{"id":6381,"date":"2025-11-20T04:56:01","date_gmt":"2025-11-20T04:56:01","guid":{"rendered":"https:\/\/sittig.law\/?p=6381"},"modified":"2025-11-27T09:33:07","modified_gmt":"2025-11-27T09:33:07","slug":"dsgvo-checklist-agency","status":"publish","type":"post","link":"https:\/\/sittig.law\/en\/dsgvo-checkliste-agentur\/","title":{"rendered":"GDPR checklist for agencies"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Das Wichtigste im \u00dcberblick<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
    \n\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tAgenturen verarbeiten sensible Kundendaten und unterliegen umfassenden DSGVO-Pflichten \u2013 von der Auftragsverarbeitung \u00fcber Betroffenenrechte bis zu technischen Schutzma\u00dfnahmen<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tAuftragsverarbeitungsvertr\u00e4ge (AVV) nach Art. 28 DSGVO sind zwingend erforderlich, wenn Agenturen personenbezogene Daten im Auftrag von Kunden verarbeiten \u2013 fehlende oder mangelhafte AVV k\u00f6nnen zu Bu\u00dfgeldern f\u00fchren<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t\t\t
  • \n\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t<\/i>\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\tTechnische und organisatorische Ma\u00dfnahmen (TOM) nach Art. 32 DSGVO m\u00fcssen dokumentiert und regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden \u2013 eine strukturierte Checkliste hilft, alle Anforderungen systematisch umzusetzen und Datenschutzverst\u00f6\u00dfe zu vermeiden<\/span>\n\t\t\t\t\t\t\t\t\t<\/li>\n\t\t\t\t\t\t<\/ul>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Warum Datenschutz f\u00fcr Agenturen existenziell ist\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Marketing-, Werbe- und Digital-Agenturen bewegen sich in einem hochsensiblen Datenschutzumfeld. Sie verarbeiten t\u00e4glich personenbezogene Daten von Kunden, deren Kunden und weiteren Betroffenen. Von Kontaktdaten \u00fcber Analyse-Cookies bis zu umfangreichen Kundendatenbanken \u2013 das Spektrum ist breit und die rechtlichen Anforderungen komplex.<\/p>

    Die Datenschutz-Grundverordnung (DSGVO) stellt Agenturen vor besondere Herausforderungen. Anders als viele andere Dienstleister agieren sie h\u00e4ufig als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, wenn sie im Auftrag ihrer Kunden personenbezogene Daten verarbeiten. Gleichzeitig sind sie f\u00fcr die eigene Datenverarbeitung selbst verantwortlich. Diese Doppelrolle erfordert ein umfassendes Verst\u00e4ndnis der Datenschutzanforderungen und deren konsequente Umsetzung.<\/p>

    Die Relevanz einer DSGVO-Checkliste f\u00fcr Agenturen ergibt sich nicht nur aus der rechtlichen Compliance-Pflicht, sondern auch aus handfesten wirtschaftlichen \u00dcberlegungen. Datenschutzverst\u00f6\u00dfe k\u00f6nnen Bu\u00dfgelder nach sich ziehen. Dar\u00fcber hinaus drohen Reputationssch\u00e4den, Kundenabwanderung und im schlimmsten Fall zivilrechtliche Schadensersatzforderungen. Eine systematische Herangehensweise an den Datenschutz ist daher keine l\u00e4stige Pflicht, sondern ein zentraler Baustein der Unternehmensf\u00fchrung.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Rechtliche Grundlagen: Die DSGVO verstehen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Die Datenschutz-Grundverordnung bildet den zentralen Rechtsrahmen f\u00fcr die Verarbeitung personenbezogener Daten in der Europischen Union. Sie wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) erg\u00e4nzt und konkretisiert.<\/p>

    F\u00fcr Agenturen sind insbesondere folgende Bestimmungen von zentraler Bedeutung:<\/p>

    Art. 4 DSGVO<\/strong> definiert grundlegende Begriffe wie „personenbezogene Daten“. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen. Dazu geh\u00f6ren nicht nur Namen und Kontaktdaten, sondern auch IP-Adressen, Cookie-Kennungen und sonstige Online-Identifikatoren.<\/p>

