Eine Marketingagentur muss für jeden Arbeitsablauf klären, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Die Agentur kann für einen Newsletter Auftragsverarbeiter sein, für ihre eigene Kundengewinnung selbst verantwortlich handeln und bei einer gemeinsam gestalteten Datenerhebung gemeinsam verantwortlich sein. Der Agenturvertrag allein legt diese Rollen nicht verbindlich fest, wenn die tatsächliche Zusammenarbeit anders aussieht.
Für den Start einer Kampagne sind deshalb drei Prüfungen miteinander zu verbinden: die datenschutzrechtliche Rollenverteilung, die Zulässigkeit des jeweiligen Werbekanals und die technische Umsetzung. Eine unterschriebene Vereinbarung heilt weder eine unzulässige Adressliste noch ein Tracking, das vor der erforderlichen Einwilligung beginnt. Dieser Leitfaden zeigt, wie eine Agentur diese Fragen in Briefing, Freigabe und laufendem Betrieb bearbeitet. Die deutschen Rechtsquellen wurden am 29. September 2026 geprüft.
Rollen nach dem tatsächlichen Auftrag bestimmen
Nach Artikel 4 DSGVO entscheidet der Verantwortliche über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten für ihn. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses unterscheiden dabei wesentliche Entscheidungen von praktischen Einzelheiten der Umsetzung. Welche Personen erreicht werden sollen, welche Daten dafür eingesetzt werden und wie lange sie benötigt werden, sind andere Fragen als die Auswahl einer geeigneten Softwareoberfläche.
Beauftragt ein Unternehmen die Agentur, eine von ihm festgelegte Kundeninformation an eine zulässige Empfängerliste zu versenden, spricht dies bei weisungsgebundener Durchführung für Auftragsverarbeitung. Dass die Agentur Betreffzeilen gestaltet, Versandzeiten vorschlägt oder technische Einstellungen auswählt, macht sie nicht automatisch zur Verantwortlichen. Entscheidend bleibt, welche Entscheidungsspielräume tatsächlich übertragen werden und ob die Agentur die Daten für eigene Zwecke verwendet. Die Grundlagen erläutert der Beitrag zur Auftragsverarbeitung nach der DSGVO.
Die eigene Interessentendatenbank der Agentur ist dagegen eine eigene Verarbeitung. Auch eine Wiederverwendung von Kundendaten für eine selbst betriebene Zielgruppendatenbank muss gesondert bewertet werden. Eigene Zwecke führen jedoch nicht automatisch zu gemeinsamer Verantwortlichkeit mit dem Auftraggeber. Es kann sich um eine getrennte Verantwortlichkeit handeln. Eine Vertragsklausel, die sämtliche Tätigkeiten pauschal als Auftragsverarbeitung bezeichnet, beantwortet diese Abgrenzung nicht.
Erstellen Sie deshalb eine kurze Zuordnung pro Prozess: Herkunft der Daten, Zweck, entscheidende Stelle, Empfänger und tatsächliche Nutzung durch die Agentur. Trennen Sie etwa Kampagnenausführung, Abrechnung des Agenturhonorars und Eigenwerbung. Dadurch wird sichtbar, für welche Tätigkeit die Agentur Weisungen befolgt und für welche sie selbst eine Rechtsgrundlage, Information und Löschregel benötigt. Diese Zuordnung sollte mit den verantwortlichen Ansprechpartnern des Kunden besprochen werden, bevor Daten importiert werden.
Gemeinsame Verantwortlichkeit auf den konkreten Vorgang begrenzen
Gemeinsame Verantwortlichkeit kommt in Betracht, wenn mehrere Beteiligte gemeinsam über Zwecke und wesentliche Mittel entscheiden. Dafür können gemeinsame oder aufeinander abgestimmte Entscheidungen maßgeblich sein. Die bloße Zusammenarbeit an einer Kampagne, ein gemeinsamer wirtschaftlicher Vorteil oder die Bezahlung einer Agentur reichen als Erklärung nicht aus. Umgekehrt kann eine relevante Mitentscheidung auch bestehen, wenn ein Beteiligter später keinen direkten Zugriff auf alle erhobenen Daten hat.
