Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Wenn zwei Unternehmen gemeinsam über Daten entscheiden

Zwei mittelständische Unternehmen planen gemeinsam eine Kundenveranstaltung. Das eine stellt den Raum und organisiert, das andere übernimmt das fachliche Programm. Beide möchten ihre Kunden einladen, legen gemeinsam fest, welche Angaben über das Anmeldeformular erhoben werden, und erhalten beide Zugriff auf die Teilnehmerliste. Für die technische Anmeldung kommt zusätzlich ein externer Dienstleister ins Spiel, der lediglich das Formular bereitstellt und die Daten nach Weisung verarbeitet.

Auf den ersten Blick sieht das nach einer klassischen Konstellation aus Auftraggeber und Dienstleister aus. Tatsächlich stecken darin drei völlig unterschiedliche datenschutzrechtliche Rollen: Der technische Anbieter kann Auftragsverarbeiter sein. Die beiden veranstaltenden Unternehmen dagegen verfolgen eigene Interessen und entscheiden gemeinsam, warum die Teilnehmerdaten erhoben werden und wie die Veranstaltung organisiert wird. Für diesen Teil der Verarbeitung spricht viel für eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

Genau an dieser Stelle entstehen in der Praxis regelmäßig Unsicherheiten. Häufig wird reflexartig nach einem Auftragsverarbeitungsvertrag gefragt – selbst dann, wenn der andere Beteiligte tatsächlich eigene Zwecke verfolgt und wesentliche Entscheidungen über die Verarbeitung trifft. Datenschutzrechtlich funktioniert diese Rollenverteilung aber nicht nach Wunsch: Ob jemand Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam Verantwortlicher ist, richtet sich nicht danach, was im Vertrag steht, sondern danach, wer tatsächlich über Zwecke und wesentliche Mittel der konkreten Verarbeitung entscheidet. Der Europäische Datenschutzausschuss spricht deshalb von funktionalen Rollen – maßgeblich sind die tatsächlichen Verhältnisse.

Das macht die gemeinsame Verantwortlichkeit zunächst anspruchsvoller, aber keineswegs zu einem exotischen Sonderfall. Überall dort, wo Unternehmen kooperieren, gemeinsame Plattformen betreiben, Datenbestände zusammenführen oder gemeinsam Marketingmaßnahmen durchführen, kann Art. 26 DSGVO eine ganz normale Form der Zusammenarbeit sein.

Was „gemeinsam verantwortlich“ wirklich bedeutet

Ausgangspunkt ist Art. 4 Nr. 7 DSGVO: Verantwortlicher ist, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Art. 26 Abs. 1 DSGVO greift diesen Gedanken auf: Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel einer Verarbeitung fest, sind sie gemeinsam Verantwortliche.

Drei Punkte sind dabei entscheidend:

Erstens müssen alle Beteiligten selbst die Stellung eines Verantwortlichen haben – wer ausschließlich nach Weisung eines anderen handelt und keine eigenen Zwecke verfolgt, wird dadurch nicht zum gemeinsam Verantwortlichen, sondern bleibt Auftragsverarbeiter nach Art. 28 DSGVO.

Zweitens muss sich die gemeinsame Entscheidung auf dieselbe oder eine eng damit verbundene Verarbeitung beziehen.

Und drittens – das ist für die Praxis besonders wichtig – muss die gemeinsame Verantwortlichkeit immer für den konkreten Verarbeitungsvorgang untersucht werden. Zwei Unternehmen sind nicht pauschal „gemeinsam Verantwortliche für alle Daten“. Für einen Teil eines gemeinsamen Projekts kann Art. 26 DSGVO gelten, während jedes Unternehmen für andere Verarbeitungsschritte allein verantwortlich bleibt.

Der Begriff „gemeinsam“ führt dabei häufig in die Irre. Es ist nicht erforderlich, dass zwei Geschäftsführer nebeneinandersitzen und jede Entscheidung gemeinsam unterschreiben. Der EuGH hat den Begriff deutlich weiter gefasst: Eine gemeinsame Verantwortlichkeit kann auch durch aufeinander abgestimmte oder konvergierende Entscheidungen entstehen, wenn sich diese so ergänzen, dass beide Beteiligten einen spürbaren Einfluss auf Zwecke und Mittel der Verarbeitung haben. Entscheidend ist also nicht die Form der Abstimmung, sondern der tatsächliche Einfluss.

Zweck und Mittel – worüber wird eigentlich gemeinsam entschieden?

