Bestimmen zwei oder mehr Verantwortliche gemeinsam den Zweck und die Mittel zur Verarbeitung, so sind sie gemeinsam verantwortlich. Die Abgrenzung der Verantwortung und der Informationspflichten ist vertraglich in einem sog. Joint-Controller Vertrag zu regeln. In dieser Vereinbarung müssen sich die jeweiligen Verantwortlichkeiten, Funktionen und Beziehungen widerspiegeln. Im Außenverhältnis haften jedoch beide Parteien gesamtschuldnerisch.