{
    "slug": "dsgvo-gemeinsame-verantwortlichkeit-art-26",
    "titre": "DSGVO Art. 26 (VO 2016/679) – Gemeinsame Verantwortlichkeit (Joint Controller): Vereinbarung, EuGH-Rechtsprechung \u0026 Bußgelder",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen, sind sie nach Art. 26 der…",
    "resume_court": "Wenn **zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung** personenbezogener Daten festlegen, sind sie nach **Art. 26 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO)** **gemeinsam Verantwortliche** – im Englischen „joint controllers\u0022. Sie müssen dann in einer **Vereinbarung in transparenter Form** festlegen, wer welche DSGVO-Pflicht erfüllt, insbesondere wer die **Betroffenenrechte** (Art. 15–22) bearbeitet und wer die **Informationspflichten nach Art. 13 und 14** erfüllt (Art. 26 Abs. 1).\n\nDie gemeinsame Verantwortlichkeit ist **nicht** dasselbe wie die **Auftragsverarbeitung nach Art. 28 DSGVO**: Beim Auftragsverarbeiter entscheidet nur der Auftraggeber über Zwecke und Mittel; bei Art. 26 entscheiden **beide Seiten mit**. Typische Fälle sind **Social-Media-Fanpages**, **eingebundene Plugins und Tracking-Tools**, **gemeinsame Kundendatenbanken im Konzern**, **Kooperations- und Forschungsprojekte** und **Gewinnspiele mit Partnerunternehmen**.\n\nDer **EuGH** legt den Begriff **weit** aus: Eine gemeinsame Verantwortlichkeit setzt **keinen gleichwertigen Beitrag**, **keinen Datenzugriff** und **keine förmliche Vereinbarung** voraus (EuGH C-210/16, C-40/17, C-683/21, C-604/22). Die Vereinbarung nach Art. 26 ist **Rechtsfolge**, nicht Voraussetzung der Einordnung. Betroffene Personen können ihre Rechte **bei und gegenüber jedem einzelnen** der gemeinsam Verantwortlichen geltend machen (Art. 26 Abs. 3) – unabhängig davon, was intern vereinbart wurde.\n\nVerstöße gegen Art. 26 fallen unter **Art. 83 Abs. 4 lit. a DSGVO**: Geldbuße bis **10 Mio. €** oder **2 % des weltweiten Jahresumsatzes**, je nachdem, welcher Betrag höher ist. Im Schadensersatzrecht haften gemeinsam Verantwortliche gegenüber der betroffenen Person nach **Art. 82 Abs. 4 DSGVO gesamtschuldnerisch** – jeder haftet für den **gesamten Schaden**.",
    "faits": [
        {
            "point": "EU-Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Art. 26 [EUR-Lex, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
            "autorite": "A"
        },
        {
            "point": "Geltung seit",
            "valeur": "25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Tatbestand",
            "valeur": "zwei oder mehr Verantwortliche legen gemeinsam Zwecke und Mittel der Verarbeitung fest (Art. 26 Abs. 1 Satz 1)",
            "autorite": "A"
        },
        {
            "point": "Kernpflicht",
            "valeur": "Vereinbarung in transparenter Form über die Aufgabenverteilung (Art. 26 Abs. 1 Satz 2)",
            "autorite": "A"
        },
        {
            "point": "Pflichtinhalte der Vereinbarung",
            "valeur": "Wer erfüllt welche DSGVO-Pflicht, insbesondere Betroffenenrechte (Art. 15–22) und Informationspflichten Art. 13/14",
            "autorite": "A"
        },
        {
            "point": "Optional",
            "valeur": "Angabe einer Anlaufstelle für betroffene Personen (Art. 26 Abs. 1 Satz 3)",
            "autorite": "A"
        },
        {
            "point": "Realitätsgebot",
            "valeur": "Vereinbarung muss die tatsächlichen Funktionen und Beziehungen gebührend widerspiegeln (Art. 26 Abs. 2 Satz 1)",
            "autorite": "A"
        },
        {
            "point": "Transparenzpflicht",
            "valeur": "Das Wesentliche der Vereinbarung ist der betroffenen Person zur Verfügung zu stellen (Art. 26 Abs. 2 Satz 2)",
            "autorite": "A"
        },
        {
            "point": "Wahlrecht der Betroffenen",
            "valeur": "Rechte können bei und gegenüber jedem einzelnen Verantwortlichen geltend gemacht werden (Art. 26 Abs. 3)",
            "autorite": "A"
        },
        {
            "point": "Formvorgabe",
            "valeur": "DSGVO nennt keine ausdrückliche Schriftform; EDSA empfiehlt verbindliches Dokument (Vertrag o. Ä.)",
            "autorite": "A"
        },
        {
            "point": "Abgrenzung Art. 28",
            "valeur": "Auftragsverarbeiter = weisungsgebunden, keine eigene Zweckbestimmung (Art. 4 Nr. 8, Art. 28)",
            "autorite": "A"
        },
        {
            "point": "Abgrenzung getrennte Verantwortliche",
            "valeur": "jede Seite entscheidet eigenständig über eigene Zwecke → kein Art. 26, nur Übermittlungs-Rechtsgrundlage nötig",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)",
            "autorite": "A"
        },
        {
            "point": "Zivilrechtliche Haftung",
            "valeur": "gesamtschuldnerisch gegenüber der betroffenen Person (Art. 82 Abs. 4), Innenregress nach Art. 82 Abs. 5",
            "autorite": "A"
        },
        {
            "point": "Auslegungshilfe",
            "valeur": "EDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher\u0022 und „Auftragsverarbeiter\u0022, Version 2.1, angenommen 07.07.2021",
            "autorite": "A"
