Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Abgrenzung & Pflichten
Zuletzt aktualisiert: Stand: 08/2026 · Team von dsgvo-quiz.de
Wenn zwei oder mehr Parteien gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden, liegt eine gemeinsame Verantwortlichkeit (Joint Controllership) vor. Hier erfährst du, wie sich Art. 26 DSGVO von der Auftragsverarbeitung abgrenzt, welche Pflichtinhalte die Vereinbarung enthalten muss und was der EuGH entschieden hat.
Typische Fragen aus der DSB-Prüfung und Praxis
In Foren und Prüfungsgesprächen für Datenschutzbeauftragte (TÜV, DEKRA, IHK) tauchen regelmäßig wiederkehrende Unsicherheiten auf: „Wann reicht ein AVV nicht mehr aus und wird zu Art. 26 DSGVO?", „Müssen bei gemeinsamer Verantwortlichkeit beide Partner alle Betroffenenrechte erfüllen?" oder „Reicht eine Klausel in AGB aus?" Diese Praxisfragen bilden den Ausgangspunkt der folgenden rechtlichen Einordnung.
Was ist die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO?
Eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 Abs. 1 DSGVO liegt vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen. Die Parteien handeln dabei nicht im Rahmen eines Über- beziehungsweise Unterordnungsverhältnisses, sondern entscheiden einvernehmlich oder durch funktionale Arbeitsteilung über das „Warum" und „Wie" der Verarbeitung. Die verordnungsrechtlichen Grundlagen hierzu baut der Artikel zu den DSGVO-Grundlagen auf.
Zentrale Norm (Art. 26 Abs. 1 S. 1 DSGVO): Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie müssen in einer Vereinbarung in transparenter Form festlegen, wer welche Pflichten nach der DSGVO erfüllt.
Wie unterscheidet sich Art. 26 DSGVO von der Auftragsverarbeitung nach Art. 28 DSGVO?
Die Abgrenzung zwischen gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO und einer Auftragsverarbeitung nach Art. 28 DSGVO richtet sich maßgeblich nach dem Grad der Entscheidungsbefugnis über Zwecke und Mittel der Verarbeitung. Während der Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO als bloßer Verlängerter Arm strikt weisungsgebunden handelt, nimmt bei Art. 26 DSGVO jeder Beteiligte eigenen Einfluss auf die Zielsetzung oder Ausgestaltung der Datenverarbeitung.
Systematischer Abgrenzungs-Vergleich (Art. 26 vs. Art. 28 vs. Eigenverantwortung)
| Kriterium | Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) | Auftragsverarbeitung (Art. 28 DSGVO) | Eigenständige Verantwortlichkeit |
|---|---|---|---|
| Zweck- & Mittelbestimmung | Gemeinsame oder funktional verflochtene Festlegung | Alleinige Festlegung durch den Verantwortlichen | Jede Partei bestimmt eigene Zwecke und Mittel getrennt |
| Weisungsgebundenheit | Nein, gleichberechtigte oder aufgeteilte Partnerrolle | Ja, der Auftragsverarbeiter ist strikt weisungsgebunden | Nein, völlig unabhängige Entscheidungsebenen |
| Erforderliche Vereinbarung | Joint-Controller-Agreement (Art. 26 Abs. 1 DSGVO) | Auftragsverarbeitungsvertrag / AVV (Art. 28 Abs. 3 DSGVO) | Keine datenschutzrechtliche Vereinbarung zwingend |
| Wesentliche Information | Betroffenen zur Verfügung zu stellen (Art. 26 Abs. 2) | Keine Informationspflicht des Auftragsverarbeiters | Eigene Informationspflichten nach Art. 13/14 DSGVO |
| Haftung gegenüber Betroffenen | Gesamtschuldnerische Außenhaftung (Art. 82 Abs. 4) | Verantwortlicher haftet voll; AVV-Haftung nach Art. 82 Abs. 2 | Jede Partei haftet nur für eigenen Verstoß |
Welche Pflichtinhalte verlangt die Vereinbarung nach Art. 26 Abs. 1 S. 2 DSGVO?
