Gemeinsame Verantwortliche in Zypern: Vereinbarung nach Artikel 26 DSGVO

Die tatsächliche gemeinsame Verantwortlichkeit vor dem Entwurf prüfen

Beginnen Sie beim einzelnen Verarbeitungsvorgang und nicht bei der Bezeichnung im Vertrag. Verantwortlich ist, wer über Zweck und Mittel einer Verarbeitung entscheidet. Mehrere Verantwortliche handeln gemeinsam, wenn sie Zwecke und wesentliche Mittel zusammen bestimmen. Der Europäische Datenschutzausschuss beschreibt sowohl eine gemeinsame Entscheidung als auch aufeinander zulaufende Entscheidungen, die sich ergänzen und für die konkrete Verarbeitung notwendig sind. Ein zyprisches Unternehmen und sein Partner können zum Beispiel gemeinsam über die Anmeldung zu einer Veranstaltung entscheiden, während jedes für seine bisherige Kundendatenbank allein verantwortlich bleibt. Die Rollen müssen deshalb für jeden Abschnitt des Projekts gesondert geprüft werden.

Fragen Sie, wer das Ziel der Maßnahme bestimmt hat, wessen Interessen sie dient und wer Personengruppen, Datenkategorien, Empfänger, Speicherdauer und wesentliche technische Wege festlegt. Unterschiedlich großer Einfluss schließt gemeinsame Verantwortlichkeit nicht zwingend aus. Umgekehrt können zwei eigenständige Unternehmen Daten für verschiedene Zwecke austauschen, ohne einen gemeinsamen Verarbeitungsvorgang zu steuern. Ein Auftragsverarbeiter handelt dagegen im Auftrag eines Verantwortlichen und nach dessen Weisungen. Halten Sie die tatsächlichen Entscheidungen schriftlich fest, bevor Sie zwischen einer Artikel-26-Vereinbarung, einem Artikel-28-Vertrag und einer anderen Regelung für die Datenweitergabe wählen. Die Überschrift eines Musters kann diese Prüfung nicht ersetzen.

Fehlt eine unterschriebene Vereinbarung, entfällt die gemeinsame Verantwortlichkeit nicht automatisch. Der Gerichtshof der Europäischen Union hat in der Rechtssache C-683/21 erklärt, dass die Einstufung aus der Mitwirkung an der Festlegung von Zwecken und Mitteln folgt. Die Vereinbarung nach Artikel 26 ist eine Pflicht nach dieser Einstufung, keine Voraussetzung dafür. Auch die Klausel „eigenständige Verantwortliche“ entscheidet den Sachverhalt nicht, wenn beide das Projekt tatsächlich gemeinsam gestalten. Ebenso wenig sollte eine breit formulierte Vorlage jede spätere, unabhängige Nutzung derselben Daten zu gemeinsamer Verarbeitung erklären. Begrenzen Sie den Anwendungsbereich auf die Vorgänge, für die die tatsächlichen Voraussetzungen vorliegen.

Weiterführend: Leitfaden zum Auftragsverarbeitungsvertrag.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Gerichtshof der EU, Rechtssache C-683/21, gemeinsame Verantwortlichkeit nach Artikel 26; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Gemeinsame und eigenständige Phasen eines Projekts darstellen

Erstellen Sie vor der Aufgabenverteilung einen einfachen Datenflussplan. Bei einer Veranstaltung kann er die ursprünglichen Kundenlisten beider Unternehmen, die gemeinsame Einladung, ein geteiltes Anmeldeformular, die Teilnahmebestätigung und spätere getrennte Vertriebsansprache enthalten. Einladung und Anmeldung können gemeinsam bestimmt sein; die ursprünglichen Kundendateien oder spätere eigene Vertriebszwecke können getrennt bleiben. Eine einzige Rollenbezeichnung für die gesamte Geschäftsbeziehung verdeckt diese Grenzen. Dann beschreibt auch die Datenschutzhinweis-Seite möglicherweise falsch, welches Unternehmen in welcher Phase über die Nutzung der Daten entscheidet. Ordnen Sie daher jedem konkreten Schritt seine verantwortlichen Stellen zu.

