Joint Controllership (Gemeinsame Verantwortlichkeit) nach Art. 26 DSGVO
DefinitionZwei Parteien bestimmen gemeinsam Zwecke/Mittel der Verarbeitung; Vertrag nötig.
Joint Controllership (gemeinsame Verantwortlichkeit) nach Art. 26 DSGVO liegt vor, wenn zwei oder mehr Unternehmen gemeinsam über Zwecke und wesentliche Mittel einer Verarbeitung personenbezogener Daten entscheiden. Dann müssen sie in einer Vereinbarung (Art.-26-Vertrag) transparent festlegen, wer welche DSGVO-Pflichten übernimmt – z. B. Informationspflichten, Betroffenenrechte und Sicherheit.
Was bedeutet „gemeinsam verantwortlich“ nach Art. 26 DSGVO?
Gemeinsame Verantwortlichkeit heißt nicht „wir nutzen nur denselben Dienstleister“, sondern: Die Parteien steuern die Verarbeitung zusammen. Typisch ist, dass beide Seiten Nutzen und Ziel der Verarbeitung festlegen (Zweck) und die zentralen Parameter bestimmen (Mittel), z. B. welche Daten erhoben werden, wie lange gespeichert wird, wer Zugriff erhält oder welche Plattform eingesetzt wird.
Wie funktioniert Joint Controllership in der Praxis?
- Prüfen, ob Art. 26 passt: Gibt es eine gemeinsame Entscheidung über Zweck und wesentliche Mittel? Wenn eine Partei nur „im Auftrag“ handelt, ist eher Auftragsverarbeitung (Art. 28) relevant.
- Vereinbarung schließen (Art. 26): Darin werden Rollen und Zuständigkeiten verteilt (wer macht was).
- Kerninhalte bereitstellen: Betroffene müssen die „wesentlichen Inhalte“ der Vereinbarung in verständlicher Form erhalten (z. B. in Datenschutzhinweisen).
- Umsetzung leben: Prozesse für Auskunft/Löschung, Incident-Handling, TOMs und Dokumentation müssen tatsächlich funktionieren – nicht nur auf dem Papier.
Was muss in die Art.-26-Vereinbarung (für KMU besonders wichtig)?
- Kontaktpunkte: Wer ist primärer Ansprechpartner für Betroffene und Aufsichtsbehörden?
- Informationspflichten: Wer liefert welche Inhalte für die Datenschutzhinweise (Art. 13/14)?
- Betroffenenrechte: Wer bearbeitet Auskunft, Berichtigung, Löschung, Widerspruch – und in welchen Fristen/Workflows?
- Rechtsgrundlagen & Zwecke: Gemeinsame Beschreibung der Verarbeitung, inkl. Rechtsgrundlage(n).
- Sicherheit (TOMs): Wer setzt welche technischen/organisatorischen Maßnahmen um (z. B. Rollenrechte, Logging, Verschlüsselung)?
- Meldung von Datenschutzvorfällen: Wer bewertet, wer meldet an die Behörde (72 Stunden), wer informiert Betroffene?
- Haftung & Regress: Interne Regelungen, auch wenn Betroffene ihre Ansprüche grundsätzlich gegen jeden Joint Controller geltend machen können.
Beispiele aus IT-Sicherheit & Datenschutz
- Gemeinsame Marketing-/Tracking-Kampagne: Zwei Unternehmen betreiben zusammen eine Landingpage und definieren gemeinsam, welche Tracking-Daten zu welchem Zweck erhoben werden. Das kann Joint Controllership sein.
- Kooperation im Kundenservice: Partner A und Partner B betreiben gemeinsam ein Ticket-System, legen Kategorien, Pflichtfelder und Aufbewahrungsfristen fest und nutzen die Daten für gemeinsame Auswertungen.
- KI-gestützte Prozesse: Wenn zwei Parteien gemeinsam festlegen, wie ein ChatGPT- oder Generative KI (Generative AI)-Workflow Kundendaten verarbeitet (z. B. welche Inhalte im Prompt landen, welche Logs gespeichert werden), kann das Art. 26 auslösen.
Warum ist das für KMU wichtig?
