Wie Agenturen die Umsetzung der DSGVO stemmen

Ein junger Bewerber bewirbt sich bei einer Agentur und das ganz initiativ und ohne Stellenausschreibung. Eigentlich eine schöne Sache, folgte daraus nicht gleich ein bürokratischer Akt. Denn der Gesetzgeber hat den potentiellen Arbeitgeber verpflichtet vom Bewerber umgehend die Einwilligung zur Datenspeicherung und -verarbeitung einzuholen und das, obwohl das Unternehmen keine Vakanz ausgeschrieben noch jemanden zur Bewerbung aufgefordert hat.

Diese und ähnliche Szenarien gibt es seit dem 25. Mai 2018 häufiger. Denn seither gilt die Datenschutzgrundverordnung (DSGVO) in den Mitgliedsstaaten der Europäischen Union. Personenbezogene Daten dürfen nur noch nach expliziter Einwilligung der Betroffenen verwendet werden. Die Verarbeitung dieser Daten muss auf ein notwendiges Maß beschränkt und Löschfristen festgelegt werden. Auch die Prävention von unbefugter Verarbeitung oder Verlust und die Information der Betroffenen sind Teil der Verordnung.

Geschäftsmodelle der Agenturen auf dem Prüfstand

Wie in vielen anderen Branchen auch müssen Agenturen die DSGVO in zahlreichen Bereichen beachten. Die Regularien tangieren in vielfältiger Weise die IT, Rechtsabteilung, Personal- sowie den Vertriebs- und Marketingbereich. Da die Agenturen in der Regel nicht nur mit ihren Auftraggebern, sondern häufig auch in Kooperation mit Sub-Unternehmen und Dienstleistern Aufträge bearbeiten, müssen zudem immer mit allen Beteiligten entsprechende Vereinbarungen abgeschlossen werden. Die Agenturbranche ist außerdem bei einem weiteren wichtigen Aspekt von den neuen Auflagen betroffen – und zwar bei ihrem Kernprodukt – der „Kommunikation”. Die DSGVO ist bei vielen Projekten zu beachten, beispielsweise, wenn ein Newsletter für einen Kunden verschickt, eine Direkt-Marketing-Kampagne initiiert oder personalisierte Werbung zur Neukundengewinnung umgesetzt werden soll.

Großer Aufwand und zusätzliche Ressourcen

Mit entsprechend großem Aufwand haben sich die Kommunikationsagenturen auf die neuen Regelungen vorbereitet. Für einige Agenturen waren damit hohe Investitionen in Form von Zeit und Geld verbunden. „Die Vorbereitung und Umsetzung der DSGVO in der Agentur war unglaublich viel Aufwand”, sagt Peter Brawand, der Geschäftsführer von BrawandRieken Communications in Hamburg. „Allein auf Geschäftsführerebene wurden dadurch erhebliche Kapazitäten über einen Zeitraum von zwei bis drei Monaten gebunden.” Auch bei der Frankfurter Agentur Pink Carrots generierte die Vorbereitung zahlreiche Stunden auf Geschäftsführungsebene und einen hohen finanziellen Aufwand. „Neben den internen Personalkosten von bisher 20.000 Euro kostete uns die Umsetzung auch 5.500 Euro für einen externen Berater. Das ist nicht wenig für eine Agentur mit 45 Mitarbeitern”, so der Geschäftsführer Christoph Witte.

Im Vorteil bei der Umsetzung der DSGVO waren Kommunikationsagenturen, die beispielsweise aufgrund der Zusammenarbeit mit bestimmten Branchen wie Automobilkunden oder internationalen Regeln wie Sarbanes Oxley schon länger zahlreichen Standards entsprechen mussten. So hat der Verband der Automobilindustrie VDA einige Zertifizierungenpubliziert, die auch vorher für die auftragnehmenden Agenturen galten. „Aufgrund unserer Automobilkunden haben wir schon vielen Vorgaben entsprochen. Zudem haben wir unter Beachtung des Bundesdatenschutzgesetzes vor über zwei Jahren die entsprechenden Vorbereitungen getroffen und investiert, was unseren Aufwand in diesem Jahr in Grenzen hielt”, so Tim Jessulat, Head of IT bei der Agentur thjnk. Die Hamburger Agentur hat ebenso wie die meisten Agenturen in diesem Jahr externe Daten- und Informationsschutzbeauftragte engagiert, die die interne IT- und Rechtsabteilung konkret bei der Umsetzung der DSGVO unterstützen.

Neben der externen Unterstützung haben viele, vor allem größere Agenturen interne Datenschutzbeauftragte installiert. Bei der Netzwerkagentur Geometry wurde beispielsweise eine Juristin neu eingestellt, die sich ausschließlich mit dem Thema Datenschutz beschäftigt und beispielsweise die Verträge mit bestehenden Kunden, potentiellen Kunden und Lieferanten vorbereitete. Im Gegensatz zu kleineren Agenturen können Netzwerkagenturen diese Kosten teilen und müssen nicht für jede Einheit einzeln einen Anwalt beauftragen, um diese Themen durchzugehen. Kleinere, inhabergeführte Agenturen haben diese Option nicht und sind von den Belastungen deutlich stärker betroffen.