    Art. 6 DSGVO<\/strong> regelt die Rechtm\u00e4\u00dfigkeit der Verarbeitung. Jede Datenverarbeitung ben\u00f6tigt eine Rechtsgrundlage. F\u00fcr Agenturen kommen haupts\u00e4chlich drei Alternativen in Betracht: die Einwilligung der betroffenen Person, die Erforderlichkeit zur Vertragserf\u00fcllung oder die Wahrung berechtigter Interessen. Bei der Verarbeitung im Rahmen von Marketing-Aktivit\u00e4ten ist besondere Vorsicht geboten \u2013 hier greift h\u00e4ufig die Einwilligungspflicht.<\/p>

    Art. 28 DSGVO<\/strong> bildet die zentrale Norm f\u00fcr die Auftragsverarbeitung. Wenn eine Agentur personenbezogene Daten im Auftrag eines Kunden verarbeitet, muss ein schriftlicher Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Dieser muss detaillierte Regelungen zu Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie den Pflichten und Rechten beider Parteien enthalten. Fehlt ein AVV oder ist dieser mangelhaft, liegt ein Datenschutzversto\u00df vor.

    <\/p>

    Art. 32 DSGVO<\/strong> verpflichtet zur Umsetzung technischer und organisatorischer Ma\u00dfnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten. Diese Ma\u00dfnahmen m\u00fcssen die Vertraulichkeit, Integrit\u00e4t, Verf\u00fcgbarkeit und Belastbarkeit der Systeme sicherstellen. Die konkrete Ausgestaltung h\u00e4ngt vom Stand der Technik, den Implementierungskosten und den Risiken f\u00fcr die Rechte und Freiheiten betroffener Personen ab.<\/p>

    Art. 33 und 34 DSGVO<\/strong> regeln die Meldepflichten bei Datenpannen. Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt, muss die zust\u00e4ndige Aufsichtsbeh\u00f6rde grunds\u00e4tzlich innerhalb von 72 Stunden informiert werden. Bei hohem Risiko f\u00fcr die Betroffenen sind auch diese direkt zu benachrichtigen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Die Doppelrolle von Agenturen im Datenschutz\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Agenturen nehmen im Datenschutzrecht eine komplexe Stellung ein, da sie regelm\u00e4\u00dfig sowohl als Verantwortliche als auch als Auftragsverarbeiter agieren. Diese Unterscheidung ist von fundamentaler Bedeutung f\u00fcr die rechtlichen Pflichten.<\/p>

    Als Verantwortliche<\/strong> treten Agenturen auf, wenn sie selbst \u00fcber Zweck und Mittel der Datenverarbeitung entscheiden. Dies ist beispielsweise der Fall bei der Verarbeitung von Bewerberdaten, der Verwaltung eigener Kundenkontakte oder beim Betrieb der eigenen Website mit Analyse-Tools. In dieser Rolle tr\u00e4gt die Agentur die volle datenschutzrechtliche Verantwortung und muss alle Pflichten selbst\u00e4ndig erf\u00fcllen.<\/p>

    Als Auftragsverarbeiter<\/strong> fungieren Agenturen hingegen, wenn sie personenbezogene Daten im Auftrag und nach Weisung eines Kunden verarbeiten. Die Agentur hat als Auftragsverarbeiter erhebliche Pflichten: Sie muss geeignete technische und organisatorische Ma\u00dfnahmen umsetzen, die Weisungen des Verantwortlichen befolgen, einen AVV abschlie\u00dfen und darf keine weiteren Auftragsverarbeiter ohne Zustimmung einschalten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t

    Die Pflichtdokumente: Verzeichnis der Verarbeitungst\u00e4tigkeiten\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Das Verzeichnis der Verarbeitungst\u00e4tigkeiten bildet den Kern der Datenschutz-Dokumentation. Es dient der Rechenschaftspflicht und erm\u00f6glicht Aufsichtsbeh\u00f6rden sowie Betroffenen Transparenz \u00fcber die Datenverarbeitung.<\/p>

