Zum Schutz der Rechte und Freiheiten der betroffenen Personen sowie bezüglich der Verantwortung und Haftung der Verantwortlichen und der Auftragsverarbeiter bedarf es nach Art. 26 DS-GVO einer klaren Zuteilung der Verantwortlichkeiten. Dies betrifft auch Fälle, in denen ein Verantwortlicher die Verarbeitungszwecke und -mittel gemeinsam mit anderen Verantwortlichen festlegt oder ein Verarbeitungsvorgang im Auftrag eines Verantwortlichen durchgeführt wird.
Die Datenschutzkonferenz (DSK) führt die Reihe ihrer sog. Kurzpapiere fort und hat nun das „Kurzpapier Nr. 16 Gemeinsam für die Verarbeitung Verantwortliche, Art. 26 DSGVO“ veröffentlicht. Dieses Rechtsinstitut war zwar bereits in der EG-Datenschutzrichtlinie (RL 95/46/EG) angelegt, dort allerdings nicht detailliert ausgestaltet, und spielte in Deutschland bisher – wenn überhaupt – nur eine äußerst geringe Rolle, da es im BDSG-alt nicht ausdrücklich erwähnt war. Die DSK geht davon aus , dass die ausdrückliche Regelung der gemeinsamen Verantwortlichkeit in der DS-GVO gerade für die Praxis in Deutschland erhebliche Auswirkungen haben wird.
Weiter geht die DSK davon aus, dass eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DS-GVO angesichts der Komplexität moderner Datenverarbeitungsvorgänge bei sehr unterschiedlichen Fallgestaltungen in Betracht kommen kann. Es sei nicht möglich, hierzu eine abschließende Liste zu erstellen, vielmehr bedürfe es einer gewissen Flexibilität, um einen effektiven Schutz der Rechte und Freiheiten der betroffenen Personen zu gewährleisten. Das Kurzpapier enthält jedoch einige exemplarisch genannte Fälle, die aufzeigen sollen, in welchen Fällen ggf. eine gemeinsame Verantwortlichkeit in Betracht kommen kann.
