DSGVO-Konformität einer Outbound-Agentur prüfen: Checkliste für Einkäufer

Warum diese Prüfung anders ist als die Frage „Ist Cold Email legal“

„Ist Kaltakquise per E-Mail in Deutschland legal“ ist eine wichtige, aber andere Frage, sie klärt die Rechtslage grundsätzlich und ist an anderer Stelle auf dieser Website beantwortet. Die Frage, die ein Einkäufer vor der Unterschrift stellen sollte, ist enger: arbeitet diese konkrete Agentur, mit diesem konkreten Prozess, tatsächlich so, dass mein eigenes Unternehmen im Streitfall nicht haftet.

Der Unterschied ist mehr als Semantik. Eine Agentur kann in einer Marketing-Broschüre „DSGVO-konform“ behaupten und trotzdem eine Datenverarbeitungsvereinbarung ohne die notwendigen Klauseln vorlegen, eine vage Rechtsgrundlage nennen oder keine Auskunft über den Speicherort der Daten geben. Der Einkäufer bleibt in diesem Fall Verantwortlicher im Sinne der DSGVO und trägt das Risiko mit, unabhängig davon, was auf der Website der Agentur steht.

Die fünf Punkte auf dieser Seite lassen sich vor Vertragsabschluss stellen, und jede Antwort lässt sich schriftlich einfordern, bevor ein Budget freigegeben wird. Wer sie erst nach der Unterschrift stellt, verhandelt aus einer schwächeren Position, weil die Agentur den Auftrag dann bereits hat.

Zwei Beispiele aus der Praxis zeigen, warum diese Unterscheidung nicht theoretisch ist. Eine Agentur kann eine öffentliche Datenschutzerklärung auf ihrer eigenen Website vorweisen, die ausschließlich die eigene Website betrifft, nicht die Verarbeitung der Kundendaten im Auftrag. Und eine Agentur kann in einem Verkaufsgespräch mündlich versichern, „selbstverständlich DSGVO-konform“ zu arbeiten, ohne dass diese Zusage jemals schriftlich im Vertrag auftaucht. Beide Fälle bestehen die grobe Prüfung und scheitern an der genauen.

Die Rechtsgrundlage: berechtigtes Interesse ist kein Freibrief

B2B-Kaltakquise per E-Mail stützt sich in der Praxis meist auf Artikel 6 Absatz 1 Buchstabe f DSGVO, das berechtigte Interesse. Diese Rechtsgrundlage ist kein pauschaler Freibrief, sie verlangt eine Abwägung im Einzelfall: das Interesse des Absenders an der Kontaktaufnahme gegen das Interesse der Empfängerin an ungestörter Kommunikation.

Eine Agentur, die diese Abwägung ernst nimmt, kann erklären, wie sie sie dokumentiert: welche Kriterien einen Kontakt für die berechtigte-Interesse-Grundlage qualifizieren, etwa eine erkennbare geschäftliche Rolle und ein thematischer Bezug zum Angebot, und wie diese Kriterien vor dem Versand geprüft werden. Eine Agentur, die nur „wir stützen uns auf berechtigtes Interesse“ sagt, ohne die Abwägung zu erklären, hat die Prüfung wahrscheinlich nicht selbst durchgeführt.

Zusätzlich verlangt Paragraf 7 Absatz 2 UWG bei Werbung durch elektronische Post grundsätzlich eine Einwilligung, mit einer engen Ausnahme für die Ansprache im Rahmen einer bestehenden Geschäftsbeziehung. Eine Agentur sollte erklären können, wie sie diese beiden Regelwerke, DSGVO und UWG, in ihrem Prozess zusammenführt, nicht nur eines davon zitieren.

Ein zusätzlicher Prüfpunkt betrifft die Zielgruppendefinition selbst. Berechtigtes Interesse trägt eher, wenn die Ansprache erkennbar auf die berufliche Rolle der Empfängerin zugeschnitten ist, etwa eine Einkaufsleiterin zu einem Einkaufsthema, und schwächer, wenn dieselbe Nachricht wahllos an jede in einem Datensatz vorhandene Person verschickt wird, unabhängig von deren Funktion. Eine Agentur, die vor dem Versand nach Rolle und Funktion filtert, arbeitet näher an der gesetzlich verlangten Abwägung als eine, die einfach jede verfügbare E-Mail-Adresse eines Unternehmens anschreibt.

