Zum Inhalt springen
DEEN

5,0/5 Google · 167 BewertungenBewertungen über uns auf anderen Plattformen, die wir nicht wörtlich zitieren, prüfen wir nicht auf ihre Echtheit. Sie können daher auch von Personen stammen, die nicht unsere Mandanten sind. Es gelten die Regeln der jeweiligen Plattform. Bewertungen, die wir auf unserer Website wörtlich zitieren, haben wir dagegen auf ihre Echtheit im Sinne des § 5b Abs. 3 UWG geprüft: Wir haben die Namen der Bewertenden mit unserem Mandantenverzeichnis abgeglichen. Außerdem haben wir die jeweilige Plattform gebeten, die Bewertungen auf ihre Echtheit zu prüfen.Zeitraum: Oktober 2016 bis heute · Stand: 12.11.2026

Vertrag zur gemeinsamen Verantwortlichkeit prüfen

Ein gemeinsames Tool macht Sie noch nicht automatisch zum Auftragsverarbeiter.

Bestimmen zwei Unternehmen gemeinsam Zwecke und Mittel einer Verarbeitung, verlangt Art. 26 DSGVO eine transparente Vereinbarung. Wir prüfen die Rollen, gestalten oder schärfen den Vertrag und grenzen die Lage vom Auftragsverarbeitungsvertrag ab. Sie erhalten eine dokumentierte Grundlage für Freigabe, Zusammenarbeit und Rechenschaftspflicht.

Entwurf hochladenArt.-26-Vereinbarung, Vertrag oder Prozessbeschreibung, direkt ins Formular.

Ohne Unterlagen anfragen

Der Erstkontakt ist kostenfrei. Ehe Kosten entstehen, machen wir Sie ausdrücklich darauf aufmerksam.

Rückmeldung an Werktagen innerhalb von 24 Stunden

Stand: 12.11.2026

Schematische Darstellung einer typischen Art.-26-Vereinbarung. Klauseln und Markierungen sind vereinfacht und ersetzen keine Prüfung.

Wir prüfen Art.-26-Vereinbarungen für

  • Gemeinsame Plattformen
  • Konzern- und Gruppenlösungen
  • Gemeinsame Kampagnen
  • Co-Marketing und Events
  • Geteilte CRM- oder HR-Systeme
Das Wichtigste in Kürze
    Für wen
    Unternehmen, die Daten gemeinsam mit Partnern, Konzerngesellschaften oder Plattformen verarbeiten oder das prüfen lassen wollen.
    Ergebnis
    Rollenklärung, Vertragsentwurf oder Redlines und eine dokumentierte Freigabegrundlage.
    Erstkontakt
    kostenfrei, zur Klärung von Thema, Zuständigkeit und nächstem Schritt
    Abgrenzung
    Kein Ersatz für einen AVV und keine Vertretung betroffener Personen.

    Mandatsanlass

    Was tun, wenn zwei Unternehmen dieselbe Verarbeitung steuern?

    Der Druck entsteht typischerweise, wenn ein gemeinsames System live geht, ein Partner eine „Joint-Controller-Vereinbarung“ vorlegt oder die Aufsicht nach der Aufgabenteilung fragt.

    Gemeinsame Verantwortlichkeit hängt nicht am Dokumententitel, sondern daran, wer Zwecke und wesentliche Mittel tatsächlich festlegt.

    Ein Partnervertrag, eine Konzernrichtlinie oder die Nutzungsbedingungen einer Plattform können gemeinsame Verantwortlichkeit begründen, auch wenn nicht jede Partei auf alle Daten selbst zugreift. Genauso oft steht „Joint Controller“ auf einem Dokument, obwohl der eine Teil nur weisungsgebunden verarbeitet. Dann gehört die Lage in einen AVV, nicht in Art. 26 DSGVO.

    Typischer Anlass
    Gemeinsame Plattform, Kampagne, Konzernsystem oder vorgelegter Standardvertrag.
    Risiko
    Falsche Rolle, lückenhafte Information, unklare Zuständigkeit für Anfragen.
    Erste Frage
    Wer entscheidet über das Ob, das Warum und die wesentlichen Mittel?
    Nächster Schritt
    Rollen feststellen, Pflichten zuordnen, Text belastbar machen.
    Kurz vor dem gemeinsamen Start. Das System steht, die Marketinglinie ist abgestimmt, die vertragliche Rolle aber nicht. Typisch ist auch der umgekehrte Fall: Ein Anbieter legt eine Joint-Controller-Vereinbarung vor, obwohl er nach dem tatsächlichen Leistungsbild Auftragsverarbeiter ist. Beides klären wir, bevor Sie freigeben.