    Agenturen m\u00fcssen zwei getrennte Verzeichnisse f\u00fchren: eines f\u00fcr die T\u00e4tigkeiten, bei denen sie als Verantwortliche agieren, und eines f\u00fcr die Auftragsverarbeitung. Beide Verzeichnisse m\u00fcssen folgende Mindestangaben enthalten:<\/p>

    F\u00fcr Verantwortliche:<\/p>

    • Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten<\/li>
    • Zwecke der Verarbeitung<\/li>
    • Beschreibung der Kategorien betroffener Personen und personenbezogener Daten<\/li>
    • Kategorien von Empf\u00e4ngern, gegen\u00fcber denen die Daten offengelegt werden<\/li>
    • Gegebenenfalls \u00dcbermittlungen in Drittl\u00e4nder<\/li>
    • Fristen f\u00fcr die L\u00f6schung der verschiedenen Datenkategorien<\/li>
    • Allgemeine Beschreibung der technischen und organisatorischen Ma\u00dfnahmen<\/li><\/ul>

      F\u00fcr Auftragsverarbeiter:<\/p>

      • Name und Kontaktdaten sowie jedes Verantwortlichen, in dessen Auftrag gehandelt wird<\/li>
      • Kategorien von Verarbeitungen, die im Auftrag durchgef\u00fchrt werden<\/li>
      • Gegebenenfalls \u00dcbermittlungen in Drittl\u00e4nder<\/li>
      • Allgemeine Beschreibung der technischen und organisatorischen Ma\u00dfnahmen<\/li><\/ul>

        Die Herausforderung f\u00fcr Agenturen liegt in der Vielfalt ihrer Verarbeitungst\u00e4tigkeiten. Eine typische Digitalagentur verarbeitet Daten in zahlreichen Kontexten: Bewerbermanagement, Personalverwaltung, Buchhaltung, eigenes Marketing, Website-Betrieb, Kundenbetreuung, und dann noch die verschiedenen Dienstleistungen f\u00fcr Kunden. Jede dieser T\u00e4tigkeiten muss im Verzeichnis erfasst werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

        \n\t\t\t\t
        \n\t\t\t\t\t

        Der Auftragsverarbeitungsvertrag: Herzst\u00fcck der Agentur-Compliance\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
        \n\t\t\t\t
        \n\t\t\t\t\t\t\t\t\t

        Wenn Agenturen personenbezogene Daten im Auftrag ihrer Kunden verarbeiten, ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO zwingend erforderlich. Dieser Vertrag muss schriftlich oder in elektronischer Form geschlossen werden und detaillierte Regelungen zu allen wesentlichen Aspekten der Auftragsverarbeitung enthalten.<\/p>

        Pflichtinhalte eines AVV:<\/b><\/p>

        Der Gesetzgeber gibt in Art. 28 DSGVO einen umfangreichen Katalog von Mindestinhalten vor. Der AVV muss regeln:<\/p>

        • Gegenstand und Dauer der Verarbeitung<\/li>
        • Art und Zweck der Verarbeitung<\/li>
        • Art der personenbezogenen Daten<\/li>
        • Kategorien betroffener Personen<\/li>
        • Pflichten und Rechte des Verantwortlichen<\/li><\/ul>

          Dar\u00fcber hinaus muss der Auftragsverarbeiter sich insbesondere verpflichten:<\/p>

          • Daten nur auf dokumentierte Weisung zu verarbeiten<\/li>
          • Zur Vertraulichkeit der mit der Verarbeitung befassten Personen<\/li>
          • Zur Umsetzung angemessener technischer und organisatorischer Ma\u00dfnahmen<\/li>
          • Weitere Auftragsverarbeiter nur mit Genehmigung einzuschalten<\/li>
          • Die Betroffenenrechte zu unterst\u00fctzen<\/li>
          • Bei der Erf\u00fcllung der Pflichten des Verantwortlichen zu unterst\u00fctzen<\/li>
          • Nach Auftragsende alle Daten zu l\u00f6schen oder zur\u00fcckzugeben<\/li>
          • Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der<\/li>
          • Pflichterf\u00fcllung zur Verf\u00fcgung zu stellen<\/li>
          • \u00dcberpr\u00fcfungen zu erm\u00f6glichen und dazu beizutragen<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t

