Gemeinsame Verantwortlichkeit mit Agentur oder Plattform: Art. 26 DSGVO in der Praxis

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO entsteht nicht schon deshalb, weil eine Agentur, ein Marktplatz oder eine Plattform an einer Verarbeitung beteiligt ist. Entscheidend ist, ob mehrere Stellen gemeinsam über Zweck und wesentliche Mittel entscheiden. In der Praxis zeigt sich das etwa bei gemeinsam geplanten Kampagnen, Plattformangeboten oder Veranstaltungen mit gemeinsamer Teilnehmerverwaltung.

Dieser Beitrag konzentriert sich auf die konkrete Zusammenarbeit zwischen Unternehmen und Agentur oder Plattform. Sie erfahren, woran Sie eine gemeinsame Entscheidung erkennen, welche Punkte eine Vereinbarung nach Art. 26 DSGVO abdecken sollte und warum ein Vertrag allein die tatsächliche Rollenverteilung nicht ersetzt. Für die allgemeine Rollenklärung steht Ihnen der Rollen-Check zur Verfügung.

Art. 4 Z 7 DSGVO erfasst auch mehrere Stellen, die gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. Das setzt keine gleich starke Beteiligung an jedem Detail voraus. Eine gemeinsame Verantwortlichkeit kann vorliegen, wenn das Unternehmen und die Agentur die Zielgruppe, das Kampagnenziel, die Auswahl der Daten oder die Art der Ansprache gemeinsam festlegen.

Die Bezeichnung im Vertrag ist nur ein Hinweis. Entscheidend ist, wer in der Praxis Entscheidungen trifft und welche Entscheidungen für die Rechte betroffener Personen wesentlich sind. Eine Agentur, die nur nach konkreten Weisungen eine klar abgegrenzte technische Leistung erbringt, kann Auftragsverarbeiterin sein. Plant sie mit dem Unternehmen jedoch Zweck und Zielgruppe einer gemeinsamen Aktion, muss diese Konstellation gesondert geprüft werden.

Beginnen Sie mit dem konkreten Verarbeitungsvorgang. Welche Personen werden erfasst, welche Daten werden verwendet, wozu dient die Aktion und über welche Plattform oder Schnittstelle werden die Daten verarbeitet? Halten beide Seiten Entscheidungen zu diesen Punkten gemeinsam in der Hand, spricht das eher für gemeinsame Verantwortlichkeit.

Nicht jede technische Entscheidung ist ein gemeinsames wesentliches Mittel. Die Auswahl eines Hostingstandorts oder die interne Softwarearchitektur kann bei einem Dienstleister liegen, ohne dass er über den Zweck entscheidet. Wesentlich sind dagegen etwa Datenkategorien, Zielgruppen, Aufbewahrung, Empfänger und die Frage, ob ein Kontakt zu Werbe-, Verkaufs- oder Veranstaltungszwecken erfolgt. Die Entscheidung sollte je Verarbeitungsvorgang schriftlich nachvollziehbar sein.

Art. 26 DSGVO verlangt eine transparente Vereinbarung darüber, wer welche Verpflichtungen erfüllt. Dazu zählen insbesondere Informationen nach Art. 13 und Art. 14 DSGVO, die Bearbeitung von Betroffenenrechten, der Umgang mit Sicherheitsvorfällen und die Kontaktmöglichkeit für betroffene Personen. Die Vereinbarung muss nicht zwingend öffentlich vollständig abrufbar sein. Die wesentlichen Inhalte müssen betroffenen Personen aber zugänglich gemacht werden.

Legen Sie fest, wer die Datenschutzerklärung formuliert, wer Auskunfts-, Berichtigungs- oder Löschbegehren entgegennimmt und wie die andere Seite eingebunden wird. Regeln Sie außerdem Fristen für die interne Weiterleitung, die Dokumentation eines Vorgangs und die Abstimmung bei Beschwerden. Die Vereinbarung sollte einen klaren Ansprechpartner und einen funktionierenden Eskalationsweg enthalten, statt nur abstrakt auf „gemeinsame Pflichten“ zu verweisen.

