Nexvyra

DSGVO Art. 26 (VO 2016/679) – Gemeinsame Verantwortlichkeit (Joint Controller): Vereinbarung, EuGH-Rechtsprechung & Bußgelder

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-28 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen, sind sie nach Art. 26 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) gemeinsam Verantwortliche – im Englischen „joint controllers". Sie müssen dann in einer Vereinbarung in transparenter Form festlegen, wer welche DSGVO-Pflicht erfüllt, insbesondere wer die Betroffenenrechte (Art. 15–22) bearbeitet und wer die Informationspflichten nach Art. 13 und 14 erfüllt (Art. 26 Abs. 1).

Die gemeinsame Verantwortlichkeit ist nicht dasselbe wie die Auftragsverarbeitung nach Art. 28 DSGVO: Beim Auftragsverarbeiter entscheidet nur der Auftraggeber über Zwecke und Mittel; bei Art. 26 entscheiden beide Seiten mit. Typische Fälle sind Social-Media-Fanpages, eingebundene Plugins und Tracking-Tools, gemeinsame Kundendatenbanken im Konzern, Kooperations- und Forschungsprojekte und Gewinnspiele mit Partnerunternehmen.

Der EuGH legt den Begriff weit aus: Eine gemeinsame Verantwortlichkeit setzt keinen gleichwertigen Beitrag, keinen Datenzugriff und keine förmliche Vereinbarung voraus (EuGH C-210/16, C-40/17, C-683/21, C-604/22). Die Vereinbarung nach Art. 26 ist Rechtsfolge, nicht Voraussetzung der Einordnung. Betroffene Personen können ihre Rechte bei und gegenüber jedem einzelnen der gemeinsam Verantwortlichen geltend machen (Art. 26 Abs. 3) – unabhängig davon, was intern vereinbart wurde.

Verstöße gegen Art. 26 fallen unter Art. 83 Abs. 4 lit. a DSGVO: Geldbuße bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Im Schadensersatzrecht haften gemeinsam Verantwortliche gegenüber der betroffenen Person nach Art. 82 Abs. 4 DSGVO gesamtschuldnerisch – jeder haftet für den gesamten Schaden.

Kernfakten

PunktWert
EU-RechtsaktVerordnung (EU) 2016/679 (DSGVO), Art. 26 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung seit25. Mai 2018 (Art. 99 Abs. 2 DSGVO)
Tatbestandzwei oder mehr Verantwortliche legen gemeinsam Zwecke und Mittel der Verarbeitung fest (Art. 26 Abs. 1 Satz 1)
KernpflichtVereinbarung in transparenter Form über die Aufgabenverteilung (Art. 26 Abs. 1 Satz 2)
Pflichtinhalte der VereinbarungWer erfüllt welche DSGVO-Pflicht, insbesondere Betroffenenrechte (Art. 15–22) und Informationspflichten Art. 13/14
OptionalAngabe einer Anlaufstelle für betroffene Personen (Art. 26 Abs. 1 Satz 3)
RealitätsgebotVereinbarung muss die tatsächlichen Funktionen und Beziehungen gebührend widerspiegeln (Art. 26 Abs. 2 Satz 1)
TransparenzpflichtDas Wesentliche der Vereinbarung ist der betroffenen Person zur Verfügung zu stellen (Art. 26 Abs. 2 Satz 2)
Wahlrecht der BetroffenenRechte können bei und gegenüber jedem einzelnen Verantwortlichen geltend gemacht werden (Art. 26 Abs. 3)
FormvorgabeDSGVO nennt keine ausdrückliche Schriftform; EDSA empfiehlt verbindliches Dokument (Vertrag o. Ä.)
Abgrenzung Art. 28Auftragsverarbeiter = weisungsgebunden, keine eigene Zweckbestimmung (Art. 4 Nr. 8, Art. 28)
Abgrenzung getrennte Verantwortlichejede Seite entscheidet eigenständig über eigene Zwecke → kein Art. 26, nur Übermittlungs-Rechtsgrundlage nötig
Bußgeldrahmenbis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)
Zivilrechtliche Haftunggesamtschuldnerisch gegenüber der betroffenen Person (Art. 82 Abs. 4), Innenregress nach Art. 82 Abs. 5
AuslegungshilfeEDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher" und „Auftragsverarbeiter", Version 2.1, angenommen 07.07.2021
Leitentscheidungen EuGHC-210/16 (05.06.2018, Fanpage), C-25/17 (10.07.2018), C-40/17 (29.07.2019, Fashion ID), C-683/21 (05.12.2023), C-604/22 (07.03.2024, IAB Europe)
Betroffener NutzerkreisUnternehmen, Vereine, Behörden mit Fanpages, Plugins, Tracking, Konzern-Datenpools, Kooperationen, Joint Ventures

