EuGH muss entscheiden: Muss die Joint-Controller-Vereinbarung veröffentlicht werden?

Transparenzpflichten bei gemeinsamer Verantwortlichkeit gehören zu den bislang nicht abschließend geklärten Fragen der DSGVO. Insbesondere ist umstritten, ob das „Wesentliche“ einer Vereinbarung nach Art. 26 DSGVO Betroffenen aktiv auf einer Website zugänglich gemacht werden muss oder auch erst auf Anfrage bereitgestellt werden kann. Das OLG Düsseldorf (Urt. v. 2.4.2026 – 20 UKl 4/25) hat diese Frage dem EuGH zur Vorabentscheidung vorgelegt.

Der Kläger, ein Wirtschaftsverband, nahm einen Rechtsanwalt auf Unterlassung in Anspruch. Dieser betrieb ein Profil auf der Plattform anwalt.de. Nach Ansicht des Klägers fehlten auf der Profilseite sowohl datenschutzrechtliche Informationen als auch das „Wesentliche“ einer Vereinbarung über die gemeinsame Verantwortlichkeit zwischen Plattformbetreiber und Profilinhaber im Sinne von Art. 26 DSGVO.

Der Beklagte hielt dem entgegen, dass Art. 26 DSGVO keine Pflicht begründe, diese Informationen unmittelbar auf der Website vorzuhalten. Es genüge, die entsprechenden Angaben Betroffenen auf Nachfrage zur Verfügung zu stellen.

Das OLG Düsseldorf hat das Verfahren ausgesetzt und dem diese Frage dem EuGH zur Vorabentscheidung vorgelegt. Das Gericht möchte klären lassen, ob gemeinsam Verantwortliche entsprechende Informationen unmittelbar auf der Website oder zumindest über einen deutlich gekennzeichneten Link bereitstellen müssen oder auch auf Anfrage bereitstellen können.

Gemeinsame Verantwortlichkeit bei Plattformprofilen

Das OLG Düsseldorf geht davon aus, dass zwischen dem Betreiber der Plattform und dem jeweiligen Profilinhaber jedenfalls für bestimmte Datenverarbeitungsvorgänge eine gemeinsame Verantwortlichkeit besteht. Anknüpfend an die Rechtsprechung des EuGH zu Fanpages und Social Plugins sieht das Gericht jedenfalls für die Erhebung personenbezogener Daten beim Besuch des Profils eine gemeinsame Verantwortlichkeit als naheliegend an.

Für bestimmte Verarbeitungsvorgänge, die sich unmittelbar auf das Kanzleiprofil beziehen - insbesondere Nachrichtenfunktion, Bewertungseinladungen, Bewertungen sowie Bestellungen von Rechtsprodukten - besteht eine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DS-GVO zwischen anwalt.de und der jeweiligen Kanzlei. Anwalt.de stellt hierzu eine Vereinbarung nach Art. 26 DS-GVO bereit [...], die u.a. die Zuständigkeiten bezüglich Informationspflichten und Betroffenenrechten regelt. Dieses Modell folgt der vom EuGH entwickelten „phasenspezifischen“ Joint-Controllership-Logik (vgl. EuGH C-210/16 - Fanpages; C-40/17 - Fashion ID). Die erwähnte Vereinbarung zu Art. 26 DS-GVO enthält einen Link zu einer Datenschutzerklärung von anwalt.de […].

Sobald eine Nachricht den Anwalt erreicht und in die eigentliche Mandatsanbahnung oder Mandatsbearbeitung übergeht, ist der Anwalt alleiniger Verantwortlicher für diese Verarbeitung. Bewertungen und statistische Auswertungen verbleiben demgegenüber in der alleinigen Verantwortlichkeit von anwalt.de.

