Wenn zwei oder mehr Stellen gemeinsam über die Zwecke und Mittel der Verarbeitung entscheiden, sind sie gemeinsam Verantwortliche (Art. 26 DSGVO). Ein typisches Beispiel ist der Betrieb einer gemeinsamen Online-Plattform, gemeinsame Kundendatenbanken im Konzern oder die Nutzung von Facebook-Fanpages (EuGH C-210/16).
Pflichten
Gemeinsam Verantwortliche müssen in einer transparenten Vereinbarung festlegen, wer welche DSGVO-Pflichten erfüllt, insbesondere Informationspflichten und Betroffenenrechte (Art. 26 Abs. 1 DSGVO). Das Wesentliche der Vereinbarung muss betroffenen Personen zur Verfügung gestellt werden.
Haftung
Die Haftung ist gesamtschuldnerisch (Art. 82 Abs. 4, Art. 26 Abs. 3 DSGVO): Betroffene können ihre Rechte bei jedem der gemeinsam Verantwortlichen geltend machen. Das Fehlen einer Vereinbarung ändert nichts an der gemeinsamen Verantwortlichkeit, es drohen aber zusätzlich Bußgelder (Art. 83 Abs. 4 lit. a DSGVO).
Abgrenzung
Art. 26 ist keine Rechtsgrundlage für die Verarbeitung. Jeder Verantwortliche braucht eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die Übermittlung zwischen gemeinsam Verantwortlichen ist ein eigener Verarbeitungsvorgang, der ebenfalls einer Rechtsgrundlage bedarf.
Ob eine Zusammenarbeit gemeinsame Verantwortlichkeit oder Auftragsverarbeitung ist, klärt der Artikel zum Auftragsverarbeitungsvertrag. Datenkodex unterstützt als externer Datenschutzbeauftragter bei dieser Einordnung.