Bei einem gemeinsam konzipierten Leadformular sind beispielsweise die Datenauswahl, die angesprochenen Personen und die vorgesehenen Empfänger zu untersuchen. Eine gemeinsame Entscheidung über die Erhebung bedeutet nicht ohne Weiteres, dass sämtliche spätere Verarbeitungen aller Beteiligten ebenfalls gemeinsam verantwortet werden. Der Umfang muss für die einzelnen Schritte nachvollziehbar sein. Andernfalls kann eine Vereinbarung Aufgaben zuordnen, die eine Partei technisch oder rechtlich gar nicht kontrolliert.
Sind die Voraussetzungen erfüllt, verlangt Artikel 26 DSGVO eine transparente Vereinbarung über die jeweiligen Pflichten, insbesondere zur Information und zur Wahrnehmung der Betroffenenrechte. Das Wesentliche der Vereinbarung ist den betroffenen Personen zur Verfügung zu stellen. Die interne Aufteilung darf deren Rechte nicht verkürzen. Ein gemeinsam betriebenes Kontaktformular braucht deshalb einen funktionierenden Eingang für Anfragen und eine Weiterleitung, wenn die angesprochene Stelle den Vorgang nicht allein bearbeiten kann.
Für die praktische Freigabe sollten Kunde und Agentur dieselbe Prozessbeschreibung verwenden. Wenn der Kunde von einem reinen Versandauftrag ausgeht, die Agentur aber eine eigene Zielgruppenanreicherung plant, ist die Abweichung vor dem Start zu klären. Erst danach lassen sich die passende Vereinbarung und die Informationspflichten bestimmen. Ein zusätzlich unterschriebenes Dokument ohne Änderung des widersprüchlichen Ablaufs schafft keine verlässliche Rollenverteilung.
Werbeeinwilligung und Rechtsgrundlage getrennt prüfen
Die datenschutzrechtliche Erlaubnis zur Verarbeitung einer Adresse und die Zulässigkeit einer Werbenachricht sind miteinander verbunden, aber nicht identisch. Für elektronische Post verlangt § 7 Absatz 2 Nummer 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung des Adressaten. Das betrifft auch geschäftliche Empfänger. Die Veröffentlichung einer Kontaktadresse auf einer Unternehmenswebsite ist keine pauschale Zustimmung zu Werbe-E-Mails.
Die Bestandskundenausnahme in § 7 Absatz 3 UWG greift nur, wenn alle gesetzlichen Voraussetzungen vorliegen. Der Unternehmer muss die elektronische Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten haben, für eigene ähnliche Angebote werben, einen Widerspruch beachten und bei Erhebung sowie jeder Verwendung klar auf die einfache Widerspruchsmöglichkeit ohne zusätzliche Übermittlungskosten hinweisen. Ein bloßer früherer Kontakt oder ein heruntergeladenes Dokument erfüllt diese Voraussetzungen nicht automatisch.
Dass eine Agentur den Versand technisch ausführt, schließt eine zulässige Bestandskundenwerbung des Auftraggebers nicht schon für sich aus. Die Agentur muss aber wissen, für wessen Angebote geworben wird und auf welche nachprüfbaren Umstände der Kunde die Ausnahme stützt. Eine Liste mit der pauschalen Bezeichnung „Bestandskunden“ reicht nicht. Werden Adressen anderer Unternehmen oder für andere Zwecke ergänzt, muss die Prüfung diese Veränderungen erfassen.
Ein Double-Opt-in-Verfahren kann helfen, eine Anmeldung und die Bestätigung der Adresse zu dokumentieren. Es ersetzt jedoch nicht die Prüfung des Einwilligungstextes, des vorgesehenen Absenders und der erfassten Werbezwecke. Es ist auch keine im Wortlaut des UWG für jeden Fall vorgeschriebene technische Universallösung. Die Beispiele für DSGVO-Einwilligungen helfen, Nachweis, Freiwilligkeit und verständliche Zweckbeschreibung voneinander zu unterscheiden.
