Neues zum Datenschutzrecht
10.1.2020
Neue Praxishilfe zur Gemeinsamen Verantwortlichkeit (Joint Controllership)
Die Gesellschaft für Datenschutz und Datensicherheit e.V (GDD) hat eine neue Praxishilfe zur Gemeinsamen Verantwortlichkeit herausgegeben. Diese Praxishilfe entstand mit fachlicher Unterstützung des Ad-Hoc-Arbeitskreises „Joint Controllership“, dem auch Rechtsanwalt Dr. Markus Lang angehört. Die „GDD-Praxishilfe XV: Die gemeinsame Verantwortlichkeit nach Art. 26 DS-GVO (Joint Controllership)“ können Sie hier als pdf-Datei herunterladen.
Die Praxishilfe soll einen Beitrag zur Beseitigung bestehender Verunsicherung leisten und praxisbezogene Hilfestellung bei der Umsetzung der Vorgaben von Art. 26 Datenschutz-Grundverordnung (DSGVO) bieten. Sie enthält auch Hinweise zur Gestaltung einer Vereinbarung nach Art. 26 DSGVO sowie zur Information der betroffenen Personen. Die Praxishilfe enthält jedoch keine allgemeingültigen Muster, da die Fallgestaltungen der gemeinsamen Verantwortlichkeit sehr vielschichtig sind und ein Schwerpunkt in der Konkretisierung der relevanten Aspekte liegt, die in jedem Einzelfall unterschiedlich sind.
Hintergrund
Erfolgt eine Verarbeitung personenbezogener Daten durch mehrere Stellen, z.B. in Konzernen, ist es möglich, dass sie für diese Verarbeitung gemeinsam verantwortlich sind. Für diesen Fall sieht Art. 26 DSGVO besondere Verpflichtungen vor, wie etwa den Abschluss einer speziellen Vereinbarung zwischen den gemeinsam Verantwortlichen und eine besondere Informationspflicht gegenüber den betroffenen Personen.
In welchen Konstellationen eine gemeinsame Verantwortlichkeit vorliegt, ist nicht immer einfach festzustellen. Eine gemeinsame Verantwortlichkeit i.S.d. Art. 26 Abs. 1 Satz 1 DSGVO setzt voraus, dass „zwei oder mehr Verantwortliche“ die Zwecke und Mittel der Verarbeitung festlegen. Es sind also mehrere – mindestens zwei – Verantwortliche erforderlich. Der Begriff „gemeinsam“ ist in Bezug auf die Festlegung der Zwecke und Mittel im Sinne eines „zusammen mit“ oder eines „nicht allein“ zu verstehen. Es ist somit nicht erforderlich, dass die gemeinsam Verantwortlichen über alle Zwecke und alle Mittel gemeinsam entscheiden. Vielmehr kann die Beteiligung an einer Festlegung bzw. der Grad der Mitwirkung an einer Entscheidung unterschiedlich stark ausgeprägt sein. Wie und wie stark dieser Einfluss ausgeprägt muss, ist bislang nicht abschließend geklärt. Nach Ansicht des Europäischen Gerichtshofes (EuGH) kann bereits ein geringer Einfluss hinreichend sein, wie der Facebook-Fanpage-Entscheidung (EuGH, 5.6.2018, Az. C-210/16 (ULD S-H/Wirtschaftsakademie S-H) und der Entscheidung zum Facebook-Like-Button in Websites (EuGH, Urt. v. 29.7.2019, Az. C-40/17, „Fashion ID“) entnommen werden kann (zu dieser Entscheidung s. auch die Datenschutz-News v. 30.7.2019).