Datenschutz im Marketing: Was Sie mit der Agentur klären sollten

Sobald Sie im Marketing mit personenbezogenen Daten arbeiten, brauchen Sie eine rechtliche Grundlage dafür, müssen transparent darüber informieren und dürfen nur so viele Daten verarbeiten, wie der Zweck erfordert. Das gilt für den Verteiler ebenso wie für Auswertungen, für Formulare und für die Zusammenarbeit mit Dienstleistern. Die Verantwortung dafür bleibt bei Ihnen, auch wenn eine Agentur die Arbeit macht. Zur Beurteilung Ihres konkreten Falls gehört fachkundiger Rat.

Die Verantwortung lässt sich nicht auslagern

Das ist der Punkt, der am häufigsten missverstanden wird. Wenn eine Agentur in Ihrem Auftrag Daten verarbeitet, handelt sie für Sie. Sie bleiben gegenüber den betroffenen Menschen und den Aufsichtsbehörden verantwortlich. Ein Vertrag mit der Agentur regelt das Verhältnis zwischen Ihnen beiden, er nimmt Ihnen die Verantwortung aber nicht ab.

Daraus folgt praktisch: Sie müssen wissen, was geschieht. Sie müssen fragen, welche Daten wohin fließen, welche Werkzeuge im Einsatz sind und wo diese ihre Daten verarbeiten. Eine Agentur, die auf solche Fragen ausweichend antwortet oder sie als übertrieben abtut, ist an dieser Stelle ein Risiko für Sie.

Was zu klären ist

• Welche Daten: Was wird erhoben, von wem, an welcher Stelle. Häufig sammelt sich mehr an, als irgendjemand geplant hat.
• Wozu: Für welchen Zweck. Ein Zweck, der erst später einfällt, rechtfertigt keine Erhebung, die vorher stattfand.
• Auf welcher Grundlage: Einwilligung oder eine andere Grundlage. Das ist eine Rechtsfrage und keine Geschmacksfrage.
• Welche Werkzeuge: Welche Dienste sind eingebunden, wer betreibt sie, wo werden Daten verarbeitet.
• Wie lange: Wann wird gelöscht. Daten ohne Löschfrist sammeln sich unbegrenzt an.
• Wer hat Zugriff: Innerhalb der Agentur, bei Unterauftragnehmern.

Datensparsamkeit als praktische Haltung

Der einfachste Weg, Risiken zu verringern, ist, weniger zu erheben. Jedes zusätzliche Feld in einem Formular ist Aufwand für die Person, ein Grund abzubrechen und eine Position, die Sie begründen, schützen und irgendwann löschen müssen. Fragen Sie bei jedem Feld, welche Entscheidung Sie damit anders treffen. Wenn Ihnen nichts einfällt, streichen Sie es.

Dasselbe gilt für Auswertungen. Es ist verlockend, alles zu erfassen, weil man ja später einmal etwas damit machen könnte. Diese Haltung erzeugt Datenbestände, die niemand nutzt und für die trotzdem jemand geradesteht. Erheben Sie, was Sie auswerten, und werten Sie aus, was Sie erheben.

Einwilligungen sauber führen

Wo eine Einwilligung die Grundlage ist, muss sie freiwillig, informiert, für den konkreten Zweck erteilt und nachweisbar sein. Und sie muss jederzeit widerrufbar sein, und zwar so einfach, wie sie erteilt wurde. Ein Widerruf, der nur schriftlich per Post möglich ist, während die Einwilligung mit einem Klick erfolgte, ist kein gleichwertiger Weg.

Wichtig ist auch die Zweckbindung. Eine Einwilligung für einen Newsletter deckt nicht die Nutzung derselben Adresse für etwas anderes. Wer Daten, die für einen Zweck erhoben wurden, für einen weiteren nutzt, braucht dafür eine eigene Grundlage. Dieser Fall tritt im Marketing ständig ein, meist ohne böse Absicht, einfach weil die Daten schon da sind.

Die Stellen, an denen es im Alltag hakt

Drei Punkte fallen regelmäßig auf. Erstens Adresslisten aus Tabellen, deren Herkunft niemand mehr kennt. Wenn Sie nicht sagen können, woher eine Adresse stammt und auf welcher Grundlage sie dort steht, sollten Sie sie nicht verwenden. Zweitens Zugänge, die nach dem Ausscheiden von Menschen bestehen bleiben. Prüfen Sie regelmäßig, wer auf welche Bestände zugreifen kann. Drittens Werkzeuge, die jemand einmal ausprobiert hat und die seither still Daten sammeln.

Machen Sie deshalb in ruhigen Zeiten eine Bestandsaufnahme mit der Agentur: Welche Werkzeuge laufen, welche Daten liegen wo, wer hat Zugriff, was kann weg. Diese Übung ist unspektakulär und verhindert die meisten unangenehmen Überraschungen.

Fazit

Die Verantwortung bleibt bei Ihnen, auch wenn die Agentur arbeitet. Klären Sie, welche Daten zu welchem Zweck auf welcher Grundlage mit welchen Werkzeugen verarbeitet werden, wer Zugriff hat und wann gelöscht wird. Erheben Sie so wenig wie möglich, führen Sie Einwilligungen nachweisbar und zweckgebunden, machen Sie regelmäßig eine Bestandsaufnahme und holen Sie für die rechtliche Bewertung fachkundigen Rat ein.