Joint Controller
Definition: Ein Joint Controller ist eine Organisation, die gemeinsam mit mindestens einer weiteren Partei die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Diese gemeinsame Verantwortung begründet eine gesamtschuldnerische Haftung und erfordert eine transparente Vereinbarung über die jeweiligen Pflichten gemäß Art. 26 DSGVO.
Definition und rechtliche Grundlage
Der Begriff Joint Controller stammt aus der europäischen Datenschutz-Grundverordnung (DSGVO) und bezeichnet die gemeinsame Verantwortung mehrerer Akteure bei der Verarbeitung personenbezogener Daten. Die zentrale Norm findet sich in Art. 26 DSGVO. Entscheidend ist nicht die formale Vertragsgestaltung, sondern die faktische Einflussnahme: Wer gemeinsam über Zwecke (das „Warum“) und Mittel (das „Wie“) der Verarbeitung entscheidet, agiert als Joint Controller.
Ein klassisches Beispiel: Zwei SaaS-Unternehmen betreiben eine gemeinsame Marketing-Kampagne mit einem geteilten Lead-Scoring-System. Beide definieren, welche Daten erhoben werden, zu welchem Zweck und mit welchen Analyse-Tools. Damit liegt eine gemeinsame Verantwortung vor – unabhängig davon, wer die technische Infrastruktur bereitstellt.
Die Abgrenzung ist keine akademische Übung. Sie entscheidet über Haftungsfragen, Vertragspflichten und die Informationspflichten gegenüber betroffenen Personen.
Abgrenzung zu anderen Rollen
Die DSGVO unterscheidet drei zentrale Rollen: Verantwortlicher (Controller), Auftragsverarbeiter (Processor) und Joint Controller. Die Unterschiede sind für Compliance-Gates und Vertragsgestaltung fundamental:
| Kriterium | Controller | Joint Controller | Processor |
|---|---|---|---|
| Entscheidungsgewalt über Zwecke | Allein | Gemeinsam | Keine |
| Entscheidungsgewalt über Mittel | Allein | Gemeinsam | Nur weisungsgebunden |
| Haftung | Allein | Gesamtschuldnerisch | Nur bei Weisungsverstoß |
| Vertragliche Basis | Keine spezifische Form | Art. 26 DSGVO-Vereinbarung | Art. 28 DSGVO-Vertrag |
Ein häufiger Fehler in der Praxis: Unternehmen stufen eine Konstellation als Auftragsverarbeitung ein, obwohl faktisch eine gemeinsame Verantwortung vorliegt. Die Folge sind unwirksame Verträge und erhebliche rechtliche Risiken. Besonders relevant wird dies bei gemeinsamen Analytics-Plattformen, Co-Branding-Initiativen oder API-Integrationen, bei denen beide Parteien auf die Daten zugreifen und diese für eigene Zwecke nutzen.
Interdisziplinäre Perspektive: Sales, RevOps und AI-Systeme
Der Begriff Joint Controller besitzt in anderen Fachbereichen abweichende Bedeutungen. Im Sales-Kontext bezeichnet ein „Joint Controller“ umgangssprachlich eine Person mit gemeinsamem Zugriff auf ein CRM-System – hier geht es um Zugriffsrechte, nicht um datenschutzrechtliche Verantwortung. In der AI-Entwicklung hingegen entstehen neue Schnittstellen: Wenn ein Unternehmen ein KI-Modell mit Daten eines Partners trainiert und beide Parteien die Trainingsziele definieren, liegt regelmäßig eine Joint-Controller-Konstellation vor.
Für RevOps-Teams bedeutet dies: Die technische Integration von Systemen (etwa über APIs) schafft nicht automatisch eine gemeinsame Verantwortung. Entscheidend bleibt die Frage, wer die Zwecke bestimmt. Ein reiner Datenexport zur Weiterverarbeitung durch den Empfänger begründet keine gemeinsame Verantwortung – wohl aber ein gemeinsames Dashboard mit beidseitigen Steuerungsmöglichkeiten.
Die Praxis zeigt: Je enger die Systemintegration, desto höher die Wahrscheinlichkeit einer Joint-Controller-Konstellation.
Praktische Umsetzung und Vertragsgestaltung
Die Art. 26 DSGVO-Vereinbarung muss die wesentlichen Punkte regeln: die Aufteilung der Informationspflichten, die Anlaufstelle für Betroffenenanfragen und die Verteilung der Haftung im Innenverhältnis. Im Außenverhältnis haften beide Parteien gesamtschuldnerisch – die betroffene Person kann sich an jeden der Joint Controller wenden.
Empfehlungen für die Umsetzung:
- Führen Sie eine dokumentierte Rollenanalyse durch, bevor Sie gemeinsame Datenverarbeitungen starten.
- Definieren Sie klare Verantwortlichkeiten für jede Verarbeitungstätigkeit.
- Implementieren Sie Prozesse für gemeinsame Betroffenenanfragen (Auskunft, Löschung, Berichtigung).
- Überprüfen Sie bestehende Verträge mit Partnern auf faktische Joint-Controller-Konstellationen.
Die Dokumentation der Entscheidungsprozesse ist dabei der kritische Erfolgsfaktor. Nur wer nachweisen kann, dass die Rollenverteilung bewusst und korrekt vorgenommen wurde, kann im Streitfall die eigene Position verteidigen.
« Back to Glossary Index