Gemeinsame Verantwortlichkeit: Wie müssen die Betroffenen über das „Wesentliche der Vereinbarung“ informiert werden?

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel einer Datenverarbeitung fest, greift das Konstrukt der gemeinsamen Verantwortlichkeit nach Art. 26 Datenschutz-Grundverordnung (DSGVO). Die Beteiligten müssen in diesem Fall eine Vereinbarung treffen, die ihre jeweiligen Funktionen und Beziehungen abbildet und festlegt, wer welche Pflichten aus der DSGVO erfüllt. Darüber hinaus verlangt Art. 26 Abs. 2 S. 2 DSGVO, dass den betroffenen Personen das „Wesentliche dieser Vereinbarung“ zur Verfügung gestellt wird.

Wann und auf welche Weise dies zu geschehen hat, regelt die DSGVO allerdings nicht. Das Oberlandesgericht (OLG) Düsseldorf hat diese Frage nun dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vorgelegt (Beschluss vom 02.04.2026, Az.: 20 UKl 4/25). Konkret geht es um die Frage, ob das Wesentliche der Vereinbarung unaufgefordert auf einer Webseite bereitzustellen ist oder ob eine Übermittlung auf Anfrage der betroffenen Person ausreicht.

Was ist Gegenstand des „Wesentlichen der Vereinbarung“?

Bevor der Beschluss des OLG Düsseldorf und die darin wiedergegebenen Positionen der Aufsichtsbehörden näher betrachtet werden, lohnt ein Blick auf eine vorgelagerte Frage: Was ist überhaupt Gegenstand bzw. Inhalt des „Wesentlichen der Vereinbarung“? Genauere Vorgaben enthält die DSGVO hierzu nämlich ebenfalls nicht.

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden (DSK) geht in ihrem Kurzpapier Nr. 16 „Gemeinsam für die Verarbeitung Verantwortliche, Art. 26 DSGVO“ davon aus, dass die Zurverfügungstellung die Informationspflichten nach Art. 13 und Art. 14 DSGVO ergänzt. Als „wesentlich“ und somit bereitstellungspflichtig sieht die DSK dabei mindestens an:

• eine nachvollziehbare Beschreibung des Zusammenwirkens der Beteiligten, ihrer Rollen und ihrer jeweiligen Beziehung zur betroffenen Person sowie
• die Angabe, welcher der gemeinsam Verantwortlichen welche Betroffenenrechte und Informationspflichten erfüllt.

In dieselbe Richtung geht der Europäische Datenschutzausschuss (EDSA) in seinen Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO (Rn. 179 ff.). Für die betroffene Person müsse klar erkennbar sein, welcher Verantwortliche als Ansprechpartner für die Ausübung ihrer Rechte dient. Der EDSA empfiehlt, in das Wesentliche der Vereinbarung sämtliche Elemente der Informationen nach Art. 13 und Art. 14 DSGVO aufzunehmen und für jedes dieser Elemente zu benennen, welcher Verantwortliche für dessen Einhaltung zuständig ist. Wird eine zentrale Anlaufstelle für die Wahrnehmung der Betroffenenrechte benannt, ist auch diese in die Information aufzunehmen.

Wie muss das „Wesentliche der Vereinbarung“ den Betroffenen bereitgestellt werden? 

Nun stellt sich die Frage, in welcher Form bzw. in welcher Weise die Informationen den betroffenen Personen zur Verfügung zu stellen sind. 

Die DSK äußert sich im Kurzpapier dazu nur sehr knapp. Es dürfte demnach ausreichen, wenn das Wesentliche der Vereinbarung etwa auf einer Website bereitgestellt werde. Auch wenn hier weitere Ausführungen wünschenswert wären, fällt auf, dass die DSK von einer „Bereitstellung“ spricht. Eine zur Verfügungstellung der Informationen auf Anfrage der betroffenen Person wäre folglich nicht ausreichend. 

Etwas anders sieht es der EDSA. Dieser betont in seinen Leitlinien zunächst, dass der Art. 26 DSGVO im Gegensatz zu anderen Bestimmungen der DSGVO keine Hinweise darauf enthält, dass die Informationen auf Anfrage zur Verfügung zu stellen sein oder durch die Verantwortlichen (aktiv) veröffentlicht werden sollte (Rn. 181 der Leitlinien). Insofern sei es Sache der gemeinsamen Verantwortlichen zu entscheiden, wie das Wesentliche der Vereinbarung den betroffenen Personen am wirksamsten zur Verfügung gestellt werden könne. Interessant sind die darauffolgenden genannten Beispiele des EDSA. Neben einer Veröffentlichung zusammen mit der Datenschutzinformation nach Art. 13 und Art. 14 DSGVO, nennt der EDSA ausdrücklich auch die Bereitstellung auf Anfrage bei dem Datenschutzbeauftragten oder einer anderen Kontaktstelle als weitere Option. 

