¶ Gemeinsame Verantwortung
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Partner, Vereinbarungen, Verarbeitungen oder organisationsbezogenen Zuständigkeitsentscheidungen.
Einordnungsregel: Gemeinsame Verantwortung entsteht durch die tatsächliche gemeinsame Festlegung der Zwecke und wesentlichen Mittel. Eine Vereinbarung schafft oder beseitigt die Rolle nicht allein.
Betroffenenregel: Unabhängig von der internen Aufgabenverteilung können betroffene Personen ihre Rechte gegenüber jedem gemeinsam Verantwortlichen geltend machen.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-04 |
| Dokumentenart | Verfahren für gemeinsame Verantwortlichkeit |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Gemeinsame-Verantwortung |
| Verantwortlich | festzulegende Datenschutzkoordination / Prozesseigner |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit und beteiligte Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine Partner, Rollenverteilung oder Artikel-26-Vereinbarung organisationsbezogen freigegeben |
| Version | 1.0 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Rollenprüfung, Abstimmung, Praxistest und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Partner-, Zweck-, Mittel-, Datenfluss- oder Rechtsänderungen |
| Schutzklasse | Vertraulich; Rollenanalysen, Vereinbarungen, Datenflüsse und Einzelfallnachweise geschützt |
| DSGVO-Bezug | Insbesondere Artikel 4 Nummer 7, Artikel 5 Absatz 2, Artikel 13, 14, 26 und 82 DSGVO |
| Schnittstellen | Geltungsbereich, VVT, Informationspflichten, Betroffenenrechte, Sicherheit, Vorfälle, DSFA, Verträge und Drittlandtransfer |
Die tatsächliche gemeinsame Entscheidung wird zuerst festgestellt; anschließend werden Pflichten transparent verteilt, operativ verbunden und gemeinsam kontrolliert. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Verfahren stellt sicher, dass gemeinsame Verantwortlichkeit erkannt und nicht fälschlich als Auftragsverarbeitung, Datenübermittlung zwischen getrennten Verantwortlichen oder unverbindliche Kooperation behandelt wird.
¶ 2. Rollenprüfung
Für jeden gemeinsamen Vorgang werden geprüft:
- Wer bestimmt den Zweck oder wirkt entscheidend an seiner Festlegung mit?
- Wer bestimmt wesentliche Mittel wie Datenarten, Personengruppen, Speicherdauer, Empfänger oder Zugriffsregeln?
- Sind die Entscheidungen gemeinsam, ergänzend oder untrennbar miteinander verbunden?
- Kann die Verarbeitung ohne die Beteiligung einer Stelle in derselben Form stattfinden?
- Welche Verarbeitungsschritte fallen tatsächlich in die gemeinsame Verantwortung?
- Welche vor- oder nachgelagerten Schritte bleiben getrennt verantwortlich?
Gleicher Einfluss oder gleich große Verantwortung ist nicht erforderlich. Die Beteiligung kann asymmetrisch und auf bestimmte Verarbeitungsschritte begrenzt sein.
¶ 3. Abgrenzung
| Konstellation | Kennzeichen |
|---|---|
| gemeinsame Verantwortlichkeit | Zwecke und wesentliche Mittel werden gemeinsam bestimmt |
| getrennte Verantwortliche | jede Stelle bestimmt eigene Zwecke und Mittel für eigene Verarbeitung |
| Auftragsverarbeitung | eine Stelle verarbeitet im Auftrag und innerhalb dokumentierter Weisungen |
| Empfänger / Übermittlung | Daten werden an eine andere Stelle mit eigener Rolle übermittelt |
Vertragsbezeichnung, Eigentum am System oder alleiniger Datenzugriff entscheiden die Rolle nicht.
¶ 4. Gemeinsamer Verarbeitungsumfang
Die Rollenmatrix beschreibt:
- beteiligte Rechtsträger,
- gemeinsamen Zweck und tatsächliche Entscheidungen,
- betroffene Verarbeitungsschritte,
- Datenquellen, Kategorien und Personengruppen,
- Systeme, Schnittstellen, Zugriffe und Empfänger,
- Beginn und Ende der gemeinsamen Phase,
- getrennte vor- und nachgelagerte Verantwortungsbereiche,
- Auftragsverarbeiter und internationale Zugriffe.
¶ 5. Vereinbarung nach Artikel 26
Die Vereinbarung bildet die tatsächlichen Rollen transparent ab und ordnet insbesondere zu:
- Rechtsgrundlagen und Nachweisführung,
- Informationspflichten nach Artikel 13 und 14,
- Bearbeitung sämtlicher Betroffenenrechte,
- Kontaktstelle und Weiterleitung eingehender Anfragen,
- Datenqualität, Berichtigung, Löschung und Aufbewahrung,
- technische und organisatorische Maßnahmen,
- Datenschutzverletzungen, Meldungen und Benachrichtigungen,
- DSFA, vorherige Konsultation und Änderungen,
- Einsatz von Auftragsverarbeitern,
- Drittlandtransfers und Informationen über Garantien,
- Kontrollen, Nachweise, Haftung und Vertragsende.