Erfassen Sie für jede Phase Datenarten, Herkunft, Zugriff, Empfänger, Zweck, Lösch- oder Aufbewahrungsauslöser und Systemverantwortung. Benennen Sie eingesetzte Dienstleister und legen Sie fest, welcher Verantwortliche den passenden Vertrag mit ihnen abschließt. Verfolgt eine Plattform mit denselben Daten eigene Zwecke, braucht auch diese Nutzung eine eigenständige Rollenprüfung. Der Datenfluss sollte zeigen, wie eine Berichtigung oder Löschung aus dem gemeinsamen Vorgang in beiden Systemen umgesetzt wird. Eine allgemeine Zusage, beide Parteien würden die DSGVO beachten, erklärt weder den technischen Weg noch die Zuständigkeit. Prüfen Sie insbesondere Exporte und lokale Kopien, die außerhalb des Hauptsystems entstehen.

Bewahren Sie Belege für tatsächlich getroffene Entscheidungen auf: Besprechungsnotizen, Produktanforderungen, ausgewählte Formularfelder, Zielgruppenkriterien und Freigaben für die Weitergabe. Solche Tatsachen wiegen schwerer als die Reihenfolge der Firmenlogos. Aktualisieren Sie die Karte, wenn ein weiterer Partner eintritt, Profiling hinzukommt oder die Daten in eine neue Plattform übertragen werden. Gemeinsame Verantwortlichkeit kann nur einen Teil des Ablaufs betreffen und macht die Unternehmen nicht automatisch für jede andere Verarbeitung gemeinsam verantwortlich. Beschreiben Sie diese Grenze sowohl im Anhang zur Vereinbarung als auch in der Information für betroffene Personen. So lässt sich ein späterer Rollenwechsel nachvollziehbar prüfen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Rechtsgrundlage und Zweck für jeden Verantwortlichen prüfen

Eine Vereinbarung nach Artikel 26 schafft keine Rechtsgrundlage für die Verarbeitung. Jeder gemeinsame Verantwortliche muss seine Grundlage nach Artikel 6 für den betroffenen Vorgang prüfen und den Zweck erklären können. Der Europäische Datenschutzausschuss betont, dass jeder Beteiligte eine Rechtsgrundlage benötigt und Daten nicht unvereinbar mit dem ursprünglichen Erhebungszweck weiterverwenden darf. Werden besondere Kategorien personenbezogener Daten verarbeitet, kann zusätzlich eine Voraussetzung nach Artikel 9 erforderlich sein. Schieben Sie diese Prüfung nicht mit einer Vertragszeile vollständig auf den Partner. Auch eine gemeinsame Plattform legitimiert nicht automatisch jede Quelle und jeden späteren Verwendungszweck.

Untersuchen Sie die Herkunft jeder Datenmenge. Stellt ein Partner Kundendaten für eine gemeinsame Kampagne bereit, prüfen Sie die Information bei der Erhebung, die Vereinbarkeit von Übermittlung und neuem Zweck sowie zusätzliche Regeln für elektronische Werbung. Eine Zusicherung des Partners, seine Liste sei „konform“, ist ein sinnvoller Ausgangspunkt für Nachweise, ersetzt aber keine konkrete Bewertung des eigenen Verarbeitungsschritts. Vereinbaren Sie zudem Datenminimierung: Für die Anmeldung zu einer Veranstaltung sind meist weniger Angaben nötig als für einen vollständigen Kundendatenexport. Die gemeinsamen Formularfelder und Zugriffsrechte sollten diese Beschränkung technisch abbilden und regelmäßig überprüft werden.

Behandeln Sie jede Zweckänderung als Anlass zur erneuten Freigabe. Aus einem gemeinsam organisierten Informationsseminar kann später ein Programm zur Bewertung von Verkaufskontakten werden; diese neue Nutzung darf nicht stillschweigend unter die ursprüngliche Anmeldung geschoben werden. Bewerten Sie Rollen, Rechtsgrundlagen, Transparenz und gegebenenfalls eine Datenschutz-Folgenabschätzung vor der Änderung erneut. Will ein Unternehmen gemeinsame Kontaktdaten anschließend für eigene Nachrichten verwenden, markieren Sie das Ende des gemeinsamen Vorgangs und den Beginn des getrennten Zwecks. Nur mit dieser Grenze kann eine teilnehmende Person eine zutreffende Antwort erhalten, welches Unternehmen für eine bestimmte Nachricht verantwortlich ist.