Mangels weitergehenden Vortrags ist diese Darstellung zugrunde zu legen. Nach der Rechtsprechung des EuGH ist sowohl anwalt.de als auch der Beklagte Verantwortlicher für die Datenverarbeitung, soweit über die angegriffene Unterseite persönliche Daten erhoben werden (Urteil vom 05.06.2018 - C-210/16 - ULD/Wirtschaftsakademie, NJW 2018, 2537; Urteil vom 29.07.2019 - C-40/17 - Fashion ID/Verbraucherzentrale NRW; NJW 2019, 2755 - ID Fashion; Urteil vom 02.12.2025 - C-492/23 - X/Russmedia Digital SRL, Inform Media Press SRL - ECLI:EU:C:2025:935).

Streitpunkt: Muss das Wesentliche der Vereinbarung veröffentlicht werden?

Der zentrale Streitpunkt betrifft die Auslegung von Art. 26 Abs. 2 S. 2 DSGVO. Die Vorschrift verlangt, dass das „Wesentliche der Vereinbarung“ den betroffenen Personen zur Verfügung gestellt wird. Offen sei jedoch, ob dies bereits auf der Website erfolgen müsse. Die Vorlage erfolgt vor dem Hintergrund einer uneinheitlichen Rechtslage. Während Teile der Literatur eine Veröffentlichung auf der Website verlangen, halten andere Stimmen die Bereitstellung auf Anfrage für ausreichend. Zudem verwies das Gericht auf die unterschiedlichen Auffassungen der Datenschutzbehörden.

Es ist unklar, ob der Datenverarbeitende verpflichtet ist, das Wesentliche der Vereinbarung mit einem anderen Datenverarbeitenden bereits auf der Webseite im Zusammenhang mit den Informationen nach Art. 13 DS-GVO darzustellen, oder ob er sich nicht damit begnügen darf, diese Angaben auf konkrete Nachfragen zu übermitteln. Dies ist in der Literatur umstritten (für eine Veröffentlichungspflicht auf der Webseite Specht-Riemenschneider/Schneider MMR 2019, 503, 506; dagegen Piltz, in Gola/Heckemann, DSGVO/BDSchG, Art. 26 Rn. 32; unklar Spoerr, in BeckOK Datenschutzrecht (51. Ed.) Rn. 57). Gegen eine solche Verpflichtung spricht, dass die Wörter „zum Zeitpunkt der Erhebung“ in Art. 26 Abs. 2 S. 2 DSGVO fehlen.

Die Auffassung der Datenschutzbehörden ist gespalten. Die EDSA-Guidelines (07/2020) gehen in Rn. 181 davon aus, dass eine Mitteilung auf der Webseite zwar möglich ist, eine solche auf Anfrage aber ausreicht. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat in ihrer Stellungnahme an das Gericht dazu Folgendes ausgeführt:

Art. 26 DSGVO regelt nicht, wann und auf welche Weise den Betroffenen das Wesentliche der Vereinbarung zur Verfügung zu stellen ist. Anders als etwa in Art. 30 Abs. 4 DSGVO oder Art. 40 Abs. 11 DSGVO ist nicht ausdrücklich bestimmt, dass die Informationen „auf Anfrage“ verfügbar gemacht oder „in geeigneter Weise veröffentlicht“ werden sollen. Eine Verpflichtung der gemeinsam Verantwortlichen, betroffenen Personen das Wesentliche der Vereinbarung unaufgefordert zur Verfügung zu stellen, kann Art. 26 DSGVO daher nicht entnommen werden. […]

Im Ergebnis kann es daher aus Sicht der LDI NRW sinnvoll und empfehlenswert sein, dass gemeinsam Verantwortliche betroffenen Personen das “Wesentliche der Vereinbarung” gemäß Art. 26 Abs. 2 Satz 2 DSGVO unaufgefordert und frühzeitig (z.B. auf einer Webseite und zeitgleich mit den Informationen gemäß Art. 13 Abs. 1 DSGVO) zur Verfügung stellen. Eine zwingende Verpflichtung hierzu begründet Art. 26 Abs. 2 Satz 2 DSGVO indes nicht.

