DSGVO-Check­liste für Agenturen

Warum Datenschutz für Agenturen existenziell ist

Marketing-, Werbe- und Digital-Agenturen bewegen sich in einem hochsensiblen Datenschutzumfeld. Sie verarbeiten täglich personenbezogene Daten von Kunden, deren Kunden und weiteren Betroffenen. Von Kontaktdaten über Analyse-Cookies bis zu umfangreichen Kundendatenbanken – das Spektrum ist breit und die rechtlichen Anforderungen komplex.

Die Datenschutz-Grundverordnung (DSGVO) stellt Agenturen vor besondere Herausforderungen. Anders als viele andere Dienstleister agieren sie häufig als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, wenn sie im Auftrag ihrer Kunden personenbezogene Daten verarbeiten. Gleichzeitig sind sie für die eigene Datenverarbeitung selbst verantwortlich. Diese Doppelrolle erfordert ein umfassendes Verständnis der Datenschutzanforderungen und deren konsequente Umsetzung.

Die Relevanz einer DSGVO-Checkliste für Agenturen ergibt sich nicht nur aus der rechtlichen Compliance-Pflicht, sondern auch aus handfesten wirtschaftlichen Überlegungen. Datenschutzverstöße können Bußgelder nach sich ziehen. Darüber hinaus drohen Reputationsschäden, Kundenabwanderung und im schlimmsten Fall zivilrechtliche Schadensersatzforderungen. Eine systematische Herangehensweise an den Datenschutz ist daher keine lästige Pflicht, sondern ein zentraler Baustein der Unternehmensführung.

Rechtliche Grundlagen: Die DSGVO verstehen

Die Datenschutz-Grundverordnung bildet den zentralen Rechtsrahmen für die Verarbeitung personenbezogener Daten in der Europäischen Union. Sie wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt und konkretisiert.

Für Agenturen sind insbesondere folgende Bestimmungen von zentraler Bedeutung:

Art. 4 DSGVO definiert grundlegende Begriffe wie „personenbezogene Daten“. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur Namen und Kontaktdaten, sondern auch IP-Adressen, Cookie-Kennungen und sonstige Online-Identifikatoren.

Art. 6 DSGVO regelt die Rechtmäßigkeit der Verarbeitung. Jede Datenverarbeitung benötigt eine Rechtsgrundlage. Für Agenturen kommen hauptsächlich drei Alternativen in Betracht: die Einwilligung der betroffenen Person, die Erforderlichkeit zur Vertragserfüllung oder die Wahrung berechtigter Interessen. Bei der Verarbeitung im Rahmen von Marketing-Aktivitäten ist besondere Vorsicht geboten – hier greift häufig die Einwilligungspflicht.

Art. 28 DSGVO bildet die zentrale Norm für die Auftragsverarbeitung. Wenn eine Agentur personenbezogene Daten im Auftrag eines Kunden verarbeitet, muss ein schriftlicher Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Dieser muss detaillierte Regelungen zu Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie den Pflichten und Rechten beider Parteien enthalten. Fehlt ein AVV oder ist dieser mangelhaft, liegt ein Datenschutzverstoß vor.

Art. 32 DSGVO verpflichtet zur Umsetzung technischer und organisatorischer Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen müssen die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherstellen. Die konkrete Ausgestaltung hängt vom Stand der Technik, den Implementierungskosten und den Risiken für die Rechte und Freiheiten betroffener Personen ab.

Art. 33 und 34 DSGVO regeln die Meldepflichten bei Datenpannen. Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, muss die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden informiert werden. Bei hohem Risiko für die Betroffenen sind auch diese direkt zu benachrichtigen.

Die Doppelrolle von Agenturen im Datenschutz

Agenturen nehmen im Datenschutzrecht eine komplexe Stellung ein, da sie regelmäßig sowohl als Verantwortliche als auch als Auftragsverarbeiter agieren. Diese Unterscheidung ist von fundamentaler Bedeutung für die rechtlichen Pflichten.