Weiterführend: Leitfaden zum Widerspruch gegen Direktwerbung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Pflichten in einer nutzbaren Artikel-26-Vereinbarung zuordnen

Artikel 26 verlangt eine transparente Festlegung der jeweiligen Pflichten, besonders bei Informationen nach Artikeln 13 und 14 sowie bei Betroffenenrechten, soweit diese Pflichten nicht bereits durch Unionsrecht oder mitgliedstaatliches Recht bestimmt sind. Benennen Sie eine zuständige Person und Vertretung für Erstinformation, Eingang einer Anfrage, Identitätsprüfung, Suche in Datensystemen, Entscheidung, Antwort und Dokumentation. Regeln Sie, was geschieht, wenn die betroffene Person den anderen Partner anspricht. Die Vereinbarung muss die tatsächlichen Rollen und Beziehungen widerspiegeln. Eine schematische hälftige Aufgabenverteilung ist nicht schon deshalb richtig, weil zwei Parteien unterschreiben. Prüfen Sie, ob die zuständige Stelle über die erforderlichen Daten und Zugriffsrechte verfügt.

Der Datenschutzausschuss empfiehlt, weitere Pflichten abzudecken: Grundsätze, Rechtsgrundlagen, Sicherheit, Meldung von Verletzungen, Folgenabschätzungen, Auftragsverarbeiter, internationale Übermittlungen und Kontakte zu Personen und Behörden. Übersetzen Sie diese Bereiche in messbare Übergaben. Beispielsweise sollte Partei A eine Anfrage innerhalb einer internen Frist an Partei B melden und Partei B einen genau bezeichneten Systemauszug liefern. Lassen Sie genügend Zeit für die gesetzlichen Außenfristen. Die Klausel „jede Partei bearbeitet Anfragen zu ihrem System“ reicht nicht, wenn die gemeinsame Aktivität Daten in beiden Systemen umfasst. Legen Sie fest, wie fehlende oder widersprüchliche Angaben eskaliert werden.

Artikel 26 schreibt keine einheitliche Vertragsform vor. Für Rechtssicherheit und Rechenschaft empfiehlt der Datenschutzausschuss ein verbindliches Dokument. Fügen Sie einen klar abgegrenzten Verarbeitungsanhang, eine Zuständigkeitsmatrix, Eskalationskontakte, Regeln zum Austausch von Nachweisen, Sicherheitsanforderungen, Änderungsverfahren und Schritte für das Projektende hinzu. Kopieren Sie keinen Artikel-28-Auftragsverarbeitungsvertrag: Keiner der gemeinsam Verantwortlichen arbeitet allein aufgrund der dokumentierten Weisungen des anderen. Bietet ein Partner daneben tatsächlich eine eigenständige Dienstleistung als Auftragsverarbeiter an, dokumentieren Sie diese gesonderte Beziehung für diesen Vorgang. Ein einziges Rollenetikett kann zwei verschiedene Tätigkeiten nicht sauber abbilden.

Weiterführend: Checkliste für Auftragsverarbeiter.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Betroffenenrechte für die Person und nicht für den Vertrag organisieren

Die Vereinbarung darf eine Kontaktstelle bestimmen. Nach Artikel 26 Absatz 3 kann die betroffene Person ihre DSGVO-Rechte jedoch gegenüber jedem gemeinsam Verantwortlichen geltend machen, unabhängig von der internen Aufgabenverteilung. Ein Datenschutzhinweis, der Anfragen nur an einen Partner zulässt, wäre daher irreführend. Beide Service-Teams müssen eine Anfrage erkennen, den Eingang dokumentieren und sie zügig weiterleiten. Die koordinierende Kontaktstelle kann die Antwort führen, doch Suche und Entscheidung müssen bei Bedarf den betreffenden gemeinsamen Vorgang in beiden Unternehmen erfassen. Eine technische Weiterleitung darf nicht dazu führen, dass das Eingangsdatum verloren geht.

Testen Sie Auskunft, Berichtigung, Widerspruch und Löschung anhand eines realistischen Beispieldatensatzes. Ändert eine Teilnehmerin ihre E-Mail-Adresse, wer korrigiert das gemeinsame Veranstaltungsportal und wer informiert den anderen Partner? Widerspricht sie Direktwerbung, wer stoppt die gemeinsame Kampagne, und welche eigenständigen Nachfasslisten müssen zusätzlich geprüft werden? Legen Sie fest, wie unklare Identität oder widersprüchliche Anweisungen bearbeitet werden. Eine Rechteantwort sollte die tatsächlichen Daten und Zwecke erläutern, nicht lediglich die Artikel-26-Vereinbarung anhängen. Halten Sie jede Übergabe, die Entscheidung und die abschließende Mitteilung nachvollziehbar fest.

