Die Rolle folgt der tatsächlichen Entscheidung
Unternehmen können Daten in einem gemeinsamen Angebot nutzen, ohne dass ihre datenschutzrechtliche Rolle allein aus einer Vertragsüberschrift hervorgeht. Wer Zwecke und Mittel mitbestimmt, kann gemeinsam verantwortlich sein. Entscheidend ist die konkrete Verarbeitung, nicht lediglich die wirtschaftliche Größe der Beteiligten oder der technische Besitz eines Servers. Auch muss nicht jede Stelle automatisch für sämtliche Vorgänge einer langen Datenkette verantwortlich sein. Die Prüfung beginnt daher mit einer Beschreibung der einzelnen Schritte und der Frage, wer diese gestaltet.
Welche Vereinbarung Artikel 26 verlangt
Legen mehrere Verantwortliche gemeinsam Zwecke und Mittel fest, verlangt Artikel 26 DSGVO eine transparente Vereinbarung über die Erfüllung ihrer Pflichten, soweit keine einschlägige gesetzliche Verteilung besteht. Besonders wichtig sind Betroffenenrechte und Informationspflichten. Die Regelung muss die tatsächlichen Funktionen und Beziehungen widerspiegeln. Eine Anlaufstelle kann benannt werden; das Wesentliche der Vereinbarung ist Betroffenen zur Verfügung zu stellen. Der Vertrag schafft die tatsächliche gemeinsame Verantwortlichkeit nicht beliebig erst durch seine Bezeichnung. Er soll eine bestehende Rollenverteilung zutreffend abbilden und deren praktische Pflichterfüllung nachvollziehbar regeln.
Der historische Social-Plugin-Fall Fashion ID
Im Urteil vom 29. Juli 2019 – C-40/17 untersuchte der EuGH einen eingebundenen Facebook-Button. Das Urteil erging noch zur Datenschutzrichtlinie 95/46. Die dazu veröffentlichten Gründe begrenzen eine mögliche gemeinsame Verantwortlichkeit auf Vorgänge, deren Zwecke und Mittel der Seitenbetreiber tatsächlich mitbestimmt, hier insbesondere Erhebung und Übermittlung. Für spätere Verarbeitungsschritte ohne eigene Mitentscheidung folgt daraus keine automatische umfassende Verantwortlichkeit. Für heutige Sachverhalte ist der aktuelle DSGVO-Maßstab zusätzlich anzuwenden. Die historische Entscheidung erläutert die notwendige Vorgangsabgrenzung, ersetzt jedoch nicht die Prüfung der gegenwärtigen Rechtsgrundlagen.
Ein Beispiel eines gemeinsam gestalteten Angebots
Zwei Unternehmen planen zusammen ein Registrierungsangebot und bestimmen gemeinsam, welche Kundendaten für welche Zwecke erhoben werden. Sie können diese Verantwortung nicht allein dadurch auf eines der Unternehmen verschieben, dass dessen Name auf dem Formular steht. Zu prüfen sind die tatsächlichen Entscheidungen und der konkrete Verarbeitungsschritt. Nutzt eine Partei später Daten für einen ausschließlich eigenen zusätzlichen Zweck, kann dieser Vorgang anders zuzuordnen sein. Das Beispiel zeigt, weshalb eine einzige pauschale Rollenbezeichnung für sämtliche Projektphasen unzureichend sein kann. Die einzelnen Funktionen müssen sachlich beschrieben werden.
Von Auftragsverarbeitung unterscheiden
Ein Auftragsverarbeiter verarbeitet Daten grundsätzlich für einen Verantwortlichen im Rahmen der dafür geltenden Vorgaben. Gemeinsame Verantwortlichkeit betrifft dagegen die gemeinsame Bestimmung von Zwecken und Mitteln. Nicht jeder externe technische Dienstleister wird deshalb automatisch Mitverantwortlicher; ebenso ist nicht jede als Auftrag bezeichnete Zusammenarbeit tatsächlich bloße Auftragsverarbeitung. Die rechtliche Einordnung verlangt eine Prüfung des wirklichen Handlungsspielraums. Vertragsmuster sollten daher nicht ausgewählt werden, bevor klar ist, wer eigene Zwecke verfolgt und welche Entscheidungen gemeinsam getroffen werden. Eine unzutreffende Überschrift löst die dahinterstehenden Datenschutzpflichten nicht auf.
Betroffenenrechte bleiben gegenüber jedem möglich
Artikel 26 Absatz 3 erlaubt Betroffenen, ihre Rechte ungeachtet der internen Vereinbarung gegenüber jedem der gemeinsam Verantwortlichen geltend zu machen. Eine benannte Anlaufstelle darf deshalb nicht mit einem vollständigen Ausschluss anderer Verantwortlicher verwechselt werden. Intern ist dennoch eine klare Weiterleitung und Bearbeitung sinnvoll, damit Anträge rechtzeitig und vollständig beantwortet werden. Die gemeinsame Rolle bedeutet zugleich nicht, dass jede beliebige Forderung ohne weitere Voraussetzungen besteht. Umfang des jeweiligen Rechts, betroffene Daten und gegebenenfalls andere Schutzinteressen bleiben nach den einschlägigen Bestimmungen zu prüfen.
Verarbeitungsschritte und Zuständigkeiten dokumentieren
Eine brauchbare Dokumentation benennt Datenarten, Zwecke, technische Abläufe und den Entscheidungseinfluss jeder Stelle. Daraus werden die Pflichten für Information, Auskunft und weitere Betroffenenrechte abgeleitet. Außerdem sollte erkennbar sein, welche nachgelagerten Vorgänge ausschließlich eigenständig erfolgen. Eine solche Beschreibung ist hilfreicher als die bloße Behauptung, alle seien verantwortlich. Für Websiteeinbindungen muss insbesondere geprüft werden, wann welche Datenübermittlung ausgelöst wird. Die Rollenvereinbarung ersetzt weder eine erforderliche Rechtsgrundlage noch sonstige Schutzmaßnahmen. Sie ordnet die Verantwortlichkeit zu und macht deren praktische Erfüllung überprüfbar.