Sensibilisierung von Mitarbeitern und Kunden

Ein wichtiger Aspekt bei der Umsetzung der Regulierungen sind immer die Mitarbeiter. Dabei gilt es, die Kollegen auf allen Ebenen vom Management bis zur operativen Ebene zu informieren und Akzeptanz für das Thema zu schaffen. In unserer Branche spielt dabei eine Eigenheit sicher eine besondere Rolle. So ist für Agenturen, die von der Kreativität, dem Freigeist und der Kommunikation ihrer Mitarbeiter leben, die Sensibilisierung dieser Kollegen für die vielfältigen Regulierungen und bürokratischen Vorgaben eine besondere Herausforderung. „In anderen Branchen wie beispielsweise dem Bankensektor wurde das Thema Datenschutz schon vorher ganz anders gelebt. Um das auch bei unseren Mitarbeitern breit zu verankern, sind klare Regeln und Leitplanken wichtig, damit Mitarbeiter zum Beispiel bei der Wahl der Tools nicht viel falsch machen können”, so Tim Jessulat.

Allein die Einbindung und Information aller Mitarbeiter ist schon ein bürokratischer Akt. „Alle unseren 250 Mitarbeiter bei Geometry wurden nicht nur informiert, sondern aufgefordert eine Verpflichtungserklärung zum Datenschutz zu unterzeichnen”, so Astrid Licata von Geometry aus dem Bereich HR.

Auch bei den Kunden und Dienstleistern stehen vor der Zusammenarbeit nunmehr Themen wie die „Vereinbarung über Auftragsverarbeitung” auf der Agenda. Nicht alle Kunden und Dienstleister haben dafür Verständnis, was schon zu „schlechten Vibrations” führen kann, wie einige Agenturen berichten. Mit manchen Kunden wurde die Zusammenarbeit aufgrund dieser rechtlichen Vorgaben aber auch gefestigt und ausgebaut. Mit Expertise und Beratung beim Thema Datenschutz konnten einige Agenturen bei ihren Kunden punkten und teilweise Zusatzaufträge generieren. Ein eigenes Geschäftsmodell für Agenturen wurde daraus jedoch nicht.

Datenschutz ist ein „Dauerbrenner”

Nach Inkrafttreten der DSGVO vor drei Monaten ist eine Abmahnwelle bisher ausgeblieben. Auch mit den Aufsichtsbehörden gab es bislang keine Problemfälle. Dabei sehen Agenturen den Datenschutz als langfristige Aufgabe. „Unabhängig davon, wie schnell und wie gut die Agenturen die Regelungen bisher umgesetzt haben, müssen wir diese ja auch in Zukunft ständig den dann geltenden Richtlinien und Vorgaben anpassen”, so Peter Brawand.

Im Ergebnis ist die Umsetzung der Datenschutzgrundverordnung vor allem für kleinere und mittlere Agenturen mit einem großen finanziellen Aufwand verbunden. Die Agenturen haben sich diesen Aufgaben gestellt und sehen sich mittlerweile den Anforderungen gut gewappnet. „Auch wenn sich mit Inkrafttreten der DSGVO tatsächlich für uns nicht so viel geändert hat, sind wir alle noch einmal viel sensibler geworden beim Umgang mit Kundendaten. Und wir haben das zum Anlass genommen, alle Prozesse noch einmal von Grund auf zu beleuchten und zu verbessern”, so Mike Herrmann aus dem Controlling bei Geometry. Als positiven Nebeneffekt sehen viele Agenturen, dass das Thema nun insgesamt bei Mitarbeitern und Kunden stärker priorisiert wird und deutlicher im Fokus aller Aktivitäten steht. Die Anpassung war teilweise auch ein Anlass, Innovationen wie neue datenschutzkonforme Tools schneller einzuführen.

Der Rechtsanwalt Martin Bonelli berät die Mitgliedsagenturen des GWA in allen juristischen Themen, vor allem zu Fragen zum Datenschutz, Arbeitsrecht, allgemeinen Vertragsrecht, Urheber- und Markenrecht sowie zum Wettbewerbs- und Internetrecht. Außerdem unterstützt er die Interessenvertretung des Verbandes bei Themen wie der Flexibilisierung des Arbeitszeitgesetzes, Herausnahme der Gesellschafter-Geschäftsführer aus der Künstlersozialversicherung oder der wirtschaftsfreundlichen Gestaltung des Datenschutzes. Bonelli hat eine langjährige Expertise in der Beratung von Unternehmer im Wirtschaftsrecht, vor allem bei der Vertragsgestaltung sowie der präventiven und außergerichtlichen Rechtsberatung. Zusätzlich ist er seit 15 Jahren selbstständiger Trainer beim Thema „Arbeitsrecht für Arbeitgeber“ und allein verantwortlicher Autor des DIHK-Ratgebers zum Arbeitsrecht.

Weitere Themen und Schwerpunkt Bewegtbild in CP MONITOR Nr. 3/2018…