Gemeinsame Verantwortlichkeit

Die Abgrenzung zwischen gemeinsamer Verantwortlichkeit, getrennter (eigenständiger) Verantwortlichkeit mehrerer Stellen und Auftragsverarbeitung ist eine der praktisch schwierigsten Fragen des Datenschutzrechts – auch für Makler:

• Getrennte Verantwortlichkeit: Der Regelfall. Makler und Verkäufer, Makler und WEG-Verwaltung oder zwei kooperierende Makler verarbeiten Daten jeweils für eigene Zwecke und entscheiden eigenständig über die Mittel – hier bestehen zwei unabhängige "Verantwortliche" nebeneinander, die sich gegenseitig Daten übermitteln.
• Auftragsverarbeitung (Art. 28 DSGVO): Eine Stelle verarbeitet Daten ausschließlich weisungsgebunden im Auftrag einer anderen (z. B. ein externes Callcenter, das im Namen des Maklers Interessentenanfragen entgegennimmt) – hier gibt es nur einen Verantwortlichen.
• Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Zwei oder mehr Stellen legen gemeinsam Zweck und Mittel der Verarbeitung fest. Dies kommt für Makler etwa in Betracht bei einer engen Vermarktungskooperation zwischen zwei Maklerbüros (Objektaustausch mit gemeinsamer Interessentendatenbank), bei gemeinsamen Marketingaktionen mit Bauträgern oder Finanzierungspartnern, oder wenn Makler und Verkäufer gemeinsam über die Nutzung eines bestimmten CRM-Systems und die dort verfolgten Zwecke entscheiden.

Liegt eine gemeinsame Verantwortlichkeit vor, verlangt Art. 26 Abs. 1 DSGVO eine Vereinbarung, die insbesondere regelt, wer welche datenschutzrechtlichen Pflichten (Informationspflichten, Bearbeitung von Betroffenenanfragen) wahrnimmt. Das "Wesentliche" dieser Vereinbarung muss den Betroffenen zugänglich gemacht werden (Art. 26 Abs. 2 DSGVO), und der Betroffene kann seine Rechte gegenüber jedem der gemeinsam Verantwortlichen unabhängig von der internen Aufgabenverteilung geltend machen (Art. 26 Abs. 3 DSGVO).

Für Makler ist die praktische Konsequenz: Vor Eingehen einer engen Datenkooperation (gemeinsame Interessentenlisten, gemeinsame Marketingdatenbank) sollte geprüft werden, ob eine gemeinsame Verantwortlichkeit vorliegt, und in diesem Fall eine schriftliche Vereinbarung nach Art. 26 DSGVO getroffen werden – ein bloßer Kooperationsvertrag ohne datenschutzrechtliche Regelung genügt hierfür nicht.

Zwei Maklerbüros betreiben gemeinsam ein Objekt- und Interessentenportal, in das beide Interessentendaten einspeisen und gemeinsam auswerten, um passende Objekte vorzuschlagen. Da beide gemeinsam über Zweck (übergreifende Vermittlung) und Mittel (gemeinsame Datenbank) entscheiden, müssen sie eine Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO schließen und die Interessenten hierüber informieren.