Kanal und Kampagnenziel konkret festlegen
Eine Einwilligung für einen Newsletter deckt nicht automatisch andere Verwendungen derselben Kontaktdaten ab. Prüfen Sie deshalb gesondert, ob Adressen an eine Plattform übermittelt, mit anderen Datensätzen abgeglichen oder für eine neue Zielgruppenbildung eingesetzt werden sollen. Auch gehashte E-Mail-Adressen können personenbezogen bleiben, wenn sie gerade zum Abgleich mit bekannten Nutzern verwendet werden. Die technische Umwandlung beseitigt dann nicht die Fragen nach Zweck, Rechtsgrundlage und Empfängern.
Telefonwerbung folgt einer eigenen Regelung: § 7 UWG unterscheidet bei Anrufen durch Menschen zwischen Verbrauchern und sonstigen Marktteilnehmern. Bei Verbrauchern ist vorherige ausdrückliche Einwilligung erforderlich; bei sonstigen Marktteilnehmern kommt eine zumindest mutmaßliche Einwilligung in Betracht, deren Voraussetzungen nicht aus dem bloßen geschäftlichen Charakter des Anschlusses folgen. Automatische Anrufmaschinen unterliegen der strengeren Regel für die dort genannten Kommunikationsmittel. Eine Agentur sollte ihre Freigabe deshalb niemals nur mit „B2B erlaubt“ begründen.
Für Verbrauchertelefonwerbung enthält § 7a UWG besondere Dokumentationspflichten. Die Einwilligung ist bei ihrer Erteilung angemessen zu dokumentieren; der Nachweis ist fünf Jahre ab Erteilung sowie nach jeder Verwendung aufzubewahren und der zuständigen Behörde auf Verlangen unverzüglich vorzulegen. Diese spezielle Regel darf nicht als allgemeine fünfjährige Speicherpflicht für sämtliche Marketingdaten dargestellt werden. Für andere Nachweise ist die passende Aufbewahrung gesondert festzulegen.
Halten Sie im Kampagnenbriefing daher den Kanal, den Werbenden, das Angebot und die Herkunft der Empfänger fest. Eine Änderung vom eigenen Newsletter zu einer plattformübergreifenden Werbeaktion ist eine neue Prüfungsfrage, auch wenn der technische Dienstleister derselbe bleibt. Der Zusammenhang mit dem Kundenkonto, Bestellprozess und den dortigen Informationen wird im Leitfaden für Onlineshops und E-Commerce vertieft.
Tracking nach TDDDG und DSGVO umsetzen
§ 25 TDDDG betrifft das Speichern von Informationen in Endeinrichtungen und den Zugriff auf dort bereits gespeicherte Informationen. Diese Prüfung hängt nicht davon ab, ob die betreffende Information bereits als personenbezogen eingeordnet wird. Grundsätzlich ist eine informierte Einwilligung erforderlich. Die gesetzlichen Ausnahmen betreffen den alleinigen Zweck der Nachrichtenübertragung über ein öffentliches Telekommunikationsnetz sowie Vorgänge, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Die anschließende Verarbeitung personenbezogener Daten ist zusätzlich nach der DSGVO zu prüfen. Umgekehrt ist nicht jede Übermittlung einer vorhandenen Kundenliste schon allein deshalb ein Zugriff auf eine Endeinrichtung. Für die Agentur bedeutet das, die tatsächlichen technischen Schritte zu beschreiben, statt jede Marketingfunktion unter ein einziges Schlagwort „Cookie-Einwilligung“ zu stellen. Der Beitrag zum deutschen Cookie-Banner-Recht erläutert die Abgrenzung näher.
Die technische Freigabe muss zum dokumentierten Konzept passen. Welche Tags werden vor einer Entscheidung geladen? Welche Kategorien sind voreingestellt? Werden Widerrufe an die beteiligten Systeme weitergegeben? Bei einer neuen Version der Website können zusätzliche Einbindungen entstehen, obwohl das Banner unverändert aussieht. Prüfen Sie daher den tatsächlichen Ablauf einschließlich der Ablehnung und des späteren Widerrufs, nicht nur die sichtbare Gestaltung einer Oberfläche.
