(1) Die Einrichtung eines Verfahrens, das mehreren Verantwortlichen als gemeinsam Verantwortliche die Verarbeitung personenbezogener Daten ermöglicht, ist nur zulässig, wenn dies unter Berücksichtigung der schutzwürdigen Belange der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist.

(2) Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel der Verarbeitung fest, gelten sie als gemeinsam Verantwortliche.

(3) ¹Gemeinsam Verantwortliche haben eine Stelle zu bestimmen, der die Planung, Einrichtung und Durchführung des gemeinsamen Verfahrens obliegt, und ihre jeweiligen Aufgaben sowie datenschutzrechtlichen Verantwortlichkeiten in transparenter Form in einer Vereinbarung festzulegen, soweit diese nicht bereits in Rechtsvorschriften festgelegt sind. ²Aus der Vereinbarung muss insbesondere hervorgehen, wer welchen Informationspflichten nachzukommen hat und wie und gegenüber wem betroffene Personen ihre Rechte wahrnehmen können. ³Eine entsprechende Vereinbarung hindert die betroffene Person nicht, ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend zu machen.

(4) Abs. 1 bis 3 gelten entsprechend, wenn innerhalb einer öffentlichen Stelle ein gemeinsames Verfahren zur Verarbeitung personenbezogener Daten für verschiedene Zwecke eingerichtet wird.