Für die Einordnung lohnt sich die Unterscheidung zwischen Zweck und Mitteln. Der Zweck beantwortet die Frage, warum Daten verarbeitet werden – etwa zur Organisation und Durchführung einer gemeinsamen Veranstaltung. Die Mittel beantworten dagegen, wie die Verarbeitung im Wesentlichen erfolgen soll. Dabei kommt es nicht auf jede technische Kleinigkeit an, sondern auf die wesentlichen Mittel: Wer entscheidet, welche Personengruppen betroffen sind, welche Daten benötigt werden, wer Zugriff erhält oder wie lange ein gemeinsamer Datenbestand vorgehalten wird? Ein Hostinganbieter, der eigenständig über Serverarchitektur oder Sicherheitssoftware entscheidet, wird dadurch nicht automatisch zum Verantwortlichen – er entscheidet nicht über den eigentlichen Zweck der Verarbeitung. Genau diese Unterscheidung hilft bei der Abgrenzung zur Auftragsverarbeitung.

In der Praxis lassen sich drei Konstellationen unterscheiden, die sich vor allem daran erkennen lassen, wer den Zweck bestimmt und ob eine Weisungsgebundenheit besteht:

• Auftragsverarbeitung – der Auftraggeber bestimmt den Zweck, der Auftragsverarbeiter handelt weisungsgebunden und verfolgt keine eigenen Zwecke (Art. 28 DSGVO).
• Gemeinsame Verantwortlichkeit – mehrere Beteiligte beeinflussen denselben oder einen eng verbundenen Zweck, ohne dass Weisungsgebundenheit besteht (Art. 26 DSGVO).
• Getrennte Verantwortlichkeit – jeder Beteiligte bestimmt seinen eigenen Zweck unabhängig vom anderen. Es besteht keine besondere Vereinbarung allein wegen der Rollenverteilung.

Nicht jede Zusammenarbeit ist gleich gemeinsame Verantwortlichkeit

Ebenso wichtig wie die Erkenntnis, wann Art. 26 DSGVO greift, ist das Wissen, wann er es nicht tut. Zwei Unternehmen können mit denselben personenbezogenen Daten arbeiten, ohne gemeinsam verantwortlich zu sein – etwa wenn ein Arbeitgeber lohnrelevante Daten an die Krankenkasse meldet. Beide verarbeiten teilweise dieselben Daten, entscheiden aber nicht gemeinsam darüber, warum und wie die Krankenkasse ihre gesetzlichen Aufgaben erfüllt. Ähnlich verhält es sich bei der Weitergabe von Unterlagen an Rechtsanwälte, Steuerberater oder Behörden, soweit diese die Verarbeitung für eigene Zwecke und in eigener Verantwortung durchführen. Der bloße Umstand, dass Daten übermittelt werden, reicht für Art. 26 DSGVO ebenso wenig aus wie eine rein wirtschaftliche Zusammenarbeit: Ein gemeinsamer wirtschaftlicher Vorteil begründet für sich genommen noch keine gemeinsame Verantwortlichkeit. Entscheidend bleibt immer der tatsächliche Einfluss auf Zwecke und wesentliche Mittel.

Verantwortlichkeit kann sich auf einzelne Prozessschritte beschränken

Einer der wichtigsten Grundsätze aus der EuGH-Rechtsprechung lautet: Gemeinsame Verantwortlichkeit muss nicht für die gesamte Verarbeitungskette gelten. Im Fashion-ID-Urteil (29. Juli 2019, C-40/17) hatte ein Webseitenbetreiber einen Facebook-„Gefällt mir“-Button eingebunden, wodurch beim Aufruf der Seite Besucherdaten erhoben und an Facebook übermittelt wurden. Der EuGH nahm für Erhebung und Übermittlung eine gemeinsame Verantwortlichkeit an – für die spätere, allein durch Facebook erfolgende Verarbeitung dagegen nicht ohne Weiteres.

Für Unternehmen bedeutet das: Die entscheidende Frage lautet nicht „Sind A und B gemeinsam verantwortlich – ja oder nein?“, sondern „Für welchen konkreten Verarbeitungsschritt entscheiden A und B gemeinsam über Zwecke und Mittel?“ Bei der eingangs geschilderten Kundenveranstaltung könnten beide Unternehmen etwa für Registrierung und Teilnehmerverwaltung gemeinsam verantwortlich sein. Verwendet Unternehmen A die Daten später unabhängig davon zur Betreuung seiner Bestandskunden, ist dafür ausschließlich Unternehmen A verantwortlich. Die Rollen können sich also innerhalb eines einzigen Geschäftsprozesses verändern.