Als Verantwortliche treten Agenturen auf, wenn sie selbst über Zweck und Mittel der Datenverarbeitung entscheiden. Dies ist beispielsweise der Fall bei der Verarbeitung von Bewerberdaten, der Verwaltung eigener Kundenkontakte oder beim Betrieb der eigenen Website mit Analyse-Tools. In dieser Rolle trägt die Agentur die volle datenschutzrechtliche Verantwortung und muss alle Pflichten selbständig erfüllen.

Als Auftragsverarbeiter fungieren Agenturen hingegen, wenn sie personenbezogene Daten im Auftrag und nach Weisung eines Kunden verarbeiten. Die Agentur hat als Auftragsverarbeiter erhebliche Pflichten: Sie muss geeignete technische und organisatorische Maßnahmen umsetzen, die Weisungen des Verantwortlichen befolgen, einen AVV abschließen und darf keine weiteren Auftragsverarbeiter ohne Zustimmung einschalten.

Die Pflichtdokumente: Verzeichnis der Verarbeitungstätigkeiten

Das Verzeichnis der Verarbeitungstätigkeiten bildet den Kern der Datenschutz-Dokumentation. Es dient der Rechenschaftspflicht und ermöglicht Aufsichtsbehörden sowie Betroffenen Transparenz über die Datenverarbeitung.

Agenturen müssen zwei getrennte Verzeichnisse führen: eines für die Tätigkeiten, bei denen sie als Verantwortliche agieren, und eines für die Auftragsverarbeitung. Beide Verzeichnisse müssen folgende Mindestangaben enthalten:

Für Verantwortliche:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Beschreibung der Kategorien betroffener Personen und personenbezogener Daten
• Kategorien von Empfängern, gegenüber denen die Daten offengelegt werden
• Gegebenenfalls Übermittlungen in Drittländer
• Fristen für die Löschung der verschiedenen Datenkategorien
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Für Auftragsverarbeiter:

• Name und Kontaktdaten sowie jedes Verantwortlichen, in dessen Auftrag gehandelt wird
• Kategorien von Verarbeitungen, die im Auftrag durchgeführt werden
• Gegebenenfalls Übermittlungen in Drittländer
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Die Herausforderung für Agenturen liegt in der Vielfalt ihrer Verarbeitungstätigkeiten. Eine typische Digitalagentur verarbeitet Daten in zahlreichen Kontexten: Bewerbermanagement, Personalverwaltung, Buchhaltung, eigenes Marketing, Website-Betrieb, Kundenbetreuung, und dann noch die verschiedenen Dienstleistungen für Kunden. Jede dieser Tätigkeiten muss im Verzeichnis erfasst werden.

Der Auftragsverarbeitungsvertrag: Herzstück der Agentur-Compliance

Wenn Agenturen personenbezogene Daten im Auftrag ihrer Kunden verarbeiten, ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO zwingend erforderlich. Dieser Vertrag muss schriftlich oder in elektronischer Form geschlossen werden und detaillierte Regelungen zu allen wesentlichen Aspekten der Auftragsverarbeitung enthalten.

Pflichtinhalte eines AVV:

Der Gesetzgeber gibt in Art. 28 DSGVO einen umfangreichen Katalog von Mindestinhalten vor. Der AVV muss regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen

Darüber hinaus muss der Auftragsverarbeiter sich insbesondere verpflichten:

• Daten nur auf dokumentierte Weisung zu verarbeiten
• Zur Vertraulichkeit der mit der Verarbeitung befassten Personen
• Zur Umsetzung angemessener technischer und organisatorischer Maßnahmen
• Weitere Auftragsverarbeiter nur mit Genehmigung einzuschalten
• Die Betroffenenrechte zu unterstützen
• Bei der Erfüllung der Pflichten des Verantwortlichen zu unterstützen
• Nach Auftragsende alle Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Pflichterfüllung zur Verfügung zu stellen
• Überprüfungen zu ermöglichen und dazu beizutragen

Technische und organisatorische Maßnahmen

Zutrittskontrolle: Unbefugte dürfen keinen physischen Zutritt zu Datenverarbeitungsanlagen erhalten. Agenturen sollten implementieren: Zutrittskontrollen zu Büroräumen durch Schlüsselsysteme oder elektronische Schließanlagen, Alarmanlage, Protokollierung von Besuchern, abschließbare Räume für Server und Datenträger, Clean-Desk-Policy für sensible Unterlagen.