Betroffene Personen sollen verstehen können, wer ihre Daten für welchen Zweck verarbeitet. Das gilt auch dann, wenn die Zusammenarbeit im Hintergrund bleibt. Eine Datenschutzerklärung sollte die Beteiligten und den konkreten Zweck nachvollziehbar beschreiben. Bei einer Plattform kann zusätzlich wichtig sein, ob das Unternehmen oder der Plattformbetreiber Nachrichten, Anmeldungen oder Nutzungsdaten für eigene Zwecke verarbeitet.

Vermeiden Sie widersprüchliche Informationen. Wenn die Agentur von einer Einwilligung ausgeht, das Unternehmen aber ein berechtigtes Interesse nennt, müssen Zweck, Datenumfang und Rechtsgrundlage gemeinsam geprüft werden. Ebenso sollten Aufbewahrung, Empfänger und allfällige Übermittlungen in Drittländer zusammenpassen. Die Übersicht zu Betroffenenrechten und Auskunft hilft bei der organisatorischen Einordnung von Anfragen.

Art. 26 DSGVO ordnet die Aufgaben im Verhältnis der gemeinsam Verantwortlichen. Die Vereinbarung kann festlegen, wer erste Anlaufstelle für Auskunft, Berichtigung, Löschung oder Widerspruch ist. Sie darf aber nicht dazu führen, dass eine betroffene Person ihr Recht nur deshalb nicht ausüben kann, weil die Zuständigkeit intern umstritten ist. Jede beteiligte Stelle bleibt gegenüber betroffenen Personen grundsätzlich ansprechbar.

Für Sicherheitsvorfälle braucht es einen abgestimmten Ablauf. Die Parteien sollten definieren, wer eine mögliche Datenpanne meldet, welche Informationen unverzüglich weitergegeben werden und wer die Risikobewertung koordiniert. Die Schwerpunktseite zu Datenpannen und Meldepflichten ordnet die nächsten Schritte ein. Vertraglich vereinbarte Zuständigkeiten ersetzen nicht die eigene Pflicht, einen Vorfall zu erkennen und angemessen zu behandeln.

Eine Agentur oder Plattform kann neben der gemeinsamen Verarbeitung eigene Zwecke verfolgen. Beispiele sind die eigene Rechnungslegung, die Absicherung des eigenen Systems, die Verwaltung von Nutzerkonten oder eine unabhängige Produktanalyse. Für diesen Bereich kann sie allein Verantwortliche sein. Das muss von der gemeinsamen Kampagne oder dem gemeinsamen Angebot getrennt betrachtet werden.

Problematisch sind pauschale Klauseln, die sämtliche Daten für beliebige „Optimierungszwecke“ freigeben. Prüfen Sie Datenumfang, Zweck, Rechtsgrundlage, Speicherdauer und Empfängerkreis einzeln. Wenn der Anbieter für einen Teil Auftragsverarbeiter und für einen anderen Teil Verantwortlicher oder gemeinsam Verantwortlicher ist, sollten Datenflüsse und Einstellungen diese Trennung unterstützen. Die Informationen zu Auftragsverarbeitung und Dienstleistern helfen bei der Abgrenzung.

Die Vereinbarung muss mit der tatsächlichen Plattformnutzung übereinstimmen. Prüfen Sie, ob neue Funktionen, Unterauftragnehmer, Trackingelemente oder gemeinsame Zielgruppen seit der Unterzeichnung hinzugekommen sind. Auch eine Änderung der Kampagne kann die Zwecke und Mittel so verändern, dass die Rollen neu bewertet werden müssen.

Dokumentieren Sie Freigaben, Versionen und Änderungen. Eine kurze Rollenmatrix kann zeigen, wer Zweck, Datenkategorien, Empfänger, Aufbewahrung, Löschung und Betroffenenkontakt bestimmt. Bei komplexen Kampagnen sollte zusätzlich feststehen, wer die Datenexporte, Zugriffsrechte und Löschläufe kontrolliert. Die Seite zu Datenschutz-Governance und Compliance unterstützt bei der organisatorischen Verankerung.

Ein häufiger Fehler ist die Gleichsetzung von Beteiligung und gemeinsamer Verantwortlichkeit. Wer Daten technisch übermittelt oder eine Plattform betreibt, entscheidet nicht automatisch gemeinsam über den Zweck. Umgekehrt kann eine Agentur gemeinsam verantwortlich sein, obwohl sie nicht alle technischen Schritte ausführt.

