Agentur-Datenschutz 2026: Orientierung zur Doppelrolle als Auftragsverarbeiter und Verantwortlicher

Welche regulatorischen Vorgaben sind in der Agentur-Praxis einschlägig?

Drei Rollen-Konstellationen treten in der Agentur-Praxis verbreitet auf, die richtige Zuordnung hat erhebliche Konsequenzen für Verträge, Pflichten und Haftung:

Auftragsverarbeiter-Rolle (Art. 28 DSGVO). Sofern personenbezogene Daten weisungsgebunden im Auftrag eines Kunden verarbeitet werden und über Zweck und wesentliche Mittel der Verarbeitung der Kunde entscheidet, liegt typischerweise eine Auftragsverarbeitung vor. Erforderlich ist regelmäßig: schriftlicher Vertrag mit den Mindestinhalten nach Art. 28 Abs. 3 DSGVO, dokumentierte technisch-organisatorische Maßnahmen, transparente Listung der Sub-Auftragsverarbeiter.

Detail

Verantwortlichen-Rolle (Art. 4 Nr. 7 DSGVO). Für eigene Geschäftsdaten, Mitarbeitende, Bewerbende, eigenes Marketing, Buchhaltung, entscheidet die Agentur typischerweise selbst über Zweck und Mittel. Pflichten: Verarbeitungsverzeichnis (Art. 30 DSGVO), Informationspflichten (Art. 13 DSGVO), Aufbewahrungs- und Löschkonzept.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Bei gemeinsamer Festlegung von Zwecken und Mitteln, etwa bei Joint-Campaign-Setups, gemeinsamen Tracking-Implementierungen oder Marketplaces, kann gemeinsame Verantwortlichkeit nach Art. 26 DSGVO einschlägig sein. Die Abgrenzung ist sorgfältig zu prüfen (EDPB Guidelines 07/2020).

Welche Konstellation passt typisch zur Agentur mit 5 bis 20 Mitarbeitenden?

In der Beratungspraxis ist die folgende Konstellation für eine Agentur in dieser Größenordnung verbreitet, eine abschließende Einordnung hängt jedoch vom Einzelfall ab:

• Doppelrolle als Auftragsverarbeiter für Kunden-Daten und Verantwortliche für eigene Daten, saubere vertragliche und organisatorische Trennung erforderlich.
• Mehrere Auftragsverarbeitungsverträge je Mandat, typischerweise auf Basis eines Standard-Templates mit mandanten-spezifischen Anpassungen.

Detail

• Sub-Auftragsverarbeiter-Listung: Tool-Stack wie CRM, Newsletter, Projekt-Management, E-Mail, Cloud-Speicher, Design-Tools, Code-Hosting wird typischerweise transparent geführt; bei Tool-Wechsel ist eine Information der Kunden mit Widerspruchsrecht nach Art. 28 Abs. 2 DSGVO zu prüfen.
• DSB-Bestellungspflicht nach § 38 BDSG kann ab 20 Personen mit automatisierter Verarbeitung typischerweise eintreten, sofern die Kerntätigkeit jedoch in besonderen Kategorien (Health-Marketing, politische Kampagnen) oder in umfangreicher Beobachtung liegt, kann die DSB-Pflicht aus Art. 37 Abs. 1 lit. b und c DSGVO bereits früher greifen.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungspraxis hat sich ein dreistufiger Orientierungs-Rahmen etabliert. Ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Standard-AVV mit Sub-Auftragsverarbeiter-Liste. Ein konsistentes Template für die Auftragsverarbeitung mit allen Pflichtinhalten nach Art. 28 Abs. 3 DSGVO wird in der Praxis verbreitet eingesetzt. Quellen für Mustervorlagen: GDD, Bitkom, BVDW. Eine zentrale, aktuelle Liste der eingesetzten Sub-Auftragsverarbeiter mit Verarbeitungs-Zweck und Speicherort ist üblich.

Detail

Zweiter Baustein, Mitarbeiter-Datenschutz und Aufbewahrungs-Konzept. Für Recruiting-Daten ist eine Aufbewahrungsfrist von typischerweise sechs Monaten nach Absage verbreitet (Beweiszweck im Rahmen des AGG, § 15 AGG i. V. m. § 22 AGG-Klagefrist). Für Lohn-Daten ergeben sich Aufbewahrungsfristen aus § 147 AO. Eine Informationspflicht nach Art. 13 DSGVO gegenüber Mitarbeitenden ist mit Vertragsschluss einzuhalten.

Dritter Baustein, Zugangs-Inventar bei Kunden-Systemen. Sofern Logins zu Kunden-Systemen (CMS, Werbeplattformen, Analyse-Tools) verwaltet werden, ist eine zentrale, auditierbare Übersicht in der Praxis verbreitet. Ein Passwort-Manager mit Rollen-Konzept und ein dokumentierter Prozess bei Mitarbeiter-Austritt entsprechen typischen Anforderungen aus Cyber-Versicherungs-Bedingungen und Art. 32 DSGVO.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für Agenturen mit 5 bis 20 Mitarbeitenden nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

Detail

• Kerntätigkeit in besonderen Kategorien: Health-, Pharma-, Gewerkschafts-, politische, religiöse Kampagnen können die DSB-Pflicht nach Art. 37 Abs. 1 lit. c DSGVO unabhängig von der Mitarbeiterzahl auslösen, zusätzlich sind erweiterte technisch-organisatorische Maßnahmen zu prüfen.
• Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Bei Joint-Tracking-Setups, Co-Marketing oder gemeinsamen Datenbanken ist eine schriftliche Vereinbarung nach Art. 26 Abs. 1 DSGVO erforderlich, eine reine AVV-Konstruktion ist hier rechtlich nicht passend.
• Drittland-Transfer in nicht-angemessene Drittstaaten: Sofern Tools mit US-Bezug ohne EU-Datenresidenz oder ohne Data-Privacy-Framework-Zertifizierung eingesetzt werden, sind die Transfer-Grundlagen nach Art. 44 ff. DSGVO und ein Transfer Impact Assessment zu prüfen.
• KI-gestützte Kampagnen-Tools oder Generative-AI-Einsatz: Pflichten aus der Verordnung (EU) 2024/1689 (AI Act), insbesondere Transparenzpflichten nach Art. 50, können zusätzlich greifen; eine separate Einordnung wird empfohlen.
• Größenwachstum oder M&A: Bei einer Erweiterung über 20 Personen oder bei Übernahme einer anderen Agentur sind die DSB- und Inventur-Themen typischerweise neu zu prüfen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Datenschutzbeauftragte oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zu Standard-AVVs liefert der AVV-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit Art. 28 DSGVO: DSGVO-Auftragsverarbeitung nach Art. 28 in der Praxis.