---
title: DSGVO Art. 26 (VO 2016/679) – Gemeinsame Verantwortlichkeit (Joint Controller): Vereinbarung, EuGH-Rechtsprechung & Bußgelder
seo_title: DSGVO Art. 26 – Gemeinsame Verantwortlichkeit…
slug: dsgvo-gemeinsame-verantwortlichkeit-art-26
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2018-05-25
valid_to: null
last_reviewed: 2026-08-28
status: in Kraft
license: CC-BY-4.0
url: https://nexvyra.de/fakten/dsgvo-gemeinsame-verantwortlichkeit-art-26.md
wikidata_subjects: [Q1172506, Q1172074]
factcheck_status: review_needed
---

# DSGVO Art. 26 (VO 2016/679) – Gemeinsame Verantwortlichkeit (Joint Controller): Vereinbarung, EuGH-Rechtsprechung & Bußgelder

## Kurzantwort

Wenn **zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung** personenbezogener Daten festlegen, sind sie nach **Art. 26 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO)** **gemeinsam Verantwortliche** – im Englischen „joint controllers". Sie müssen dann in einer **Vereinbarung in transparenter Form** festlegen, wer welche DSGVO-Pflicht erfüllt, insbesondere wer die **Betroffenenrechte** (Art. 15–22) bearbeitet und wer die **Informationspflichten nach Art. 13 und 14** erfüllt (Art. 26 Abs. 1).

Die gemeinsame Verantwortlichkeit ist **nicht** dasselbe wie die **Auftragsverarbeitung nach Art. 28 DSGVO**: Beim Auftragsverarbeiter entscheidet nur der Auftraggeber über Zwecke und Mittel; bei Art. 26 entscheiden **beide Seiten mit**. Typische Fälle sind **Social-Media-Fanpages**, **eingebundene Plugins und Tracking-Tools**, **gemeinsame Kundendatenbanken im Konzern**, **Kooperations- und Forschungsprojekte** und **Gewinnspiele mit Partnerunternehmen**.

Der **EuGH** legt den Begriff **weit** aus: Eine gemeinsame Verantwortlichkeit setzt **keinen gleichwertigen Beitrag**, **keinen Datenzugriff** und **keine förmliche Vereinbarung** voraus (EuGH C-210/16, C-40/17, C-683/21, C-604/22). Die Vereinbarung nach Art. 26 ist **Rechtsfolge**, nicht Voraussetzung der Einordnung. Betroffene Personen können ihre Rechte **bei und gegenüber jedem einzelnen** der gemeinsam Verantwortlichen geltend machen (Art. 26 Abs. 3) – unabhängig davon, was intern vereinbart wurde.

Verstöße gegen Art. 26 fallen unter **Art. 83 Abs. 4 lit. a DSGVO**: Geldbuße bis **10 Mio. €** oder **2 % des weltweiten Jahresumsatzes**, je nachdem, welcher Betrag höher ist. Im Schadensersatzrecht haften gemeinsam Verantwortliche gegenüber der betroffenen Person nach **Art. 82 Abs. 4 DSGVO gesamtschuldnerisch** – jeder haftet für den **gesamten Schaden**.