        },
        {
            "point": "Leitentscheidungen EuGH",
            "valeur": "C-210/16 (05.06.2018, Fanpage), C-25/17 (10.07.2018), C-40/17 (29.07.2019, Fashion ID), C-683/21 (05.12.2023), C-604/22 (07.03.2024, IAB Europe)",
            "autorite": "A"
        },
        {
            "point": "Betroffener Nutzerkreis",
            "valeur": "Unternehmen, Vereine, Behörden mit Fanpages, Plugins, Tracking, Konzern-Datenpools, Kooperationen, Joint Ventures",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), Art. 26 (Gemeinsam Verantwortliche) – Volltext (EUR-Lex, DE)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "DSGVO – konsolidierte Fassung mit Erwägungsgründen (EUR-Lex, DE)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 07/2020 zu den Begriffen „Verantwortlicher\u0022 und „Auftragsverarbeiter\u0022, Version 2.1 (angenommen 07.07.2021, DE)",
            "url": "https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Anwendung der DSGVO (deutschsprachige Sammelseite, Abschnitt „Rollen des Verantwortlichen und des Auftragsverarbeiters\u0022)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/application-gdpr_de",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 05.06.2018 – C-210/16 (Wirtschaftsakademie Schleswig-Holstein, Facebook-Fanpage)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=05.06.2018\u0026Aktenzeichen=C-210%2F16",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 29.07.2019 – C-40/17 (Fashion ID, „Gefällt mir\u0022-Button)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=29.07.2019\u0026Aktenzeichen=C-40%2F17",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 05.12.2023 – C-683/21 (Vereinbarung als Rechtsfolge, nicht Voraussetzung)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=05.12.2023\u0026Aktenzeichen=C-683%2F21",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil vom 07.03.2024 – C-604/22 (IAB Europe, TC String / TCF)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=07.03.2024\u0026Aktenzeichen=C-604%2F22",
            "autorite": "A"
        },
        {
            "titre": "Art. 26 DSGVO – Normtext mit Erwägungsgründen (dejure.org)",
            "url": "https://dejure.org/gesetze/DSGVO/26.html",
            "autorite": "A"
        },
        {
            "titre": "§ 25 TDDDG (Einwilligung für Endeinrichtungen, Nachfolgeregelung zu § 25 TTDSG) – amtlicher Text (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/ttdsg/__25.html",
            "autorite": "A"
        },
        {
            "titre": "Bundesdatenschutzgesetz (BDSG) – amtlicher Text (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 26 (VO 2016/679) – Gemeinsame Verantwortlichkeit (Joint Controller): Vereinbarung, EuGH-Rechtsprechung \u0026 Bußgelder?",
            "reponse": "Wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung personenbezogener Daten festlegen, sind sie nach Art. 26 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) gemeinsam Verantwortliche – im Englischen „joint controllers\u0022."
        },
        {
            "question": "Für wen gilt DSGVO Art. 26 (VO 2016/679)?",
            "reponse": "Art. 26 DSGVO greift, sobald mehrere Stellen gemeinsam über die Zwecke (das „Warum\u0022) und die Mittel (das „Wie\u0022) einer konkreten Verarbeitung entscheiden. Da die DSGVO als Verordnung unmittelbar gilt, ist Art. 26 in Deutschland ohne nationales Umsetzungsgesetz anwendbar; ergänzende Regelungen des BDSG verdrängen ihn nicht."
        },
        {
            "question": "Gibt es Ausnahmen bei DSGVO Art. 26 (VO 2016/679)?",
            "reponse": "Art. 26 Abs. 1 Satz 2 enthält eine ausdrückliche Ausnahme von der Vereinbarungspflicht: Die Aufteilung muss nicht vertraglich festgelegt werden, soweit die jeweiligen Aufgaben der Verantwortlichen bereits durch Rechtsvorschriften der Union oder der Mitgliedstaaten festgelegt sind, denen die Verantwortlichen unterliegen."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 26 (VO 2016/679)?",
            "reponse": "Rolle nach Vertragsbezeichnung statt nach Realität bestimmen. Ob Art. 26 oder Art. 28 gilt, richtet sich nach der tatsächlichen Entscheidungsmacht über Zwecke und Mittel, nicht nach dem Titel des Vertrags (EDSA-Leitlinien 07/2020). „Ohne Vereinbarung sind wir keine gemeinsam Verantwortlichen.\u0022 Falsch – der EuGH hat in C-683/21 klargestellt, dass die Vereinbarung Folge, nicht Voraussetzung der Einstufung ist."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für DSGVO Art. 26 (VO 2016/679) aus?",
            "reponse": "Ein mittelständischer Möbelhändler betreibt eine Instagram-Unternehmensseite und bindet auf seinem Onlineshop ein Meta-Pixel zur Reichweitenmessung ein. Rollenanalyse: Für die Erhebung der Besucherdaten und deren Übermittlung an die Plattform entscheidet der Händler mit – er wählt die Seite, aktiviert das Pixel und definiert die auszuwertenden Zielgruppen."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q1172074"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-10",
    "derniere_verification": "2026-09-10",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-gemeinsame-verantwortlichkeit-art-26"
}