Auftragsverarbeitungsvertrag für Agenturen: Das Fundament für DSGVO-Konformität

Für Kreativagenturen ist der Umgang mit Kundendaten Alltag. Ob Kundenlisten im CRM, Namen in Feedback-Dokumenten oder Bildmaterial mit Personen – sobald externe Tools oder Freelancer ins Spiel kommen, wird der Datenschutz komplex und ein Auftragsverarbeitungsvertrag für deine Agentur unerlässlich. Dieses Dokument ist keine bürokratische Formalie, sondern das rechtliche Fundament für eine sichere und DSGVO-konforme Zusammenarbeit mit Dienstleistern. Wir erklären, was der AV-Vertrag regelt, wann du ihn benötigst und worauf du bei der Auswahl deiner Tools achten musst.

"

Wichtiger Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Im Zweifelsfall oder bei spezifischen Fragen zur Rechtslage deiner Agentur empfehlen wir, sich an einen spezialisierten Anwalt oder deinen Datenschutzbeauftragten zu wenden.

Was ist ein Auftragsverarbeitungsvertrag (AVV) genau?

Ein Auftragsverarbeitungsvertrag, oft als AVV oder AV-Vertrag abgekürzt, ist eine rechtlich bindende Vereinbarung zwischen zwei Parteien: dem Verantwortlichen und dem Auftragsverarbeiter. Geregelt ist dies in Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Der AVV stellt sicher, dass ein externer Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, die strengen Vorschriften der DSGVO einhält und die Daten nur nach deinen Weisungen nutzt.

Für eine Agentur ist die Situation oft doppeldeutig:

• Gegenüber deinen Kunden agierst du als Auftragsverarbeiter, wenn du deren Kundendaten für Marketing-Kampagnen oder andere Projekte verarbeitest. In diesem Fall schließt dein Kunde einen AVV mit dir ab.
• Gegenüber deinen Dienstleistern (z. B. Software-Anbietern, Cloud-Hostern, Freelancern) agierst du als Verantwortlicher. Du beauftragst diese, in deinem Namen Daten zu verarbeiten, und musst daher einen AVV mit ihnen abschließen.

Der Vertrag definiert die technischen und organisatorischen Maßnahmen (TOMs) zum Schutz der Daten und legt die Rechte und Pflichten beider Seiten klar fest.

Der Auftragsverarbeitungsvertrag für deine Agentur: Wann ist er wirklich nötig?

Die Notwendigkeit eines AV-Vertrags ergibt sich immer dann, wenn ein externer Dienstleister weisungsgebunden personenbezogene Daten für dich verarbeitet. Es geht nicht darum, ob der Dienstleister die Daten aktiv auswertet, sondern allein darum, dass er technisch die Möglichkeit dazu hat. Die Verarbeitung muss der Hauptzweck der Dienstleistung sein oder ein wesentlicher, untrennbarer Bestandteil davon.

Typische Fälle in einer Agentur, die einen AVV erfordern:

• Cloud-Speicher und File-Sharing-Dienste: (z. B. Google Drive, Dropbox, WeTransfer) zur Speicherung von Projektdateien, die Kundennamen oder andere persönliche Informationen enthalten. Sichere Alternativen sind entscheidend, um Dateien mit Kunden sicher zu teilen.
• Projektmanagement-Tools: (z. B. Asana, Trello, Jira) in denen Namen von Mitarbeitern, Kunden oder Ansprechpartnern gespeichert sind.
• E-Mail-Marketing-Software: (z. B. Mailchimp, CleverReach) zur Verwaltung von Empfängerlisten und zum Versand von Newslettern im Auftrag deiner Kunden.
• Online-Proofing-Plattformen: Für die Freigabe von Entwürfen, die personenbezogene Daten enthalten können (z. B. Namen in einem PDF, Gesichter in einem Video).
• Webhosting und Server-Dienstleister: Wenn dort Websites oder Applikationen gehostet werden, die Nutzerdaten sammeln (z. B. über Kontaktformulare).
• Externe Freelancer: Sobald ein freier Mitarbeiter Zugriff auf deine Systeme oder direkt auf Kundendaten erhält, um einen Auftrag zu erfüllen.

Kein AVV ist hingegen notwendig für Dienstleistungen mit eigener fachlicher Weisungsfreiheit, wie etwa bei Steuerberatern, Anwälten oder dem Postversand durch die Deutsche Post.

Worauf du beim Inhalt eines AV-Vertrags achten musst

Ein AV-Vertrag ist kein Standarddokument, das man blind unterschreiben sollte. Artikel 28 Abs. 3 DSGVO schreibt konkrete Mindestinhalte vor. Prüfe, ob der vom Dienstleister vorgelegte Vertrag folgende Punkte umfassend und verständlich regelt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung: Was genau wird mit den Daten gemacht und warum?
• Art der personenbezogenen Daten: Welche Datenkategorien sind betroffen (z. B. Kontaktdaten, Nutzerverhalten, Gesundheitsdaten)?
• Kategorien der betroffenen Personen: Wessen Daten werden verarbeitet (z. B. Kunden, Mitarbeiter, Website-Besucher)?
• Rechte und Weisungsbefugnisse des Auftraggebers (deine Agentur): Du musst die Kontrolle über die Daten behalten.
• Pflichten des Auftragnehmers: Dazu gehören die Einhaltung der Vertraulichkeit, die Umsetzung von Sicherheitsmaßnahmen und die Meldung von Datenschutzverletzungen.
• Technische und organisatorische Maßnahmen (TOMs): Der Dienstleister muss konkret beschreiben, wie er die Daten schützt (z. B. durch Verschlüsselung, Zugriffskontrollen, Pseudonymisierung).
• Regelungen zu Sub-Auftragsverarbeitern: Der Dienstleister darf weitere Subunternehmer nur mit deiner Genehmigung einsetzen. Diese müssen transparent aufgelistet sein und denselben Datenschutzpflichten unterliegen.
• Unterstützungspflichten: Der Auftragnehmer muss dich bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung) und bei Datenschutz-Folgenabschätzungen unterstützen.
• Regelungen nach Vertragsende: Was geschieht mit den Daten nach Beendigung der Zusammenarbeit (Löschung oder Rückgabe)?