## Kernfakten

| Punkt | Wert |
|---|---|
| EU-Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), **Art. 26** [EUR-Lex, CELEX:32016R0679] |
| Rechtsnatur | **EU-Verordnung → unmittelbar anwendbar** in Deutschland (kein Umsetzungsgesetz nötig) |
| Geltung seit | **25. Mai 2018** (Art. 99 Abs. 2 DSGVO) |
| Tatbestand | zwei oder mehr Verantwortliche legen **gemeinsam Zwecke und Mittel** der Verarbeitung fest (Art. 26 Abs. 1 Satz 1) |
| Kernpflicht | **Vereinbarung in transparenter Form** über die Aufgabenverteilung (Art. 26 Abs. 1 Satz 2) |
| Pflichtinhalte der Vereinbarung | Wer erfüllt welche DSGVO-Pflicht, insbesondere **Betroffenenrechte** (Art. 15–22) und **Informationspflichten Art. 13/14** |
| Optional | Angabe einer **Anlaufstelle** für betroffene Personen (Art. 26 Abs. 1 Satz 3) |
| Realitätsgebot | Vereinbarung muss die **tatsächlichen Funktionen und Beziehungen** gebührend widerspiegeln (Art. 26 Abs. 2 Satz 1) |
| Transparenzpflicht | **Das Wesentliche der Vereinbarung** ist der betroffenen Person **zur Verfügung zu stellen** (Art. 26 Abs. 2 Satz 2) |
| Wahlrecht der Betroffenen | Rechte können **bei und gegenüber jedem einzelnen** Verantwortlichen geltend gemacht werden (Art. 26 Abs. 3) |
| Formvorgabe | DSGVO nennt **keine ausdrückliche Schriftform**; EDSA empfiehlt **verbindliches Dokument** (Vertrag o. Ä.) |
| Abgrenzung Art. 28 | **Auftragsverarbeiter** = weisungsgebunden, **keine** eigene Zweckbestimmung (Art. 4 Nr. 8, Art. 28) |
| Abgrenzung getrennte Verantwortliche | jede Seite entscheidet **eigenständig** über eigene Zwecke → **kein** Art. 26, nur Übermittlungs-Rechtsgrundlage nötig |
| Bußgeldrahmen | bis **10 Mio. €** oder **2 %** des weltweiten Jahresumsatzes (**Art. 83 Abs. 4 lit. a**) |
| Zivilrechtliche Haftung | **gesamtschuldnerisch** gegenüber der betroffenen Person (**Art. 82 Abs. 4**), Innenregress nach Art. 82 Abs. 5 |
| Auslegungshilfe | **EDSA/EDPB-Leitlinien 07/2020** zu „Verantwortlicher" und „Auftragsverarbeiter", Version 2.1, angenommen **07.07.2021** |
| Leitentscheidungen EuGH | **C-210/16** (05.06.2018, Fanpage), **C-25/17** (10.07.2018), **C-40/17** (29.07.2019, Fashion ID), **C-683/21** (05.12.2023), **C-604/22** (07.03.2024, IAB Europe) |
| Betroffener Nutzerkreis | Unternehmen, Vereine, Behörden mit **Fanpages, Plugins, Tracking, Konzern-Datenpools, Kooperationen, Joint Ventures** |

## Geltungsbereich

Art. 26 DSGVO greift, sobald **mehrere Stellen gemeinsam** über die **Zwecke** (das „Warum") **und die Mittel** (das „Wie") einer konkreten Verarbeitung entscheiden. Da die DSGVO als **Verordnung unmittelbar** gilt, ist Art. 26 in Deutschland **ohne nationales Umsetzungsgesetz** anwendbar; ergänzende Regelungen des BDSG verdrängen ihn nicht.

Maßgeblich ist eine **funktionale, faktische Betrachtung**: Entscheidend ist die tatsächliche Entscheidungsmacht über die Verarbeitung, **nicht** die Bezeichnung im Vertrag. Wer sich vertraglich „Auftragsverarbeiter" nennt, aber selbst über Zwecke mitentscheidet, ist gemeinsam Verantwortlicher (vgl. EDSA-Leitlinien 07/2020; Art. 28 Abs. 10 DSGVO für den umgekehrten Fall des Weisungs-„Exzesses").

Die gemeinsame Verantwortlichkeit ist zudem **phasenbezogen** abzugrenzen: Sie erstreckt sich nur auf die Verarbeitungsschritte, auf die beide Seiten tatsächlich Einfluss haben. Für **spätere, eigenständige Verarbeitungen** einer Seite besteht **keine** gemeinsame Verantwortlichkeit (EuGH C-40/17, Fashion ID).

Nicht von Art. 26 erfasst sind:

- **Auftragsverarbeitung** (Art. 28): rein weisungsgebundene Dienstleister ohne eigene Zweckbestimmung – hier ist ein **AVV** zu schließen, keine Art.-26-Vereinbarung.
- **Getrennt Verantwortliche**: Zwei Stellen geben Daten weiter, verfolgen aber **jeweils eigene, unabhängige Zwecke** (z. B. Übermittlung an Steuerberater, Bank, Rechtsanwalt). Hier braucht es eine **Rechtsgrundlage für die Übermittlung** nach Art. 6, aber **keine** Vereinbarung nach Art. 26.
- **Beschäftigte und interne Stellen** derselben juristischen Person: kein Verhältnis zwischen zwei Verantwortlichen.