Eine Consent-Management-Plattform sollte danach ausgewählt werden, welche erforderlichen Abläufe sie in der konkreten Umgebung unterstützt. Entscheidend sind unter anderem die Steuerung der verwendeten Technologien, nachvollziehbare Konfigurationen und die Handhabung von Änderungen. Ein Muster für Cookie-Informationen muss an die tatsächlich eingesetzten Dienste angepasst werden. Weder der Kauf eines Werkzeugs noch eine lange Liste von Anbietern beweist eine wirksame Einwilligung.
Dienstleister, Konten und internationale Zugriffe prüfen
Nicht jedes eingesetzte Unternehmen ist automatisch ein Auftragsverarbeiter. Bewerten Sie für Versand, Hosting, Analyse und Plattformwerbung jeweils die tatsächlichen Leistungen und eigenen Verwendungszwecke. Bei einem weiteren Auftragsverarbeiter braucht die Agentur die vorgesehene vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner Genehmigung muss sie geplante Änderungen so mitteilen, dass der Kunde Gelegenheit zum Einspruch hat. Eine nachträglich aktualisierte Anbieterliste allein ersetzt diesen Ablauf nicht.
Für die Auftragsverarbeitung sind die Anforderungen aus Artikel 28 durch einen schriftlichen Vertrag oder einen anderen bindenden Rechtsakt des Unionsrechts oder des Mitgliedstaatsrechts festzulegen; elektronische Form ist möglich. Die Vereinbarung muss zur eingesetzten Leistung passen. Für typische Werkzeuge bieten die Beiträge zu HubSpot und DSGVO sowie Mailchimp und DSGVO zusätzliche Prüffragen. Eine Nennung des Produkts ist dabei keine Bestätigung, dass jede Konfiguration oder Vertragsvariante zulässig ist.
Bei einem Empfänger außerhalb des Europäischen Wirtschaftsraums ist zusätzlich Kapitel V DSGVO zu prüfen. Ein einschlägiger Angemessenheitsbeschluss kann den Transfer abdecken; andernfalls kommen geeignete Garantien und die erforderliche Prüfung ihrer Wirksamkeit in Betracht. Deshalb sind weder „US-Anbieter immer verboten“ noch „Standardklauseln immer ausreichend“ brauchbare Freigaben. Identifizieren Sie die konkrete empfangende Gesellschaft, den Zugriff aus Drittländern und gegebenenfalls den Umfang einer relevanten Zertifizierung.
Auch die Kontoinhaberschaft sollte vorab geklärt sein. Ein Werbekonto auf einen einzelnen Agenturmitarbeiter erschwert Vertretung, Zugriffskontrolle und spätere Übergabe. Vereinbaren Sie, wer Administratoren benennen darf, wie Zugriffe begrenzt werden und was bei einem Personalwechsel geschieht. Dies sind praktische Maßnahmen zur kontrollierten Durchführung des Auftrags; sie verändern für sich genommen nicht die datenschutzrechtliche Rolle der Beteiligten.
Nachweise so führen, dass Änderungen erkennbar bleiben
Ein Verzeichnis von Verarbeitungstätigkeiten hilft, eigene Verarbeitungen und die Tätigkeitskategorien für Kunden auseinanderzuhalten. Die gesetzlichen Angaben für Verantwortliche und Auftragsverarbeiter sind nicht identisch. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist außerdem begrenzt: Sie entfällt für Tätigkeiten, deren Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte und Freiheiten betroffener Personen birgt oder Daten nach Artikel 9 oder 10 umfasst. Eine regelmäßig betriebene Agenturleistung wird nicht allein durch die geringe Teamgröße dokumentationsfrei.