Geltungsbereich

Art. 26 DSGVO greift, sobald mehrere Stellen gemeinsam über die Zwecke (das „Warum") und die Mittel (das „Wie") einer konkreten Verarbeitung entscheiden. Da die DSGVO als Verordnung unmittelbar gilt, ist Art. 26 in Deutschland ohne nationales Umsetzungsgesetz anwendbar; ergänzende Regelungen des BDSG verdrängen ihn nicht.

Maßgeblich ist eine funktionale, faktische Betrachtung: Entscheidend ist die tatsächliche Entscheidungsmacht über die Verarbeitung, nicht die Bezeichnung im Vertrag. Wer sich vertraglich „Auftragsverarbeiter" nennt, aber selbst über Zwecke mitentscheidet, ist gemeinsam Verantwortlicher (vgl. EDSA-Leitlinien 07/2020; Art. 28 Abs. 10 DSGVO für den umgekehrten Fall des Weisungs-„Exzesses").

Die gemeinsame Verantwortlichkeit ist zudem phasenbezogen abzugrenzen: Sie erstreckt sich nur auf die Verarbeitungsschritte, auf die beide Seiten tatsächlich Einfluss haben. Für spätere, eigenständige Verarbeitungen einer Seite besteht keine gemeinsame Verantwortlichkeit (EuGH C-40/17, Fashion ID).

Nicht von Art. 26 erfasst sind:

Die drei Pflichten aus Art. 26 im Einzelnen

1. Vereinbarung schließen (Abs. 1). Die gemeinsam Verantwortlichen müssen „in transparenter Form" festlegen, wer welche DSGVO-Verpflichtung erfüllt. Ausdrücklich genannt sind die Wahrnehmung der Betroffenenrechte und die Informationspflichten nach Art. 13 und 14. Sinnvoll sind darüber hinaus Regelungen zu Rechtsgrundlagen, Löschfristen, Datenpannen-Meldungen (Art. 33/34), Datenschutz-Folgenabschätzung (Art. 35), Sicherheitsmaßnahmen (Art. 32), Drittlandübermittlungen (Kapitel V), Kommunikation mit Aufsichtsbehörden und internem Haftungsausgleich. Optional kann eine Anlaufstelle für betroffene Personen benannt werden – sie ersetzt aber nicht das Wahlrecht aus Abs. 3.

2. Realität abbilden (Abs. 2 Satz 1). Die Vereinbarung muss die jeweiligen tatsächlichen Funktionen und Beziehungen der Beteiligten gegenüber betroffenen Personen „gebührend widerspiegeln". Eine Vereinbarung, die die Rollen anders zuschneidet, als sie tatsächlich gelebt werden, erfüllt Art. 26 nicht.

3. Wesentliches offenlegen (Abs. 2 Satz 2). Das Wesentliche der Vereinbarung muss der betroffenen Person zur Verfügung gestellt werden. In der Praxis geschieht das über einen eigenen Abschnitt in der Datenschutzerklärung oder ein verlinktes Merkblatt: Wer sind die Beteiligten, welche Verarbeitung ist betroffen, wer bearbeitet Auskunfts- und Löschanträge, wo ist die Anlaufstelle. Die vollständige Vereinbarung muss nicht veröffentlicht werden.

Rechtsfolge unabhängig von der Vereinbarung (Abs. 3): Ungeachtet der internen Aufteilung kann die betroffene Person ihre Rechte bei und gegenüber jedem einzelnen Verantwortlichen geltend machen. Wer einen Auskunftsantrag mit dem Hinweis „dafür ist unser Partner zuständig" zurückweist, verstößt gegen Art. 26 Abs. 3 in Verbindung mit Art. 12.

EuGH-Rechtsprechung: weite Auslegung

Der Gerichtshof der Europäischen Union hat den Begriff der gemeinsamen Verantwortlichkeit in einer Reihe von Entscheidungen schrittweise ausgeweitet:

Praxisfolge: Wer Fanpages, Werbe-Pixel, Consent-Frameworks, Analytics-Tools oder gemeinsame Plattformen einsetzt, muss aktiv prüfen, ob eine gemeinsame Verantwortlichkeit vorliegt – und darf sich nicht darauf verlassen, dass der Anbieter die Rolle vertraglich anders bezeichnet.

