Wenn zwei oder mehr Unternehmen gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden, entsteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Das Oberlandesgericht Düsseldorf hat dem Europäischen Gerichtshof nun die Frage vorgelegt, wie Betroffene über die wesentlichen Inhalte einer solchen Vereinbarung informiert werden müssen. Das betrifft auch österreichische KMU, sobald sie mit Partnerunternehmen gemeinsam Daten verarbeiten, etwa bei gemeinsamen Marketingaktionen oder Plattformkooperationen.
Worum es in dem Verfahren geht
Art. 26 DSGVO verlangt von gemeinsam Verantwortlichen eine Vereinbarung, die ihre jeweiligen Funktionen und Beziehungen abbildet und festlegt, wer welche Pflichten aus der DSGVO erfüllt. Zusätzlich muss den Betroffenen das „Wesentliche dieser Vereinbarung“ zur Verfügung gestellt werden. Wann und wie das zu geschehen hat, regelt die DSGVO nicht. Das OLG Düsseldorf hat diese Frage mit Beschluss vom 02.04.2026 (Az.: 20 UKl 4/25) dem EuGH zur Vorabentscheidung vorgelegt. Konkret geht es darum, ob das Wesentliche der Vereinbarung unaufgefordert etwa auf einer Website bereitzustellen ist oder ob eine Bereitstellung auf Anfrage der betroffenen Person ausreicht.
Zum Inhalt des „Wesentlichen der Vereinbarung“ geht die Datenschutzkonferenz der deutschen Aufsichtsbehörden (DSK) in ihrem Kurzpapier Nr. 16 davon aus, dass mindestens eine nachvollziehbare Beschreibung des Zusammenwirkens der Beteiligten sowie die Angabe, wer welche Betroffenenrechte und Informationspflichten erfüllt, dazugehören. Der Europäische Datenschutzausschuss (EDSA) empfiehlt in seinen Leitlinien 07/2020, sämtliche Elemente der Informationen nach Art. 13 und Art. 14 DSGVO aufzunehmen und je Element den zuständigen Verantwortlichen zu benennen.
Zur Form der Bereitstellung gehen die Positionen auseinander. Die DSK spricht von einer „Bereitstellung“, was laut Einschätzung der Quelle eine reine Zurverfügungstellung auf Anfrage ausschließen würde. Der EDSA betont dagegen, dass Art. 26 DSGVO keine Hinweise auf eine aktive Veröffentlichungspflicht enthalte, und nennt als Beispiel ausdrücklich auch die Bereitstellung auf Anfrage beim Datenschutzbeauftragten. Die Landesbeauftragte für Datenschutz und Informationssicherheit Nordrhein-Westfalen (LDI NRW) hat sich in einer dem OLG Düsseldorf vorgelegten Stellungnahme dahingehend geäußert, dass sich weder aus dem Wortlaut noch aus Sinn und Zweck von Art. 26 DSGVO eine Pflicht zur unaufgeforderten Bereitstellung ableiten lasse. Ein Informationsdefizit entstehe den Betroffenen nicht, da sie über die Datenschutzinformation nach Art. 13 und Art. 14 DSGVO ohnehin erfahren, wer Verantwortlicher ist. Die LDI NRW hält eine unaufgeforderte und frühzeitige Bereitstellung dennoch für sinnvoll und empfehlenswert.
Die LDI NRW hat ihre Einschätzung an die übrigen deutschen Aufsichtsbehörden weitergegeben. Von vier antwortenden Behörden stimmten drei zu, eine begründete ausführlich eine abweichende Position: Der Wortlaut der Norm sehe im Gegensatz zu anderen Betroffenenrechten kein „Anfordern“ vor, weshalb die Bereitstellungspflicht voraussetzungslos gelte. Welche Behörde das ist, geht aus dem Beschluss nicht hervor. Das Verfahren vor dem EuGH ist noch offen.
Warum das für österreichische KMU relevant ist
Die Vorlage stammt von einem deutschen Gericht und bindet österreichische Gerichte oder die Datenschutzbehörde nicht unmittelbar. Da Art. 26 DSGVO als EU-Recht unionsweit einheitlich gilt, wird die spätere Entscheidung des EuGH aber auch für Verantwortliche in Österreich relevant, sobald sie ergeht. Übertragen auf ein österreichisches KMU heißt das: Immer dann, wenn ein Unternehmen gemeinsam mit einem Partner über Zwecke und Mittel einer Verarbeitung entscheidet – etwa bei gemeinsamen Kundendatenbanken, kooperativen Marketingkampagnen oder gemeinsam betriebenen Plattformen – kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. In der Praxis betrifft das typischerweise Kooperationen, bei denen unklar ist, wer gegenüber Kunden oder Bewerbern als Ansprechpartner für Auskunfts- oder Löschanfragen auftritt. Bis der EuGH entschieden hat, bleibt offen, ob eine Bereitstellung auf Anfrage genügt oder eine aktive Veröffentlichung nötig ist.
Was Sie jetzt prüfen sollten
- Prüfen Sie, bei welchen Kooperationen Ihr Unternehmen gemeinsam mit einem anderen Verantwortlichen Zwecke und Mittel einer Datenverarbeitung festlegt.
- Kontrollieren Sie, ob für diese Kooperationen bereits eine schriftliche Vereinbarung nach Art. 26 DSGVO besteht, die Rollen und Pflichten regelt.
- Dokumentieren Sie, welche Stelle als Anlaufpunkt für Betroffenenrechte gegenüber den Kunden benannt ist.
- Stellen Sie das Wesentliche der Vereinbarung vorsorglich unaufgefordert bereit, etwa als Abschnitt in der Datenschutzinformation auf der Website, solange die Rechtslage ungeklärt ist.
- Beobachten Sie den Fortgang des Verfahrens vor dem EuGH und passen Sie Ihre Praxis bei Bedarf an.