    Klarheit über die Rolle statt Label auf dem Deckblatt

    Ziel ist eine nachvollziehbare Zuordnung der Pflichten und ein Vertrag, der zur tatsächlichen Zusammenarbeit passt. Wo Art. 28 DSGVO die richtige Grundlage ist, sagen wir das offen und verweisen auf das Paket Vertrag Auftragsverarbeitung.

    Prüfung und Umsetzung

    Wie klären wir eine Art.-26-Lage in drei Schritten?

    Zuerst stellen wir die Rolle fest. Erst danach lohnt sich die Feinarbeit am Vertragstext.

    1. Erste Einschätzung

      Sie schildern die Zusammenarbeit und laden vorhandene Entwürfe hoch. Wir ordnen ein, ob gemeinsame Verantwortlichkeit, getrennte Verantwortlichkeit oder ein Auftragsverhältnis naheliegt.

    2. Angebot

      Vor Beginn der Arbeit nennen wir Ihnen Umfang und Kosten transparent. Erst danach entscheiden Sie über die Beauftragung.

    3. Vereinbarung

      Wir prüfen oder gestalten den Text, priorisieren offene Punkte und dokumentieren die Linie, auf der Sie freigeben oder nachverhandeln können.

    Zum Zeitplan. Den Zeitplan stimmen wir vor Beginn mit Ihnen ab. Wenn Sie einen festen Termin haben, etwa einen Launch oder eine Antwortfrist, nennen Sie ihn uns bei der Anfrage.

    Leistungspaket

    Was klären und gestalten wir in der Vereinbarung?

    Leistungspaket Vertrag nach Art. 26 DSGVO

    1. Rollen und Entscheidungsbild

      Wir stellen fest, ob Zwecke und wesentliche Mittel gemeinsam festgelegt werden, und grenzen das von Weisung, bloßer Bereitstellung und getrennter Verantwortlichkeit ab.

    2. Pflichtenverteilung

      Wir ordnen Informationspflichten, Betroffenenrechte, Sicherheit, Auftragsverarbeiter, Drittlandtransfers und Meldewege so zu, dass die Vereinbarung intern steuerbar bleibt.

    3. Transparenz und Dokumentation

      Wir formulieren, welche wesentlichen Inhalte gegenüber betroffenen Personen bereitzustellen sind, und halten die Gründe der Rollenwahl nachvollziehbar fest.

    4. Vertragstext

      Sie erhalten einen Entwurf, Redlines oder eine Verhandlungslinie, abgestimmt auf die tatsächliche Zusammenarbeit und vorhandene Hauptverträge.

    Rechtsgebiet
    Datenschutzrecht, IT-Vertragsrecht
    Für wen
    Unternehmen, die mit Partnern, Konzerngesellschaften oder Plattformen gemeinsame Verarbeitungen betreiben oder prüfen lassen wollen.
    Erste Rückmeldung
    an Werktagen innerhalb von 24 Stunden
    Erstkontakt
    kostenfrei, zur Klärung von Thema, Zuständigkeit und nächstem Schritt
    Kosten
    Wir nennen Ihnen die Kosten vor Mandatserteilung transparent. Erst dann entscheiden Sie.
    Ergebnis
    Rollenklärung, Vertragsentwurf oder Redlines und dokumentierte Freigabegrundlage
    Nicht im Paket
    Vertretung betroffener Personen, Verfahren vor der Aufsichtsbehörde und die Verhandlung mit jedem einzelnen Unterauftragnehmer der anderen Partei. Das ist eine separate Leistung, auf Anfrage und nach Bedarf.
    Wer was liefert und wer entscheidet
    Ihr Unternehmen
    • Schildert die Zusammenarbeit, liefert Verträge und entscheidet über die Freigabe.
    Die andere Partei
    • Muss der Rollenwahl und dem Text zustimmen. Ohne Einigung bleibt die gesetzliche Pflicht, die Zusammenarbeit intern trotzdem rechtssicher einzuordnen.
    ITMR
    • Prüft die Rolle, formuliert oder schärft die Vereinbarung und benennt offene Risiken.
    Datenschutz und Fachbereiche
    • Liefern die tatsächlichen Abläufe, damit der Vertrag nicht nur auf dem Papier passt.
    Wie läuft die Beauftragung ab?
    1. Erstkontakt ohne Kosten

      Er dient der Einordnung, nicht schon der Vertragsgestaltung.

