Von gemeinsamer Verantwortlichkeit im Sinne des Artikels 26 DSGVO spricht man, wenn zwei oder mehr Stellen gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden. Anders als bei der Auftragsverarbeitung handelt es sich hierbei nicht um ein Über-/Unterordnungsverhältnis, sondern um eine echte Zusammenarbeit auf Augenhöhe. Für Leistungserbringer in der Sozialwirtschaft ist dieser Fall beispielsweise bei trägerübergreifenden Kooperationsprojekten, gemeinsam genutzten Fachverfahren oder übergreifenden Beratungsstellen relevant.
Wichtig ist: Eine gemeinsame Verantwortlichkeit setzt immer eine tatsächliche gemeinsame Entscheidungsfindung voraus. Die bloße Weitergabe von Daten oder eine technische Zusammenarbeit genügt nicht. Sobald die Beteiligten jedoch gemeinsam darüber bestimmen, zu welchem Zweck und auf welche Weise personenbezogene Daten verarbeitet werden, sind sie gemeinsam verantwortlich – unabhängig davon, wie die Daten fließen oder bei wem sie gespeichert werden.
In Fällen gemeinsamer Verantwortlichkeit muss eine Vereinbarung geschlossen werden, die insbesondere regelt, wer welche datenschutzrechtlichen Verpflichtungen übernimmt, wie etwa die Informationspflichten gegenüber betroffenen Personen, die Bearbeitung von Auskunftsanfragen oder die technische Umsetzung von Schutzmaßnahmen. Die Kernaussagen dieser Vereinbarung müssen den betroffenen Personen in geeigneter Form zugänglich gemacht werden.
Die Praxis zeigt, dass die Abgrenzung zwischen Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und eigenständiger Verarbeitung nicht immer eindeutig ist. Für Einrichtungen der Sozialwirtschaft ist es daher empfehlenswert, geplante Kooperationen im Vorfeld datenschutzrechtlich einzuordnen. Die IJOS GmbH unterstützt bei der rechtlichen Bewertung und stellt über die Datenschutzmanagement-Software (DSM) auch entsprechende Vorlagen zur Verfügung, mit denen sich die gemeinsame Verantwortlichkeit dokumentieren lässt.
PDF