            Technische und organisatorische Ma\u00dfnahmen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Zutrittskontrolle<\/strong>: Unbefugte d\u00fcrfen keinen physischen Zutritt zu Datenverarbeitungsanlagen erhalten. Agenturen sollten implementieren: Zutrittskontrollen zu B\u00fcror\u00e4umen durch Schl\u00fcsselsysteme oder elektronische Schlie\u00dfanlagen, Alarmanlage, Protokollierung von Besuchern, abschlie\u00dfbare R\u00e4ume f\u00fcr Server und Datentr\u00e4ger, Clean-Desk-Policy f\u00fcr sensible Unterlagen.<\/p>

            Zugangskontrolle<\/strong>: Unbefugte d\u00fcrfen keine Datenverarbeitungssysteme benutzen. Ma\u00dfnahmen umfassen: individuelle Benutzerkonten f\u00fcr jeden Mitarbeiter, sichere Passwortrichtlinien (Mindestl\u00e4nge, Komplexit\u00e4t, regelm\u00e4\u00dfiger Wechsel), Zwei-Faktor-Authentifizierung f\u00fcr den Zugriff auf kritische Systeme, automatische Bildschirmsperre nach Inaktivit\u00e4t, Verschl\u00fcsselung mobiler Endger\u00e4te.<\/p>

            Zugriffskontrolle<\/strong>: Benutzer d\u00fcrfen nur auf die Daten zugreifen, f\u00fcr die sie berechtigt sind. Agenturen ben\u00f6tigen: rollenbasierte Berechtigungskonzepte, Regelung von Lese-, Schreib- und L\u00f6schrechten nach dem Need-to-know-Prinzip, regelm\u00e4\u00dfige \u00dcberpr\u00fcfung und Anpassung von Berechtigungen, sofortige Deaktivierung von Zug\u00e4ngen bei Ausscheiden von Mitarbeitern.<\/p>

            Weitergabekontrolle<\/strong>: Bei elektronischer \u00dcbertragung oder Transport d\u00fcrfen Daten nicht unbefugt gelesen, kopiert oder gel\u00f6scht werden. Erforderlich sind: Verschl\u00fcsselung von E-Mails mit sensiblen Inhalten, sichere Daten\u00fcbertragung, VPN-Verbindungen f\u00fcr Remote-Zugriffe, verschl\u00fcsselte Datentr\u00e4ger beim physischen Transport, Protokollierung von Daten\u00fcbermittlungen.<\/p>

            Eingabekontrolle<\/strong>: Es muss nachvollziehbar sein, wer wann welche Daten eingegeben, ver\u00e4ndert oder gel\u00f6scht hat. Agenturen sollten implementieren: Logging-Systeme, die alle relevanten Zugriffe protokollieren, Versionierung von Dokumenten, Nachvollziehbarkeit von \u00c4nderungen in Datenbanken, regelm\u00e4\u00dfige Auswertung der Protokolle.<\/p>

            Auftragskontrolle<\/strong>: Bei Auftragsverarbeitung d\u00fcrfen Daten nur weisungsgem\u00e4\u00df verarbeitet werden. Notwendig sind: klare Prozesse zur Entgegennahme und Dokumentation von Weisungen, regelm\u00e4\u00dfige Abstimmung mit Auftraggebern, Schulung der Mitarbeiter zu Weisungsbefugnissen, Dokumentation aller Verarbeitungsschritte.<\/p>

            Verf\u00fcgbarkeitskontrolle<\/strong>: Daten m\u00fcssen gegen zuf\u00e4llige Zerst\u00f6rung oder Verlust gesch\u00fctzt sein. Agenturen ben\u00f6tigen: automatisierte, regelm\u00e4\u00dfige Backups, r\u00e4umlich getrennte Backup-Speicherung, Notfallplan f\u00fcr Systemausf\u00e4lle, unterbrechungsfreie Stromversorgung f\u00fcr kritische Systeme, Virenschutz und Firewall.<\/p>