Der Auftragsverarbeitungsvertrag: die fünf Klauseln, die nicht fehlen dürfen

Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist Pflicht, sobald eine Agentur personenbezogene Kontaktdaten im Auftrag des Kunden verarbeitet, was bei praktisch jeder Outbound-Kampagne der Fall ist. Ein AVV-Muster, das eine Agentur unaufgefordert vorlegt, sollte mindestens fünf Punkte enthalten.

• Gegenstand und Dauer der Verarbeitung. Welche Daten, für welchen Zweck, für welchen Zeitraum verarbeitet werden.
• Weisungsbindung. Die Agentur verarbeitet Daten ausschließlich nach dokumentierter Weisung des Kunden, nicht nach eigenem Ermessen.
• Technische und organisatorische Maßnahmen. Konkrete Angaben zu Verschlüsselung, Zugriffskontrolle und Protokollierung, nicht nur ein Verweis auf ein Zertifikat.
• Unterauftragsverarbeiter. Namentliche Nennung aller eingesetzten Subdienstleister, etwa Hosting- oder E-Mail-Versandanbieter, mit vorheriger Zustimmungspflicht bei einem Wechsel.
• Löschung oder Rückgabe nach Vertragsende. Eine konkrete Frist und ein festgelegtes Verfahren, nicht nur eine allgemeine Absichtserklärung.

Fehlt einer dieser fünf Punkte im vorgelegten Vertragsentwurf, ist das kein automatisches Ausschlusskriterium, aber ein konkreter Nachbesserungspunkt, der vor der Unterschrift geklärt werden sollte, nicht danach.

Ein sechster, in der Praxis oft übersehener Punkt: die Verarbeitungsorte selbst, also welche Werkzeuge und Plattformen die Agentur einsetzt, etwa ein CRM-System oder ein E-Mail-Versanddienst, sollten im AVV oder in einer Anlage dazu namentlich aufgeführt sein. Eine Liste mit „diverse SaaS-Tools“ statt konkreter Produktnamen macht eine spätere Prüfung im Streitfall praktisch unmöglich, weil niemand mehr nachvollziehen kann, wo die Daten tatsächlich verarbeitet wurden.

Datenstandort: wo die Kontaktdaten tatsächlich liegen

Der Datenstandort entscheidet, welches Recht für die technische Speicherung gilt und wie einfach eine Auskunfts- oder Löschanfrage in der Praxis umzusetzen ist. Eine Agentur, die ihre Infrastruktur innerhalb der EU betreibt, muss keine Übermittlung in ein Drittland rechtfertigen, eine Agentur mit Servern außerhalb der EU schon, über Standardvertragsklauseln oder einen Angemessenheitsbeschluss.

Die konkrete Frage lautet: in welchem Land liegt die Datenbank mit meinen Kontakten, physisch, nicht nur der Firmensitz der Agentur. Eine Agentur, die diese Frage sofort und konkret beantworten kann, hat den Punkt vermutlich bereits geprüft. Eine Agentur, die auf „unsere Cloud-Partner sind alle zertifiziert“ ausweicht, beantwortet die Frage nicht.

Ein Sonderfall betrifft US-amerikanische Anbieter, deren Muttergesellschaft dem US-CLOUD-Act unterliegt, selbst wenn die konkrete Speicherinstanz in der EU steht. In diesem Fall lohnt sich die zusätzliche Frage, ob ein behördlicher Zugriff aus einem Drittland grundsätzlich möglich wäre und wie die Agentur damit umgeht. Eine vollständig europäische Eigentümerstruktur beantwortet diese Frage eindeutiger als eine europäische Niederlassung eines nicht-europäischen Konzerns.

Die Opt-out-Frist: was eine Agentur schriftlich zusagen sollte

Jede Werbe-E-Mail muss laut Paragraf 7 UWG in Verbindung mit der DSGVO einen einfachen Weg zum Widerspruch enthalten, und dieser Widerspruch muss innerhalb einer angemessenen Frist umgesetzt werden. Was „angemessen“ bedeutet, ist im Gesetz nicht in Tagen beziffert, in der Praxis gilt eine Umsetzung innerhalb weniger Werktage als der branchenübliche Maßstab.

