Rechtsfrage

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Jede Gesellschaft einer Gruppe ist eine eigene verantwortliche Stelle. Gemeinsame Verantwortlichkeit entsteht nicht durch gemeinsame Systeme, sondern durch die gemeinsame Entscheidung über Zwecke und Mittel. Die Vereinbarung nach Art. 26 DSGVO ordnet diese Rolle, sie begründet sie nicht.

Ein System, drei Gesellschaften, keine Rollen

Zwei Gesellschaften derselben Gruppe nutzen dasselbe Personalsystem. Die Mutter wertet Kennzahlen aus, die Tochter führt die Personalakten, betrieben wird das System von einer dritten Gesellschaft der Gruppe. Verträge gibt es zwischen den dreien nicht, weil es ja dieselbe Gruppe ist.

Ein Konzernprivileg gibt es nicht

Für Unternehmen einer Unternehmensgruppe gelten datenschutzrechtlich keine Sonderregeln allein aufgrund ihrer Konzernzugehörigkeit. Maßgeblich ist nach Art. 4 Nr. 7 DSGVO jeweils die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Da die Unternehmensgruppe selbst keine solche Stelle ist, bedarf auch die Übermittlung personenbezogener Daten zwischen Konzerngesellschaften einer eigenen Rechtsgrundlage.

Erwägungsgrund 48 der Verordnung erkennt an, dass Verantwortliche innerhalb einer Unternehmensgruppe ein berechtigtes Interesse an der Übermittlung für interne Verwaltungszwecke haben können. Das ist eine mögliche Rechtsgrundlage nach Art. 6 Abs. 1 Buchst. f DSGVO und keine Zusammenlegung der Rollen.

Drei Fragen, die in der Gruppe getrennt zu beantworten sind

Welche Gesellschaft ist für welche Verarbeitung verantwortlich

Zu bestimmen ist das je Verarbeitungstätigkeit und nicht je Gesellschaft. Dieselbe Gesellschaft kann für die Lohnabrechnung verantwortlich und für das konzernweite Berichtswesen Auftragsverarbeiterin sein.

Worauf stützt sich die Übermittlung zwischen ihnen

Auf eine Bedingung des Art. 6 Abs. 1 DSGVO. In Betracht kommt vor allem das berechtigte Interesse, weil Erwägungsgrund 48 die Übermittlung für interne Verwaltungszwecke ausdrücklich anerkennt. Die Abwägung ist zu dokumentieren.

In welcher Rolle handelt die betreibende Gesellschaft

Meistens als Auftragsverarbeiterin nach Art. 28 DSGVO, weil eine reine Betriebsgesellschaft keinen eigenen Zweck verfolgt. Verarbeitet sie daneben für eigene Zwecke, etwa zur Kapazitätsplanung, ist sie insoweit selbst verantwortlich.

Gemeinsam ist nicht dasselbe wie zusammen

Wann eine bloße Zusammenarbeit in eine gemeinsame Verantwortlichkeit mündet, hat der Europäische Gerichtshof in seiner Entscheidung vom 5. Dezember 2023 näher erläutert. Danach kann die Mitwirkung an der Festlegung von Zwecken und Mitteln sowohl auf einer gemeinsamen Entscheidung als auch auf abgestimmten Entscheidungen beruhen. Diese müssen sich wechselseitig ergänzen und jeweils konkrete Auswirkungen auf die Verarbeitung haben.

Zwei Merkmale, die häufig verwechselt werden

Begründet gemeinsame Verantwortlichkeit	Merkmal	Begründet sie nicht
Beide legen ihn festAuch durch aufeinander abgestimmte Einzelentscheidungen.	Entscheidung über den Zweck	Nur eine SeiteDie andere folgt und verfolgt keinen eigenen Zweck.
Für sich genommen nichtEin geteiltes System kann auch von einer Stelle für die andere betrieben werden.	Gemeinsames System	Betrieb im AuftragDann greift Art. 28 DSGVO.
Nicht erforderlichDer Gerichtshof hat das ausdrücklich entschieden.	Zugang zu den Daten	Auch nicht ausschlaggebendEin Zugang allein macht niemanden zum Verantwortlichen.
Nicht zwangsläufig gleichNach den Umständen des Einzelfalls zu beurteilen.	Grad der Verantwortlichkeit	Getrennt zu bestimmenJede Stelle antwortet für ihre eigene Verarbeitung.

Maßgeblich ist die Entscheidung über Zwecke und Mittel, nicht das technische System. Die bloße Nutzung eines Systems, das von einer anderen Stelle für deren eigene Zwecke konzipiert wurde, begründet daher noch keine gemeinsame Verantwortlichkeit. Umgekehrt kann gemeinsame Verantwortlichkeit auch ohne eigenen Datenzugriff bestehen.

Die Vereinbarung ordnet die Verantwortlichkeit, sie begründet sie nicht

Was die Vereinbarung nach Art. 26 Abs. 1 DSGVO leistet, wird in beide Richtungen überschätzt. Der Europäische Gerichtshof hat festgehalten, dass sie keine Voraussetzung der Einstufung ist, sondern eine Pflicht, die den gemeinsam Verantwortlichen auferlegt wird, sobald sie als solche eingestuft sind.