## Die drei Pflichten aus Art. 26 im Einzelnen

**1. Vereinbarung schließen (Abs. 1).** Die gemeinsam Verantwortlichen müssen „in transparenter Form" festlegen, wer welche DSGVO-Verpflichtung erfüllt. Ausdrücklich genannt sind die **Wahrnehmung der Betroffenenrechte** und die **Informationspflichten nach Art. 13 und 14**. Sinnvoll sind darüber hinaus Regelungen zu Rechtsgrundlagen, Löschfristen, **Datenpannen-Meldungen** (Art. 33/34), **Datenschutz-Folgenabschätzung** (Art. 35), Sicherheitsmaßnahmen (Art. 32), Drittlandübermittlungen (Kapitel V), Kommunikation mit Aufsichtsbehörden und internem Haftungsausgleich. Optional kann eine **Anlaufstelle** für betroffene Personen benannt werden – sie ersetzt aber **nicht** das Wahlrecht aus Abs. 3.

**2. Realität abbilden (Abs. 2 Satz 1).** Die Vereinbarung muss die **jeweiligen tatsächlichen Funktionen und Beziehungen** der Beteiligten gegenüber betroffenen Personen „gebührend widerspiegeln". Eine Vereinbarung, die die Rollen anders zuschneidet, als sie tatsächlich gelebt werden, erfüllt Art. 26 nicht.

**3. Wesentliches offenlegen (Abs. 2 Satz 2).** **Das Wesentliche der Vereinbarung** muss der **betroffenen Person zur Verfügung gestellt** werden. In der Praxis geschieht das über einen eigenen Abschnitt in der **Datenschutzerklärung** oder ein verlinktes Merkblatt: Wer sind die Beteiligten, welche Verarbeitung ist betroffen, wer bearbeitet Auskunfts- und Löschanträge, wo ist die Anlaufstelle. Die **vollständige** Vereinbarung muss nicht veröffentlicht werden.

**Rechtsfolge unabhängig von der Vereinbarung (Abs. 3):** Ungeachtet der internen Aufteilung kann die betroffene Person ihre Rechte **bei und gegenüber jedem einzelnen** Verantwortlichen geltend machen. Wer einen Auskunftsantrag mit dem Hinweis „dafür ist unser Partner zuständig" zurückweist, verstößt gegen Art. 26 Abs. 3 in Verbindung mit Art. 12.

## EuGH-Rechtsprechung: weite Auslegung

Der Gerichtshof der Europäischen Union hat den Begriff der gemeinsamen Verantwortlichkeit in einer Reihe von Entscheidungen **schrittweise ausgeweitet**:

- **EuGH, Urteil vom 05.06.2018 – C-210/16 (Wirtschaftsakademie Schleswig-Holstein):** Der Betreiber einer **Facebook-Fanpage** ist gemeinsam mit dem Netzwerk für die Verarbeitung der Besucherdaten verantwortlich. Er wirkt durch die **Parametrierung der Statistikfunktionen** an der Bestimmung der Mittel mit – auch **ohne eigenen Zugriff** auf die Rohdaten.
- **EuGH, Urteil vom 10.07.2018 – C-25/17 (Zeugen Jehovas):** Auch eine Religionsgemeinschaft kann gemeinsam mit ihren Mitgliedern verantwortlich sein; **Zugang zu den Daten** ist keine Voraussetzung.
- **EuGH, Urteil vom 29.07.2019 – C-40/17 (Fashion ID):** Wer einen **Social-Plugin** („Gefällt mir"-Button) einbindet, ist gemeinsam verantwortlich – **aber nur** für **Erhebung und Übermittlung** der Daten an den Plugin-Anbieter. Für die **anschließende eigene Verarbeitung** des Anbieters besteht **keine** Mitverantwortung. Dieses **Phasenmodell** ist bis heute der zentrale Abgrenzungsmaßstab.
- **EuGH, Urteil vom 05.12.2023 – C-683/21 (Nacionalinis visuomenės sveikatos centras):** Eine **förmliche Vereinbarung nach Art. 26 ist keine Voraussetzung** für die Einstufung als gemeinsam Verantwortliche, sondern eine **daraus folgende Pflicht**. Der Beitrag der Beteiligten muss **nicht gleichwertig** sein; der Grad der Verantwortlichkeit ist **einzelfallbezogen** anhand aller Umstände zu bestimmen.
- **EuGH, Urteil vom 07.03.2024 – C-604/22 (IAB Europe):** Der von einem **Branchenverband** entwickelte **TC String** des Transparency & Consent Framework (TCF) ist ein **personenbezogenes Datum**, wenn er mit IP-Adresse oder anderen Identifikatoren verknüpft werden kann; der Verband ist für die **Erzeugung und Speicherung des TC String** **gemeinsam verantwortlich** mit den teilnehmenden Websitebetreibern. Die Mitverantwortung erstreckt sich nach dem Urteil **nicht automatisch** auf die spätere Verarbeitung durch die Werbepartner.

