Gemeinsame Verantwortlichkeit (Joint Controllership)

Definition: Gemeinsame Verantwortlichkeit (englisch: Joint Controllership) ist ein datenschutzrechtliches Konzept aus Artikel 26 der Datenschutz-Grundverordnung (DSGVO). Sie liegt vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel einer Verarbeitung personenbezogener Daten festlegen. In diesem Fall sind die Betreffenden gemeinsam Verantwortliche und müssen in transparenter Weise eine Vereinbarung treffen, in der ihre jeweiligen Verantwortungsbereiche für die Erfüllung der DSGVO-Pflichten festgelegt werden. Die Vereinbarung muss insbesondere regeln, wer für die Wahrnehmung der Betroffenenrechte zuständig ist und wer die Informationspflichten nach Art. 13 und 14 DSGVO erfüllt. Von der gemeinsamen Verantwortlichkeit strikt zu unterscheiden ist die Auftragsverarbeitung (Art. 28 DSGVO): Beim Auftragsverarbeiter handelt eine Stelle ausschließlich nach Weisung des Verantwortlichen und hat keinen eigenen Entscheidungsspielraum über Zweck und Mittel der Verarbeitung. Das Konzept der gemeinsamen Verantwortlichkeit ist im digitalen Marketing hochrelevant, da viele der dort genutzten Plattformen und Dienste – insbesondere Social-Media-Plattformen und Werbetechnologien – in einer Weise in die Datenverarbeitung eingebunden sind, die eine gemeinsame Verantwortlichkeit begründen kann. Der Europäische Gerichtshof (EuGH) hat den Begriff durch eine Reihe wegweisender Urteile weit ausgelegt und damit erhebliche Rechtspflichten für Unternehmen begründet, die verbreitete Marketing-Tools einsetzen.

Erläuterung

Der EuGH hat den Begriff der gemeinsamen Verantwortlichkeit in mehreren Urteilen progressiv ausgeweitet. Im Urteil Wirtschaftsakademie Schleswig-Holstein (2018) entschied der EuGH, dass der Betreiber einer Facebook Fan-Page gemeinsam mit Meta (damals Facebook) für die Verarbeitung der Besucherdaten verantwortlich ist – auch wenn der Seitenbetreiber keinen direkten Zugriff auf die Rohdaten hat und nur Aggregatstatistiken über Facebook Insights erhält. Entscheidend ist, dass der Seitenbetreiber durch das Einrichten der Fanpage zur Datenerhebung durch Meta beiträgt und die Statistiken nutzt – er legt damit zumindest teilweise die Zwecke der Verarbeitung mit fest.

Im Urteil Fashion ID (2019) dehnte der EuGH die gemeinsame Verantwortlichkeit auf das Einbetten des Facebook-Like-Buttons auf einer Website aus. Der Websitebetreiber, der den Like-Button in seinen Code einbindet, ermöglicht dadurch die Erhebung von Besucherdaten durch Facebook schon beim Laden der Seite – noch bevor der Nutzer den Button anklickt. Durch die bewusste Einbindung dieses Codes bestimmt der Betreiber mit, dass diese Datenerhebung stattfindet, und wird damit zum gemeinsamen Verantwortlichen für diesen Verarbeitungsschritt.

Diese Rechtsprechung hat weitreichende praktische Konsequenzen für Unternehmen, die Social-Media-Pixel, Tracking-Skripte oder eingebettete Inhalte von Drittanbietern nutzen. In vielen Fällen kann die Nutzung von Facebook Pixel, Google Ads-Conversion-Tracking, LinkedIn Insight Tag oder ähnlichen Tools eine gemeinsame Verantwortlichkeit begründen – auch wenn dies in der Praxis oft nicht angemessen durch Vereinbarungen abgesichert ist.

Pflichten bei gemeinsamer Verantwortlichkeit

Vereinbarung nach Art. 26 DSGVO: Die gemeinsam Verantwortlichen müssen eine schriftliche Vereinbarung abschließen, die die jeweiligen Zuständigkeiten für DSGVO-Pflichten klar regelt – insbesondere für Betroffenenrechte, Informationspflichten und Sicherheitsmaßnahmen.
Transparenz gegenüber Betroffenen: Das Wesentliche der Vereinbarung muss den betroffenen Personen zugänglich gemacht werden, z. B. durch einen Hinweis in der Datenschutzerklärung.
Anlaufstelle für Betroffene: Betroffene können ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend machen, unabhängig von der internen Aufgabenverteilung.
Dokumentation: Die Vereinbarung und die jeweiligen Verantwortlichkeiten müssen im Verarbeitungsverzeichnis dokumentiert werden.

Typische Praxisbeispiele im digitalen Marketing

Facebook Fan-Pages: Betreiber von Facebook-Seiten sind nach EuGH-Rechtsprechung gemeinsam mit Meta verantwortlich für die Verarbeitung von Besucherdaten. Meta bietet hierfür eine Ergänzung der Nutzungsbedingungen als Joint-Controller-Vereinbarung an.
Social-Media-Pixel (Facebook Pixel, LinkedIn Insight Tag): Die Einbindung von Tracking-Pixeln kann eine gemeinsame Verantwortlichkeit mit dem jeweiligen Plattformbetreiber begründen – je nach konkreter Ausgestaltung der Datenverarbeitung.
Co-Marketing und gemeinsame Kundendatenbanken: Wenn zwei Unternehmen gemeinsam eine Marketingkampagne durchführen und dabei gemeinsam Kundendaten verarbeiten, liegt eine gemeinsame Verantwortlichkeit vor und eine entsprechende Vereinbarung ist zwingend erforderlich.
Konzerninterner Datenaustausch: Auch innerhalb von Unternehmensgruppen kann eine gemeinsame Verantwortlichkeit entstehen, wenn mehrere Konzerngesellschaften gemeinsam über Verarbeitungszwecke entscheiden.

Praxistipp: Prüfen Sie für jeden Drittanbieter, dessen Skripte oder Pixel Sie auf Ihrer Website oder in Ihrer Marketing-Infrastruktur einsetzen, ob eine gemeinsame Verantwortlichkeit entstehen kann. Für Social-Media-Plattformen (Meta, LinkedIn) schließen Sie die angebotenen Joint-Controller-Vereinbarungen aktiv ab und verweisen Sie in Ihrer Datenschutzerklärung auf diese. Bei Co-Marketing-Aktionen mit Partnern schließen Sie stets eine ausdrückliche schriftliche Vereinbarung nach Art. 26 DSGVO ab, die Zuständigkeiten klar regelt.