Gruppe.Tracking-Anbieter, CRM, Agentur, Newsletter-Tool: Jeder verarbeitet Daten im Auftrag. Welche Verträge nötig sind und worauf es dabei wirklich ankommt.
Fachbeitrag von LeadRaum Redaktion
Die LeadRaum Redaktion bündelt Erfahrung aus über einem Jahrzehnt Performance Marketing, Kampagnensteuerung und Vertriebsprozessen. Alle Beiträge werden vor Veröffentlichung fachlich geprüft und regelmäßig aktualisiert.
Kurz beantwortet: Ein Vertrag zur Auftragsverarbeitung (AVV nach Art. 28 DSGVO) ist gesetzlich zwingend vorgeschrieben, sobald externe Dienstleister wie Webhoster, Tracking-Tools, CRM-Systeme oder Marketingagenturen weisungsgebunden mit personenbezogenen Daten Ihrer Kunden arbeiten. In der Praxis fehlt der AVV häufig, weil Unternehmen reine Software-Abos fälschlicherweise als unkritischen Einkauf betrachten. Das Fehlen eines AVV begründet ein unmittelbares Bußgeldrisiko, für das der Auftraggeber voll haftet.
Hinweis: Dieser Beitrag bietet praxisorientierte Orientierung für Marketingverantwortliche und ersetzt keine anwaltliche Rechtsberatung.
Viele Geschäftsführer wiegen sich in falscher Sicherheit: Ein Auftragsverarbeitungsvertrag (AVV) klingt nach bürokratischem Großkonzern-Aufwand oder klassischem Outsourcing von Serverfarmen. Doch im modernen Marketingalltag genügt schon ein unscheinbares Newsletter-Plugin, ein Web-Analytics-Pixel oder eine externe Lead-Agentur, um den Tatbestand der Auftragsverarbeitung nach Art. 28 DSGVO zu erfüllen. Fehlt der schriftliche Vertrag, drohen empfindliche Bußgelder der Datenschutzaufsicht.
Entscheidend für die rechtliche Einordnung ist das Kriterium der Weisungsgebundenheit: Wenn ein externer Anbieter personenbezogene Daten (wie Namen, Telefonnummern, E-Mail-Adressen oder pseudonyme Werbe-IDs) ausschließlich für Ihre geschäftlichen Zwecke und nach Ihren Anweisungen verarbeitet, liegt eine Auftragsverarbeitung vor.
| Dienstleister und Marketing-Tool | Typische Einstufung nach DSGVO | Vertragliche Notwendigkeit |
|---|---|---|
| Webhosting & Serveranbieter | Auftragsverarbeitung (Art. 28 DSGVO) | Zwingender AVV vor Inbetriebnahme |
| CRM-Systeme (z. B. HubSpot, Pipedrive) | Auftragsverarbeitung (Art. 28 DSGVO) | Zwingender AVV inklusive Unterauftragnehmerliste |
| Web-Analytics & Call-Tracking | Auftragsverarbeitung (Art. 28 DSGVO) | Zwingender AVV für IP- und Sitzungsdaten |
| E-Mail-Marketing-Tools | Auftragsverarbeitung (Art. 28 DSGVO) | Zwingender AVV für Empfängerlisten |
| Marketingagentur mit Datenzugriff | Auftragsverarbeitung (Art. 28 DSGVO) | Zwingender AVV als Anlage zum Rahmenvertrag |
| Steuerberater, Wirtschaftsprüfer, Anwalt | Eigenverantwortliche Berufsgeheimnisträger | Kein AVV (Berufsrechtliche Schweigepflicht) |
| Meta / Google bei gemeinsamen Zielgruppen | Häufig gemeinsame Verantwortung (Art. 26 DSGVO) | Joint-Controllership-Vereinbarung (Page Insights) |
Besonders der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit (Joint Controllership) führt oft zu Verwirrung. Wenn Plattformen wie Meta eigene Werbeinteressen mit Ihren Kampagnendaten verknüpfen, greifen standardisierte Vereinbarungen zur gemeinsamen Verantwortung.
