Was ist gemeinsame Verantwortlichkeit?
Wer bei einer Datenverarbeitung über das Wozu und das Wie entscheidet, ist nach der DSGVO Verantwortlicher. Oft entscheidet das nicht einer allein. Dann sind beide gemeinsam verantwortlich, im Englischen Joint Controller.
Art. 26 DSGVO verlangt dann eine Vereinbarung: Wer informiert die Betroffenen? Wer beantwortet Auskunftsanfragen? Das Wesentliche davon muss den Betroffenen zugänglich sein. Und die können ihre Rechte trotzdem bei jedem der Beteiligten geltend machen.
Für Marketer ist das kein Randthema. Jede Fanpage, jedes Pixel und jedes eingebettete Social-Plugin kann so eine gemeinsame Verarbeitung sein.
Wie der EuGH den Begriff geprägt hat
Drei Urteile des Europäischen Gerichtshofs haben festgelegt, wie weit das reicht:
Urteil
Kernaussage
Wirtschaftsakademie 2018
Fanpage-Betreiber ist mit Facebook gemeinsam verantwortlich
Zeugen Jehovas 2018
Man muss die Daten selbst nicht sehen
Fashion ID 2019
Like-Button: gemeinsam für Erhebung und Übermittlung
Im Fall Wirtschaftsakademie reichte es, dass der Seitenbetreiber über die Einstellungen von Facebook Insights mitbestimmt, welche Statistiken über seine Besucher entstehen. Bei Fashion ID fließen die Daten schon beim Seitenaufruf an Facebook — ohne Klick, auch bei Nicht-Mitgliedern.
Wichtig ist die Grenze: Für das, was Facebook danach allein mit den Daten macht, ist der Website-Betreiber grundsätzlich nicht verantwortlich. Gemeinsame Verantwortung kann also auf einzelne Schritte beschränkt sein.
Beispiele aus der Praxis
- Facebook- oder Instagram-Seite: Meta regelt das im „Page Insights Controller Addendum“, gültig seit 25. April 2023. Meta übernimmt die meisten Pflichten. Du brauchst eine eigene Rechtsgrundlage, musst informieren und Anfragen von Betroffenen spätestens nach sieben Kalendertagen an Meta weiterleiten.
- Meta-Pixel und andere Business Tools: Laut Metas Bedingungen (gültig seit 3. November 2025) bist du mit Meta gemeinsam verantwortlich für Erhebung und Übermittlung der Event-Daten. Danach ist Meta allein verantwortlich. Die Einwilligung einzuholen und nachzuweisen, ist deine Aufgabe.
Abgrenzung zur Auftragsverarbeitung
Der Unterschied liegt im eigenen Zweck. Ein Auftragsverarbeiter arbeitet nur nach deiner Weisung und verfolgt keine eigenen Ziele, etwa dein Newsletter-Tool. Dafür schließt du einen Auftragsverarbeitungsvertrag nach Art. 28.
Nutzt der andere die Daten auch für sich, etwa Meta für Werbung und Produktverbesserung, ist er kein Auftragsverarbeiter mehr. Dann seid ihr gemeinsam oder getrennt verantwortlich. Getrennt heißt: Ihr tauscht Daten aus, legt Zweck und Mittel aber nicht gemeinsam fest — wie beim Lohn, den du ans Finanzamt meldest.
Häufige Fehler
Fehler 1 · „Ich sehe die Daten ja gar nicht“
Spielt keine Rolle. Der EuGH hat 2018 klar gesagt: Zugang zu den Daten ist keine Voraussetzung. Es reicht, dass du über die Verarbeitung mitbestimmst.
Fehler 2 · „Gemeinsam heißt gleich viel“
Die Verantwortung kann sehr ungleich verteilt sein. Meta trägt bei Page Insights den Löwenanteil. Deine Pflichten sind kleiner — aber sie sind da.
Fehler 3 · „Art. 26 erlaubt die Verarbeitung“
Die Vereinbarung regelt nur, wer was macht. Eine Rechtsgrundlage ist sie nicht. Jeder Beteiligte braucht seine eigene, beim Pixel in aller Regel die Einwilligung über dein Cookie-Banner.
Fehler 4 · Ohne Vertrag gilt es nicht
Ob ihr gemeinsam verantwortlich seid, entscheiden die Tatsachen, nicht das Papier. Fehlt die Vereinbarung, haftet ihr trotzdem gemeinsam — und das Fehlen selbst kann ein Bußgeld kosten.
Was du konkret tun solltest
- Bestand prüfen: Fanpages, Pixel, eingebettete Plugins, gemeinsame Kampagnen mit Partnern.
- Vereinbarung finden oder schließen: Bei Meta gelten die Addenda automatisch als Teil der Bedingungen. Bei Partnern brauchst du einen eigenen Vertrag.
- Informieren: In der Datenschutzerklärung die gemeinsame Verantwortung und das Wesentliche der Vereinbarung nennen.
- Einwilligung sauber einholen: Pixel und Plugins erst nach Zustimmung laden.
- Abläufe festlegen: Wer leitet Auskunftsanfragen weiter, in welcher Frist?
Ein Verstoß gegen Art. 26 fällt in die Bußgeldstufe bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für Schäden haftet nach Art. 82 jeder Beteiligte in voller Höhe.
Häufige Fragen
Bin ich als Betreiber einer Facebook-Seite mitverantwortlich?
Für die Statistiken aus Page Insights ja, das hat der EuGH 2018 entschieden und Meta in seinem Addendum übernommen. Ob das auch für die Cookies gilt, ist in Deutschland umstritten: Das VG Köln verneinte es 2025, die Berufung läuft.
Muss ich mit Meta einen Vertrag unterschreiben?
Nein. Das Page Insights Controller Addendum und das Addendum für die Business Tools sind Teil von Metas Bedingungen und gelten automatisch. Du musst sie aber kennen, weil sie dir Pflichten auferlegen.
Was ist der Unterschied zur Auftragsverarbeitung?
Ein Auftragsverarbeiter arbeitet nur nach deiner Weisung und für deine Zwecke. Verfolgt der andere eigene Zwecke mit den Daten, ist er Verantwortlicher — gemeinsam mit dir oder getrennt.
Was passiert ohne Vereinbarung?
Die gemeinsame Verantwortung besteht trotzdem, und ihr haftet beide in voller Höhe. Das Fehlen der Vereinbarung ist zusätzlich ein Verstoß gegen Art. 26, der ein Bußgeld auslösen kann.
Wofür bin ich beim Meta-Pixel verantwortlich?
Für das Erheben der Daten auf deiner Website und ihre Übermittlung an Meta. Was Meta danach damit macht, verantwortet Meta allein. Die Einwilligung der Besucher musst du einholen und nachweisen können.
Quellen
- Art. 26 DSGVO: Gemeinsam Verantwortliche
- Datenschutzkonferenz: Kurzpapier Nr. 16 Gemeinsam Verantwortliche
- EDSA: Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
- EuGH: Pressemitteilung zum Urteil Wirtschaftsakademie (C-210/16)
- EuGH: Pressemitteilung zum Urteil Zeugen Jehovas (C-25/17)
- EuGH: Pressemitteilung zum Urteil Fashion ID (C-40/17)
- Meta: Page Insights Controller Addendum
- Meta: Nutzungsbedingungen für Business Tools
- Datenschutzkonferenz: Beschluss zu Facebook-Fanpages (2022)
- BfDI: Berufung im Fanpage-Verfahren
