegen, obliegt der zuständigen Aufsichtsbehörde.

08

Querverweise

Verwandte Themenseiten mit ergänzenden Vertiefungen:

09

Vertiefende Quellen

Rechtsquellen

  • Verordnung (EU) 2016/679 (DSGVO) – insb. Art. 4 Nr. 7 (Verantwortlicher); Art. 5 Abs. 2 (Rechenschaftspflicht); Art. 13/14 (Informationspflichten); Art. 26 (Gemeinsame Verantwortlichkeit, Vereinbarung, Wesentliches gegenüber Betroffenen).

Rechtsprechung

Aufsichtspraxis und Mustervorlagen

Querverweise auf eigene Themenseiten

Stand: Q2/2026 · letzte inhaltliche Pflege; anbieter- und produktbezogene Aussagen sind dynamisch und vor produktiver Nutzung an aktuellen Primärquellen zu prüfen.

Weitere Themenseiten zu Datenschutz, KI-Verordnung und Informationssicherheit.

Zur Themenübersicht

Fragen zu dieser Seite?

Hinweise, Fehlerkorrekturen oder Anregungen zur Erweiterung dieser Seite nehme ich gerne entgegen.

kontakt@dennisawinkler.de