Eine Agentur sollte diese Frist konkret nennen können, etwa „Widerspruch wird innerhalb von drei Werktagen aus allen aktiven Sequenzen entfernt“, statt eine vage Zusage zu machen. Fragen Sie zusätzlich, ob der Opt-out zentral für alle Kampagnen gilt oder pro Kampagne einzeln gesetzt werden muss, letzteres ist ein Risiko, wenn eine Person versehentlich in einer zweiten Liste weitergeführt wird.

Ein Opt-out sollte zudem technisch nachvollziehbar sein, nicht nur versprochen. Fragen Sie, ob die Agentur eine zentrale Sperrliste führt, die bei jedem neuen Versand automatisch abgeglichen wird, oder ob der Ausschluss manuell in jeder einzelnen Kampagne gepflegt werden muss. Ein automatischer Abgleich reduziert das Risiko menschlichen Versagens erheblich gegenüber einer manuellen Pflege, die bei hohem Kampagnenvolumen fehleranfällig wird.

Löschfristen nach Vertragsende

Was mit den gesammelten Kontaktdaten, Antworten und Gesprächsnotizen nach dem letzten Zahltag passiert, ist eine eigene Frage, unabhängig vom AVV während der Vertragslaufzeit. Artikel 28 Absatz 3 Buchstabe g DSGVO verpflichtet die Agentur, nach Abschluss der Erbringung der Dienstleistungen alle personenbezogenen Daten zu löschen oder zurückzugeben, je nach Wahl des Verantwortlichen.

In der Praxis lohnt sich eine konkrete Frist im Vertrag, etwa Löschung binnen 30 Tagen nach Vertragsende, mit einer schriftlichen Bestätigung. Ohne eine solche Klausel bleibt offen, ob eine Agentur die Daten formlos weiter vorhält, was im Streitfall zu einem eigenständigen Verstoß führen kann, unabhängig davon, wie sauber die Verarbeitung während der Laufzeit war.

Diese Frist gilt unabhängig davon, ob der Kunde selbst um Löschung bittet oder der Vertrag einfach ausläuft, beide Fälle lösen dieselbe Pflicht nach Artikel 28 Absatz 3 Buchstabe g DSGVO aus. Ein Vertrag, der nur den Fall der ordentlichen Kündigung regelt, nicht aber den einfachen Vertragsablauf, lässt eine Lücke offen, die sich in der Praxis erst bemerkbar macht, wenn sie bereits zu spät ist.

Die Checkliste als Fragenkatalog fürs Erstgespräch

Alle fünf Punkte lassen sich als direkte Fragen in ein Erstgespräch mitnehmen, ohne juristische Vorkenntnisse: Auf welcher Rechtsgrundlage kontaktieren Sie meine Zielgruppe, und wie prüfen Sie das im Einzelfall? Zeigen Sie mir einen AVV-Entwurf mit den fünf genannten Klauseln. Wo genau, in welchem Land, liegt die Datenbank mit meinen Kontakten? Innerhalb welcher Frist wird ein Opt-out umgesetzt, zentral oder pro Kampagne? Was passiert mit meinen Daten, konkret mit welcher Frist, nach Vertragsende?

Eine Agentur, die alle fünf Fragen ohne Ausweichen beantwortet, hat die Prüfung wahrscheinlich schon selbst durchlaufen. Bei Ripe Leads gilt eine EU-Rechtsgrundlage auf Basis berechtigten Interesses, ein AVV nach Artikel 28 DSGVO und Speicherung innerhalb der EU, das ist eine Antwort unter den zulässigen, keine Norm, an der jede andere Agentur automatisch gemessen werden muss.

Die Antworten gehören in die Vertragsunterlage selbst, nicht in ein Gesprächsprotokoll. Eine Rechtsgrundlage, eine Löschfrist und ein Datenstandort, die nur im Angebotstext erwähnt sind, verpflichten die Agentur im Streitfall zu nichts, sobald der eigentliche Vertrag etwas anderes oder gar nichts dazu sagt.

Wer keine der fünf Fragen im ersten Gespräch stellen möchte, kann sie auch schriftlich vor dem Termin verschicken. Eine Agentur, die vorbereitete schriftliche Antworten liefert, statt live zu improvisieren, zeigt damit indirekt, dass die Antworten bereits Teil eines etablierten internen Prozesses sind, nicht spontan für dieses eine Gespräch erfunden.