Zwei weitere Missverständnisse räumt der EuGH ebenfalls aus dem Weg. Zum einen muss ein Beteiligter keinen eigenen Zugriff auf die personenbezogenen Daten haben, um gemeinsam verantwortlich zu sein – das machte bereits die Wirtschaftsakademie-Schleswig-Holstein-Entscheidung zu Facebook-Fanpages (5. Juni 2018, C-210/16) deutlich: Ausschlaggebend war, dass der Fanpage-Betreiber Parameter für Besucherstatistiken festlegen und die Ergebnisse für eigene Zwecke nutzen konnte, obwohl Facebook die Rohdaten kontrollierte. Zum anderen entsteht gemeinsame Verantwortlichkeit nicht erst mit der Unterschrift unter eine Art.-26-Vereinbarung, sondern bereits aus der tatsächlichen Beteiligung an Zweck- und Mittelentscheidung – das hat der EuGH in der Rechtssache Nacionalinis visuomenės sveikatos centras (5. Dezember 2023, C-683/21) ausdrücklich bestätigt. Ein Vertrag mit der Überschrift „Auftragsverarbeitungsvertrag“ macht aus einem tatsächlich gemeinsam Verantwortlichen also keinen Auftragsverarbeiter – und umgekehrt werden zwei getrennt Verantwortliche nicht allein durch eine vorsorglich unterschriebene Art.-26-Vereinbarung zu gemeinsam Verantwortlichen. Die tatsächliche Verarbeitung entscheidet.

Auch neuere Entscheidungen bestätigen diese Linie. Im IAB-Europe-Urteil (7. März 2024, C-604/22) stellte der EuGH klar, dass bereits verbindliche technische und organisatorische Regelwerke einen maßgeblichen Einfluss vermitteln können, ohne dass ein unmittelbarer Datenzugriff nötig wäre – allerdings begrenzt auf die Zwecke und Mittel, auf die tatsächlich Einfluss genommen wird. Und im Urteil Russmedia Digital und Inform Media Press (2. Dezember 2025, C-492/23) bestätigte der EuGH den weit auszulegenden Verantwortlichenbegriff erneut für einen Online-Marktplatzbetreiber, dessen Verantwortung ebenfalls auf die tatsächlich beeinflussten Verarbeitungsvorgänge begrenzt blieb. Die Linie der Rechtsprechung ist damit klar: Nicht Vertragsbezeichnungen oder der Besitz der Daten entscheiden, sondern der tatsächliche Einfluss auf die konkrete Verarbeitung.

Art. 26 DSGVO erlaubt die Verarbeitung nicht

Ein Punkt wird in der Praxis besonders häufig übersehen: Gemeinsame Verantwortlichkeit beantwortet nur die Frage, wer verantwortlich ist – nicht, warum verarbeitet werden darf. Art. 26 DSGVO ist keine Rechtsgrundlage. Jeder gemeinsam Verantwortliche benötigt eine eigene Rechtsgrundlage nach Art. 6 DSGVO, bei besonderen Datenkategorien zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Auch die Übermittlung von Daten zwischen gemeinsam Verantwortlichen ist eine eigenständige Verarbeitung, die nicht einfach mit „Art. 26 DSGVO“ begründet werden darf, sondern eine eigene rechtliche Grundlage sowie die Beachtung der Zweckbindung nach Art. 5 Abs. 1 lit. b) DSGVO braucht.

Dabei müssen nicht alle Beteiligten dieselbe Rechtsgrundlage nutzen – Verantwortlichkeit und Rechtmäßigkeit sind getrennt zu betrachten. Der Europäische Datenschutzausschuss hält es aber, soweit möglich, für sinnvoll, für einen gemeinsamen Zweck eine einheitliche Rechtsgrundlage zu verwenden, da unterschiedliche Grundlagen unterschiedliche Rechte und Anforderungen mit sich bringen können. Stützt sich etwa Unternehmen A auf eine Einwilligung und Unternehmen B für denselben Zweck auf ein berechtigtes Interesse, stellt sich bei einem Widerruf gegenüber A sofort die Frage, ob B dieselben Daten unabhängig davon weiterverarbeiten darf. Solche Konstellationen sind nicht automatisch unzulässig, erfordern aber eine besonders saubere Gestaltung.

