Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Wenn ein AVV nicht reicht

Inhalt in Kürze

• Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO liegt vor, wenn zwei Stellen zusammen über Zweck und Mittel einer Verarbeitung entscheiden — nicht erst, wenn beide auf dieselbe Datenbank zugreifen.
• Der Abgrenzungstest ist einfach: Verfolgt der Partner eigene Zwecke? Dann ist es kein Auftragsverarbeitungsvertrag, sondern eine Art.-26-Vereinbarung.
• Typische Fälle im Mittelstand: Social-Media-Seiten, gemeinsame Veranstaltungen, Konzernstrukturen, Vertriebskooperationen, eingebundene Drittanbieter-Elemente auf der Website.
• Betroffene können ihre Rechte gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3). Bußgeldrahmen: bis 10 Mio. Euro oder 2 Prozent des Jahresumsatzes.

„Wir haben einen AVV, das passt.” Diesen Satz hören wir in Audits fast wöchentlich — und in etwa jedem fünften Fall passt es eben nicht. Der Vertrag liegt vor, ist sauber unterschrieben und regelt trotzdem das Falsche, weil die Rollen nie geprüft wurden.

Der Unterschied, an dem alles hängt

Die DSGVO kennt drei Konstellationen, wenn zwei Unternehmen mit denselben Daten arbeiten. Nur eine davon ist die Auftragsverarbeitung.

Der praktische Test besteht aus einer Frage: Darf der Partner die Daten auch für sich nutzen? Ein Steuerberater, ein Rechenzentrum, ein Newsletter-Tool — die dürfen es nicht, das ist Auftragsverarbeitung. Ein Kooperationspartner, der dieselben Teilnehmerdaten für seine eigene Nachfassaktion verwendet, darf es. Dann ist der AVV im Ordner das falsche Papier.

Woher der Begriff kommt: drei Urteile, die bis heute wirken

Art. 26 DSGVO ist kurz. Was er bedeutet, hat der Europäische Gerichtshof ausgefüllt.

• Wirtschaftsakademie Schleswig-Holstein (C-210/16, 2018). Der Betreiber einer Facebook-Fanpage ist gemeinsam mit dem Plattformbetreiber verantwortlich — weil er durch Auswahl der Zielgruppenparameter über die Verarbeitung mitentscheidet. Das gilt bis heute für jede Unternehmensseite auf einer Social-Media-Plattform.
• Fashion ID (C-40/17, 2019). Wer einen Like-Button oder ein vergleichbares Drittanbieter-Element einbindet, ist für das Erheben und Übermitteln der Daten mitverantwortlich — auch ohne Zugriff auf die Daten. Die Verantwortlichkeit endet allerdings dort, wo die nachgelagerte Verarbeitung des Anbieters beginnt.
• Zeugen Jehovas (C-25/17, 2018). Für die gemeinsame Verantwortlichkeit ist kein Zugriff auf die Daten nötig und keine schriftliche Absprache. Es reicht die tatsächliche Mitwirkung an der Festlegung von Zweck und Mitteln.

Der dritte Punkt ist der unangenehme: Gemeinsame Verantwortlichkeit entsteht faktisch, nicht durch Vertrag. Sie können sie nicht dadurch vermeiden, dass Sie keine Vereinbarung schließen — Sie machen es dadurch nur schlimmer.

Wo sie im Mittelstand tatsächlich auftaucht

Die Facebook-Fanpage ist das Lehrbuchbeispiel. Im Alltag sind es meist andere Fälle:

1. Gemeinsame Veranstaltungen. Zwei Unternehmen laden zu einem Kundenevent, teilen die Anmeldeliste und werben beide im Nachgang. Klassischer Art.-26-Fall — und praktisch nie vertraglich geregelt.
2. Konzern- und Verbundstrukturen. Eine zentrale Personal- oder CRM-Plattform für mehrere Schwestergesellschaften. Ein Konzernprivileg kennt die DSGVO nicht; entweder Auftragsverarbeitung oder Art. 26.
3. Vertriebs- und Handelspartner. Leads werden geteilt, beide Seiten pflegen sie im eigenen CRM und kontaktieren die Interessenten. Beide verfolgen eigene Zwecke.
4. Social-Media-Auftritte. Seiten auf Meta-Plattformen und LinkedIn. Die Anbieter stellen eigene Addenda bereit, die die Aufteilung nach Art. 26 regeln — abrufen und ablegen genügt, aber es muss eben getan werden.
5. Drittanbieter-Elemente auf der Website. Eingebettete Kartendienste, Buchungswidgets, Bewertungsbausteine oder Tracking-Pixel. Nach der Fashion-ID-Logik sind Sie für Erhebung und Übermittlung mitverantwortlich.

Was in die Vereinbarung gehört

Art. 26 Abs. 1 DSGVO verlangt eine Vereinbarung, die die jeweiligen Pflichten transparent festlegt. Der Gesetzestext nennt zwei Punkte ausdrücklich, in der Praxis brauchen Sie mehr. Den Wortlaut finden Sie bei dsgvo-gesetz.de zu Art. 26.

Wichtig ist Art. 26 Abs. 2: Das Wesentliche der Vereinbarung muss den betroffenen Personen zur Verfügung gestellt werden. In der Praxis heißt das ein eigener Abschnitt in der Datenschutzerklärung — nicht ein Vertrag im Schrank.

