§ 8 Auftragsverarbeitung / a) Festlegung der jeweiligen tatsächlichen Funktionen und Beziehungen in einer Vereinbarung

Rz. 22

Gemäß Art. 26 Abs. 1 S. 2 DSGVO sind die gemeinsam Verantwortlichen verpflichtet, festzulegen,

▪	wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt,
▪	was die Wahrnehmung der Rechte der betroffenen Person angeht und
▪	wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt.

Diese Festlegung hat in Form einer transparenten Vereinbarung zwischen den Verantwortlichen zu erfolgen. Mit Blick auf die in Art. 5 Abs. 2 DSGVO normierte Rechenschaftspflicht kann dies nur in dem Sinne verstanden werden, dass es sich insoweit um eine jedenfalls in Textform ("festgelegt") und damit für die Aufsichtsbehörde prüfbare Vereinbarung handelt.^[21] Der Abschluss einer solchen Vereinbarung ist für das Vorliegen einer gemeinsamen Verantwortung gerade nicht konstitutiv;^[22] die Verpflichtung zu ihrem Abschluss folgt vielmehr der Feststellung der gemeinsamen Verantwortung nach. Das Nichtvorliegen der Vereinbarung ist gem. Art. 83 Abs. 4 lit. a) DSGVO bußgeldbewährt.

Rz. 23

Inhaltlich muss die Vereinbarung eine Beschreibung der jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen (Art. 26 Abs. 2 S. 1 DSGVO) enthalten. Hierdurch soll sichergestellt werden, dass "selbst in komplexen Datenverarbeitungsumfeldern, in denen verschiedene für die Verarbeitung Verantwortliche an der Verarbeitung personenbezogener Daten beteiligt sind, die Verantwortung für die Einhaltung der Datenschutzbestimmungen und für mögliche Verletzungen dieser Bestimmungen klar zugewiesen wird, um eine Beeinträchtigung des Schutzes personenbezogener Daten oder die Entstehung von "negativen Kompetenzkonflikten" bzw. von Schlupflöchern zu vermeiden. Diese könnten dazu führen, dass bestimmte Verpflichtungen oder Rechte nach Maßgabe der Richtlinie von keiner der Parteien erfüllt bzw. gewährleistet werden."^[23] Dies erfordert Informationen zu den verschiedenen Phasen und Akteuren der Verarbeitung, ebenso wie eine Klarstellung, welcher Verantwortliche für welchen Teil einer Verarbeitung zuständig ist. Dabei sind die Regelungen über die Art und Weise, in der die gemeinsame Verantwortung ausgeübt wird bzw. werden soll, ebenso wie die tatsächlichen Umstände zu berücksichtigen; die Vereinbarung muss also die Verarbeitungsrealität widerspiegeln.^[24] Die gemeinsam Verantwortlichen verfügen über eine gewisse Flexibilität bei der Verteilung und Zuweisung von Verpflichtungen und Verantwortlichkeiten untereinander. Etwas anderes kann jedoch gelten, wenn das nationale Recht eine zwingende Aufteilung gebietet, wie dies im Rahmen des oben beschriebenen Inkassobeispiels (Fn 19) in Bezug auf die Erbringung der Rechtsdienstleistung ("nur durch den Inkassoanbieter") der Fall sein kann.

Rz. 24

Die Vereinbarung zwischen den gemeinsamen Verantwortlichen muss sich dazu verhalten, wer von ihnen welche Verpflichtung nach der DSGVO erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Art. 13 und 14 DSGVO nachkommt (Art. 26 Abs. 1 S. 2 DSGVO). Der ausdrückliche Verweis auf Art. 13, 14 DSGVO trifft keine Entscheidung dahingehend, dass im Falle einer gemeinsamen Verantwortung grundsätzlich nur einer der beteiligten Akteure zur Informationserteilung verpflichtet wäre. Vielmehr ist grundsätzlich jeder Verantwortliche – im Rahmen der gesetzlichen Vorgaben – auch bei Vorliegen einer gemeinsamen Verantwortung zur Informationsvermittlung gegenüber der betroffenen Person verpflichtet. Entsprechend normieren Art. 13 und 14 DSGVO auch keine Informationspflicht in Bezug auf das Vorliegen einer "gemeinsamen Verantwortung". Der Hinweis auf Art. 13 und 14 DSGVO erlaubt es, auch die Informationspflichten auf einen der gemeinsamen Verantwortlichen zu überlagern. In diesem Fall muss sich die Information unter Beachtung des Wesens und der Zielsetzung der Informationspflicht nach hiesiger Auffassung auch auf das Vorliegen einer gemeinsamen Verantwortung und genaue Angaben zu den weiteren Verantwortlichen erstrecken. Grundsätzlich kann die Informationspflicht – will man hierüber nicht aktiv aufklären – auch im Rahmen der gemeinsamen Verantwortung weiterhin gesondert durch jeden Verantwortlichen "einzeln" erfolgen. Dies gilt auch für die Informationen zum Bestehen eines Widerspruchsrechts gem. 21 Abs. 4 DSGVO,^[25] die ebenso wahlweise durch einen der gemeinsam Verantwortlichen für alle anderen Verantwortlichen oder gesondert durch jeden Verantwortlichen "eigenständig" erfolgen kann.

Rz. 25

Die gemeinsam Verantwortlichen können^[26] sich zudem darauf verständigen, dass ein Verantwortlicher als gemeinsame Anlaufstelle für die betroffenen Personen fungiert, gegenüber der die betroffenen Personen ihre Betroffenenrechte erheben und geltend machen können. Die betroffene Person ist an eine solche Vereinbarung– wie sich aus Art. 26 Abs. 3 DSGVO ergibt – nicht gebunden.

Rz. 26

Mit Blick auf Art. 83 Abs. 4 lit. a) DSGVO empfiehlt es sich, neben den zwingenden Regelu...