Insofern unterscheiden sich die Ansichten der beiden Gremien. Ein Blick auf die Ausführungen im Beschluss des OLG Düsseldorf ist vor diesem Hintergrund lohnend. 

Der Vorlagebeschluss des OLG Düsseldorf und die Position der LDI NRW

Der Beschluss des OLG Düsseldorf beinhaltet eine Stellungnahme der Landesbeauftragten für Datenschutz und Informationssicherheit Nordrhein-Westfalen (LDI NRW), in welcher sich diese zu der aufgeworfenen Frage geäußert hat (Rn. 33 ff. des Beschlusses). 

In ihrer Stellungnahme an das Gericht setzt die LDI NRW zunächst beim Wortlaut des Art. 26 DSGVO an. Eine Pflicht der gemeinsam Verantwortlichen, das Wesentliche der Vereinbarung unaufgefordert bereitzustellen, lasse sich Art. 26 DSGVO nicht entnehmen. Auch die übrigen Sprachfassungen der Verordnung deuteten nicht auf eine solche Verpflichtung hin.

Ebenso wenig ergebe sich eine solche Pflicht aus Sinn und Zweck der Vereinbarung nach Art. 26 DSGVO. Diese diene zunächst der Transparenz und einer klaren Aufgabenverteilung im Innenverhältnis zwischen den gemeinsam Verantwortlichen. Die Bereitstellung des Wesentlichen der Vereinbarung schaffe demgegenüber Transparenz nach außen, indem für die betroffene Person etwa völlig klar sein müsse, welcher Verantwortliche als Ansprechpartner für die Ausübung ihrer Rechte dient.

Unter Rückgriff auf die oben dargestellten Ausführungen des EDSA zum Inhalt der bereitzustellenden Informationen betont die LDI NRW, dass das Wesentliche der Vereinbarung gerade kein inhaltlicher Bestandteil der Informationen nach Art. 13 und Art. 14 DSGVO sei, sondern lediglich eine organisatorische Information darstelle. Folglich gelten die strengen Vorgaben zu Zeitpunkt und Form der Datenschutzinformationen hierfür nicht. Ein Informationsdefizit und damit ein datenschutzrechtlicher Nachteil entstehe den betroffenen Personen nicht, denn über die bereits zum Zeitpunkt der Datenerhebung bereitzustellende Datenschutzinformation nach Art. 13 und Art. 14 DSGVO erfahren sie ohnehin, wer Verantwortlicher ist. 

Im Ergebnis hält die LDI NRW eine unaufgeforderte und frühzeitige Bereitstellung des Wesentlichen der Vereinbarung, etwa auf der Webseite oder zusammen mit den Informationen nach Art. 13 Abs. 1 DSGVO, dennoch für sinnvoll und empfehlenswert. Eine zwingende Verpflichtung begründet Art. 26 Abs. 2 S. 2 DSGVO aber nicht.

Rückmeldungen der anderen deutschen Aufsichtsbehörden

Die LDI NRW hat ihre rechtliche Einschätzung auch an die anderen deutschen Datenschutzbehörden weitergegeben und um Rückmeldung gebeten (Rn. 47 des Beschlusses). Vier Behörden haben geantwortet, drei davon stimmen der Auffassung zu. Eine Behörde begründete das ausführlich. Anders als es der EDSA annimmt, reiche eine Bereitstellung erst auf Nachfrage nicht aus, weil der Wortlaut der Norm, im Gegensatz zu den anderen Vorschriften über die Betroffenenrechte, gar kein „Anfordern“ vorsieht. Die Pflicht zur Bereitstellung des Wesentlichen der Vereinbarung nach Art. 26 Abs. 2 S. 2 DSGVO sei somit eine voraussetzungslose (zwingende) Verpflichtung. Welche Aufsichtsbehörde diese Ansicht vertritt, geht aus dem Beschluss leider nicht hervor. 

Fazit 

Für die Praxis bleibt die Rechtslage vorerst unklar, denn die Positionen von DSK, EDSA und LDI NRW liegen erkennbar auseinander. Bis der EuGH entschieden hat, sollten gemeinsam Verantwortliche den sicheren Weg wählen und das Wesentliche der Vereinbarung unaufgefordert bereitstellen. Am einfachsten gelingt das über die Website, etwa als eigener Abschnitt in der Datenschutzinformation oder als separates verlinktes Dokument.

Inhaltlich genügt dabei eine knappe, verständliche Darstellung, in welcher die Rollen der Beteiligten beschrieben, dass Zusammenwirken erläutert und klar benannt wird, wer welche Pflichten aus der DSGVO erfüllt. Eine zentrale Anlaufstelle für Betroffenenanfragen sollte ebenfalls genannt werden.

Wir behalten für Sie die weitere Entwicklung des Verfahrens vor dem EuGH im Auge und informieren Sie über Neuigkeiten.