Warum bei der Auftragsverarbeitung mit Marketing-Dienstleistern meist ein Vertrag fehlt

Inhalte des Vertrags

Ein Vertrag zur Auftragsverarbeitung muss unter anderem regeln: 

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Kategorien betroffener Personen und Datenarten
• Weisungsbindung – der Auftragsverarbeiter handelt nur auf dokumentierte Weisung
• Vertraulichkeit der eingesetzten Personen
• Technische und organisatorische Maßnahmen zur Sicherheit
• Unterauftragnehmer – Genehmigungsvorbehalt und Informationspflicht bei Wechseln
• Unterstützungspflichten bei Betroffenenrechten und Datenschutzverletzungen
• Löschung oder Rückgabe nach Ende der Leistung
• Nachweis- und Kontrollrechte des Verantwortlichen

Die meisten etablierten Anbieter stellen einen entsprechenden Vertrag bereit, häufig als Bestandteil der Nutzungsbedingungen oder zur Aktivierung im Konto. Er muss aktiv abgeschlossen und dokumentiert werden – automatisch gilt er nicht. 

Der übersehene Punkt: Unterauftragnehmer

Ein Newsletter-Anbieter nutzt einen Cloud-Betreiber, dieser wiederum Rechenzentren mehrerer Regionen. Jede dieser Ebenen verarbeitet Daten mit. Zwei Pflichten folgen daraus: 

1. Kenntnis der Liste. Die aktuelle Übersicht der Unterauftragnehmer sollte bekannt und dokumentiert sein.
2. Reaktion auf Änderungen. Anbieter informieren über Wechsel meist per Änderungsmitteilung mit Widerspruchsfrist. Wer diese Mitteilungen nicht liest, stimmt faktisch stillschweigend zu.

Praktisch heißt das: Eine Person im Unternehmen sollte diese Benachrichtigungen empfangen und einmal jährlich die Listen abgleichen. 

Drittlandtransfer

Verarbeiten Anbieter Daten außerhalb der EU beziehungsweise des EWR, kommt eine weitere Ebene hinzu. Erforderlich ist eine Grundlage für die Übermittlung – etwa ein Angemessenheitsbeschluss für das betreffende Land oder Standardvertragsklauseln, ergänzt um eine Abschätzung der tatsächlichen Rechtslage im Zielland. 

Praktische Konsequenz für Marketing-Setups: Wo europäische Alternativen bestehen und fachlich genügen, reduziert deren Einsatz den Dokumentationsaufwand erheblich. Wo das nicht der Fall ist, gehört die Übermittlung sauber begründet und dokumentiert. Ein Weg, die Menge übertragener Daten zu begrenzen, ist serverseitiges Tracking. 

Die Einwilligung des Nutzers ersetzt keinen Vertrag zur Auftragsverarbeitung. Beides betrifft verschiedene Ebenen und wird regelmäßig verwechselt.

Prüfung des Dienstleisters

Der Vertrag allein genügt nicht – die Eignung des Dienstleisters ist zu prüfen und die Prüfung zu dokumentieren. Für kleinere Unternehmen ist ein pragmatischer Umfang üblich: 

1. Sicherheitsmaßnahmen anfordern und auf Plausibilität prüfen.
2. Zertifikate oder Prüfberichte heranziehen, sofern vorhanden.
3. Verarbeitungsorte und Unterauftragnehmer erfassen.
4. Ergebnis kurz dokumentieren – eine Seite je Dienstleister genügt in der Regel.
5. Turnus festlegen, meist jährlich oder bei wesentlichen Änderungen.

Ein praktikabler Ablauf

Für Marketing-Abteilungen hat sich folgende Reihenfolge bewährt: 

1. Bestandsaufnahme. Alle Werkzeuge auflisten, die Kontaktdaten, Nutzungsdaten oder Kennungen verarbeiten – erfahrungsgemäß mehr als erwartet.
2. Einordnung. Auftragsverarbeitung, gemeinsame Verantwortung oder eigenverantwortlich?
3. Verträge abschließen und zentral ablegen, nicht im Postfach einzelner Mitarbeiter.
4. Verzeichnis der Verarbeitungstätigkeiten ergänzen.
5. Vor jeder neuen Software die Frage stellen, bevor sie eingeführt wird – nachträglich ist der Aufwand deutlich höher.

Punkt fünf verhindert die häufigste Situation: ein produktiv genutztes Werkzeug ohne vertragliche Grundlage. Die weiteren Anforderungen an eine rechtssichere Lead-Erhebung beschreibt DSGVO-konforme Leadgenerierung, die Einwilligungsseite Consent Management. 

Häufige Fehler

• Vertrag nicht aktiv abgeschlossen. Bei vielen Anbietern ist eine Bestätigung im Konto erforderlich.
• Agenturen vergessen. Wer Zugriff auf Kampagnen- und Kundendaten hat, verarbeitet Daten im Auftrag.
• Änderungsmitteilungen ignoriert. Wechsel bei Unterauftragnehmern laufen sonst unbemerkt durch.
• Verantwortung als ausgelagert betrachtet. Sie verbleibt beim Unternehmen.
• Keine Löschregelung. Was nach Vertragsende mit den Daten geschieht, muss geregelt und umgesetzt sein.