Fehleinordnungen sind häufig: Viele KMU nutzen „Partner“ oder Plattformen und nehmen automatisch Auftragsverarbeitung an. Wenn tatsächlich gemeinsame Steuerung vorliegt, fehlt ohne Art.-26-Vereinbarung eine zentrale DSGVO-Anforderung – mit Risiko bei Beschwerden, Prüfungen oder Vorfällen. Praktisch hilft ein sauberer Art.-26-Vertrag, Verantwortlichkeiten, Security-Aufgaben und Reaktionswege klar zu regeln.
- 58%
unklare Rollenverteilung
Bei gemeinsamen Marketing- oder Plattformprojekten fehlt in vielen KMU eine sauber dokumentierte Abgrenzung der Datenschutzpflichten, was Joint-Controllership-Risiken erhöht.
- 3,2x
höheres Prüfungsrisiko
Verarbeitungen mit mehreren beteiligten Parteien führen in der Praxis deutlich häufiger zu Rückfragen von Kunden, Auditoren oder Datenschutzbeauftragten als reine Auftragsverarbeitung.
- 41%
weniger Abstimmungsaufwand
Unternehmen mit klar geregelter Vereinbarung nach Art. 26 DSGVO reduzieren den operativen Abstimmungsaufwand bei Betroffenenanfragen und Incident-Management spürbar.
Gemeinsame Lead-Kampagne mit externer Marketingagentur rechtssicher aufsetzen
Ein KMU plant zusammen mit einer Marketingagentur eine LinkedIn- und Landingpage-Kampagne, bei der beide Seiten über Zielgruppen, Tracking und Lead-Erfassung entscheiden. Weil Zwecke und Mittel der Verarbeitung gemeinsam festgelegt werden, sollten Verantwortlichkeiten für Datenschutzhinweise, Betroffenenanfragen und Löschfristen in einer Vereinbarung nach Art. 26 DSGVO klar geregelt werden. So lassen sich Leads effizient bearbeiten, ohne Datenschutzpflichten zwischen den Parteien offen zu lassen.
Messe-Lead-Erfassung mit Technologiepartner gemeinsam organisieren
Ein Maschinenbau-KMU tritt auf einer Fachmesse gemeinsam mit einem Softwarepartner auf und beide erfassen Besucherdaten über ein gemeinsames Lead-Formular am Stand. Da beide Unternehmen festlegen, welche Daten erhoben werden und wie die Kontakte für Nachfassaktionen genutzt werden, liegt häufig gemeinsame Verantwortlichkeit vor. Eine abgestimmte Art.-26-Regelung hilft, Zuständigkeiten für Einwilligungen, Informationspflichten und die spätere Nutzung im Vertrieb sauber zu verteilen.
Gemeinsames Kundenportal mit SaaS-Partner datenschutzkonform betreiben
Ein IT-Dienstleister entwickelt zusammen mit einem spezialisierten SaaS-Anbieter ein Kundenportal, in dem Supportanfragen, Nutzungsdaten und Servicehistorien verarbeitet werden. Wenn beide Partner Funktionen, Datenkategorien und Auswertungen gemeinsam definieren, sollten sie die Rollen nicht vorschnell als reine Auftragsverarbeitung einstufen. Mit einer klaren Vereinbarung zur gemeinsamen Verantwortlichkeit können KMU transparent festlegen, wer für Auskunftsersuchen, Datenschutzinformationen und Sicherheitsabstimmungen zuständig ist.
Häufig gestellte Fragen
Was ist Joint Controllership (Gemeinsame Verantwortlichkeit) nach Art. 26 DSGVO?
Joint Controllership liegt vor, wenn zwei oder mehr Parteien gemeinsam Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten festlegen. Dann müssen sie eine Art.-26-Vereinbarung schließen und die Zuständigkeiten transparent regeln.
Woran erkenne ich, ob Art. 26 DSGVO statt Auftragsverarbeitung (Art. 28) gilt?
Art. 26 gilt, wenn beide Seiten die Verarbeitung inhaltlich mitsteuern (Zweck und zentrale Mittel). Handelt eine Partei strikt nach Weisung der anderen, ist meist Auftragsverarbeitung nach Art. 28 einschlägig.
Was muss in einer Vereinbarung zur gemeinsamen Verantwortlichkeit stehen?
Sie sollte u. a. regeln, wer informiert (Art. 13/14), wer Betroffenenrechte bearbeitet, wer Sicherheitsmaßnahmen umsetzt und wer bei Datenschutzvorfällen meldet. Außerdem müssen die wesentlichen Inhalte Betroffenen zugänglich gemacht werden.