Eine Kontaktstelle kann benannt werden, begrenzt aber nicht die Rechte der betroffenen Person gegenüber jedem Verantwortlichen.
¶ 6. Wesentlicher Inhalt für betroffene Personen
Der wesentliche Inhalt der Vereinbarung wird leicht zugänglich bereitgestellt. Er erläutert mindestens:
- beteiligte Verantwortliche und Kontaktdaten,
- gemeinsamen Verarbeitungszweck und Rollen,
- Zuständigkeit für Informationen und Rechte,
- Kontakt- und Beschwerdewege,
- wesentliche Datenflüsse und Empfängerkategorien,
- erforderliche Hinweise zu internationalen Übermittlungen.
Die Veröffentlichung des wesentlichen Inhalts ersetzt nicht die vollständigen Informationspflichten.
¶ 7. Betroffenenrechte
Jeder Beteiligte erkennt und registriert Anfragen unabhängig vom Eingangskanal. Der interne Prozess regelt:
- unverzügliche Weiterleitung mit gesichertem Eingangsdatum,
- gemeinsame Vorgangs-ID und Fristenstand,
- Identitäts- und Zuständigkeitsprüfung,
- Such- und Maßnahmenaufträge an alle Beteiligten,
- abgestimmte rechtliche Prüfung,
- konsistente, sichere Antwort,
- technische Umsetzung und geschützten Nachweis.
Interne Zuständigkeitsstreitigkeiten dürfen die Rechte der betroffenen Person nicht verzögern.
¶ 8. Informationssicherheit und Datenschutzverletzungen
Die Beteiligten stimmen Schutzmaßnahmen, Zugriffsgrenzen, Protokollierung, Meldewege und Eskalation aufeinander ab. Bei einem Vorfall werden insbesondere geregelt:
- erste Erkennung und Sofortmeldung,
- Sicherung von Fakten und Beweismitteln,
- gemeinsame Risikobewertung,
- Zuständigkeit für Aufsichtsbehörden und betroffene Personen,
- konsistente Kommunikation,
- Abhilfe, Ursachenanalyse und Wirksamkeitsprüfung.
¶ 9. Auftragsverarbeiter und Drittlandtransfers
Es wird eindeutig festgelegt, wer Auftragsverarbeiter auswählt, vertraglich bindet, kontrolliert und Änderungen genehmigt. Gemeinsame Plattformen können zusätzliche Rollenbeziehungen erzeugen.
Internationale Übermittlungen werden für jeden Exporteur, Empfänger, Zugriff und Verarbeitungsschritt gesondert bewertet. Eine Artikel-26-Vereinbarung ist keine Transfergrundlage.
¶ 10. Änderungen und Beendigung
Eine erneute Rollen- und Vereinbarungsprüfung erfolgt bei:
- neuen Partnern, Zwecken oder Geschäftsmodellen,
- neuen Daten, Personengruppen, Systemen oder Algorithmen,
- veränderten Entscheidungsrechten,
- neuen Empfängern, Auftragsverarbeitern oder Drittländern,
- Vorfällen, Beschwerden oder behördlichen Feststellungen,
- Beendigung der Zusammenarbeit.
Der Exit regelt Datenrückgabe, Trennung, Löschung, fortbestehende Rechtsgrundlagen, Betroffenenkommunikation, Zugriffsentzug und Abschlussnachweise.
¶ 11. Rollen- und Pflichtenmatrix
| Pflicht | Partei A | Partei B | gemeinsamer Ablauf / Nachweis |
|---|---|---|---|
| Rechtsgrundlage | festzulegen | festzulegen | gemeinsame Prüfung |
| Informationen | festzulegen | festzulegen | abgestimmte Fassung und Bereitstellung |
| Betroffenenrechte | Eingang möglich | Eingang möglich | gemeinsame Vorgangs- und Fristensteuerung |
| Sicherheit | eigener Bereich | eigener Bereich | abgestimmte Schnittstellenkontrollen |
| Datenschutzverletzung | Sofortmeldung | Sofortmeldung | gemeinsame Bewertung und Entscheidung |
| DSFA | Beitrag | Beitrag | gemeinsame Bewertung, soweit erforderlich |
Die Tabelle ist ein leeres Muster und kein Nachweis einer realen Aufgabenverteilung.
¶ 12. Nachweise
- Rollen- und Datenflussanalyse,
- VVT- und Systemreferenzen,
- kontrollierte Artikel-26-Vereinbarung,
- wesentlicher Inhalt und Datenschutzhinweise,
- Kontakt-, Rechte- und Vorfallprozess,
- TOM-, DSFA-, Auftragsverarbeiter- und Transferprüfung,
- Änderungen, Kontrollen und Maßnahmen,
- Exit-, Trennungs- und Löschbestätigungen.
Originalvereinbarungen und Einzelfallnachweise verbleiben in der geschützten Ablage.
