Was genau ist eine gemeinsame Verantwortlichkeit?
Die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO liegt vor, wenn zwei oder mehr Unternehmen gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegen.
Beispiele:
- Gemeinsame Plattform mit gemeinsamem Datenzugang
- Konzernweites Bewerbermanagementsystem
- Gemeinsames Kundenportal mehrerer Konzerngesellschaften
Warum handelt es sich dabei nicht um eine Auftragsverarbeitung?
Die DSGVO unterscheidet klar zwischen zwei Beziehungsarten:
|
Merkmal |
Gemeinsame Verantwortlichkeit Art. 26 |
Auftragsverarbeitung Art. 28 |
|
Verhältnis |
Gleichberechtigte Partner |
Weisungsgebundener Dienstleister |
|
Zweckfestlegung |
Gemeinsam durch beide Parteien |
Durch den Auftraggeber allein |
|
Vertragstyp |
Gemeinsame Vereinbarung nach Art. 26 |
Auftragsverarbeitungsvertrag |
|
Betroffenenrechte |
Gemeinsam geregelt |
Verantwortlich ist der Auftraggeber |
|
Auftragsverarbeitung |
Keine Auftragsverarbeitung im Sinne der DSGVO |
Ja – Verarbeitung im Auftrag wird referenziert |
|
Beispiel |
Gemeinsames CRM-System zweier Konzerngesellschaften
|
IT-Gesellschaft hostet Datenbank für andere Organisation im Konzern |
Fazit:
Ein Joint Controller-Verhältnis (gemeinsame Verantwortlichkeit) ist gem. DSGVO keine Auftragsverarbeitung und darf demnach in Keyed® nicht mit einer Verarbeitung im Auftrag verknüpft werden. Ein Unternehmen kann nämlich nicht gleichzeitig Auftraggeber und gemeinsam Verantwortlicher im selben Kontext sein.
Eine Anleitung zur Erstellung einer gemeinsamen Verantwortlichkeit nach Art. 26 finden Sie im folgenden Beitrag Wie erstelle ich ein ICA mit gemeinsamer Verantwortlichkeit nach Art. 26? – Keyed Hilfebereich
Dennoch gilt:
Art. 30 Abs. 1 DSGVO verpflichtet jeden Verantwortlichen, ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Auch bei einer gemeinsamen Verantwortlichkeit im Sinne von Art. 26 DSGVO bleibt jeder Verantwortliche einzeln für die Führung seines Verzeichnisses verantwortlich.