    2. Transparentes Angebot

      Vor Beginn nennen wir Umfang und Kosten. Sie entscheiden danach über die Beauftragung.

    3. Keine versteckten Folgemandate

      Aufsichtsverfahren, Streit mit dem Partner oder ein AVV sind eigene Leistungen und werden nur nach gesonderter Abstimmung übernommen.

    Erste Prüffragen

    Liegt wirklich gemeinsame Verantwortlichkeit vor?

    Bevor wir Klauseln formulieren, prüfen wir die Grundlagen. Viele vorgelegte „Joint-Controller“-Texte halten der tatsächlichen Entscheidungsstruktur nicht stand.

    Zwecke

    Wer entscheidet, warum die Daten verarbeitet werden und welche Ergebnisse angestrebt sind?

    Wesentliche Mittel

    Wer legt fest, welche Daten, welche Tools und welche wesentlichen Abläufe gelten – nicht nur der technische Betrieb?

    Zugang und Nutzung

    Gemeinsame Verantwortlichkeit kann vorliegen, auch wenn eine Partei nicht auf alle Daten selbst zugreift.

    Dokumententitel

    Die Überschrift „AVV“ oder „Joint Controller“ ist kein Beweis. Maßgeblich ist die tatsächliche Steuerung.

    Typische Falllagen

    Wann wird die Art.-26-Prüfung wirtschaftlich relevant?

    Die Konstellationen unterscheiden sich stark. Wir ordnen Ihren Fall ein und prüfen, wo das eigentliche Risiko sitzt.

    Lage Was typischerweise zu klären ist
    Gemeinsame Plattform oder Fanpage Zwei Unternehmen betreiben einen Auftritt oder eine Plattform gemeinsam und legen fest, welche Daten wofür genutzt werden.
    Konzern- und Gruppenlösungen Eine Gesellschaft gibt Zwecke und wesentliche Mittel für ein gemeinsames System vor, andere nutzen und steuern mit.
    Co-Marketing, Events, Mitgliederprogramme Kampagnen oder Veranstaltungen werden gemeinsam verantwortet, einschließlich Listen, Tracking oder Teilnehmerdaten.
    Vorgelegter Standardvertrag Ein Partner verlangt die Unterschrift unter eine Joint-Controller-Vereinbarung. Wir prüfen, ob das Modell zur Lage passt oder ein AVV nötig ist.
    Ein verbreiteter Denkfehler lautet, gemeinsame Verantwortlichkeit setze gleichen Datenzugriff oder eine gleichmäßige Aufgabenverteilung voraus. Maßgeblich ist, wer über Zwecke und wesentliche Mittel mitentscheidet. Umgekehrt macht nicht jeder Datenaustausch die Beteiligten zu gemeinsamen Verantwortlichen.

    Abgrenzung zum Auftragsverarbeitungsvertrag

    Wann gehört die Lage in einen AVV statt in Art. 26 DSGVO?

    Art. 26 und Art. 28 DSGVO schließen sich für dieselbe Beziehung typischerweise aus. Die falsche Grundlage erzeugt Lücken bei Weisung, Kontrolle und Haftung.

    Modell Kennzeichen
    Gemeinsame Verantwortlichkeit (Art. 26) Zwecke und wesentliche Mittel werden gemeinsam festgelegt. Es braucht eine transparente Vereinbarung und eine Ansprechbarkeit gegenüber betroffenen Personen.
    Auftragsverarbeitung (Art. 28) Ein Unternehmen verarbeitet weisungsgebunden im Auftrag des anderen. Dafür ist ein AVV die richtige Grundlage, kein Art.-26-Vertrag.
    Getrennte Verantwortlichkeit Jedes Unternehmen legt Zwecke und Mittel für seinen eigenen Teil selbst fest, etwa bei einem bloßen Datenaustausch mit jeweils eigener Nutzung.

    Vorbereitung

    Welche Unterlagen beschleunigen die Prüfung?

    Für den Einstieg genügen wenige Dokumente. Je genauer die tatsächliche Entscheidungsstruktur beschrieben ist, desto belastbarer wird die Rollenwahl.

    Verträge und Entwürfe
    • Vorhandene Art.-26-Vereinbarung, Partner- oder Konzernvertrag, AVV, Auftragsbedingungen der Plattform und Leistungsbeschreibung.
    Sachverhalt
    • Kurze Darstellung, wer über Zwecke, Tools, Datenarten und Nutzungsregeln entscheidet, und wie Anfragen betroffener Personen heute laufen.

