Klarstellung der „Gemeinsamen Verantwortlichkeit“ durch den EuGH

Gemäß Art. 26 DSGVO müssen „gemeinsam für die Verarbeitung Verantwortliche“ in einer Vereinbarung die datenschutzrechtlichen Verpflichtungen zwischen ihren regeln. Tun sie das nicht, riskieren sie ein Bußgeld gemäß Art. 83 Abs. 4 DSGVO. Es ist aber aktuell noch umstritten, wann eine gemeinsame Verantwortlichkeit vorliegt.

Voraussetzung für das Vorliegen einer gemeinsamen Verantwortlichkeit

Gemäß Art. 26 Abs. 1 DSGVO sind mehrere Verantwortliche als „gemeinsame für die Verarbeitung Verantwortliche“ einzustufen, wenn sie gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Abzugrenzen ist das Institut der gemeinsamen Verantwortlichkeit hierbei von der Auftragsverarbeitung (Art. 28 DSGVO) und der Übermittlung zwischen mehreren Verantwortlichen, die die Zwecke und Mittel nicht gemeinsam, sondern unabhängig voneinander festlegen.

Maßgebliches Kriterium: Tatsächlicher Einfluss auf die Verarbeitungszwecke und -mittel

Maßgebliches Kriterium, um festzustellen, ob eine gemeinsame Festlegung durch mehrere Verantwortliche erfolgt, ist das Vorliegen eines bestimmenden tatsächlichen Einflusses auf die Verarbeitung. Erstmals hat sich die Art. 29 Working Party noch unter altem Recht mit dem Institut der gemeinsamen Verantwortung auseinandergesetzt (WP169, siehe auch Update Datenschutz 26). Daran anknüpfend betonen die deutschen Aufsichtsbehörden innerhalb der Datenschutzkonferenz („DSK“) ausdrücklich, dass es für einen bestimmenden Einfluss nicht notwendig ist, dass jeder der Beteiligten die umfassende Kontrolle über alle Umstände und Phasen der Verarbeitung besitzen muss. Auch ist nicht erforderlich, dass eine vollständige und gleichrangige Kontrolle aller Beteiligten besteht. Vielmehr könne die Beteiligung der Parteien an der Bestimmung der Zwecke und Mittel sehr verschiedene Formen annehmen und muss nicht gleichmäßig verteilt sein. Entsprechend bedeutet das Bestehen einer gemeinsamen Verantwortlichkeit nicht zwingend eine gleichrangige Verantwortlichkeit (vgl. Kurzpapier Nr. 16 des DSK).

In der Praxis stellt sich vor allem bei zusammenhängenden Verarbeitungsabläufen mit mehreren Beteiligten die oftmals schwierige Frage der Abgrenzung, ob die konkrete Zusammenarbeit bereits eine gemeinsame Verantwortlichkeit begründet oder nicht. Aufgrund der Unbestimmtheit der von der DSK genannten Kriterien ist hier grundsätzlich ein weiter Anwendungsspielraum der gemeinsamen Verantwortlichkeit denkbar.

Der EuGH hat mit Urteil vom 05.06.2018 (Rs. C-210/16) nun die vom Generalanwalt in seinen Schlussanträgen vom 24.10.2017 aufgestellten Voraussetzungen der gemeinsamen Verantwortlichkeit bestätigt: Es reicht aus, wenn die Verantwortlichen gemeinsame Interessen verfolgen. Auf eine gleichmäßige Verteilung der Beiträge, eine zeitgleiche Verarbeitung oder eine gemeinsame Definition der Mittel der Verarbeitung kommt es dagegen nicht an.

Hinweis: Auch wenn nicht jede Zusammenarbeit eine gemeinsame Verantwortlichkeit darstellt, ist die Schwelle nach den Vorgaben des EuGH doch schnell überschritten. Daher muss zur Vermeidung von Bußgeldern stets sorgfältig geprüft werden, ob eine Vereinbarung gemäß Art. 26 DSGVO erforderlich ist.

Rechtsfolge: Gesamtschuldnerische Haftung, Festlegung der Verantwortlichkeiten in einer transparenten Vereinbarung.

Liegt eine gemeinsame Verantwortlichkeit vor, ist nicht nur die Vereinbarung erforderlich, sondern die Verantwortlichen haften auch gesamtschuldnerisch.

Diese gesamtschuldnerische Haftung findet auch dann Anwendung, wenn die Verantwortlichen in Verkennung der Lage keine Vereinbarung schließen. In Anbetracht dessen ist schon zur Vereinfachung des Ausgleichs der Haftung im Innenverhältnis zu empfehlen, die Vereinbarung gemäß Art. 26 DSGVO sorgfältig auszuarbeiten.