Zugangskontrolle: Unbefugte dürfen keine Datenverarbeitungssysteme benutzen. Maßnahmen umfassen: individuelle Benutzerkonten für jeden Mitarbeiter, sichere Passwortrichtlinien (Mindestlänge, Komplexität, regelmäßiger Wechsel), Zwei-Faktor-Authentifizierung für den Zugriff auf kritische Systeme, automatische Bildschirmsperre nach Inaktivität, Verschlüsselung mobiler Endgeräte.

Zugriffskontrolle: Benutzer dürfen nur auf die Daten zugreifen, für die sie berechtigt sind. Agenturen benötigen: rollenbasierte Berechtigungskonzepte, Regelung von Lese-, Schreib- und Löschrechten nach dem Need-to-know-Prinzip, regelmäßige Überprüfung und Anpassung von Berechtigungen, sofortige Deaktivierung von Zugängen bei Ausscheiden von Mitarbeitern.

Weitergabekontrolle: Bei elektronischer Übertragung oder Transport dürfen Daten nicht unbefugt gelesen, kopiert oder gelöscht werden. Erforderlich sind: Verschlüsselung von E-Mails mit sensiblen Inhalten, sichere Datenübertragung, VPN-Verbindungen für Remote-Zugriffe, verschlüsselte Datenträger beim physischen Transport, Protokollierung von Datenübermittlungen.

Eingabekontrolle: Es muss nachvollziehbar sein, wer wann welche Daten eingegeben, verändert oder gelöscht hat. Agenturen sollten implementieren: Logging-Systeme, die alle relevanten Zugriffe protokollieren, Versionierung von Dokumenten, Nachvollziehbarkeit von Änderungen in Datenbanken, regelmäßige Auswertung der Protokolle.

Auftragskontrolle: Bei Auftragsverarbeitung dürfen Daten nur weisungsgemäß verarbeitet werden. Notwendig sind: klare Prozesse zur Entgegennahme und Dokumentation von Weisungen, regelmäßige Abstimmung mit Auftraggebern, Schulung der Mitarbeiter zu Weisungsbefugnissen, Dokumentation aller Verarbeitungsschritte.

Verfügbarkeitskontrolle: Daten müssen gegen zufällige Zerstörung oder Verlust geschützt sein. Agenturen benötigen: automatisierte, regelmäßige Backups, räumlich getrennte Backup-Speicherung, Notfallplan für Systemausfälle, unterbrechungsfreie Stromversorgung für kritische Systeme, Virenschutz und Firewall.

Trennungsgebot: Daten, die zu unterschiedlichen Zwecken erhoben wurden, müssen getrennt verarbeitet werden können. Maßnahmen umfassen: logische oder physische Trennung von Produktiv- und Testsystemen, getrennte Datenbanken für verschiedene Kunden oder Zwecke, Mandantenfähigkeit in eingesetzten Systemen.

Datenschutzinformationen und Einwilligungen richtig gestalten

Die Informationspflichten nach Art. 13 und 14 DSGVO gehören zu den am häufigsten vernachlässigten Compliance-Anforderungen. Dabei sind sie fundamental: Betroffene müssen in präziser, transparenter und leicht zugänglicher Form über die Verarbeitung ihrer Daten informiert werden.