Aus der Praxis

Wir hatten im Frühjahr den Fall einer gemeinsamen Messe-Aktion von zwei Mittelständlern. Beide haben die Leads gescannt, beide haben nachgefasst, keiner hatte etwas geregelt. Als ein Interessent Auskunft verlangte, schickten sich die beiden Firmen die Anfrage vier Wochen lang gegenseitig zu. Am Ende stand die Beschwerde bei der Aufsicht — nicht wegen der Datenverarbeitung, sondern weil niemand geantwortet hat. Eine Seite Papier vor der Messe hätte das verhindert.

Nils OehmichenDatenschutzberater bei frag.hugo

Haftung: Warum die interne Aufteilung Betroffene nicht interessiert

Art. 26 Abs. 3 DSGVO ist der Satz, den viele überlesen: Die betroffene Person kann ihre Rechte bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen — ungeachtet dessen, was intern vereinbart wurde.

Die Aufteilung wirkt also nur im Innenverhältnis. Nach außen sind Sie beide voll ansprechbar. Wer die Vereinbarung als Schutzschild versteht, hat sie missverstanden; sie ist ein Organisationsinstrument, kein Haftungsausschluss.

Der Bußgeldrahmen für Verstöße gegen Art. 26 folgt Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

So gehen Sie es an

1. Verarbeitungsverzeichnis durchgehen. Markieren Sie jede Verarbeitung, an der ein zweites Unternehmen beteiligt ist. Das ist die Kandidatenliste — Aufbau und Vorlage im Beitrag zum Verarbeitungsverzeichnis.
2. Rollen prüfen, nicht Verträge. Für jeden Kandidaten die eine Frage stellen: Nutzt der Partner die Daten auch für eigene Zwecke? Die Antwort entscheidet über Art. 28 oder Art. 26.
3. Falsche Verträge ersetzen. Wo ein AVV die falsche Konstellation abbildet, wird er durch eine Art.-26-Vereinbarung ersetzt — nicht ergänzt. Was ein sauberer AVV leisten muss, steht im Beitrag zum Auftragsverarbeitungsvertrag.
4. Datenschutzerklärung nachziehen. Das Wesentliche der Vereinbarung gehört veröffentlicht. Ohne diesen Schritt ist die Vereinbarung unvollständig.
5. Anlaufstelle benennen und intern bekannt machen. Eine Adresse, eine verantwortliche Person, eine Frist. Damit fällt der häufigste Praxisfehler weg.

Fazit: Ihr nächster Schritt

Die gemeinsame Verantwortlichkeit ist kein juristisches Feinschliff-Thema. Sie entscheidet darüber, wer bei einer Auskunftsanfrage antworten muss, wer eine Datenpanne meldet und wer am Ende zahlt. Und sie entsteht unabhängig davon, ob Sie sie geregelt haben.

Der Aufwand ist überschaubar: Ein Durchgang durchs Verarbeitungsverzeichnis mit der einen Prüffrage bringt in den meisten KMU zwei bis fünf Fälle ans Licht. Die zu regeln kostet einen halben Tag. Wir prüfen das im Rahmen eines DSGVO-Audits oder laufend als externer Datenschutzbeauftragter.

Häufige Fragen (FAQ)

Was ist gemeinsame Verantwortlichkeit nach Art. 26 DSGVO?

Gemeinsame Verantwortlichkeit liegt vor, wenn zwei oder mehr Stellen gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. Beide sind dann Verantwortliche im Sinne der DSGVO und müssen in einer Vereinbarung festlegen, wer welche Pflichten erfüllt – insbesondere bei der Information der Betroffenen und der Beantwortung von Auskunftsanfragen.

Wie unterscheidet sich Art. 26 von einem AVV nach Art. 28?

Beim AVV verarbeitet ein Dienstleister ausschließlich weisungsgebunden für Sie und verfolgt keine eigenen Zwecke. Bei Art. 26 verfolgen beide Seiten eigene Zwecke und entscheiden gemeinsam über die Verarbeitung. Der praktische Test: Darf der Partner die Daten auch für sich selbst nutzen? Dann ist es kein AVV.

Welche Inhalte muss eine Vereinbarung nach Art. 26 DSGVO haben?

Sie muss transparent festlegen, wer welche Pflicht erfüllt: Information der Betroffenen nach Art. 13 und 14, Bearbeitung von Betroffenenrechten, Meldung von Datenpannen, Löschung, Sicherheitsmaßnahmen und eine Anlaufstelle. Das Wesentliche der Vereinbarung muss den Betroffenen zur Verfügung gestellt werden.

Sind Facebook- und Instagram-Seiten ein Fall von Art. 26?

Ja. Der Europäische Gerichtshof hat 2018 im Fall Wirtschaftsakademie Schleswig-Holstein entschieden, dass der Betreiber einer Facebook-Fanpage gemeinsam mit dem Plattformbetreiber verantwortlich ist. Meta stellt dafür ein eigenes Seiten-Insights-Addendum bereit, das die Rollen nach Art. 26 aufteilt.

Haften beide Verantwortliche gegenüber Betroffenen?

Ja. Nach Art. 26 Abs. 3 DSGVO können Betroffene ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend machen – unabhängig davon, was intern vereinbart wurde. Die interne Aufteilung wirkt nur im Innenverhältnis, nicht gegenüber dem Betroffenen oder der Aufsichtsbehörde.

Was kostet ein Verstoß gegen Art. 26 DSGVO?

Verstöße gegen die Pflichten der Verantwortlichen aus Art. 26 fallen unter Art. 83 Abs. 4 lit. a DSGVO. Der Rahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.