Auftragsverarbeitung und gemeinsame Verantwortlichkeit

Wer Daten für einen anderen verarbeitet und dabei an dessen Weisungen gebunden ist, ist Auftragsverarbeiter. Dafür braucht es einen Vertrag nach Art. 28 DSGVO. Wer dagegen selbst über Zwecke und Mittel entscheidet, ist eigener Verantwortlicher, und dann hilft ein solcher Vertrag nicht weiter. Zahlungsdienstleister und Auskunfteien fallen fast immer in die zweite Gruppe, Hoster und Analysedienste in die erste.

Dazwischen liegt die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Der Europäische Gerichtshof hat sie 2018 für Fanpages bei sozialen Netzwerken und 2019 im Fall Fashion ID für eingebettete Social Plugins angenommen. Entscheidend war beide Male, dass der Websitebetreiber durch seine Einbindung an der Bestimmung der Zwecke mitwirkt, auch wenn er die Daten selbst nie zu sehen bekommt.

Der Gerichtshof hat die gemeinsame Verantwortlichkeit dabei auf den Abschnitt begrenzt, den beide Seiten gemeinsam bestimmen: das Erheben auf der Website und die Übermittlung. Für die spätere Verarbeitung beim Anbieter haftet der Betreiber nicht. Das ist praktisch wichtig, weil es die Pflichten des Betreibers auf das begrenzt, was er beeinflussen kann: informieren und die Einwilligung einholen.

2024 hat der Gerichtshof diese Linie auf ein Einwilligungsframework der Werbebranche übertragen und dessen Betreiber als gemeinsam Verantwortlichen eingestuft.