            Trennungsgebot<\/strong>: Daten, die zu unterschiedlichen Zwecken erhoben wurden, m\u00fcssen getrennt verarbeitet werden k\u00f6nnen. Ma\u00dfnahmen umfassen: logische oder physische Trennung von Produktiv- und Testsystemen, getrennte Datenbanken f\u00fcr verschiedene Kunden oder Zwecke, Mandantenf\u00e4higkeit in eingesetzten Systemen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

            \n\t\t\t\t
            \n\t\t\t\t\t

            Datenschutzinformationen und Einwilligungen richtig gestalten\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Die Informationspflichten nach Art. 13 und 14 DSGVO geh\u00f6ren zu den am h\u00e4ufigsten vernachl\u00e4ssigten Compliance-Anforderungen. Dabei sind sie fundamental: Betroffene m\u00fcssen in pr\u00e4ziser, transparenter und leicht zug\u00e4nglicher Form \u00fcber die Verarbeitung ihrer Daten informiert werden.<\/p>

            Datenschutzerkl\u00e4rung der Agentur-Website:<\/b><\/p>

            Jede Website einer Agentur ben\u00f6tigt eine umfassende Datenschutzerkl\u00e4rung, die alle Verarbeitungsvorg\u00e4nge beschreibt. Dazu geh\u00f6ren: Kontaktformulare, Newsletter-Anmeldung, Einsatz von Analysetools, Verwendung von Cookies, Social-Media-Plugins, Chat-Funktionen, Bewerbermanagement-Tools.<\/p>

            F\u00fcr jeden dieser Verarbeitungsvorg\u00e4nge muss die Datenschutzerkl\u00e4rung angeben: Art der verarbeiteten Daten, Zweck der Verarbeitung, Rechtsgrundlage, Empf\u00e4nger oder Kategorien von Empf\u00e4ngern, Speicherdauer, Hinweise auf Betroffenenrechte, Informationen zum Widerspruchsrecht, bei automatisierten Entscheidungen Informationen \u00fcber die involvierte Logik.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

            \n\t\t\t\t
            \n\t\t\t\t\t

            Betroffenenrechte systematisch umsetzen\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Auskunftsrecht<\/strong>: Betroffene k\u00f6nnen Auskunft \u00fcber die zu ihrer Person gespeicherten Daten verlangen. Die Agentur muss binnen eines Monats antworten und dabei folgende Informationen bereitstellen: welche Datenkategorien verarbeitet werden, zu welchen Zwecken, an welche Empf\u00e4nger Daten \u00fcbermittelt wurden, wie lange die Daten gespeichert werden, welche Betroffenenrechte bestehen, woher die Daten stammen, ob automatisierte Entscheidungsfindung stattfindet.<\/p>

            Recht auf Berichtigung<\/strong>: Sind gespeicherte Daten unrichtig oder unvollst\u00e4ndig, m\u00fcssen sie unverz\u00fcglich berichtigt werden. Agenturen sollten Prozesse etablieren, die eine schnelle Identifikation und Korrektur betroffener Datens\u00e4tze erm\u00f6glichen.<\/p>

            Recht auf L\u00f6schung<\/strong>: Das „Recht auf Vergessenwerden“ verpflichtet zur L\u00f6schung, wenn einer der gesetzlichen L\u00f6schgr\u00fcnde vorliegt: Daten nicht mehr erforderlich, Einwilligung widerrufen, Widerspruch eingelegt, Daten unrechtm\u00e4\u00dfig verarbeitet, L\u00f6schpflicht nach EU- oder nationalem Recht. Wichtig: L\u00f6schpflichten k\u00f6nnen durch andere Rechtsnormen eingeschr\u00e4nkt werden, etwa durch steuerrechtliche Aufbewahrungspflichten. In solchen F\u00e4llen ist zumindest eine Einschr\u00e4nkung der Verarbeitung vorzunehmen.<\/p>

            Recht auf Einschr\u00e4nkung der Verarbeitung<\/strong>: Betroffene k\u00f6nnen verlangen, dass ihre Daten nur noch gespeichert, aber nicht mehr aktiv verarbeitet werden. Dies kommt insbesondere in Betracht, wenn die Richtigkeit der Daten bestritten wird oder ein Widerspruch gegen die Verarbeitung eingelegt wurde.<\/p>

