DSGVO-konforme Marketing Automation: Die Checkliste für den Mittelstand

Marketing Automation verarbeitet personenbezogene Daten: E-Mail-Adressen, Klickverhalten, Lead-Scores, Kaufhistorie. Das macht die Tool-Wahl zur datenschutzrechtlichen Entscheidung, nicht nur zur technischen. Die gute Nachricht: die Anforderungen sind klar. Die schlechte: sie werden erschreckend oft erst nach dem Kauf gecheckt.

Anforderung 1: Auftragsverarbeitungsvertrag (AVV)

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein AVV nach DSGVO Art. 28 Pflicht. Für Marketing-Software bedeutet das: Bevor die erste E-Mail-Adresse ins System übertragen wird, muss ein gültiger AVV vorliegen.

Praxis-Check vor dem Kauf: Bietet der Vendor einen standardisierten AVV an? Kann er angepasst werden? Anbieter, die keinen AVV anbieten oder ihn erst nach Verhandlung herausgeben, sind ein Warnsignal.

Anforderung 2: Datenspeicherort EU oder gleichwertiges Drittland

Personenbezogene Daten dürfen nur dann in Drittstaaten übertragen werden, wenn ein angemessenes Schutzniveau gewährleistet ist. Für US-Anbieter ist das seit dem Schrems-II-Urteil (2020) komplexer: US-Behörden können nach US-Recht auf Daten zugreifen, auch wenn der Server technisch in der EU steht.

Was wirklich hilft: Server in der EU betrieben von einem EU-Unternehmen ohne US-Mutterkonzern. Oder zumindest ein Vendor, der Standard-Vertragsklauseln (SCCs) korrekt implementiert hat und einen Transfer Impact Assessment (TIA) vorlegen kann.

Anforderung 3: Sub-Verarbeiter transparent und konform

Marketing-Automation-Tools nutzen selbst Drittanbieter: für E-Mail-Delivery, Analytics, Cloud-Infrastruktur. Alle Sub-Verarbeiter müssen DSGVO-konform sein und im AVV oder einer separaten Liste aufgeführt sein. Sie haben das Recht zu wissen, wer Ihre Kundendaten verarbeitet, auch indirekt.

Anforderung 4: Betroffenenrechte technisch umsetzbar

DSGVO garantiert betroffenen Personen das Recht auf Auskunft, Berichtigung, Löschung und Datenportabilität. Das Tool muss diese Rechte technisch unterstützen: einzelne Kontakte suchen und exportieren, Daten löschen ohne Integritätsprobleme im Rest des Systems. Klingt selbstverständlich, ist es nicht. Besonders bei Systemen, die nicht für den europäischen Markt entwickelt wurden.

Die Checkliste: 10 Punkte vor dem Tool-Kauf

1. AVV vorhanden und unterzeichenbar vor Go-Live
2. Serverstandort dokumentiert (EU bevorzugt)
3. Sub-Verarbeiterliste einsehbar
4. SCCs oder Adequacy Decision für Drittlandtransfer
5. Löschung einzelner Kontakte technisch möglich
6. Datenexport im Standardformat (CSV, JSON) möglich
7. Double-Opt-In für E-Mail nativ unterstützt
8. Consent-Management integrierbar oder dokumentiert
9. Datenpannen-Prozess des Vendors dokumentiert (Art. 33 DSGVO)
10. Verarbeitungsverzeichnis-Eintrag erstellbar (Art. 30)

Weiterführend: Tool Scout mit Standard-Compliance-Screening und Fehler beim RFI/RFP-Prozess.