    Rechtliche Grundlage

    Was verlangt Art. 26 DSGVO von den Beteiligten?

    Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel einer Verarbeitung fest, sind sie gemeinsam Verantwortliche. Sie müssen in einer Vereinbarung in transparenter Form festlegen, wer welche Pflichten nach der DSGVO erfüllt. Das gilt besonders für die Rechte betroffener Personen und die Informationspflichten nach Art. 13 und 14 DSGVO. Der wesentliche Inhalt der Vereinbarung ist den betroffenen Personen bereitzustellen. Unabhängig von der internen Aufteilung kann eine betroffene Person ihre Rechte bei jedem der Verantwortlichen geltend machen. Die Vereinbarung entbindet deshalb nicht von der eigenen Verantwortung, ordnet aber die praktische Zuständigkeit und die Zusammenarbeit.
    Quellen
    • Art. 26 DSGVO Gemeinsam Verantwortliche, Vereinbarung, Transparenz und Rechte betroffener Personen.
    • Art. 28 DSGVO Auftragsverarbeitung als Abgrenzung, wenn weisungsgebunden verarbeitet wird.
    • EDSA-Leitlinien Leitlinien zur Abgrenzung von Verantwortlichem und Auftragsverarbeiter sowie zur gemeinsamen Verantwortlichkeit, zur Einordnung typischer Konstellationen.

    Grenzen

    Wann eine andere Seite besser passt

    Nicht jede Datenschutzlage ist ein Art.-26-Fall. Wir sagen Ihnen offen, wenn der Schwerpunkt woanders liegt.

    1. Auftragsverarbeitung

      Verarbeitet die andere Seite weisungsgebunden, gehört der Fall zum Paket Vertrag Auftragsverarbeitung.

    2. Bestandsaufnahme

      Fehlt noch die Übersicht über Verarbeitungen und Rollen im Unternehmen, ist häufig zuerst ein Datenschutz-Audit oder das Datenschutz Set-up der bessere Einstieg.

    3. Drittlandtransfers

      Steht ein Transfer in ein Drittland im Vordergrund, führen wir das gezielt im Paket Datentransfer Drittland weiter.

    Was die Freigabe unnötig riskant macht

    • Die Vereinbarung heißt „Joint Controller“, die Lage ist aber ein Auftragsverhältnis – oder umgekehrt.
    • Art. 13 und 14 DSGVO bleiben ungeregelt, betroffene Personen erfahren den wesentlichen Inhalt nicht.
    • Niemand ist intern dafür verantwortlich, Rechte betroffener Personen fristgerecht zu bearbeiten.
    • TOM, Auftragsverarbeiter und die Meldung einer Verletzung sind nicht zugeordnet.
    • Bloße Konzernzugehörigkeit begründet für sich genommen keine gemeinsame Verantwortlichkeit.
    • Ein Partner-Template wird unterschrieben, ohne die tatsächliche Entscheidungsstruktur zu prüfen.
    Ihr AnsprechpartnerDominik Skornia, LL.B.

    Rechtsanwalt · AI-Privacy-Expert (GDDcert. EU) · Externer Datenschutzbeauftragter

    Profil von Dominik Skornia Düsseldorf, Schirmerstraße 80 · Hamburg, Palmaille 124

    Bei ITMR führen Jean Paul Bohne, Andreas Buchholz und Dr. Alexander Pleh die Bezeichnung Fachanwalt für Informationstechnologierecht.

    Bewertungen

    Was Mandanten sagen

    5,0 von 5 · 167 Google-BewertungenZeitraum: Oktober 2016 bis heute · Stand: 12.11.2026

    5,0 von 5 · 71 Bewertungen auf anwalt.deZeitraum: Oktober 2018 bis heute · Stand: 12.11.2026

    „Wir möchten uns nochmals herzlich für Ihre Unterstützung bei der Vertragsgestaltung des Vertrags zum Softwareverkauf bedanken. Dank Ihrer Beratung konnten wir einen für uns sehr guten Vertrag abschließen, womit wir äußerst zufrieden sind.“
    J. K. · anwalt.de (öffnet in neuem Tab) · 09.01.2026 · „Sehr gute Beratung“
    „Super Beratung und Service. Immer gern wieder.“
    T. D. · anwalt.de (öffnet in neuem Tab) · 05.08.2024 · „Top Beratung“
    „Herr Skornia hat sich viel Zeit genommen und detailliert fachlich sicher und verständlich die Fragen bezüglich der Regelungen gemäß DSGVO beantwortet. Gerne wieder!“
    Katharina Ossenkop · Google

    FAQ

    Fragen vor der Freigabe

    Wann liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor?