            Recht auf Daten\u00fcbertragbarkeit<\/strong>: Wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt, k\u00f6nnen Betroffene verlangen, ihre Daten in einem strukturierten, g\u00e4ngigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen \u00fcbermitteln zu lassen.<\/p>

            Widerspruchsrecht<\/strong>: Beruht die Verarbeitung auf einer Interessenabw\u00e4gung oder erfolgt sie zu Direktmarketingzwecken, k\u00f6nnen Betroffene widersprechen. Beim Direktmarketing muss die Verarbeitung ausnahmslos eingestellt werden.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

            \n\t\t\t\t
            \n\t\t\t\t\t

            DSGVO-Checkliste f\u00fcr Agenturen: Die praktische Umsetzung\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
            \n\t\t\t\t
            \n\t\t\t\t\t\t\t\t\t

            Grundlegende Organisation:<\/b>\u00a0<\/span><\/p>

            • Datenschutzbeauftragten bestellt<\/li>
            • Datenschutzverantwortlichen intern benannt<\/li>
            • Datenschutz-Management-System etabliert<\/li>
            • Regelm\u00e4\u00dfige Datenschutz-Schulungen f\u00fcr Mitarbeiter durchgef\u00fchrt<\/li>
            • Verzeichnis der Verarbeitungst\u00e4tigkeiten erstellt und aktuell<\/li>
            • Datenschutz-Folgenabsch\u00e4tzung f\u00fcr risikoreiche Verarbeitungen durchgef\u00fchrt<\/li><\/ul>

              Vertr\u00e4ge und Vereinbarungen:<\/b>\u00a0<\/span><\/p>

              • Auftragsverarbeitungsvertr\u00e4ge mit allen relevanten Dienstleistern geschlossen<\/li>
              • Auftragsverarbeitungsvertr\u00e4ge mit Kunden abgeschlossen<\/li>
              • Vertr\u00e4ge zur gemeinsamen Verantwortlichkeit abgeschlossen (falls zutreffend)<\/li>
              • Vertraulichkeitsverpflichtungen mit allen Mitarbeitern vereinbart<\/li>
              • Regelungen zum Umgang mit personenbezogenen Daten in Arbeitsvertr\u00e4gen verankert<\/li><\/ul>

                Technische und organisatorische Ma\u00dfnahmen:<\/b>\u00a0<\/span><\/p>

                • Zutrittskontrolle zu R\u00e4umlichkeiten implementiert<\/li>
                • Zugangskontrolle zu IT-Systemen mit Passwortrichtlinie umgesetzt<\/li>
                • Zugriffskontrolle mit rollenbasierten Berechtigungen etabliert<\/li>
                • Verschl\u00fcsselung sensibler Daten und Daten\u00fcbertragungen sichergestellt<\/li>
                • Backup-Konzept mit r\u00e4umlich getrennter Speicherung implementiert<\/li>
                • Firewall und Virenschutz aktiv und aktuell<\/li>
                • Logging von Zugriffen auf personenbezogene Daten eingerichtet<\/li>
                • Clean-Desk-Policy eingef\u00fchrt<\/li>
                • Prozesse zur L\u00f6schung von Daten etabliert<\/li><\/ul>

                  Informationspflichten und Transparenz:<\/b>\u00a0<\/span><\/p>

                  • Datenschutzerkl\u00e4rung auf der eigenen Website vollst\u00e4ndig und aktuell<\/li>
                  • Cookie-Banner mit aktiver Einwilligungsm\u00f6glichkeit implementiert<\/li>
                  • Datenschutzinformationen bei Erstkontakt mit Kunden\/Interessenten bereitgestellt<\/li>
                  • Datenschutzinformationen im Bewerbungsprozess integriert<\/li>
                  • Einwilligungserkl\u00e4rungen f\u00fcr Marketingaktivit\u00e4ten rechtskonform gestaltet<\/li><\/ul>