Datenschutzerklärung der Agentur-Website:

Jede Website einer Agentur benötigt eine umfassende Datenschutzerklärung, die alle Verarbeitungsvorgänge beschreibt. Dazu gehören: Kontaktformulare, Newsletter-Anmeldung, Einsatz von Analysetools, Verwendung von Cookies, Social-Media-Plugins, Chat-Funktionen, Bewerbermanagement-Tools.

Für jeden dieser Verarbeitungsvorgänge muss die Datenschutzerklärung angeben: Art der verarbeiteten Daten, Zweck der Verarbeitung, Rechtsgrundlage, Empfänger oder Kategorien von Empfängern, Speicherdauer, Hinweise auf Betroffenenrechte, Informationen zum Widerspruchsrecht, bei automatisierten Entscheidungen Informationen über die involvierte Logik.

Betroffenenrechte systematisch umsetzen

Auskunftsrecht: Betroffene können Auskunft über die zu ihrer Person gespeicherten Daten verlangen. Die Agentur muss binnen eines Monats antworten und dabei folgende Informationen bereitstellen: welche Datenkategorien verarbeitet werden, zu welchen Zwecken, an welche Empfänger Daten übermittelt wurden, wie lange die Daten gespeichert werden, welche Betroffenenrechte bestehen, woher die Daten stammen, ob automatisierte Entscheidungsfindung stattfindet.

Recht auf Berichtigung: Sind gespeicherte Daten unrichtig oder unvollständig, müssen sie unverzüglich berichtigt werden. Agenturen sollten Prozesse etablieren, die eine schnelle Identifikation und Korrektur betroffener Datensätze ermöglichen.

Recht auf Löschung: Das „Recht auf Vergessenwerden“ verpflichtet zur Löschung, wenn einer der gesetzlichen Löschgründe vorliegt: Daten nicht mehr erforderlich, Einwilligung widerrufen, Widerspruch eingelegt, Daten unrechtmäßig verarbeitet, Löschpflicht nach EU- oder nationalem Recht. Wichtig: Löschpflichten können durch andere Rechtsnormen eingeschränkt werden, etwa durch steuerrechtliche Aufbewahrungspflichten. In solchen Fällen ist zumindest eine Einschränkung der Verarbeitung vorzunehmen.

Recht auf Einschränkung der Verarbeitung: Betroffene können verlangen, dass ihre Daten nur noch gespeichert, aber nicht mehr aktiv verarbeitet werden. Dies kommt insbesondere in Betracht, wenn die Richtigkeit der Daten bestritten wird oder ein Widerspruch gegen die Verarbeitung eingelegt wurde.

Recht auf Datenübertragbarkeit: Wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt, können Betroffene verlangen, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen übermitteln zu lassen.

Widerspruchsrecht: Beruht die Verarbeitung auf einer Interessenabwägung oder erfolgt sie zu Direktmarketingzwecken, können Betroffene widersprechen. Beim Direktmarketing muss die Verarbeitung ausnahmslos eingestellt werden.

DSGVO-Checkliste für Agenturen: Die praktische Umsetzung

Grundlegende Organisation:

• Datenschutzbeauftragten bestellt
• Datenschutzverantwortlichen intern benannt
• Datenschutz-Management-System etabliert
• Regelmäßige Datenschutz-Schulungen für Mitarbeiter durchgeführt
• Verzeichnis der Verarbeitungstätigkeiten erstellt und aktuell
• Datenschutz-Folgenabschätzung für risikoreiche Verarbeitungen durchgeführt

Verträge und Vereinbarungen:

• Auftragsverarbeitungsverträge mit allen relevanten Dienstleistern geschlossen
• Auftragsverarbeitungsverträge mit Kunden abgeschlossen
• Verträge zur gemeinsamen Verantwortlichkeit abgeschlossen (falls zutreffend)
• Vertraulichkeitsverpflichtungen mit allen Mitarbeitern vereinbart
• Regelungen zum Umgang mit personenbezogenen Daten in Arbeitsverträgen verankert

Technische und organisatorische Maßnahmen:

