Agentur-Datenschutz 2026: Orientierung zur Doppelrolle als Auftragsverarbeiter und Verantwortlicher

Welche regulatorischen Vorgaben sind in der Agentur-Praxis einschlägig?

Drei Rollen-Konstellationen treten in der Agentur-Praxis verbreitet auf, die richtige Zuordnung hat erhebliche Konsequenzen für Verträge, Pflichten und Haftung:

Auftragsverarbeiter-Rolle (Art. 28 DSGVO). Sofern personenbezogene Daten weisungsgebunden im Auftrag eines Kunden verarbeitet werden und über Zweck und wesentliche Mittel der Verarbeitung der Kunde entscheidet, liegt typischerweise eine Auftragsverarbeitung vor. Erforderlich ist regelmäßig: schriftlicher Vertrag mit den Mindestinhalten nach Art. 28 Abs. 3 DSGVO, dokumentierte technisch-organisatorische Maßnahmen, transparente Listung der Sub-Auftragsverarbeiter.

Verantwortlichen-Rolle (Art. 4 Nr. 7 DSGVO). Für eigene Geschäftsdaten, Mitarbeitende, Bewerbende, eigenes Marketing, Buchhaltung, entscheidet die Agentur typischerweise selbst über Zweck und Mittel. Pflichten: Verarbeitungsverzeichnis (Art. 30 DSGVO), Informationspflichten (Art. 13 DSGVO), Aufbewahrungs- und Löschkonzept.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Bei gemeinsamer Festlegung von Zwecken und Mitteln, etwa bei Joint-Campaign-Setups, gemeinsamen Tracking-Implementierungen oder Marketplaces, kann gemeinsame Verantwortlichkeit nach Art. 26 DSGVO einschlägig sein. Die Abgrenzung ist sorgfältig zu prüfen (EDPB Guidelines 07/2020).

Welche Konstellation passt typisch zur Agentur mit 5 bis 20 Mitarbeitenden?

Für eine Agentur dieser Größenordnung ergibt sich typischerweise die folgende Konstellation; eine abschließende Einordnung hängt vom Einzelfall ab:

• Doppelrolle als Auftragsverarbeiter für Kunden-Daten und Verantwortliche für eigene Daten, saubere vertragliche und organisatorische Trennung erforderlich.
• Mehrere Auftragsverarbeitungsverträge je Mandat, typischerweise auf Basis eines Standard-Templates mit mandanten-spezifischen Anpassungen.

• Sub-Auftragsverarbeiter-Listung: Tool-Stack wie CRM, Newsletter, Projekt-Management, E-Mail, Cloud-Speicher, Design-Tools, Code-Hosting wird typischerweise transparent geführt; bei Tool-Wechsel ist eine Information der Kunden mit Widerspruchsrecht nach Art. 28 Abs. 2 DSGVO zu prüfen.
• DSB-Benennungspflicht nach § 38 BDSG tritt ein, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind, und unabhängig von der Personenzahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen (§ 38 Abs. 1 Satz 2 BDSG). Besteht die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien (etwa Health-Marketing, politische Kampagnen) oder in einer umfangreichen regelmäßigen und systematischen Überwachung, folgt die Pflicht zusätzlich aus Art. 37 Abs. 1 lit. b oder c DSGVO.

Welcher Aufbau-Rahmen ist verbreitet?

Eine mögliche Gliederung der Umsetzung in drei Bausteine; ob sie im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Standard-AVV mit Sub-Auftragsverarbeiter-Liste. Ein konsistentes Template für die Auftragsverarbeitung mit allen Pflichtinhalten nach Art. 28 Abs. 3 DSGVO wird in der Praxis verbreitet eingesetzt. Eine Quelle für Mustervorlagen ist etwa das Vertragsmuster der GDD. Eine zentrale, aktuelle Liste der eingesetzten Sub-Auftragsverarbeiter mit Verarbeitungs-Zweck und Speicherort ist üblich.

Zweiter Baustein, Mitarbeiter-Datenschutz und Aufbewahrungs-Konzept. Für Recruiting-Daten ist eine Aufbewahrungsfrist von typischerweise sechs Monaten nach Absage verbreitet (Beweiszweck im Rahmen des AGG: Ansprüche nach § 15 AGG sind binnen zwei Monaten nach Zugang der Ablehnung schriftlich geltend zu machen, § 15 Abs. 4 AGG, und binnen drei Monaten danach einzuklagen, § 61b Abs. 1 ArbGG; die Beweislastregel des § 22 AGG macht eine dokumentierte Auswahlentscheidung wichtig). Für Lohn-Daten ergeben sich Aufbewahrungsfristen unter anderem aus § 147 AO, § 41 Abs. 1 Satz 9 EStG (Lohnkonto) und § 28f SGB IV. Die Informationspflicht nach Art. 13 DSGVO gegenüber Bewerbenden und Mitarbeitenden ist zum Zeitpunkt der Erhebung der Daten zu erfüllen (Art. 13 Abs. 1 DSGVO), also in der Regel bereits im Bewerbungsverfahren.

Dritter Baustein, Zugangs-Inventar bei Kunden-Systemen. Sofern Logins zu Kunden-Systemen (CMS, Werbeplattformen, Analyse-Tools) verwaltet werden, ist eine zentrale, auditierbare Übersicht in der Praxis verbreitet. Ein Passwort-Manager mit Rollen-Konzept und ein dokumentierter Prozess bei Mitarbeiter-Austritt sind geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für Agenturen mit 5 bis 20 Mitarbeitenden nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Kerntätigkeit in besonderen Kategorien: Health-, Pharma-, Gewerkschafts-, politische, religiöse Kampagnen können, wenn sie eine umfangreiche Verarbeitung besonderer Kategorien als Kerntätigkeit darstellen, die DSB-Pflicht nach Art. 37 Abs. 1 lit. c DSGVO unabhängig von der Mitarbeiterzahl auslösen; ist für die Verarbeitung eine Datenschutz-Folgenabschätzung erforderlich, folgt die Pflicht zudem aus § 38 Abs. 1 Satz 2 BDSG, zusätzlich sind erweiterte technisch-organisatorische Maßnahmen zu prüfen.
• Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Bei Joint-Tracking-Setups, Co-Marketing oder gemeinsamen Datenbanken ist eine Vereinbarung in transparenter Form nach Art. 26 Abs. 1 Satz 2 DSGVO erforderlich, die festlegt, wer welche Pflichten erfüllt, eine reine AVV-Konstruktion ist hier rechtlich nicht passend.
• Drittland-Transfer in nicht-angemessene Drittstaaten: Sofern Tools mit US-Bezug ohne EU-Datenresidenz oder ohne Data-Privacy-Framework-Zertifizierung eingesetzt werden, sind die Transfer-Grundlagen nach Art. 44 ff. DSGVO und ein Transfer Impact Assessment zu prüfen.
• KI-gestützte Kampagnen-Tools oder Generative-AI-Einsatz: Pflichten aus der Verordnung (EU) 2024/1689 (AI Act), insbesondere Transparenzpflichten nach Art. 50, können zusätzlich greifen; eine separate Einordnung wird empfohlen.
• Größenwachstum oder M&A: Bei einer Erweiterung über 20 Personen oder bei Übernahme einer anderen Agentur sind die DSB- und Inventur-Themen typischerweise neu zu prüfen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Datenschutzbeauftragte oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zu Standard-AVVs liefert der AVV-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit Art. 28 DSGVO: DSGVO-Auftragsverarbeitung nach Art. 28 in der Praxis.