Was in der Vereinbarung stehen muss

Art. 26 Abs. 1 DSGVO verlangt, dass die Beteiligten in transparenter Form festlegen, wer welche Pflichten der DSGVO erfüllt – insbesondere im Hinblick auf Betroffenenrechte und die Informationspflichten nach Art. 13 und 14 DSGVO. Eine Vereinbarung, die sich auf den Satz „Die Parteien sind gemeinsam Verantwortliche, Unternehmen A erfüllt sämtliche Datenschutzpflichten“ beschränkt, reicht in der Praxis meist nicht aus, wenn sie nichts mit den tatsächlichen Abläufen zu tun hat. Sinnvoll ist es, die gesamte gemeinsame Verarbeitung abzubilden:

• Gegenstand und Zwecke,
• betroffene Personengruppen und Datenkategorien,
• Aufgabenverteilung,
• Rechtsgrundlagen,
• Informationspflichten,
• der Umgang mit Betroffenenanfragen,
• Berichtigung und Löschung,
• Datensicherheit,
• Datenschutzverletzungen,
• gegebenenfalls eine Datenschutz-Folgenabschätzung,
• eingesetzte Auftragsverarbeiter,
• mögliche Drittlandsübermittlungen sowie
• die interne Kommunikation zwischen den Beteiligten.

Art. 26 Abs. 1 DSGVO erlaubt es außerdem ausdrücklich, eine Anlaufstelle für betroffene Personen zu benennen – das ist praktisch sehr sinnvoll, nimmt dem anderen Verantwortlichen aber nicht seine eigene Verantwortung ab. Nach Art. 26 Abs. 3 DSGVO kann eine betroffene Person ihre Rechte gegenüber jedem einzelnen gemeinsam Verantwortlichen geltend machen. Geht eine Auskunftsanfrage bei Unternehmen B ein, obwohl intern Unternehmen A für die Bearbeitung zuständig ist, darf B nicht einfach auf A verweisen, sondern muss die Anfrage unverzüglich in den vorgesehenen internen Prozess einsteuern. Entscheidend ist deshalb weniger, wer auf dem Papier zuständig ist, sondern ob jede Eingangsstelle weiß, was mit einer Anfrage zu tun ist. Nach Art. 26 Abs. 2 Satz 2 DSGVO muss zudem das Wesentliche der Vereinbarung den betroffenen Personen zur Verfügung stehen – der vollständige interne Vertrag muss dafür nicht veröffentlicht werden, wohl aber die Information, welche Unternehmen gemeinsam verantwortlich sind und wie die Aufgaben im Wesentlichen verteilt wurden. Das lässt sich gut in die Datenschutzinformation nach Art. 13 oder 14 DSGVO integrieren.

Besondere Aufmerksamkeit verdient zudem der Ernstfall: Wird etwa eine Teilnehmerliste versehentlich öffentlich zugänglich, bleiben für die Meldung nach Art. 33 DSGVO nur 72 Stunden. Wer welche technischen Informationen liefert und wer die Meldung an die Aufsichtsbehörde koordiniert, sollte deshalb nicht erst im Ernstfall geklärt werden, sondern bereits Teil der Art.-26-Vereinbarung sein.

So lässt sich die Rollenverteilung praktisch klären

Sobald bei einer Zusammenarbeit der Verdacht auf gemeinsame Verantwortlichkeit besteht, hilft ein strukturiertes Vorgehen, das direkt am tatsächlichen Prozess ansetzt:

1. Datenfluss aufzeichnen – wo werden Daten erhoben, wer erhält sie, welche Systeme sind beteiligt, wer hat Zugriff und was geschieht anschließend damit? Längere Abläufe lassen sich dafür in einzelne Verarbeitungsschritte zerlegen.
2. Zweck je Verarbeitungsschritt benennen – nicht nur, was technisch geschieht, sondern warum die Beteiligten den Vorgang durchführen, und wer diesen Zweck bestimmt oder beeinflusst.
3. Wesentliche Mittel prüfen – wer entscheidet über betroffene Personengruppen, Datenkategorien, Empfänger, Zugriffsrechte oder gemeinsame Plattformen? Sind zwei Beteiligte hier aufeinander angewiesen, lohnt sich eine nähere Prüfung von Art. 26 DSGVO.
4. Rollen abschnittsweise abgrenzen – je nach Ergebnis Art. 28 DSGVO (Weisungsgebundenheit), eine Übermittlung zwischen getrennt Verantwortlichen oder Art. 26 DSGVO (gemeinsame oder ineinandergreifende Entscheidungen).
5. Rechtsgrundlagen klären – für jeden Beteiligten nach Art. 6 DSGVO, bei besonderen Datenkategorien zusätzlich nach Art. 9 DSGVO, einschließlich der Übermittlungen zwischen den Beteiligten.
6. Vereinbarung anhand des echten Prozesses erstellen – nicht nur Informationspflichten und Betroffenenrechte, sondern auch Löschung, Sicherheit, Datenschutzverletzungen, Auftragsverarbeiter und Drittlandtransfers.
7. Vereinbarung in Arbeitsabläufe übersetzen – wer macht konkret was, wenn ein Löschungsantrag eingeht oder beim Partner ein Datenleck entdeckt wird?
8. Regelmäßig dokumentieren und überprüfen – Erfassung im Verzeichnis nach Art. 30 DSGVO, Anpassung der Datenschutzinformationen und erneute Prüfung, sobald sich Zwecke, Plattformen oder Kooperationspartner ändern.