**Praxisfolge:** Wer Fanpages, Werbe-Pixel, Consent-Frameworks, Analytics-Tools oder gemeinsame Plattformen einsetzt, muss **aktiv prüfen**, ob eine gemeinsame Verantwortlichkeit vorliegt – und darf sich nicht darauf verlassen, dass der Anbieter die Rolle vertraglich anders bezeichnet.

## Bußgelder und Haftung

**Aufsichtsrechtlich:** Verstöße gegen die Pflichten aus **Art. 26** – fehlende Vereinbarung, Vereinbarung ohne Bezug zur gelebten Praxis, unterlassene Bereitstellung des Wesentlichen, Verweigerung der Betroffenenrechte unter Verweis auf den Partner – fallen unter den **niedrigeren Rahmen des Art. 83 Abs. 4 lit. a DSGVO**: bis zu **10 Mio. €** oder **2 % des gesamten weltweit erzielten Jahresumsatzes** des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag **höher** ist. Fehlt zusätzlich eine **Rechtsgrundlage** nach Art. 6 oder wird gegen die **Grundsätze des Art. 5** verstoßen, greift der **höhere Rahmen** des Art. 83 Abs. 5 lit. a: bis **20 Mio. €** oder **4 %**.

**Zivilrechtlich:** Nach **Art. 82 Abs. 4 DSGVO** haftet bei mehreren an derselben Verarbeitung beteiligten Verantwortlichen **jeder für den gesamten Schaden**, um einen wirksamen Schadensersatz der betroffenen Person sicherzustellen (**gesamtschuldnerische Haftung**). Wer gezahlt hat, kann nach **Art. 82 Abs. 5** bei den übrigen Beteiligten **Regress** nehmen – entsprechend deren Verantwortungsanteil. Der interne Haftungsausgleich sollte deshalb **in der Art.-26-Vereinbarung geregelt** werden; er wirkt aber **nur im Innenverhältnis** und schützt nicht vor der Inanspruchnahme durch Betroffene.

**Nachweislast:** Über die **Rechenschaftspflicht** aus **Art. 5 Abs. 2 DSGVO** muss jeder Verantwortliche die Einhaltung nachweisen können – also die Rollenanalyse, die Vereinbarung und die Umsetzung der Transparenzpflicht **dokumentieren**.

## Häufige Fehler

- **Rolle nach Vertragsbezeichnung statt nach Realität bestimmen.** Ob Art. 26 oder Art. 28 gilt, richtet sich nach der **tatsächlichen Entscheidungsmacht** über Zwecke und Mittel, nicht nach dem Titel des Vertrags (EDSA-Leitlinien 07/2020).
- **„Ohne Vereinbarung sind wir keine gemeinsam Verantwortlichen."** Falsch – der EuGH hat in **C-683/21** klargestellt, dass die Vereinbarung **Folge**, nicht Voraussetzung der Einstufung ist. Wer keine schließt, ist gemeinsam verantwortlich **und** verstößt gegen Art. 26.
- **AVV statt Art.-26-Vereinbarung abschließen.** Ein Auftragsverarbeitungsvertrag nach Art. 28 erfüllt die Anforderungen des Art. 26 **nicht** – die Pflichtinhalte sind unterschiedlich (Weisungsbindung vs. Aufgabenverteilung zwischen Gleichgeordneten).
- **Vereinbarung schließen, aber nichts veröffentlichen.** **Art. 26 Abs. 2 Satz 2** verlangt, dass das **Wesentliche** der Vereinbarung betroffenen Personen **zur Verfügung gestellt** wird – in der Regel über die Datenschutzerklärung.
- **Betroffene an den Partner verweisen.** Nach **Art. 26 Abs. 3** kann jede betroffene Person ihre Rechte **gegenüber jedem** der Verantwortlichen geltend machen. Die interne Zuständigkeitsverteilung ist ihr gegenüber **unbeachtlich**.
- **Anlaufstelle mit alleiniger Zuständigkeit verwechseln.** Die Anlaufstelle nach Abs. 1 Satz 3 ist **optional** und **kanalisiert** Anfragen nur; sie schließt das Wahlrecht aus Abs. 3 **nicht** aus.
- **Gemeinsame Verantwortlichkeit als „Rundum-Haftung" verstehen.** Die Mitverantwortung ist **phasenbezogen** und endet dort, wo die andere Seite **eigenständig** weiterverarbeitet (EuGH C-40/17, Fashion ID).
- **Rechtsgrundlage vergessen.** Art. 26 regelt nur die **Rollenverteilung**. Jede beteiligte Stelle braucht zusätzlich eine **eigene Rechtsgrundlage nach Art. 6** (und ggf. Art. 9) für ihren Teil der Verarbeitung.
- **„Die DSGVO braucht ein deutsches Umsetzungsgesetz."** Falsch – die DSGVO ist eine **EU-Verordnung** und gilt seit dem **25.05.2018** unmittelbar in allen Mitgliedstaaten.