Schaffen Sie einen Eskalationsweg für Anfragen kurz vor einer Frist. Nach Artikel 12 gilt grundsätzlich eine Antwort innerhalb eines Monats; eine Verlängerung ist nur unter den dort genannten Bedingungen und mit rechtzeitiger Information möglich. Eine langsame Freigabe zwischen Partnern begründet für sich genommen keine Fristüberschreitung. Lehnt ein Partner die geplante Antwort ab, muss klar sein, wer den Streit prüft und wie trotzdem rechtzeitig eine zutreffende Antwort ergeht. Die interne Aufgabenverteilung kann ein gesetzliches Recht nicht beseitigen. Das Verfahren muss auch dann funktionieren, wenn die Person zuerst den vermeintlich „falschen“ Verantwortlichen kontaktiert.

Weiterführend: Leitfaden zu Betroffenenrechten.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Sicherheit und Vorfälle über die Unternehmensgrenze hinweg steuern

Ein gemeinsamer Zweck kann auf verschiedenen Systemen beruhen: Ein Partner betreibt das Formular, ein anderer speichert Exporte, eine Agentur versendet Nachrichten. Vereinbaren Sie, wer Zugriffe erteilt, Berechtigungen prüft, Übermittlungen schützt, Exporte protokolliert und nach Projektende Berechtigungen entfernt. Bestimmen Sie, welche Sicherheitsnachweise eine Partei von der anderen verlangen kann, ohne Zugriff auf fachfremde Systeme zu erhalten. Gemeinsame Verantwortlichkeit bedeutet nicht, dass jeder Partner jede Datenbank des anderen kontrollieren darf. Beschränken Sie Rechte auf den gemeinsamen Vorgang und regeln Sie Aufbewahrung, Rückgabe und Löschung seiner Kopien. Prüfen Sie besonders lokale Downloads und Testumgebungen.

Für Datenschutzverletzungen benötigen die Parteien einen schnellen internen Alarmweg. Legen Sie Kontaktpersonen, zu sichernde Beweise, Zuständigkeit für die Risikobewertung und gegebenenfalls die Kommunikation mit der zyprischen Aufsichtsbehörde fest. Bestimmen Sie auch, wer betroffene Personen informiert, wenn Artikel 34 greift. Die 72-Stunden-Marke des Artikels 33 für eine Behördenmeldung läuft unter seinen Voraussetzungen ab Bekanntwerden; eine Partnerschaft sollte diese Zeit nicht überwiegend mit Zuständigkeitsstreit verbrauchen. Proben Sie vor dem Start sowohl einen verlorenen Datenexport als auch ein öffentlich zugängliches Anmeldeformular. Halten Sie fest, wann welcher Partner Kenntnis erhielt und welche Sofortmaßnahmen möglich waren.

Werden Cloud-Dienste oder andere Anbieter eingesetzt, erfassen Sie passende Auftragsverarbeitungsverträge und etwaige Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Die Artikel-26-Vereinbarung zwischen Verantwortlichen ersetzt weder Artikel-28-Bedingungen mit Auftragsverarbeitern noch Garantien nach Kapitel V. Regeln Sie, wer neue Unterauftragsverarbeiter freigibt, wer die Transfergrundlage prüft und welche Nachweise vor dem Datenfluss an den anderen Partner gehen. Ändert sich das System, aktualisieren Sie sowohl die Zuständigkeitsmatrix als auch die Datenschutzhinweise. Eine klare Verteilung hilft bei der Koordination, macht aber keinen der gemeinsam Verantwortlichen gegenüber Person oder Behörde unsichtbar.

Weiterführend: Leitfaden zu Datenschutzverletzungen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1

Das Wesentliche der Vereinbarung verständlich veröffentlichen

Artikel 26 Absatz 2 verlangt, den betroffenen Personen das Wesentliche der Vereinbarung zur Verfügung zu stellen. Nach den Leitlinien des Datenschutzausschusses muss die Darstellung die tatsächlichen Rollen und Beziehungen widerspiegeln. Ein brauchbarer Hinweis nennt beide Verantwortlichen, beschreibt den gemeinsamen Vorgang, erklärt die Zuständigkeit für Informationen und Rechte und bietet erreichbare Kontaktwege. Er sollte auch getrennte Zwecke nach Ende der gemeinsamen Phase kenntlich machen. Der bloße Satz „wir sind gemeinsam verantwortlich“ hilft einer Person kaum zu verstehen, wer ihre Daten warum nutzt. Stimmen Sie Formulierungen mit dem tatsächlichen Datenfluss und den internen Zuständigkeiten ab.

