Sind Laden und Smartphone-Hersteller gemeinsame Verantwortliche, wenn ich im Geschäft Push-Angebote erhalte?

**Nicht automatisch. Gemeinsame Verantwortlichkeit liegt nur vor, wenn Laden und Hersteller die konkrete Datenverarbeitung für die Push-Angebote gemeinsam über Zweck und wesentliche Mittel bestimmen; oft ist das nur teilweise oder gar nicht der Fall.** ([edpb.europa.eu](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_de)) ## Entscheidend ist nicht die Push-Nachricht, sondern wer was steuert Gemeinsame Verantwortliche nach Art. 26 DSGVO sind zwei Stellen nur dann, wenn sie **gemeinsam** über das „Warum“ und die wesentlichen Punkte des „Wie“ der Verarbeitung entscheiden. Dass beide wirtschaftlich profitieren, reicht dafür nicht. Genau darauf stellt der EDSA ab. ([edpb.europa.eu](https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_de)) Bei In-Store-Angeboten gibt es deshalb **kein Ja/Nein für alle Fälle**, sondern meist drei Konstellationen: ## Wann eher gemeinsame Verantwortlichkeit vorliegt Wenn der Laden und der Smartphone-Hersteller oder Plattformbetreiber das System so verzahnen, dass beide die Ausspielung der Angebote mitprägen, spricht viel für gemeinsame Verantwortlichkeit – etwa wenn sie gemeinsam festlegen: - welche Kundendaten genutzt werden, - nach welchen Standort- oder Verhaltenssignalen Angebote erscheinen, - welche Nutzergruppen angesprochen werden, - wie Erfolgsmessung und Profilbildung erfolgen. ([edpb.europa.eu](https://www.edpb.europa.eu/sme/find-practical-info/faq_de?page=1)) Der wichtige Punkt: Gemeinsame Verantwortlichkeit kann sich auch **nur auf einen Teil der Verarbeitung** beziehen, nicht zwingend auf alles. Der EuGH hat das bei ähnlichen Konstellationen klar begrenzt: gemeinsame Verantwortung kann für **Erhebung und Übermittlung** bestehen, aber nicht automatisch für jede spätere Weiterverarbeitung durch den anderen Beteiligten. ([curia.europa.eu](https://curia.europa.eu/site/upload/docs/application/pdf/2019-07/cp190099en.pdf)) ## Wann eher keine gemeinsame Verantwortlichkeit vorliegt Wenn der Hersteller nur das Betriebssystem oder den Push-Dienst technisch bereitstellt und der Laden allein entscheidet, **welche** Angebote **wann** an **wen** gehen, ist der Hersteller nicht schon deshalb gemeinsamer Verantwortlicher. Dann ist der Laden eher eigener Verantwortlicher, während der Hersteller je nach Ausgestaltung eigener Verantwortlicher für seine eigene Infrastruktur oder bloß ein separater Akteur für einen anderen Verarbeitungsschritt ist. ([edpb.europa.eu](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_de)) Umgekehrt gilt auch: Wenn der Hersteller eigene Zwecke verfolgt, etwa eigene Werbeprofile, Analytics oder plattformweite Personalisierung, dann ist er dafür oft **eigenständig** verantwortlich – nicht automatisch gemeinsam mit dem Laden. ([curia.europa.eu](https://curia.europa.eu/site/upload/docs/application/pdf/2019-07/cp190099en.pdf)) ## Der häufige Denkfehler Der typische Fehler ist, aus der sichtbaren Zusammenarbeit sofort auf gemeinsame Verantwortlichkeit zu schließen. Datenschutzrechtlich zählt aber nicht die Kooperation nach außen, sondern **wer die konkrete Verarbeitung tatsächlich mitbestimmt**. Praxisnah gesagt: - **Laden wählt Kampagne, Zielgruppe und Trigger allein** → eher **keine** gemeinsame Verantwortlichkeit mit dem Hersteller. - **Laden und Hersteller definieren gemeinsam Targeting-Logik oder Datennutzung** → eher **ja**, zumindest für diesen Teil. - **Hersteller nutzt die Daten zusätzlich für eigene Zwecke** → dafür meist **eigene** Verantwortlichkeit des Herstellers. ([edpb.europa.eu](https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_de)) ## Klare Einordnung Die beste kurze Antwort ist daher: **Der Laden und der Smartphone-Hersteller sind nicht schon wegen einer Push-Nachricht im Store gemeinsame Verantwortliche. Das hängt davon ab, ob sie die Ausspielung der Angebote gemeinsam konzipieren und steuern.** Maßgeblich sind also Vertragslage, technische Rollen, Targeting-Logik und die Frage, ob der Hersteller nur transportiert oder selbst über Werbezwecke mitentscheidet. ([edpb.europa.eu](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_de))