Die Joint-Controller-Vereinbarung muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln und klare Zuständigkeiten festlegen. Nach Art. 26 Abs. 1 S. 2 und Abs. 2 DSGVO sind insbesondere die Erfüllung der Informationspflichten gemäß Art. 13 und 14 DSGVO sowie die Abwicklung der Betroffenenrechte nach Kapitel III aufzuteilen, sofern und soweit die jeweiligen Aufgaben der gemeinsam Verantwortlichen nicht durch das Unionsrecht oder das Recht der Mitgliedstaaten, dem die Verantwortlichen unterliegen, festgelegt sind.
- Verteilung der Informationspflichten: Festlegung, wer die Betroffenen nach Art. 13 und Art. 14 DSGVO informiert.
- Wahrnehmung der Betroffenenrechte: Regelung, welche Partei Auskunfts-, Lösch- oder Berichtigungsersuchen primär bearbeitet.
- Anlaufstelle (Point of Contact): Optionale, aber praxisrelevante Benennung einer zentralen Anlaufstelle für Betroffene (Art. 26 Abs. 1 S. 3 DSGVO).
- Bereitstellung des Wesentlichen: Das Wesentliche der Vereinbarung muss den betroffenen Personen transparent zur Verfügung gestellt werden (Art. 26 Abs. 2 S. 2 DSGVO).
Rechtsprechung des EuGH: C-683/21 und die Voraussetzungen ohne Datenzugriff
Der Europäische Gerichtshof (EuGH) hat die Reichweite der gemeinsamen Verantwortlichkeit in mehreren grundlegenden Urteilen präzisiert. Insbesondere mit dem Urteil vom 5. Dezember 2023 in der Rechtssache EuGH C-683/21 (NVSC / VDAI) stellte das Gericht klar, dass eine gemeinsame Verantwortlichkeit weder den direkten Zugriff auf personenbezogene Daten noch eine formelle schriftliche Vereinbarung voraussetzt.
Schon in den Entscheidungen Wirtschaftsakademie Schleswig-Holstein (EuGH C-210/16) und Fashion ID (EuGH C-40/17) hatte der EuGH betont, dass die Mitwirkung an der Erhebung oder Übermittlung von Daten — beispielsweise durch die Einbindung von Plugins oder das Betreiben einer Plattformseite — ausreicht, um eine gemeinsame Verantwortlichkeit für diesen konkreten Verarbeitungsschritt zu begründen.
Wie regelt Art. 82 DSGVO die Haftung bei gemeinsamer Verantwortlichkeit?
Bei einem Verstoß im Rahmen der gemeinsamen Verantwortlichkeit greift die Haftungsregelung nach Art. 82 Abs. 4 DSGVO. Betroffene Personen können grundsätzlich den gesamten Schadensersatz von jedem einzelnen beteiligten Verantwortlichen verlangen, um einen vollständigen und wirksamen Schutz zu gewährleisten. Dies gilt nach Art. 82 Abs. 3 DSGVO jedoch nicht, wenn der Verantwortliche nachweist, dass er in keiner Weise für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Wer nähere Details zum Schadenersatzanspruch sucht, findet sie im Spezialartikel zum Art. 82 DSGVO Schadensersatz.
Muss ein gemeinsam Verantwortlicher im Außenverhältnis den gesamten Schaden ersetzen, steht ihm nach Art. 82 Abs. 5 DSGVO ein interner Regressanspruch gegen die übrigen Verantwortlichen zu — allerdings nur in dem Umfang, der ihrem Anteil an der Verursachung des Schadens entspricht. Auch aus diesem Grund ist eine formelle (idealerweise schriftliche) Vereinbarung nach Art. 26 DSGVO zur Absicherung des internen Regresses dringend zu empfehlen, wenngleich das Gesetz für die gemeinsame Verantwortlichkeit selbst keine zwingende Schriftform vorschreibt. Ergänzend muss die Notwendigkeit von Sicherheitsmaßnahmen im Vorfeld geprüft werden, was in der Datenschutz-Folgenabschätzung (DSFA) dokumentiert wird.
Häufige Fragen (FAQ)
Muss das Wesentliche der Vereinbarung ins Impressum oder in die Datenschutzerklärung?