Veröffentlichen Sie nicht nur den vollständigen vertraulichen Vertrag. Das Wesentliche kann als kurze, lesbare Zusammenfassung beim Anmeldeformular und auf den einschlägigen Datenschutzseiten beider Partner stehen. Stimmen Sie diese Zusammenfassung mit den Angaben nach Artikeln 13 und 14 ab, einschließlich Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrung und Rechte. Erhebt ein Partner die Daten direkt und erhält der andere sie später, bestimmen Sie genau, wie die jeweiligen Informationspflichten erfüllt werden. Testen Sie den Hinweis auf Mobilgeräten und in den Sprachen des Projekts. Die angegebenen Kontaktadressen müssen aktuell sein und tatsächlich zu einem bearbeitenden Team führen.

Öffentliche Zusammenfassung und interne Vereinbarung müssen auch nach Änderungen übereinstimmen. Verlässt ein Partner das Projekt, tritt ein weiterer hinzu oder entsteht ein neuer Zweck, ändern Sie Rollenkarte, Zuständigkeitsmatrix und Hinweis gemeinsam. Bewahren Sie datierte Fassungen auf, damit nachvollziehbar bleibt, was eine Person bei der Erhebung erfahren hat. Die benannte Kontaktstelle erleichtert die Abwicklung, beschränkt aber nicht Artikel 26 Absatz 3. Geht eine Anfrage bei einem der gemeinsam Verantwortlichen ein, muss sie nach den Regeln der DSGVO bearbeitet werden. Eine interne Weiterleitung sollte für die Person keine zusätzliche Hürde schaffen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Die Vereinbarung an vier konkreten Fällen testen

Prüfen Sie vor der Unterschrift zuerst die Einstufung. Beide Parteien sollten denselben Vorgang beschreiben und unabhängig erklären können, wer dessen Zweck und wesentliche Mittel bestimmt. Vergleichen Sie Antworten, Produktgestaltung und Vertrag. Besteht Uneinigkeit darüber, ob ein Anbieter Auftragsverarbeiter oder gemeinsam Verantwortlicher ist, klären Sie die Tatsachen statt weitere Etiketten einzufügen. Testen Sie dann den Eingang einer Auskunftsanfrage bei jedem Partner. Kontrollieren Sie, ob sie registriert, in den relevanten Systemen gesucht und innerhalb der gesetzlichen Frist beantwortet werden kann. Halten Sie notwendige Änderungen fest, bevor echte Daten fließen.

Spielen Sie einen Vorfall durch, bei dem an einem Freitagabend ein Export offengelegt wird. Wer erhält den Alarm, welche Belege werden gesichert, wer bewertet Risiken und Meldungspflichten, und wie kann der andere Partner ohne lange kommerzielle Freigabe handeln? Testen Sie anschließend das Projektende: Die Kooperation endet, doch ein Partner möchte gemeinsame Datensätze für seinen Vertrieb behalten. Ermitteln Sie, was die Vereinbarung erlaubt, welche getrennte Rechtsgrundlage und Information nötig wären und welche Daten zurückzugeben, zu löschen oder aus einem anderen rechtlichen Grund aufzubewahren sind. Solche Beispiele decken Lücken auf, die in einer abstrakten Zuständigkeitsliste verborgen bleiben.

Unterzeichnen Sie erst, wenn dokumentierte Rollen und Verfahren diese Tests bestehen. Bewahren Sie Verarbeitungsanhang, Kontakte, Datenschutztexte, Dienstleisterverträge und Transferunterlagen in einer kontrollierten Ablage auf. Legen Sie ein Überprüfungsdatum und Auslöser für Änderungen von Systemen, Partnern oder Zwecken fest. Eine Artikel-26-Vereinbarung soll nicht jedes Risiko einseitig verschieben. Sie soll die wirkliche Aufgabenverteilung für die betroffenen Personen verständlich und für beide Unternehmen umsetzbar machen. Ein kürzeres Dokument, das bei einer Anfrage oder einem Vorfall funktioniert, ist nützlicher als eine lange Vorlage, die niemand praktisch anwendet.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34; EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1; Gerichtshof der EU, Rechtssache C-683/21, gemeinsame Verantwortlichkeit nach Artikel 26; Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern

Primärquellen und Geltungsbereich

Quellenabgleich: 7. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 12, 13, 14, 26, 28, 33 und 34
• EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, endgültige Fassung 2.1
• Gerichtshof der EU, Rechtssache C-683/21, gemeinsame Verantwortlichkeit nach Artikel 26
• Europäische Kommission: Anwendung der DSGVO und Rollen von Verantwortlichen und Auftragsverarbeitern