                    Betroffenenrechte:<\/b>\u00a0<\/span><\/p>

                    • Prozesse zur Bearbeitung von Auskunftsanfragen definiert<\/li>
                    • Prozesse zur Berichtigung, L\u00f6schung und Einschr\u00e4nkung etabliert<\/li>
                    • Fristen zur Beantwortung von Anfragen (1 Monat) im Prozess verankert<\/li>
                    • Identit\u00e4tspr\u00fcfung bei Betroffenenanfragen geregelt<\/li>
                    • Zentrale Kontaktadresse f\u00fcr Datenschutzanfragen eingerichtet<\/li><\/ul>

                      Auftragsverarbeitung:<\/b>\u00a0<\/span><\/p>

                      • Alle Sub-Auftragsverarbeiter identifiziert und vertraglich gebunden<\/li>
                      • Liste der Sub-Auftragsverarbeiter in AVV mit Kunden aufgef\u00fchrt<\/li>
                      • Technische und organisatorische Ma\u00dfnahmen detailliert dokumentiert<\/li>
                      • Weisungsprozesse f\u00fcr Auftraggeber definiert<\/li>
                      • Unterst\u00fctzung bei Betroffenenrechten vertraglich geregelt<\/li><\/ul>

                        Laufende Prozesse:<\/b>\u00a0<\/span><\/p>

                        • Regelm\u00e4\u00dfige \u00dcberpr\u00fcfung und Aktualisierung der Datenschutz-Dokumentation<\/li>
                        • Quartalsweise Schulungen zum Datenschutz durchgef\u00fchrt<\/li>
                        • J\u00e4hrliches Datenschutz-Audit durchgef\u00fchrt<\/li>
                        • L\u00f6schfristen regelm\u00e4\u00dfig \u00fcberpr\u00fcft und umgesetzt<\/li>
                        • Neue Verarbeitungst\u00e4tigkeiten vor Beginn datenschutzrechtlich gepr\u00fcft<\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                          \n\t\t\t\t
                          \n\t\t\t\t\t

                          Datenschutz als Wettbewerbsvorteil\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
                          \n\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t

                          Datenschutz wird oft als l\u00e4stige Pflicht wahrgenommen \u2013 zu Unrecht. Eine durchdachte Datenschutz-Compliance bietet Agenturen erhebliche Vorteile: Sie sch\u00fctzt vor Bu\u00dfgeldern und Reputationssch\u00e4den, schafft Vertrauen bei Kunden und kann im Wettbewerb zum Differenzierungsmerkmal werden.<\/p>

                          Entscheidend ist die konsequente Umsetzung. Ein halbherzig gepflegtes Verzeichnis der Verarbeitungst\u00e4tigkeiten oder ein unvollst\u00e4ndiger Auftragsverarbeitungsvertrag helfen im Ernstfall nicht weiter. Datenschutz erfordert Engagement, Ressourcen und Fachkenntnis. Aber die Investition lohnt sich: Sie sichert nicht nur die rechtliche Compliance, sondern st\u00e4rkt auch das professionelle Profil der Agentur.<\/p>

                          Agenturen, die Datenschutz ernst nehmen, signalisieren ihren Kunden Verl\u00e4sslichkeit und Professionalit\u00e4t. In Zeiten zunehmender Datenschutzsensibilit\u00e4t und versch\u00e4rfter Aufsicht kann dies den entscheidenden Unterschied machen. Datenschutz entwickelt sich vom Compliance-Thema zum echten Wettbewerbsvorteil.<\/p>

                          Als spezialisierte Kanzlei f\u00fcr IT-Recht und Datenschutz unterst\u00fctzen wir Agenturen dabei, ihre DSGVO-Compliance systematisch aufzubauen und nachhaltig zu sichern. Von der Erstberatung \u00fcber die Vertragsgestaltung bis zur laufenden Betreuung bieten wir praxisnahe L\u00f6sungen, die auf die spezifischen Anforderungen von Agenturen zugeschnitten sind.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