Verknüpfen Sie den jeweiligen Auftrag mit der freigegebenen Empfängerliste, der Herkunft der Daten und den geltenden Texten. Bei einer Einwilligung ist beispielsweise entscheidend, welcher Inhalt der Person bei Erteilung tatsächlich angezeigt wurde. Eine heute sichtbare Website beschreibt nicht zuverlässig die Anmeldung von vor mehreren Monaten. Änderungen sollten deshalb datiert und nachvollziehbar sein, ohne unnötig zusätzliche personenbezogene Daten anzusammeln.
Für eine Freigabe empfiehlt sich eine verantwortliche Person auf jeder Seite. Sie muss offene Fragen erkennen und die Kampagne gegebenenfalls zurückstellen können. Eine Bestätigung „Kunde hat zugestimmt“ ist wenig hilfreich, wenn der Kunde nur Gestaltung und Budget geprüft hat. Benennen Sie deshalb ausdrücklich, ob die Freigabe den Empfängerkreis, die rechtlichen Voraussetzungen, die technische Umsetzung oder mehrere dieser Punkte umfasst.
Widersprüche und Datenpannen im laufenden Betrieb
Ein Werbewiderspruch muss in den relevanten Abläufen wirksam werden. Wird nur die Adresse im Versandwerkzeug gelöscht, kann ein späterer Import sie erneut aktivieren. Prüfen Sie daher eine zweckgebundene, auf das Erforderliche begrenzte Sperrinformation und deren Weitergabe an die zuständigen Systeme. Artikel 21 DSGVO verlangt, dass personenbezogene Daten nach einem Widerspruch gegen Direktwerbung nicht mehr für diese Zwecke verarbeitet werden. Die organisatorische Umsetzung darf nicht von der Erinnerung eines einzelnen Mitarbeiters abhängen.
Bei einer Verletzung des Schutzes personenbezogener Daten informiert die Agentur als Auftragsverarbeiter den Verantwortlichen ohne unangemessene Verzögerung. Für den Verantwortlichen gilt die Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden, sofern die Verletzung nicht voraussichtlich ohne Risiko für Rechte und Freiheiten bleibt. Eine spätere Meldung ist zu begründen. Alle Datenschutzverletzungen sind zu dokumentieren; die Benachrichtigung betroffener Personen bei hohem Risiko ist eine weitere, gesondert zu prüfende Pflicht.
Der Leitfaden zum Melden einer Datenpanne unterstützt diese Abgrenzung. Für eine Agentur sind etwa eine falsch ausgewählte Empfängerliste, ein offen erreichbarer Export oder ein kompromittiertes Administratorkonto denkbare Auslöser einer Prüfung. Eine interne Eskalationsregel sollte festlegen, wer den Vorfall aufnimmt und welche Informationen sofort an den Kunden gehen. Die Meldung darf nicht erst dann beginnen, wenn jede technische Ursache abschließend aufgeklärt ist.
Auftragsende und Wiederverwendung sauber regeln
Am Ende der Leistung muss der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurückgeben oder löschen und bestehende Kopien löschen, soweit keine einschlägige unionsrechtliche oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Praktisch sind nicht nur das Hauptkonto, sondern auch Exporte, Arbeitsordner, Supportdateien und genehmigte weitere Dienstleister zu betrachten. Für Sicherungskopien braucht es einen nachvollziehbaren Umgang mit Zugriff und Löschung; ihre Existenz rechtfertigt keine unbegrenzte weitere Nutzung.
Die Agentur sollte zugleich unterscheiden, welche Unterlagen sie für eigene, gesondert zu bewertende Zwecke noch benötigt, etwa zur Abrechnung. Daraus folgt kein Recht, komplette Kampagnenlisten als allgemeines Arbeitsarchiv zu behalten. Eine spätere Wiederverwendung für eigene Werbung oder andere Kunden ist eine neue Verarbeitung mit eigenen Voraussetzungen. Eine saubere Übergabe dokumentiert deshalb Datenumfang, Zugriffsende, erledigte Löschungen und verbleibende begründete Einschränkungen so, dass beide Seiten den tatsächlichen Abschluss nachvollziehen können.