## Ausnahmen

Art. 26 Abs. 1 Satz 2 enthält eine **ausdrückliche Ausnahme von der Vereinbarungspflicht**: Die Aufteilung muss **nicht** vertraglich festgelegt werden, **soweit die jeweiligen Aufgaben der Verantwortlichen bereits durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt sind**, denen die Verantwortlichen unterliegen. Das betrifft vor allem **öffentliche Stellen**, deren Zuständigkeiten sich unmittelbar aus Fachgesetzen ergeben. Die **Transparenzpflicht** aus Abs. 2 Satz 2 und das **Wahlrecht** der Betroffenen aus Abs. 3 bleiben davon jedoch unberührt.

Keine Anwendung findet Art. 26 ferner, wenn schon der **sachliche Anwendungsbereich der DSGVO** nicht eröffnet ist – etwa bei rein **persönlichen oder familiären Tätigkeiten** (Art. 2 Abs. 2 lit. c) oder bei ausschließlich **anonymen Daten** (Erwägungsgrund 26).

## Beispiel

Ein mittelständischer Möbelhändler betreibt eine **Instagram-Unternehmensseite** und bindet auf seinem Onlineshop ein **Meta-Pixel** zur Reichweitenmessung ein.

**Rollenanalyse:** Für die **Erhebung der Besucherdaten und deren Übermittlung** an die Plattform entscheidet der Händler mit – er wählt die Seite, aktiviert das Pixel und definiert die auszuwertenden Zielgruppen. Nach **C-210/16** und **C-40/17** ist er insoweit **gemeinsam verantwortlich**. Für die **anschließende eigene Auswertung** der Daten durch die Plattform (etwa zur plattformweiten Werbeoptimierung) ist er **nicht** mitverantwortlich.

**Was zu tun ist:** (1) Die von der Plattform bereitgestellte **Joint-Controller-Vereinbarung** prüfen und dokumentieren – sie ersetzt die eigene Rollenanalyse nicht. (2) Eine **Rechtsgrundlage** für den eigenen Teil sichern: Für das Pixel ist neben Art. 6 DSGVO regelmäßig eine **Einwilligung** nach § 25 Abs. 1 TDDDG erforderlich, die über das Consent-Banner **vor** dem Setzen des Pixels eingeholt wird. (3) In der **Datenschutzerklärung** einen Abschnitt „Gemeinsame Verantwortlichkeit" aufnehmen, der **das Wesentliche** der Vereinbarung wiedergibt (Art. 26 Abs. 2 Satz 2). (4) Den **Auskunftsprozess** so aufsetzen, dass Anträge **selbst** beantwortet werden – ein Verweis auf die Plattform genügt nach **Art. 26 Abs. 3** nicht. (5) Die Analyse und die Vereinbarung im Rahmen der **Rechenschaftspflicht** (Art. 5 Abs. 2) aufbewahren.