                          \n\t\t\t\t
                          \n\t\t\t\t
                          \n\t\t\t\t\t\t\t
                          \n\t\t\t\t\t\t
                          \n\t\t\t\t\n\t\t\t\t\t
                          H\u00e4ufig gestellte Fragen <\/div><\/span>\n\t\t\t\t\t\t\t\n\t\t\t
                          \n\t\t\t\t
                          \n\t\t\t\t
                          \n\t\t\t\t\t\t\t
                          \n\t\t\t\t\t\t\t
                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Ein Datenschutzbeauftragter ist zu bestellen, wenn in der Regel mindestens 20 Personen st\u00e4ndig mit der automatisierten Verarbeitung personenbezogener Daten besch\u00e4ftigt sind. Zus\u00e4tzlich besteht eine Bestellpflicht, wenn die Verarbeitung einer Datenschutz-Folgenabsch\u00e4tzung unterliegt oder gesch\u00e4ftsm\u00e4\u00dfig personenbezogene Daten zum Zweck der \u00dcbermittlung, Markt- oder Meinungsforschung oder zu Werbezwecken verarbeitet werden. Der Datenschutzbeauftragte kann intern oder extern bestellt werden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Das Fehlen eines AVV stellt einen Versto\u00df gegen Art. 28 DSGVO dar und kann mit Bu\u00dfgeldern geahndet werden. Dar\u00fcber hinaus ist die Datenverarbeitung ohne AVV rechtswidrig, was zus\u00e4tzlich zu Schadensersatzanspr\u00fcchen f\u00fchren kann. Der AVV muss vor Beginn der Datenverarbeitung geschlossen werden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Ja, f\u00fcr alle laufenden Auftragsverarbeitungs-Verh\u00e4ltnisse muss ein DSGVO-konformer AVV vorliegen \u2013 unabh\u00e4ngig davon, wann das Vertragsverh\u00e4ltnis begonnen hat. Agenturen sollten ihre Bestandskunden proaktiv kontaktieren und AVV nachholen. Die blo\u00dfe Weitergeltung alter Vertr\u00e4ge gen\u00fcgt nicht, da diese in der Regel nicht alle Pflichtinhalte der DSGVO enthalten.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Es gibt keine allgemeing\u00fcltige Speicherdauer. Entscheidend ist der Zweck der Verarbeitung. Sobald dieser entf\u00e4llt, besteht grunds\u00e4tzlich eine L\u00f6schpflicht nach Art. 17 DSGVO. Ausnahmen ergeben sich aus gesetzlichen Aufbewahrungspflichten.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Die DSGVO gilt auch f\u00fcr alle Altdaten. Entscheidend ist, ob f\u00fcr die fortgesetzte Verarbeitung eine Rechtsgrundlage nach DSGVO besteht. Eine fr\u00fcher erteilte Einwilligung kann weiterhin wirksam sein, wenn sie den Anforderungen der DSGVO entspricht. Andernfalls muss eine neue Rechtsgrundlage geschaffen werden \u2013 entweder durch Einholung einer DSGVO-konformen Einwilligung oder durch Pr\u00fcfung, ob eine andere Rechtsgrundlage (z.B. berechtigtes Interesse) vorliegt. Wo keine Rechtsgrundlage besteht, m\u00fcssen die Daten gel\u00f6scht werden.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Das Besch\u00e4ftigtendatenschutzrecht unterliegt besonderen Anforderungen. Agenturen m\u00fcssen Mitarbeiter umfassend \u00fcber die Verarbeitung ihrer Daten informieren. Dies sollte bereits bei Vertragsschluss erfolgen. Vertraulichkeitsverpflichtungen sind mit allen Mitarbeitern zu vereinbaren, die Zugang zu personenbezogenen Daten haben. <\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t

                          \n\t\t\t\t\t
                          \n\t\t\t\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t

                          Bewerberdaten d\u00fcrfen nur zur Durchf\u00fchrung des Bewerbungsverfahrens verarbeitet werden. Bewerber m\u00fcssen vor oder bei Erhebung der Daten informiert werden, eine Datenschutzerkl\u00e4rung in der Stellenausschreibung oder im Bewerbungsformular ist sinnvoll. Nach Abschluss des Verfahrens m\u00fcssen Unterlagen abgelehnter Bewerber grunds\u00e4tzlich nach sechs Monaten gel\u00f6scht werden, es sei denn, eine l\u00e4ngere Speicherung ist zur Geltendmachung oder Abwehr von Anspr\u00fcchen erforderlich oder der Bewerber hat in eine l\u00e4ngere Speicherung eingewilligt.<\/p><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t\t\t