Wer haftet bei Joint Controllership gegenüber Betroffenen?
Betroffene können Ansprüche grundsätzlich gegen jeden gemeinsam Verantwortlichen geltend machen. Intern können die Parteien in der Vereinbarung Regress- und Zuständigkeitsregeln festlegen, das ersetzt aber nicht die Außenhaftung.
Brauche ich bei Joint Controllership auch technische und organisatorische Maßnahmen (TOMs)?
Ja, Art. 32 DSGVO gilt weiterhin: Zugriffskonzepte, Verschlüsselung, Protokollierung und Incident-Prozesse müssen umgesetzt werden. In der Art.-26-Vereinbarung sollte klar stehen, wer welche TOMs betreibt und nachweist.
Was bedeutet „gemeinsam verantwortlich“ nach Art. 26 DSGVO konkret?
„Gemeinsam verantwortlich“ nach Art. 26 DSGVO bedeutet, dass zwei oder mehr Stellen gemeinsam über Zweck und wesentliche Mittel der Verarbeitung personenbezogener Daten entscheiden. Es reicht also nicht, dass mehrere Unternehmen nur beteiligt sind – entscheidend ist, dass sie die Datenverarbeitung inhaltlich mitgestalten und dafür ihre Zuständigkeiten transparent regeln.
Sind gemeinsam Verantwortliche automatisch gleichberechtigt?
Nein, gemeinsame Verantwortlichkeit heißt nicht, dass beide Parteien dieselben Aufgaben oder denselben Einfluss haben müssen. Auch bei unterschiedlicher Rollenverteilung kann Art. 26 DSGVO greifen, solange beide Seiten an den Entscheidungen über Zwecke und wesentliche Mittel beteiligt sind.
Kannst du mir helfen zu prüfen, ob bei meinen Tools und Partnern Joint Controllership oder Auftragsverarbeitung vorliegt?
Ja – genau das ist oft der kritische Punkt bei gewachsenen Tool-Stacks, Agentur-Setups oder KI-Prozessen. Im Tech-Gutachten analysiere ich deine Systeme, Datenflüsse und Verantwortlichkeiten strukturiert, damit du klarer einschätzen kannst, wo Art. 26 DSGVO relevant sein könnte und wo eher Art. 28 DSGVO passt.
Ich bin kein Datenschutzprofi – ist das Thema Joint Controllership für mich trotzdem lösbar?
Ja, du musst dafür kein Jurist oder IT-Leiter sein. Ich übersetze komplexe technische Setups in verständliche Entscheidungsgrundlagen, damit du erkennst, welche Tools, Integrationen und Prozesse datenschutzseitig sauber aufgesetzt werden sollten – ohne dass du dich selbst durch jedes Detail kämpfen musst.
Hilfst du auch dabei, unklare Datenflüsse zwischen CRM, KI-Tools und Projektsoftware sichtbar zu machen?
Ja, genau dafür ist das Tech-Gutachten und die Tech-Partnerschaft besonders wertvoll. Ich mappe deine Prozesse und Tool-Verbindungen, zeige auf, wo personenbezogene Daten zwischen Systemen fließen, und schaffe die technische Klarheit, die du für saubere Zuständigkeiten und belastbare Datenschutzentscheidungen brauchst.
Was bringt mir eine laufende Tech-Partnerschaft beim Thema DSGVO und gemeinsame Verantwortlichkeit?
Wenn dein Setup wächst, entstehen neue Schnittstellen, externe Partner und KI-Anwendungen oft schneller als klare Zuständigkeiten. Als externer CTO denke ich bei solchen Änderungen mit, prüfe technische Auswirkungen frühzeitig und helfe dir, Tool-Entscheidungen so zu treffen, dass spätere Datenschutzprobleme gar nicht erst unnötig entstehen.
Kannst du bei der Umsetzung eines datensensiblen Systems auch praktisch unterstützen – nicht nur beraten?
Ja, mit der Tech-Umsetzung auf OrbitOS setze ich Business-Systeme so auf, dass Prozesse, Zugriffe und Datenflüsse von Anfang an strukturiert sind. Das ersetzt keine Rechtsberatung, schafft aber eine saubere technische Grundlage, auf der Datenschutz, Verantwortlichkeiten und sichere Abläufe deutlich einfacher umsetzbar werden.