--- title: "Datenschutz im Marketing: Rollen, Einwilligung, Profile" description: "Für Marketingabteilungen und Agenturen entscheidet zuerst die Rolle. Wo Profilbildung ihre Grenze hat und was beim Datenabgleich zu klären ist." canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-marketing/" --- # Datenschutz im Marketing Für Marketingabteilungen und Agenturen ist **Datenschutz** im **Marketing** selten eine Frage des Rechts und meistens eine der Zuständigkeit: Wer entscheidet, welche Daten wofür genutzt werden – und wer haftet, wenn es schiefgeht? Diese Frage steht vor allen technischen. ## Die Rolle der Agentur **Auftragsverarbeiter** ist eine Agentur, wenn sie weisungsgebunden mit Daten des Kunden arbeitet: Newsletterversand über dessen Verteiler, Pflege seines CRM, Betrieb seiner Kampagnen. Dann braucht es einen [Vertrag nach Art. 28](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/). **Eigenständig verantwortlich** ist sie für alles Eigene – und für alles, was sie zu eigenen Zwecken tut. Der Fall, der am häufigsten übersehen wird: Eine Agentur, die Kampagnendaten mehrerer Kunden zusammenführt, um daraus eigene Erkenntnisse zu gewinnen, verlässt die Auftragsverarbeitung. Nach [Art. 28 Abs. 10](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-28/) wird sie dafür selbst Verantwortliche – ohne Rechtsgrundlage vom Kunden. **Gemeinsam verantwortlich** kann sein, wer über Zwecke mitentscheidet. Bei Kampagnen, in denen die Agentur die Zielgruppen bestimmt, ist das keine fernliegende Konstruktion. Für die Praxis: Die Rolle wird je Leistung bestimmt, nicht je Kunde, und sie gehört in den Vertrag. Wer sie offenlässt, klärt sie im Schadensfall. ## Werbung braucht eine Grundlage – je Kanal eine andere Das ist der Punkt, an dem Marketingabteilungen am häufigsten danebenliegen: Es gibt keine einheitliche Grundlage für „Werbung". **E-Mail** braucht die vorherige ausdrückliche Einwilligung – oder die Bestandskundenausnahme mit allen vier Bedingungen. **Post** lässt sich auf ein berechtigtes Interesse stützen. **Telefon** ist am strengsten. Die Einzelheiten samt Nachweispflicht stehen unter [E-Mail-Marketing nach DSGVO und UWG](https://www.dsb-datenschutz.de/datenschutz/wissen-e-mailmarketing/). Unabhängig vom Kanal gilt: Bei Direktwerbung wirkt das Widerspruchsrecht aus [Art. 21 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-21/) **absolut**. Wird widersprochen, ist Schluss – ohne Abwägung. Wer das umsetzen will, braucht eine Sperrliste, die vor jedem Versand abgeglichen wird, und zwar kanalübergreifend. ## Profilbildung und ihre Grenze Zielgruppen zu bilden ist zulässig. Die Grenze verläuft dort, wo die Verarbeitung die vernünftigen Erwartungen der betroffenen Person überschreitet – der Maßstab aus dem [berechtigten Interesse](https://www.dsb-datenschutz.de/datenschutz/wissen-berechtigtes-interesse/). Praktisch heißt das: Die Auswertung des eigenen Kaufverhaltens für Empfehlungen ist erwartbar. Die Anreicherung mit zugekauften Daten, die Verfolgung über fremde Websites hinweg und die Ableitung sensibler Merkmale sind es nicht. Wo aus Verhalten auf Gesundheit, Religion oder politische Meinung geschlossen wird, greift [Art. 9](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-9/) – auch wenn niemand diese Merkmale erhoben hat. Für die Website gelten daneben die eigenen Regeln des § 25 TDDDG: [CMP Consulting](https://www.dsb-datenschutz.de/web-compliance/cmp-consulting/), [Consent Mode](https://www.dsb-datenschutz.de/web-compliance/wissen-google-consent-mode/) und – für die Gestaltung – [Dark Patterns](https://www.dsb-datenschutz.de/web-compliance/wissen-dark-patterns-tdddg/). ## Datenabgleich mit Plattformen Kundenlisten hochzuladen, um Zielgruppen zu bilden oder Werbung auszusteuern, ist eine eigenständige Übermittlung an den Plattformbetreiber – nicht eine Fortsetzung der eigenen Verarbeitung. Sie braucht eine eigene Grundlage, und sie ist regelmäßig eine [Übermittlung in ein Drittland](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/). Die verbreitete Annahme, das Hashen der Adressen mache die Übermittlung unproblematisch, trägt nicht: Ein Wert, der eine Person wiedererkennbar macht, ist ein personenbezogenes Datum. Zum Umgang mit den Unternehmensauftritten selbst siehe [Datenschutz bei Social Media](https://www.dsb-datenschutz.de/web-compliance/wissen-social-media/). ## Gewinnspiele und Leadgenerierung Der Klassiker unter den Beanstandungen. Zulässig ist die Kopplung der Teilnahme an eine Werbeeinwilligung in engen Grenzen – unzulässig ist eine Einwilligung, die pauschal für „Partnerunternehmen" gilt, die niemand kennt. Wer eine Einwilligung einholt, muss belegen können, wann und wofür sie erteilt wurde: [Art. 7 Abs. 1](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-7/). ## Kontakt Sie sind Agentur und sollen einen Auftragsverarbeitungsvertrag unterschreiben, der nicht zu Ihrer Leistung passt? Das prüfen wir, bevor Sie zeichnen. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)