Wenn zwei oder mehr Stellen gemeinsam über die Zwecke und Mittel der Verarbeitung entscheiden, sind sie gemeinsam Verantwortliche (Art. 26 DSGVO). Ein typisches Beispiel ist der Betrieb einer gemeinsamen Online-Plattform, gemeinsame Kundendatenbanken im Konzern oder die Nutzung von Facebook-Fanpages (EuGH C-210/16).
Pflichten
Gemeinsam Verantwortliche müßen in einer transparenten Vereinbarung festlegen, wer welche DSGVO-Pflichten erfüllt - insbesondere Informationspflichten und Betroffenenrechte (Art. 26 Abs. 1 DSGVO). Das Wesentliche der Vereinbarung muss betroffenen Personen zur Verfügung gestellt werden.
Haftung
Die Haftung ist gesamtschuldnerisch (Art. 82 Abs. 4, Art. 26 Abs. 3 DSGVO): Betroffene können ihre Rechte bei JEDEM der gemeinsam Verantwortlichen geltend machen. Das Fehlen einer Vereinbarung ändert nichts an der gemeinsamen Verantwortlichkeit - es drohen aber zusätzlich Bußgelder (Art. 83 Abs. 4 lit. a DSGVO).
Abgrenzung
Art. 26 ist KEINE Rechtsgrundlage für die Verarbeitung. Jeder Verantwortliche braucht eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die Übermittlung zwischen gemeinsam Verantwortlichen ist ein eigener Verarbeitungsvorgang, der ebenfalls einer Rechtsgrundlage bedarf.