Auftragsverarbeitung - Gemeinsam Verantwortliche

Mehr als ein beteiligter Akteur

Ist mehr als ein Akteur, also mehr als ein Handelnder an der Verarbeitung personenbezogener Daten beteiligt, kann es angezeigt sein, diese Akteure als gemeinsam verantwortlich einzustufen. Die Datenschutzgrundverordnung hat mit Art. 26 besondere Regeln für diesen Fall eingeführt und definiert die möglichen Beziehungen zwischen den Akteuren. Außerdem hat der EuGH, der Gerichtshof der Europäischen Union, klar geregelt, wann eine gemeinsame Verantwortlichkeit vorliegt und wie sich diese auswirkt. In der Hauptsache richtet sich diese Einstufung nach den zugewiesenen datenschutzrechtlichen Verpflichtungen und nach den Auswirkungen auf Rechte Betroffener. Unsere Ausführungen sollen Organisationen helfen, die Anforderungen der DSGVO und die Rechtsauffassung des EuGH zu berücksichtigen, wenn sie entscheiden müssen, ob sie gemeinsam Verantwortliche sind und wie sie dieses Konstrukt gegebenenfalls praktisch anzuwenden haben.

Gemeinsam oder alleinig verantwortlich?

Die Grundlage gemeinsamer Verantwortlichkeit ist der Begriff des Verantwortlichen in Art. 4 Nr. 7 DSGVO. So ist es nur folgerichtig, dass wir in diesem Beitrag unsere Ausführungen zum Verantwortlichen ergänzen. Das Urteil darüber, ob die Verantwortlichkeit eine gemeinsame oder eine alleinige ist, wird immer vor diesem Hintergrund gefällt. Doch eine wichtige Rolle spielt auch Art. 26 DSGVO. Dieser Artikel sagt Folgendes aus: Wenn mindestens zwei Verantwortliche Zwecke und Mittel der Datenverarbeitung festlegen, dann liegt eine gemeinsame Verantwortlichkeit vor. Um die Frage zu beantworten, ob es sich um gemeinsam Verantwortliche handelt, ist zu prüfen, ob mehr als eine Partei über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. „Gemeinsam" meint „nicht allein" oder auch „zusammen mit". Dabei sind verschiedene Ausprägungen möglich.

Die Tatsachen entscheiden

Um zu prüfen, ob eine gemeinsame oder eine alleinige Verantwortlichkeit vorliegt, sollten die tatsächlichen Gegebenheiten analysiert werden, nicht die formalen. Mit den tatsächlichen Fakten der Beziehungen zwischen Parteien sollten geplante und bestehende Vereinbarungen im Einklang stehen. Die nur formale Beurteilung wäre nicht hinreichend, weil zum einen die vertragliche oder gesetzliche Benennung der gemeinsam Verantwortlichen fehlen kann und weil zum anderen die formale Benennung den tatsächlichen Verhältnissen und Vereinbarungen nicht zwingend entsprechen muss. Letzteres wäre der Fall, wenn die Verantwortlichkeit einer Stelle zugesprochen wird, die faktisch nicht fähig ist, die Zwecke und die Mittel der Datenverarbeitung zu definieren.

Mehrere beteiligte Parteien sind nicht unbedingt gemeinsam verantwortlich

Doch auch wenn mehrere Parteien an einer Verarbeitung personenbezogener Daten beteiligt sein sollten, bedeutet dies noch lange nicht, dass diese Parteien gemeinsam für die Datenverarbeitung verantwortlich sind. Als entscheidender Anhaltspunkt dafür, dass es sich um eine gemeinsame Verantwortlichkeit handelt, gilt, dass mindestens zwei Stellen Zwecke und Mittel der Verarbeitung definieren: Die Beteiligung muss sich erstens auf das gemeinsame Festlegen der Ziele und zweitens auf das Festlegen der Mittel beziehen. Wenn alle Beteiligten über jeden dieser Bereiche entscheiden, gelten sie für die konkrete Datenverarbeitung als gemeinsam verantwortlich.

Die gemeinsame Beteiligung richtig einschätzen

Beeinflussen mindestens zwei Stellen die Entscheidung über die Zwecke und die Mittel einer Verarbeitung personenbezogener Daten, ist von einer gemeinsamen Beteiligung auszugehen. Das kann sich im Alltag unterschiedlich darstellen: So können die beteiligten Stellen – mindestens zwei – zum Beispiel eine Entscheidung gemeinsam treffen. Es ist aber auch möglich, dass mehrere Stellen sich mittels konvergierender Entscheidungen einer gemeinsamen Lösung annähern. Eine weithin akzeptierte Interpretation von „gemeinsam" nach Art. 26 der Datenschutzgrundverordnung ist, dass mehrere Stellen gemeinsam daran beteiligt sind, eine Entscheidung zu fällen: Die Parteien treffen eine gemeinsame Entscheidung und verfolgen damit eine gemeinsame Absicht. Mehr zu diesem Thema lesen Sie im Beitrag Perspektiven gemeinsamer Verantwortlichkeit. 

Mehr Informationen zur gemeinsamen Verantwortung

Wenn Sie mehr zum Themenkreis der gemeinsamen Verantwortung wissen möchten, dann kommen Sie gern auf uns zu. Unter Telefon 09122 6937302 oder mit Ihrer Nachricht erreichen Sie uns ganz unkompliziert und können direkt einen Beratungstermin vereinbaren. Wir freuen uns darauf!

Ihr Team von Datenschutz Prinz

Mehr zum Thema Auftragsverarbeitung:

• Perspektiven gemeinsamer Verantwortlichkeit
• Zwecke, Mittel und Verantwortung