## Quellen

- Verordnung (EU) 2016/679 (DSGVO), **Art. 26 (Gemeinsam Verantwortliche)** – Volltext (EUR-Lex, DE):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- DSGVO – konsolidierte Fassung mit Erwägungsgründen (EUR-Lex, DE):
  https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504
- Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter", Version 2.1 (angenommen 07.07.2021, DE):
  https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf
- Europäische Kommission – Verantwortlicher, gemeinsam Verantwortliche und Auftragsverarbeiter (Übersicht):
  https://commission.europa.eu/law/law-topic/data-protection/reform/rules-business-and-organisations/obligations/controller-processor/what-data-controller-or-data-processor_de [toter Link, geprüft 2026-08-29 — HTTP 404 - die EU-Kommission hat den Zweig /reform/ abgebaut. Die Nachfolgestruktur /information-business-and-organisations/obligations/controllerprocessor/ leitet auf die Sammelseite "Application of the GDPR" um; eine titelgleiche Einzelseite "Verantwortlicher oder Auftragsverarbeiter" existiert dort nicht mehr. Kein gleichwertiger Ersatz gesetzt - die inhaltlich einschlaegige Primaerquelle sind die oben verlinkten EDSA-Leitlinien 07/2020]
- EuGH, Urteil vom 05.06.2018 – **C-210/16** (Wirtschaftsakademie Schleswig-Holstein, Facebook-Fanpage):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=05.06.2018&Aktenzeichen=C-210%2F16
- EuGH, Urteil vom 29.07.2019 – **C-40/17** (Fashion ID, „Gefällt mir"-Button):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=29.07.2019&Aktenzeichen=C-40%2F17
- EuGH, Urteil vom 05.12.2023 – **C-683/21** (Vereinbarung als Rechtsfolge, nicht Voraussetzung):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=05.12.2023&Aktenzeichen=C-683%2F21
- EuGH, Urteil vom 07.03.2024 – **C-604/22** (IAB Europe, TC String / TCF):
  https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=07.03.2024&Aktenzeichen=C-604%2F22
- Art. 26 DSGVO – Normtext mit Erwägungsgründen (dejure.org):
  https://dejure.org/gesetze/DSGVO/26.html
- § 25 TDDDG (Einwilligung für Endeinrichtungen, Nachfolgeregelung zu § 25 TTDSG) – amtlicher Text (gesetze-im-internet.de):
  https://www.gesetze-im-internet.de/ttdsg/__25.html
- Bundesdatenschutzgesetz (BDSG) – amtlicher Text (gesetze-im-internet.de):
  https://www.gesetze-im-internet.de/bdsg_2018/

## Änderungsverlauf

- 2026-08-28: Erstveröffentlichung der Faktenseite. EU-Rechtsakt Verordnung (EU) 2016/679, **Art. 26** (Geltung ab 25.05.2018) gegen EUR-Lex gegengeprüft. Kernpunkte: Tatbestand gemeinsamer Zweck-/Mittelbestimmung (Abs. 1), Pflichtinhalte der Vereinbarung, Realitätsgebot und Transparenzpflicht (Abs. 2), Wahlrecht der Betroffenen (Abs. 3), Ausnahme bei gesetzlich festgelegter Aufgabenverteilung, Bußgeldrahmen Art. 83 Abs. 4 lit. a (10 Mio. €/2 %), gesamtschuldnerische Haftung Art. 82 Abs. 4/5. EuGH-Rechtsprechung C-210/16, C-25/17, C-40/17, C-683/21 und C-604/22 mit dejure.org-Permalinks verifiziert; Abgrenzung zu Art. 28 (Auftragsverarbeitung) und zu getrennt Verantwortlichen ergänzt. | change_type=initial_publication reviewed_by="Nexvyra EU-Recht-Bot" field="topic_lifecycle" new="published"

## Siehe auch

- [DSGVO Art. 28 – Auftragsverarbeitung (AVV)](/fakten/dsgvo-auftragsverarbeitung-art-28.html)
- [DSGVO Art. 13/14 – Informationspflichten](/fakten/dsgvo-informationspflichten-art-13-14.html)
- [DSGVO Art. 15 – Auskunftsrecht](/fakten/dsgvo-auskunftsrecht-art-15.html)
- [DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten](/fakten/dsgvo-verzeichnis-verarbeitungstaetigkeiten-art-30.html)
- [DSGVO-Schadensersatz Art. 82 – EuGH-Rechtsprechung](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
- [DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83](/fakten/dsgvo-bussgelder.html)

## Stand

- Stand: 2026-08-28
- Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO, Art. 99 Abs. 2)
- Status: in Kraft (unmittelbar geltendes EU-Recht)
- Quellenautorität: A (EUR-Lex, EU-Kommission, EDSA/EDPB, EuGH, gesetze-im-internet.de)
- Lizenz: CC BY 4.0