Was die Vereinbarung regeln muss

Wer welche Verpflichtung der Verordnung erfüllt, insbesondere bei den Rechten der betroffenen Person
Wer welchen Informationspflichten nach Art. 13 und Art. 14 DSGVO nachkommt
Gegebenenfalls eine Anlaufstelle für die betroffenen Personen
Die tatsächlichen Funktionen und Beziehungen gegenüber betroffenen Personen, gebührend widergespiegelt
Wie das Wesentliche der Vereinbarung den betroffenen Personen zur Verfügung gestellt wird

Zwei Wirkungen bleiben auch bei einer sauberen Vereinbarung bestehen. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gegenüber jedem einzelnen Verantwortlichen geltend machen, ungeachtet der Aufteilung. Und nach Art. 82 Abs. 4 DSGVO haftet jeder Beteiligte gegenüber der betroffenen Person für den gesamten Schaden.

Im Verbund entscheidet, wer die Fragestellung festlegt

Wie sich ein Forschungsverbund oder eine Kooperation einordnet, ist dieselbe Frage in anderer Gestalt. Maßstab bleibt Art. 4 Nr. 7 DSGVO. Die Festlegung von Fragestellung und Methode ist die Entscheidung über Zweck und Mittel.

Drei Konstellationen und ihre Einordnung

Eine Einrichtung legt fest, die anderen liefern zu
Die zuliefernden Stellen verarbeiten weisungsgebunden. Das ist Auftragsverarbeitung, auch wenn der Verbund gleichberechtigt auftritt.
Alle wirken an Fragestellung und Methode mit
Gemeinsame Verantwortlichkeit für die gemeinsame Auswertung. Die eigene Erhebung bleibt daneben Sache der jeweiligen Einrichtung.
Jede Einrichtung verfolgt ihr eigenes Vorhaben
Getrennte Verantwortlichkeiten. Eine Weitergabe zwischen ihnen ist eine Übermittlung und braucht ihre eigene Rechtsgrundlage.

3 von 3

Die dritte Konstellation kommt häufiger vor, als der gemeinsame Antrag vermuten lässt. Ein gemeinsames Vorhaben auf dem Papier zerfällt oft in mehrere Erhebungen mit eigenen Zwecken. Dann ist die Vereinbarung nach Art. 26 DSGVO die falsche Antwort.

So unterstützen wir Sie bei der gemeinsamen Verantwortlichkeit

Die Zuordnung entsteht aus dem Verzeichnis der Verarbeitungstätigkeiten und nicht aus dem Organigramm. Je Tätigkeit ist zu bestimmen, welche Stelle den Zweck festlegt. Daraus folgt die Rolle. Erst danach steht fest, ob eine Vereinbarung nach Art. 26 DSGVO, ein Vertrag nach Art. 28 DSGVO oder eine Rechtsgrundlage für eine Übermittlung gebraucht wird.

Der gesellschaftsrechtliche Teil liegt außerhalb des Datenschutzrechts. Beherrschungsverträge, konzerninterne Weisungsrechte und die Regelung des Regresses zwischen gemeinsam Verantwortlichen nach Art. 82 Abs. 5 DSGVO laufen über die angegliederte Kanzlei.

Häufige Fragen

Gibt es ein Konzernprivileg?

Nein. Art. 4 Nr. 7 DSGVO knüpft an die einzelne Stelle. Eine Übermittlung zwischen zwei Gesellschaften braucht eine Rechtsgrundlage wie jede andere. Erwägungsgrund 48 erkennt lediglich an, dass ein berechtigtes Interesse an der Übermittlung für interne Verwaltungszwecke bestehen kann.

Muss jeder Zugang zu den Daten haben?

Nein. Der Gerichtshof hat entschieden, dass gemeinsame Verantwortlichkeit keinen Zugang jeder beteiligten Stelle zu den Daten voraussetzt. Maßgeblich ist die Mitwirkung an der Entscheidung über Zwecke und Mittel.

Haften gemeinsam Verantwortliche gleich?

Nicht im Innenverhältnis. Der Gerichtshof hat festgehalten, dass aus gemeinsamer Verantwortlichkeit keine gleichwertige Verantwortlichkeit folgt und der Grad nach den Umständen des Einzelfalls zu beurteilen ist. Gegenüber der betroffenen Person haftet nach Art. 82 Abs. 4 DSGVO jeder für den gesamten Schaden.

Was ist der betroffenen Person mitzuteilen?

Das Wesentliche der Vereinbarung, Art. 26 Abs. 2 Satz 2 DSGVO. Das ist mehr als der Hinweis auf ihr Bestehen und weniger als der Vertragstext. Ungeachtet der Vereinbarung kann sie ihre Rechte nach Absatz 3 gegenüber jeder beteiligten Stelle geltend machen.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.