Bußgelder und Haftung

Aufsichtsrechtlich: Verstöße gegen die Pflichten aus Art. 26 – fehlende Vereinbarung, Vereinbarung ohne Bezug zur gelebten Praxis, unterlassene Bereitstellung des Wesentlichen, Verweigerung der Betroffenenrechte unter Verweis auf den Partner – fallen unter den niedrigeren Rahmen des Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Mio. € oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Fehlt zusätzlich eine Rechtsgrundlage nach Art. 6 oder wird gegen die Grundsätze des Art. 5 verstoßen, greift der höhere Rahmen des Art. 83 Abs. 5 lit. a: bis 20 Mio. € oder 4 %.

Zivilrechtlich: Nach Art. 82 Abs. 4 DSGVO haftet bei mehreren an derselben Verarbeitung beteiligten Verantwortlichen jeder für den gesamten Schaden, um einen wirksamen Schadensersatz der betroffenen Person sicherzustellen (gesamtschuldnerische Haftung). Wer gezahlt hat, kann nach Art. 82 Abs. 5 bei den übrigen Beteiligten Regress nehmen – entsprechend deren Verantwortungsanteil. Der interne Haftungsausgleich sollte deshalb in der Art.-26-Vereinbarung geregelt werden; er wirkt aber nur im Innenverhältnis und schützt nicht vor der Inanspruchnahme durch Betroffene.

Nachweislast: Über die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO muss jeder Verantwortliche die Einhaltung nachweisen können – also die Rollenanalyse, die Vereinbarung und die Umsetzung der Transparenzpflicht dokumentieren.

Häufige Fehler

Ausnahmen

Art. 26 Abs. 1 Satz 2 enthält eine ausdrückliche Ausnahme von der Vereinbarungspflicht: Die Aufteilung muss nicht vertraglich festgelegt werden, soweit die jeweiligen Aufgaben der Verantwortlichen bereits durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt sind, denen die Verantwortlichen unterliegen. Das betrifft vor allem öffentliche Stellen, deren Zuständigkeiten sich unmittelbar aus Fachgesetzen ergeben. Die Transparenzpflicht aus Abs. 2 Satz 2 und das Wahlrecht der Betroffenen aus Abs. 3 bleiben davon jedoch unberührt.

Keine Anwendung findet Art. 26 ferner, wenn schon der sachliche Anwendungsbereich der DSGVO nicht eröffnet ist – etwa bei rein persönlichen oder familiären Tätigkeiten (Art. 2 Abs. 2 lit. c) oder bei ausschließlich anonymen Daten (Erwägungsgrund 26).

Beispiel

Ein mittelständischer Möbelhändler betreibt eine Instagram-Unternehmensseite und bindet auf seinem Onlineshop ein Meta-Pixel zur Reichweitenmessung ein.

Rollenanalyse: Für die Erhebung der Besucherdaten und deren Übermittlung an die Plattform entscheidet der Händler mit – er wählt die Seite, aktiviert das Pixel und definiert die auszuwertenden Zielgruppen. Nach C-210/16 und C-40/17 ist er insoweit gemeinsam verantwortlich. Für die anschließende eigene Auswertung der Daten durch die Plattform (etwa zur plattformweiten Werbeoptimierung) ist er nicht mitverantwortlich.

Was zu tun ist: (1) Die von der Plattform bereitgestellte Joint-Controller-Vereinbarung prüfen und dokumentieren – sie ersetzt die eigene Rollenanalyse nicht. (2) Eine Rechtsgrundlage für den eigenen Teil sichern: Für das Pixel ist neben Art. 6 DSGVO regelmäßig eine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich, die über das Consent-Banner vor dem Setzen des Pixels eingeholt wird. (3) In der Datenschutzerklärung einen Abschnitt „Gemeinsame Verantwortlichkeit" aufnehmen, der das Wesentliche der Vereinbarung wiedergibt (Art. 26 Abs. 2 Satz 2). (4) Den Auskunftsprozess so aufsetzen, dass Anträge selbst beantwortet werden – ein Verweis auf die Plattform genügt nach Art. 26 Abs. 3 nicht. (5) Die Analyse und die Vereinbarung im Rahmen der Rechenschaftspflicht (Art. 5 Abs. 2) aufbewahren.

Quellen

Änderungsverlauf

Siehe auch

Stand