    Wenn zwei oder mehr Verantwortliche die Zwecke und die wesentlichen Mittel einer Verarbeitung gemeinsam festlegen. Es kommt auf die tatsächliche Entscheidungsmacht an, nicht auf den Titel eines Vertrags. Auch ohne eigenen Zugriff auf alle Daten kann gemeinsame Verantwortlichkeit vorliegen, wenn wesentliche Festlegungen gemeinsam getroffen werden.

    Was unterscheidet die Art.-26-Vereinbarung vom AVV?

    Der AVV nach Art. 28 DSGVO betrifft die weisungsgebundene Verarbeitung durch einen Auftragsverarbeiter. Art. 26 DSGVO betrifft Verantwortliche, die gemeinsam steuern. Für dieselbe Beziehung ist in der Regel nur eines der beiden Modelle richtig. Die Abgrenzung ist der erste Prüfungsschritt; das Gegenstück ist unser Paket Vertrag Auftragsverarbeitung.

    Müssen betroffene Personen die ganze Vereinbarung erhalten?

    Die DSGVO verlangt, ihnen den wesentlichen Inhalt der Vereinbarung zur Verfügung zu stellen, nicht notwendig den vollständigen Vertragstext. Welche Angaben wesentlich sind, hängt von der Lage ab. Wir formulieren das so, dass Transparenz und Betriebsgeheimnisse in ein belastbares Verhältnis kommen.

    Können betroffene Personen nur die intern zuständige Partei ansprechen?

    Nein. Unabhängig von der internen Aufteilung können sie ihre Rechte bei jedem der gemeinsam Verantwortlichen geltend machen. Die Vereinbarung soll die Bearbeitung intern steuern, entbindet aber nicht von dieser gesetzlichen Ansprechbarkeit. ITMR vertritt in diesem Paket nur das Unternehmen, nicht betroffene Personen als Anspruchsteller.

    Reicht der Standardvertrag eines Plattformanbieters?

    Nur wenn er zur tatsächlichen Rollenverteilung passt und die gesetzlichen Mindestinhalte tragfähig abbildet. Viele Standardtexte sind entweder zu pauschal oder wählen das falsche Modell. Wir prüfen das vor der Freigabe und markieren, was nachverhandelt oder intern dokumentiert werden muss.

    Gilt Art. 26 DSGVO automatisch im Konzern?

    Nein. Konzernunternehmen können gemeinsam Verantwortliche, getrennte Verantwortliche oder Auftragsverarbeiter sein. Maßgeblich bleibt, wer Zwecke und wesentliche Mittel festlegt. Eine Konzernrichtlinie kann ein Indiz sein, ersetzt aber nicht die Prüfung der konkreten Verarbeitung.

    Was ist nicht im Paket enthalten?

    Die Vertretung betroffener Personen, ein laufendes Verfahren vor der Aufsichtsbehörde und die gesonderte Verhandlung mit sämtlichen Unterauftragnehmern der anderen Partei. Solche Schritte bieten wir nur nach gesonderter Abstimmung an. Kosten nennen wir vor Mandatserteilung transparent.

    Ist der Erstkontakt kostenfrei?

    Er dient der Einordnung von Thema, Zuständigkeit und nächstem Schritt. Ehe Kosten entstehen, machen wir Sie ausdrücklich darauf aufmerksam. Vor der Arbeit erhalten Sie ein transparentes Angebot.

    Nächster Schritt

    Art.-26-Fall abstimmen, bevor die Freigabe drängt

    Ob gemeinsame Plattform, Konzernsystem, Kampagne oder vorgelegter Standardvertrag: Entscheiden Sie nicht allein nach dem Dokumententitel. Schildern Sie die Zusammenarbeit. Wir melden uns an Werktagen innerhalb von 24 Stunden.

    Art.-26-Fall jetzt einordnen

    Gemeinsame Verantwortlichkeit abstimmen

    Ihre Kontaktdaten

    Ihre Nachricht

    z. B. Frist aus einer Abmahnung

    Dateien anhängen

    Laden Sie relevante Dokumente hoch (optional)

    DateienOptional

    Hilfreich sind ein Entwurf der Vereinbarung, die Beschreibung der gemeinsamen Verarbeitung, bestehende AVV oder Hauptverträge und eine kurze Schilderung, wer Zwecke und Mittel festlegt.

    Verwandte Leistungen

    Weiterführende Inhalte
    Aktuelle Beiträge
    Passende Urteile