Art. 28 Abs. 3 DSGVO schreibt präzise Mindestbestandteile vor. Fehlt auch nur einer dieser Punkte, ist der Vertrag unvollständig:
Etablierte Software-Anbieter stellen fertige AVVs online bereit. Wichtig: Der Vertrag wird bei US-Konzernen oft nicht automatisch aktiv, sondern muss im Kundenkonto durch einen autorisierten Klick oder digitale Signatur bestätigt werden.
Nutzt Ihr CRM-Anbieter einen US-amerikanischen Cloud-Hosting-Dienst (wie AWS oder Google Cloud), verarbeitet dieser Sub-Dienstleister Ihre Kundendaten weiter. Daraus erwachsen zwei Kontrollpflichten:
Wo immer möglich, verringert der Einsatz europäischer Hosting-Infrastrukturen den bürokratischen Prüfungsaufwand spürbar. Eine effektive Methode zur Begrenzung von Drittland-Datenflüssen ist serverseitiges Tracking.
Die Einwilligung des Nutzers im Cookie-Banner regelt das Verhältnis zwischen Ihnen und dem Interessenten. Der AVV regelt das Verhältnis zwischen Ihnen und Ihrem Dienstleister. Das eine ersetzt niemals das andere.
Die übergeordneten rechtlichen Anforderungen an Anmeldeformulare und Werbeeinwilligungen vertieft DSGVO-konforme Leadgenerierung, die technische Umsetzung das Consent Management.
LeadRaum schützt Ihr Unternehmen vor Datenschutzrisiken: Für alle von uns bereitgestellten Akquise-Funnels, Server-Schnittstellen und Werbesysteme erhalten Sie vorab einen vollständig geprüften AVV nach Art. 28 DSGVO. Alle Datenflüsse werden DSGVO-konform auf europäischen Servern verarbeitet und rechtssicher an Ihr CRM übergeben.
Vereinbaren Sie ein unverbindliches Beratungsgespräch und erfahren Sie, wie LeadRaum Neukundengewinnung und DSGVO-Konformität perfekt vereint.
Ein AVV nach Art. 28 DSGVO ist immer dann Pflicht, wenn ein externer Dienstleister weisungsgebunden mit personenbezogenen Daten Ihres Unternehmens in Kontakt kommt – beispielsweise bei Cloud-CRMs, Webanalyse-Tools, Newsletter-Software oder Marketingagenturen.
Nein. Das Cookie-Banner holt die Einwilligung des Webseitenbesuchers ein. Der AVV regelt hingegen die rechtliche Beziehung zwischen Ihnen und dem Dienstleister. Beide Verträge müssen unabhängig voneinander vorliegen.
Das Fehlen eines AVV stellt einen direkten Verstoß gegen Art. 28 DSGVO dar und kann von Aufsichtsbehörden mit empfindlichen Bußgeldern geahndet werden. Zudem haften Sie als Auftraggeber für Datenschutzverstöße des unregulierten Dienstleisters.
Ja. Sie müssen die standardmäßigen Auftragsverarbeitungsbedingungen in den Kontoeinstellungen aktiv akzeptieren. Bei US-Anbietern sind zusätzlich die Standardvertragsklauseln (SCC) oder eine Zertifizierung unter dem EU-US Data Privacy Framework erforderlich.
Der Überblicksbeitrag zum Cluster: Welche Grundsätze bei der Erhebung und Nutzung von Kontaktdaten gelten, als Orientierung, nicht als Rechtsberatung.
Das Consent-Banner entscheidet über einen erheblichen Teil Ihrer Messdaten. Wie es rechtlich sauber bleibt, ohne die Datenbasis unnötig zu zerstören.
Serverseitiges Tracking gilt als Lösung für Datenverluste. Es hilft messbar – aber nicht bei allem. Eine nüchterne Einordnung von Nutzen, Aufwand und Grenzen.