KVKK-Leitfaden für Digitalagenturen

Digitale Compliance & KVKK • Leitfaden 2025

Digitalagenturen verarbeiten bei Kampagnenmanagement, CRM-Integration und Remarketing zahlreiche personenbezogene Daten. Nach der KVKK handeln sie daher meist als „Auftragsverarbeiter“. Viele Agenturen übernehmen jedoch unbewusst die Rolle des Verantwortlichen und gehen damit rechtliche Risiken ein.

Zusammenfassung: Der Grundsatz für Agenturen: „Verarbeiten Sie Daten im Auftrag eines Kunden, sind Sie Auftragsverarbeiter; entscheiden Sie für eigene Zwecke, sind Sie Verantwortlicher.“

1. Kampagnendaten und Geltungsbereich der KVKK

• Datenerhebung über Formulare: Über Webformulare erhobene Daten wie Namen, E-Mail-Adressen und Telefonnummern fallen unter die KVKK.
• Remarketing: IP-Adressen und Verhaltensdaten aus pixel- und cookiebasiertem Tracking gelten als personenbezogene Daten.
• Analyseplattformen: Prüfen Sie die Übertragung und Weitergabe von Daten, die in Tools wie Google Ads, Meta und LinkedIn verarbeitet werden.
• Dashboard-Zugriff der Agentur: Hat die Agentur Zugriff auf Kundensysteme, müssen ihre Datenverarbeitungstätigkeiten dokumentiert werden.

„Jeder Klick liefert Daten; jedes Datum bringt eine Verpflichtung mit sich.“

2. Agenturen als Auftragsverarbeiter

Bereich	Rolle der Agentur	Verpflichtung
Kampagnenverwaltung	Handelt nach Weisung des Verantwortlichen	Eine Auftragsverarbeitungsvereinbarung (DPA) abschließen
CRM-Integration	Verarbeitet die Daten, ist aber nicht deren Eigentümer	Zugriffsprotokolle speichern
Analyse & Berichterstattung	Verarbeitet erhobene Daten und erstellt Berichte	Anonymisierung oder Maskierung anwenden

3. Compliance bei Formularen und Kampagnenprozessen

• Zu Beginn der Kampagne schriftliche Weisungen des Kunden einholen.
• Beide Parteien sollten eine Auftragsverarbeitungsvereinbarung (DPA) unterzeichnen.
• Formulare sollten Datenschutzhinweise und ein Kontrollkästchen für die ausdrückliche Einwilligung enthalten.
• Die Daten müssen am Ende der Kampagne gelöscht oder dem Kunden zugestellt werden.

„Die Datenlöschung ist der letzte Schritt im sicheren Kampagnenmanagement.“

4. Beispiel des B10-Compliance-Protokolls

B10 Digital Agency setzt bei allen Kampagnenkooperationen ein standardisiertes „Datenverarbeitungs-Compliance-Protokoll“ ein. Dieses Protokoll definiert die Beziehung zwischen Agentur und Marke transparent:

Abschnitt	Inhalt
1. Begriffsbestimmungen	Definitionen von Verantwortlichem, Auftragsverarbeiter und besonderen Kategorien personenbezogener Daten
2. Zweck	Begrenzung der Datenverarbeitung in Kampagnenprozessen
3. Verpflichtungen	Datensicherheitsmaßnahmen und Löschungspflicht der Agentur
4. Prüfung	Prüfungsrecht der Marke für die Agenturprozesse
5. Meldung von Datenschutzverletzungen	Verpflichtung, den Verantwortlichen innerhalb von 72 Stunden zu benachrichtigen

B10-Empfehlung: Jede Kampagnenakte sollte eine DPA, ein Datenflussdiagramm und einen Einwilligungstext enthalten. Diese Dokumente sollten digital archiviert und für Prüfungen bereitgehalten werden.

5. Eine Compliance-Kultur in der Agentur schaffen

• Alle Teams müssen KVKK-Sensibilisierungstraining erhalten,
• Die Datenrichtlinie sollte beim Onboarding neuer Kunden unterzeichnet werden.
• Gemeinsame Daten dürfen nur autorisierten Personen zugänglich sein,
• Die Richtlinien zur Datenspeicherung in Cloud-Diensten sollten regelmäßig überprüft werden.

Richten Sie Ihre Agentur an der KVKK aus.
B10 Digital Agency bietet nachhaltige Datensicherheit durch KVKK-Compliance-Protokolle, Einwilligungstexte und speziell auf Digitalagenturen zugeschnittene DPAs.

KVKK-Compliance-Protokoll anfragen Kann eine Agentur Verantwortlicher sein?

Ja, wenn Sie Daten für eigene Zwecke verarbeiten, etwa bei Marketinganalysen. Verarbeiten Sie Daten im Auftrag des Kunden, sind Sie Auftragsverarbeiter.

Müssen wir am Ende der Kampagne Formulardaten löschen?

Ja. Nach Artikel 7 der KVKK müssen Daten gelöscht, vernichtet oder anonymisiert werden, wenn der Verarbeitungszweck entfällt.

Sind Remarketing-Daten personenbezogene Daten?

Ja. IP-Adressen, Cookie-IDs und Daten zum Nutzerverhalten gelten als personenbezogene Daten. Ihre Verwendung sollte daher in der Cookie-Richtlinie klar erläutert werden.

Tags: KVKK • Digitalagentur • Auftragsverarbeiter • Remarketing • DPA • B10 Digital Agency