Eine sorgfältige Prüfung dieser Punkte ist zentral für die Auswahl der passenden DSGVO-konformen Agentur-Tools.

Herausforderung US-Tools: SCCs allein reichen nicht

Viele beliebte Kreativ- und Marketing-Tools stammen von US-Anbietern. Seit dem Ende des Privacy Shield-Abkommens ("Schrems II") gilt die Übermittlung personenbezogener Daten in die USA als rechtlich heikel. Als Standardmechanismus dienen hier die sogenannten Standardvertragsklauseln (Standard Contractual Clauses, SCCs).

Doch Vorsicht: SCCs regeln primär den sicheren Datentransfer in ein Drittland. Sie ersetzen aber nicht den Auftragsverarbeitungsvertrag, der die konkrete Verarbeitung der Daten regelt. Ein seriöser Anbieter muss dir beides zur Verfügung stellen, oft in einem kombinierten Dokument ("Data Processing Addendum", DPA).

Zusätzlich bist du verpflichtet, ein Transfer Impact Assessment (TIA) durchzuführen, um zu prüfen, ob die SCCs im Zielland (z. B. den USA) tatsächlich den gleichen Schutz bieten wie in der EU. Dies ist aufgrund der weitreichenden Zugriffsbefugnisse von US-Behörden oft fraglich. Plattformen mit Serverstandort in der EU, wie draftgo, vereinfachen diesen Prozess erheblich, da kein Drittlandtransfer stattfindet und der AVV nach deutschem Recht angeboten wird.

Praxistipps: So setzt du AV-Verträge in deiner Agentur um

1. Inventur durchführen: Erstelle eine Liste aller externen Tools, Plattformen und Dienstleister, die potenziell Zugriff auf personenbezogene Daten haben. Vergiss dabei auch Freelancer nicht.
2. AV-Verträge anfordern: Kontaktiere die Anbieter und fordere einen AV-Vertrag an. Bei den meisten SaaS-Tools findest du den Vertrag (oft als DPA bezeichnet) im Kundenkonto oder im Footer der Website zum digitalen Abschluss.
3. Inhalte und Subunternehmer prüfen: Nimm dir Zeit, die Inhalte zu prüfen. Wirf insbesondere einen Blick auf die Liste der Sub-Auftragsverarbeiter. Sind dort Dienste gelistet, denen du nicht vertraust oder die sich in unsicheren Drittländern befinden?
4. Zentral dokumentieren: Bewahre alle geschlossenen AV-Verträge zentral und griffbereit auf. Dies dient als Nachweis deiner Compliance gegenüber Aufsichtsbehörden und Kunden.
5. Prozesse etablieren: Mache den Abschluss eines AV-Vertrags zum festen Bestandteil des Onboarding-Prozesses für neue Tools und Dienstleister. Kein Einsatz ohne gültigen AVV.

Häufig gestellte Fragen (FAQ)

Was passiert, wenn ich keinen AVV abschließe?

Das Fehlen eines notwendigen AV-Vertrags ist ein Verstoß gegen die DSGVO. Dies kann zu empfindlichen Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Vorjahresumsatzes führen. Zudem setzt du dich Haftungsrisiken gegenüber deinen Kunden aus, falls es bei deinem Dienstleister zu einem Datenleck kommt.

Bin ich als Agentur Auftragnehmer oder Auftraggeber?

Beides, je nach Kontext. Gegenüber deinen Kunden bist du der Auftragnehmer, der deren Daten verarbeitet. Gegenüber den von dir genutzten Software-Anbietern oder Freelancern bist du der Auftraggeber, der die Verarbeitung in Auftrag gibt. Du benötigst also in beide Richtungen entsprechende Verträge.

Reicht ein Hinweis in den AGB des Tool-Anbieters?

Nein, ein einfacher Verweis in den Allgemeinen Geschäftsbedingungen ist nicht ausreichend. Art. 28 DSGVO verlangt einen separaten, schriftlichen oder elektronischen Vertrag, der die oben genannten Mindestinhalte detailliert regelt.

Fazit: Der AVV als Fundament datenschutzkonformer Agenturprozesse

Der Auftragsverarbeitungsvertrag ist weit mehr als eine lästige Pflicht. Er ist ein zentrales Werkzeug für das Risikomanagement und ein starkes Signal des Vertrauens an deine Kunden. Indem du sicherstellst, dass alle deine Dienstleister nach denselben hohen Datenschutzstandards arbeiten wie du selbst, schützt du nicht nur die Daten deiner Kunden, sondern auch den Ruf und die rechtliche Integrität deiner Agentur.

Ein proaktiver und systematischer Umgang mit AV-Verträgen ist daher unerlässlich. Ein optimierter Freigabe-Workflow für Agenturen reduziert nicht nur administratives Chaos, sondern minimiert durch die Wahl der richtigen, datenschutzkonformen Werkzeuge auch rechtliche Risiken. Nimm dir die Zeit, deine Tool-Landschaft zu prüfen und die notwendigen Verträge abzuschließen – es ist eine Investition, die sich langfristig auszahlt.