Warum das Thema kein rein akademisches ist

Verstöße gegen die Pflichten aus Art. 26 DSGVO können nach Art. 83 Abs. 4 lit. a) DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. In der Aufsichtspraxis war insbesondere der Betrieb von Facebook-Fanpages wiederholt Gegenstand von Beanstandungen. Ein weiteres Beispiel ist das Verfahren gegen IAB Europe: Die belgische Datenschutzbehörde verhängte 2022 eine Geldbuße von 250.000 Euro wegen mehrerer Verstöße im Zusammenhang mit dem Transparency and Consent Framework. Nach der EuGH-Entscheidung von 2024 bestätigte das belgische Marktgericht im Mai 2025 die Geldbuße, grenzte die Verantwortlichkeit von IAB Europe für nachgelagerte Verarbeitungen im OpenRTB-Protokoll aber ein. Das zeigt: Eine unklare Rollenbestimmung wirkt sich schnell auf zahlreiche weitere Anforderungen aus – Rechtsgrundlage, Transparenz, Betroffenenrechte und Sicherheit hängen alle davon ab, wer überhaupt als Verantwortlicher gilt.

Hinzu kommt die Haftung im Außenverhältnis: Eine interne Art.-26-Vereinbarung verteilt Aufgaben nur zwischen den Beteiligten, sie kann die gesetzlichen Rechte betroffener Personen nicht beschneiden. Sind mehrere Verantwortliche an derselben Verarbeitung beteiligt und für einen Schaden verantwortlich, kann nach Art. 82 DSGVO eine Haftung für den gesamten Schaden bestehen, damit die betroffene Person tatsächlich Schadensersatz erhält. Ein interner Ausgleich zwischen den Beteiligten ist zwar möglich, ändert an der Außenhaftung aber nichts.

Zusammenfassung

Gemeinsame Verantwortlichkeit ist im Kern einfacher, als der Begriff zunächst vermuten lässt. Sobald mehrere Stellen bei demselben Verarbeitungsvorgang nicht bloß Daten austauschen, sondern gemeinsam oder durch aufeinander abgestimmte Entscheidungen maßgeblich darüber bestimmen, warum personenbezogene Daten verarbeitet werden und wie diese Verarbeitung im Wesentlichen ausgestaltet ist, kommt Art. 26 DSGVO ins Spiel. Ein förmlicher gemeinsamer Beschluss ist dafür ebenso wenig Voraussetzung wie ein unmittelbarer Datenzugriff, die Verantwortungsanteile müssen nicht gleich groß sein, und gemeinsame Verantwortlichkeit kann sich auf einzelne Verarbeitungsschritte beschränken. Art. 26 DSGVO legitimiert die Verarbeitung allerdings nicht – Rechtsgrundlagen, Zweckbindung, Informationspflichten, Betroffenenrechte und Sicherheit bleiben in jedem Fall zu prüfen.

Für kleine und mittlere Unternehmen ist deshalb vor allem eines entscheidend: nicht beim Vertrag anfangen, sondern beim Ablauf. Wer nachvollziehbar dokumentiert, welche Daten wohin fließen, wer welchen Zweck verfolgt und wer welche wesentlichen Entscheidungen trifft, kann die Rollen meist deutlich leichter einordnen. Erst danach lässt sich entscheiden, ob ein Auftragsverarbeitungsvertrag, eine Vereinbarung über gemeinsame Verantwortlichkeit oder eine Datenübermittlung zwischen getrennt Verantwortlichen vorliegt.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.