Die LDI NRW hat die übrigen deutschen Datenschutz-Aufsichtsbehörden über die rechtliche Bewertung der LDI NRW informiert und um Mitteilung gebeten, ob diese Sichtweise geteilt wird. Hierzu haben vier Aufsichtsbehörden eine Rückmeldung gesandt. Drei von ihnen teilen die Einschätzung der LDI NRW. Eine Aufsichtsbehörde hat sich inhaltlich wie folgt geäußert: „(…) im Ergebnis teilen wir Ihre rechtliche Bewertung, dass gemeinsam Verantwortliche den betroffenen Personen das “Wesentliche der Vereinbarung” unaufgefordert und frühzeitig (z.B. auf einer Webseite und zeitgleich mit den Informationen gemäß Art. 13 Abs. 1 DSGVO) zur Verfügung zu stellen haben. Wie zitiert, hält es der EDSA zwar offenbar für ausreichend, dass die Informationen erst auf Anfrage zur Verfügung gestellt werden. Ein solches „Anfordern“ sieht Art. 26 Abs. 2 Satz 2 DS-GVO, im Gegensatz zu anderen Vorschriften über die Betroffenenrechte, aber gerade nicht vor. Da sich ein Antragserfordernis nicht aus dem Wortlaut der Vorschrift ergibt und dieser den Ausgangspunkt und die Grenze der Auslegung bildet, begründet die Vorschrift darüber hinaus eine voraussetzungslose (zwingende) Verpflichtung des Verantwortlichen.

Die Vorlagefrage an den EuGH

Vor diesem Hintergrund hat das OLG Düsseldorf das Verfahren ausgesetzt und dem EuGH die entsprechende Frage vorgelegt:

Wenn für eine Datenverarbeitung bei dem Aufsuchen einer Webseite auf einer Plattform sowohl der Plattformbetreiber als auch der Webseiteninhaber gemeinsam verantwortlich sind, sind die Verantwortlichen dann verpflichtet, das Wesentliche ihrer Vereinbarung im Sinne von Art. 26 Abs. 1 DS-GVO auf dieser Webseite oder jedenfalls auf einer anderen Webseite, auf die die aufgesuchte mittels eines entsprechend gekennzeichneten Links verweist, zur Verfügung zu stellen?

Das Gericht weist zudem auf Folgendes hin:

Erfolgt eine Datenverarbeitung dadurch, dass ein Benutzer eine Webseite aufsucht, müssen nach allgemeiner Auffassung die Informationen nach Art. 13 DSGVO auf dieser Webseite selbst, jedenfalls auf einer anderen Webseite, auf die ein entsprechend bezeichneter Link auf der besuchten Webseite verweist, gemacht werden. Nach der Auffassung des Klägers hat die Mitteilung nach Art. 26 Abs. 2 S. 2 DS-GVO auf die gleiche Art und Weise zu erfolgen. Alleine dies ist Streitgegenstand. Vor diesem Hintergrund hat der Senat die von den Beteiligten vorgeschlagenen Fragen präzisiert.

Fazit

Die Vorlage betrifft eine praxisrelevante und bislang ungeklärte Frage der DSGVO-Transparenzpflichten. Sollte der EuGH eine Veröffentlichungspflicht bejahen, müssten Betreiber von Plattformprofilen, Online-Portalen und sonstigen gemeinsam verantworteten Webangeboten das Wesentliche ihrer Joint-Controller-Vereinbarungen künftig regelmäßig direkt auf der Website oder über einen entsprechend gekennzeichneten Link zugänglich machen. Verneint der EuGH eine solche Pflicht, dürfte eine Bereitstellung auf Anfrage genügen. Die Entscheidung wird damit erhebliche Auswirkungen auf die Gestaltung von Datenschutzhinweisen und Transparenzmaßnahmen haben.