Nach Art. 26 Abs. 2 S. 2 DSGVO muss das Wesentliche der Vereinbarung der betroffenen Person zur Verfügung gestellt werden. In der Praxis geschieht dies meist durch einen gesonderten Abschnitt in der Datenschutzerklärung, der die Rollenverteilung, die Hauptverantwortlichkeiten und die Anlaufstelle transparent erläutert.
Müssen beide Unternehmen einen Datenschutzbeauftragten bestellen?
Die gemeinsame Verantwortlichkeit begründet keine automatische Pflicht zur DSB-Bestellung für beide Partner. Ob eine Bestellung erforderlich ist, bemisst sich für jedes Unternehmen eigenständig nach Art. 37 DSGVO sowie nationalen Zusatzbestimmungen wie § 38 BDSG. Das Fachwissen steuert der jeweilige Datenschutzbeauftragte mit Fachkunde bei.
Kann man die Außenhaftung gegenüber Betroffenen vertraglich ausschließen?
Nein. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte bei jedem einzelnen Verantwortlichen geltend machen. Eine vertragliche Haftungsbeschränkung in der Joint-Controller-Vereinbarung wirkt grundsätzlich ausschließlich im Innenverhältnis als Regressregel nach Art. 82 Abs. 5 DSGVO, es sei denn, ein Verantwortlicher kann sich gegenüber dem Betroffenen nach Art. 82 Abs. 3 DSGVO vollständig exkulpieren, weil er für den Schaden in keiner Weise verantwortlich ist.
Methodik & Transparenz (WHO / HOW / WHY)
Herausgeber (WHO): Redaktion und Fachexperten von dsgvo-quiz.de — Spezialportal für die Vorbereitung auf DSB-Zertifizierungsprüfungen (TÜV, DEKRA, IHK).
Recherche & Methode (HOW): Dieser Artikel basiert auf der direkten Auswertung des Verordnungstextes der DSGVO (VO (EU) 2016/679), den EDSA-Leitlinien 07/2020 sowie den Urteilen des EuGH (C-683/21, C-210/16, C-40/17). Alle Passagen wurden durch automatisierte Abgleiche mit den amtlichen Gesetzestexten verifiziert.
Zweck (WHY): Bereitstellung einer verlässlichen, zitierfähigen Lern- und Entscheidungsgrundlage für angehende Datenschutzbeauftragte und Praxis-Anwender ohne werbliche Verfälschung.
Wann liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor?
Eine gemeinsame Verantwortlichkeit (Joint Controllership) liegt nach Art. 26 Abs. 1 S. 1 DSGVO vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen. Dies setzt eine tatsächliche Mitentscheidung oder funktionale Verflechtung bei den Verarbeitungszielen voraus.
Was ist der Unterschied zwischen Art. 26 DSGVO und einer Auftragsverarbeitung nach Art. 28 DSGVO?
Bei einer Auftragsverarbeitung nach Art. 28 DSGVO bestimmt allein der Verantwortliche Zwecke und Mittel, während der Auftragsverarbeiter strikt weisungsgebunden handelt. Bei der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO entscheiden beide Partner gemeinsam über Zwecke und Mittel, sodass beide als eigenständige Verantwortliche mit gemeinsamer Entscheidungspflicht agieren.
Gilt die gemeinsame Verantwortlichkeit auch ohne eigenen Datenzugriff oder ohne schriftlichen Vertrag?
Ja. Nach der gefestigten Rechtsprechung des Europäischen Gerichtshofs (EuGH C-683/21 vom 05.12.2023) erfordert die gemeinsame Verantwortlichkeit weder den direkten Zugriff auf die personenbezogenen Daten noch das Vorliegen einer expliziten schriftlichen Vereinbarung (auch wenn eine solche dringend zu Dokumentations- und Regresszwecken empfohlen wird). Entscheidend ist allein die tatsächliche Beteiligung an der Bestimmung der Zwecke und Mittel.
Gemeinsame Verantwortlichkeit & DSB-Wissen testen
Testet euer Wissen zu Art. 26 DSGVO, Auftragsverarbeitung und Haftung mit interaktiven Prüfungsfragen für die DSB-Zertifizierung.
Kostenlos registrierenRechtsgrundlagen & Quellen
Stand: 08/2026 · Alle Angaben nach dem Wortlaut der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679). Keine Rechtsberatung.