• Zutrittskontrolle zu Räumlichkeiten implementiert
• Zugangskontrolle zu IT-Systemen mit Passwortrichtlinie umgesetzt
• Zugriffskontrolle mit rollenbasierten Berechtigungen etabliert
• Verschlüsselung sensibler Daten und Datenübertragungen sichergestellt
• Backup-Konzept mit räumlich getrennter Speicherung implementiert
• Firewall und Virenschutz aktiv und aktuell
• Logging von Zugriffen auf personenbezogene Daten eingerichtet
• Clean-Desk-Policy eingeführt
• Prozesse zur Löschung von Daten etabliert

Informationspflichten und Transparenz:

• Datenschutzerklärung auf der eigenen Website vollständig und aktuell
• Cookie-Banner mit aktiver Einwilligungsmöglichkeit implementiert
• Datenschutzinformationen bei Erstkontakt mit Kunden/Interessenten bereitgestellt
• Datenschutzinformationen im Bewerbungsprozess integriert
• Einwilligungserklärungen für Marketingaktivitäten rechtskonform gestaltet

Betroffenenrechte:

• Prozesse zur Bearbeitung von Auskunftsanfragen definiert
• Prozesse zur Berichtigung, Löschung und Einschränkung etabliert
• Fristen zur Beantwortung von Anfragen (1 Monat) im Prozess verankert
• Identitätsprüfung bei Betroffenenanfragen geregelt
• Zentrale Kontaktadresse für Datenschutzanfragen eingerichtet

Auftragsverarbeitung:

• Alle Sub-Auftragsverarbeiter identifiziert und vertraglich gebunden
• Liste der Sub-Auftragsverarbeiter in AVV mit Kunden aufgeführt
• Technische und organisatorische Maßnahmen detailliert dokumentiert
• Weisungsprozesse für Auftraggeber definiert
• Unterstützung bei Betroffenenrechten vertraglich geregelt

Laufende Prozesse:

• Regelmäßige Überprüfung und Aktualisierung der Datenschutz-Dokumentation
• Quartalsweise Schulungen zum Datenschutz durchgeführt
• Jährliches Datenschutz-Audit durchgeführt
• Löschfristen regelmäßig überprüft und umgesetzt
• Neue Verarbeitungstätigkeiten vor Beginn datenschutzrechtlich geprüft

Datenschutz als Wettbewerbsvorteil

Datenschutz wird oft als lästige Pflicht wahrgenommen – zu Unrecht. Eine durchdachte Datenschutz-Compliance bietet Agenturen erhebliche Vorteile: Sie schützt vor Bußgeldern und Reputationsschäden, schafft Vertrauen bei Kunden und kann im Wettbewerb zum Differenzierungsmerkmal werden.

Entscheidend ist die konsequente Umsetzung. Ein halbherzig gepflegtes Verzeichnis der Verarbeitungstätigkeiten oder ein unvollständiger Auftragsverarbeitungsvertrag helfen im Ernstfall nicht weiter. Datenschutz erfordert Engagement, Ressourcen und Fachkenntnis. Aber die Investition lohnt sich: Sie sichert nicht nur die rechtliche Compliance, sondern stärkt auch das professionelle Profil der Agentur.

Agenturen, die Datenschutz ernst nehmen, signalisieren ihren Kunden Verlässlichkeit und Professionalität. In Zeiten zunehmender Datenschutzsensibilität und verschärfter Aufsicht kann dies den entscheidenden Unterschied machen. Datenschutz entwickelt sich vom Compliance-Thema zum echten Wettbewerbsvorteil.

Als spezialisierte Unternehmensberater unterstützen wir Agenturen dabei, ihre DSGVO-Compliance systematisch aufzubauen und nachhaltig zu sichern. Von der Erstberatung über die Vertragsgestaltung bis zur laufenden Betreuung bieten wir praxisnahe Lösungen, die auf die spezifischen Anforderungen von Agenturen zugeschnitten sind.