Ebenfalls riskant sind unklare Kontaktwege, voneinander abweichende Datenschutzerklärungen und Vereinbarungen ohne Änderungsprozess. Prüfen Sie außerdem, ob die Parteien Sicherheitsvorfälle tatsächlich innerhalb der vereinbarten Zeit weiterleiten können. Eine Zuständigkeitsliste ohne erreichbare Ansprechpersonen und ohne Zugriff auf die erforderlichen Informationen bleibt im Ernstfall unbrauchbar.

Gemeinsame Veranstaltung: Unternehmen und Veranstaltungsagentur bestimmen gemeinsam Zielgruppe, Anmeldeformular und Kommunikationszweck. Für die Anmeldung kann gemeinsame Verantwortlichkeit naheliegen. Die Agentur kann daneben für technische Versendung oder Hosting als Auftragsverarbeiterin tätig sein, wenn sie insoweit nur Weisungen umsetzt.

Marktplatz: Ein Händler nutzt eine Plattform. Für den Verkauf und die Abwicklung können unterschiedliche Rollen bestehen. Die Plattform kann für eigene Kontoverwaltung oder Sicherheit allein verantwortlich sein. Für gemeinsam festgelegte Werbe- oder Angebotsfunktionen ist eine gesonderte Prüfung nötig.

Werbekampagne: Unternehmen und Agentur definieren gemeinsam Zielgruppe, Datenquellen und Kontaktstrecke. Dann genügt es nicht, die Agentur pauschal als Auftragsverarbeiterin zu bezeichnen. Für jeden Datenfluss müssen Zweck, Mittel, Information und Zuständigkeit zusammenpassen.

Für die Prüfung genügt selten nur der Vertrag. Sammeln Sie auch Briefings, Kampagnenfreigaben, Formulare, Plattformbeschreibungen, Rollen- und Berechtigungskonzepte sowie die aktuelle Datenschutzerklärung. Wichtig sind außerdem Angaben zu Empfängern, Löschfristen, Unterauftragnehmern und möglichen Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Aus diesen Unterlagen lässt sich meist besser erkennen, wer tatsächlich welche Entscheidung getroffen hat.

Ordnen Sie die Unterlagen dem konkreten Verarbeitungsvorgang zu. Ein allgemeiner Agenturvertrag kann mehrere Projekte mit unterschiedlichen Datenflüssen abdecken. Halten Sie deshalb für jede Kampagne oder Plattformfunktion fest, welche Zielgruppe angesprochen wird, welche Felder erhoben werden, wer die Auswahl freigibt und wie die Daten nach dem Ende der Aktion gelöscht oder zurückgegeben werden. So vermeiden Sie, dass eine abstrakte Rollenbezeichnung die tatsächliche Zusammenarbeit verdeckt.

Prüfen Sie zuletzt, ob interne Abläufe und öffentliche Informationen zusammenpassen. Eine Vereinbarung nach Art. 26 DSGVO, eine Datenschutzerklärung und ein Formular sollten denselben Zweck, dieselben Beteiligten und denselben Kontaktweg nennen. Änderungen sollten versioniert und von den zuständigen Personen freigegeben werden. Bei wiederkehrenden Kampagnen empfiehlt sich ein kurzer jährlicher Abgleich und eine zusätzliche Prüfung bei neuen Funktionen oder Dienstleistern.

Wenn die Agentur oder Plattform bereits eigene Vorlagen und Standardtexte verwendet, übernehmen Sie diese nicht ungeprüft. Fragen Sie nach, welche Daten für eigene Zwecke weiterverwendet werden und welche Einstellungen das Unternehmen selbst beeinflussen kann. Gerade diese Details entscheiden, ob der Vertrag die tatsächliche gemeinsame Entscheidung und die Rechte betroffener Personen ausreichend abbildet.

Bei Agentur- und Plattformmodellen liegen die entscheidenden Fragen oft in der tatsächlichen Zusammenarbeit: Wer bestimmt Zielgruppe, Datenfluss, Zugriff, Aufbewahrung und Kontaktweg? Wir prüfen die Rollen, die Vereinbarung nach Art. 26 DSGVO und die Abstimmung mit Datenschutzerklärungen und internen Abläufen. Legen Sie dafür die Vereinbarung, eine Beschreibung der Plattform oder Kampagne und die vorhandenen Informationen für betroffene Personen bereit.