¶ 13. Kontrollen
- Entspricht die vertragliche Rolle der tatsächlichen gemeinsamen Entscheidung?
- Ist der gemeinsame Umfang klar von getrennten Phasen abgegrenzt?
- Bildet die Vereinbarung alle operativen Pflichten ab?
- Können Betroffene jeden Beteiligten erreichen und Rechte wirksam ausüben?
- Sind Informationen und wesentlicher Vereinbarungsinhalt verständlich?
- Funktionieren Vorfall-, DSFA-, Auftragsverarbeiter- und Transferprozesse gemeinsam?
- Werden Änderungen rechtzeitig erkannt und nachgeführt?
- Stimmen Vereinbarung, VVT, Technik, Informationen und Praxis überein?
¶ 14. Praxisfall: gemeinsame Plattform
Zwei Unternehmen betreiben eine gemeinsame Veranstaltungsplattform. Beide bestimmen, welche Teilnehmendendaten erhoben werden, für welche gemeinsamen Zwecke Auswertungen erfolgen und wer Einladungen versendet. Für rein technische Hostingaufgaben kann ein Anbieter Auftragsverarbeiter sein; zwischen den beiden Unternehmen kann für den gemeinsam bestimmten Abschnitt Artikel 26 greifen. Andere eigene Zwecke, etwa individuelle Vertragsabrechnung, bleiben getrennt verantwortlich.
¶ 14.1 Prozessgrenzen sichtbar machen
| Verarbeitungsschritt | Rollenfrage | Nachweis |
|---|---|---|
| Registrierung | Wer bestimmt Pflichtfelder und Zwecke? | Feld- und Zweckfreigabe |
| gemeinsame Teilnehmerverwaltung | Wer kann Daten nutzen oder verändern? | Rollen- und Zugriffsmatrix |
| individuelle Kundenbeziehung | Handelt jede Partei für eigenen Zweck? | getrennte VVT- und Informationsabschnitte |
| gemeinsame Analyse | Wer legt Kennzahlen und Zielgruppen fest? | dokumentierte gemeinsame Entscheidung |
| Hosting und Versand | Handelt der Anbieter nur auf Weisung? | Artikel-28-Vertrag und technische Prüfung |
Die Rollen werden je Verarbeitungsschritt bestimmt, nicht pauschal für die gesamte Kooperation. Vertragstitel und wirtschaftliche Machtverteilung sind Hinweise, aber die tatsächliche Mitwirkung an Zweck und wesentlichen Mitteln entscheidet.
¶ 15. Rechte, Vorfälle und einheitliche Außenwirkung
Betroffene dürfen ihre Rechte grundsätzlich gegenüber jedem gemeinsam Verantwortlichen geltend machen. Ein interner Zuständigkeitsplan kann Bearbeitung organisieren, darf die Person aber nicht zwischen Parteien hin- und herschicken. Eingang, Identität, Frist, Suchaufträge und Antwort werden gemeinsam abgestimmt und nachvollziehbar geführt.
Bei einer Datenschutzverletzung werden Kenntnis, technische Eindämmung, Risikobewertung, Behördenmeldung und Benachrichtigung koordiniert. Jede Partei prüft zugleich eigene Pflichten. Widersprüchliche Zahlen oder Aussagen werden durch einen gemeinsamen Faktenstand und versionierte Freigabe vermieden.
¶ 15.1 Wirksamkeitstest
Ein erfundener Auskunftsfall und ein Vorfallszenario prüfen, ob Kontaktwege, Zuständigkeiten, Datenzugriff, Fristen und Kommunikation praktisch funktionieren. Erkennt eine Partei einen Vorfall, muss die andere innerhalb der vereinbarten Zeit erreichbar sein. Feststellungen fließen in Vereinbarung, Rollenmatrix und technische Konfiguration ein.
¶ 16. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Geltungsbereich und Verantwortliche | übergreifende Rollenabgrenzung |
| Rollen und Verantwortlichkeiten | interne Zuständigkeiten und Eskalation |
| Verzeichnis von Verarbeitungstätigkeiten | Verarbeitungen, Systeme, Empfänger und TOM |
| Informationspflichten | abgestimmte Transparenz |
| Betroffenenanfragen und Identitätsprüfung | Rechte- und Fristenprozess |
| Auftragsverarbeiterregister | Abgrenzung zur Auftragsverarbeitung |
| Drittlandtransfers | Transferpflichten beteiligter Verantwortlicher |
¶ 17. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 26 – EUR-Lex
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
- EuGH C-683/21 – gemeinsame Verantwortlichkeit folgt der tatsächlichen Mitwirkung
¶ 18. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutzrollen, Artikel-26-Vereinbarungen und gemeinsamen Datenschutzprozessen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 19. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 09.08.2026 | Praxisfall, schrittweise Rollenabgrenzung, Rechte- und Vorfallkoordination sowie Wirksamkeitstest ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für gemeinsame Verantwortlichkeit erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |