Gemeinsame Verantwortlichkeit (Mitverantwortung)

Was die Prüfung erwartet

Die IHK prüft im Datenschutzrecht, ob du Verantwortungsstrukturen sauber auseinanderhältst. Der Rahmenplan erwähnt die Auftragsverarbeitung nach Art. 28 DS-GVO lediglich am Rande; die gemeinsame Verantwortlichkeit selbst kommt dort nicht vor, obwohl sie in der Praxis häufig vorliegt, wenn Veranstalter und Sicherheitsdienst gemeinsam über eine Datenverarbeitung entscheiden. Typische Prüfungsszenarien:

• An wen kann sich eine betroffene Person wenden, wenn zwei Stellen gemeinsam entscheiden?
• Woran erkennst du gemeinsame Verantwortlichkeit statt bloßer Weisungsgebundenheit?

So funktioniert es

Art. 26 Abs. 1 DS-GVO greift, sobald zwei oder mehr Stellen gemeinsam die Zwecke und Mittel einer Verarbeitung festlegen – dann seid ihr gemeinsam Verantwortliche. Ihr müsst in einer Vereinbarung transparent festlegen, wer von euch welche Pflicht erfüllt, und diese Vereinbarung muss eure tatsächlichen Funktionen und Beziehungen gegenüber den betroffenen Personen widerspiegeln.

Diese interne Aufteilung wirkt aber nur nach innen: Ungeachtet ihrer Einzelheiten kann eine betroffene Person ihre Rechte bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen. Ob ihr gemeinsam verantwortlich seid, entscheidet deshalb nicht der Vertragstext, sondern die Wirklichkeit dahinter: Wer legt tatsächlich Zweck und Mittel der Verarbeitung fest?

Beispiel aus dem Dienst

Für ein Festival legt ihr gemeinsam mit dem Veranstalter eine Einlass-Datenbank an: Ihr entscheidet zusammen, welche Gästedaten erfasst werden und wie lange sie gespeichert bleiben. Weil ihr die Zwecke und Mittel gemeinsam bestimmt, seid ihr beide gemeinsam Verantwortliche und müsst schriftlich festhalten, wer welche Pflicht übernimmt – etwa wer Auskunftsanfragen beantwortet. Meldet sich ein Besucher trotzdem zuerst bei deinem Sicherheitsunternehmen, kannst du ihn nicht einfach an den Veranstalter verweisen: Er darf seine Rechte auch direkt bei dir geltend machen.

Nicht zu verwechseln mit …

Bei der Auftragsverarbeitung entscheidet allein der Verantwortliche über Zwecke und Mittel; der Auftragsverarbeiter verarbeitet die Daten nur in dessen Auftrag und muss ihm hinreichende Garantien für eine verordnungskonforme Verarbeitung bieten. Sicherheitsunternehmen sind häufig Auftragsverarbeiter ihrer Auftraggeber – gemeinsam verantwortlich seid ihr erst, wenn ihr zusammen über Zweck und Mittel entscheidet.

Typischer Fehler in der Prüfung

Viele glauben, die interne Aufgabenverteilung entscheide darüber, an wen sich eine betroffene Person wenden darf. Das Gegenteil gilt: Ungeachtet der Vereinbarung kann sie ihre Rechte bei und gegenüber jedem einzelnen Verantwortlichen geltend machen, unabhängig davon, wer intern zuständig ist.

Quellen

• Art. 26/28 DS-GVO – Gemeinsam Verantwortliche und Auftragsverarbeitung · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04