Verantwortlichkeiten zwischen Unternehmen, Agentur und Toolanbieter klären
Unternehmen, Agentur und Toolanbieter brauchen klare Zuständigkeiten für Auswahl, Konfiguration und Prüfung. Verträge ersetzen keine Betriebsaufgaben.
„Datenschutz-Verantwortung im Setup klären“ wird hier aus der Perspektive „Datenschutzinventur und Verantwortung“ betrachtet. Für Website-Betreiber und Datenschutzverantwortliche sind dabei vor allem „Entscheidung versus Ausführung“ und „Agentur als Eigentümer“ wichtig.
Veröffentlicht: · 3 Min. Lesezeit · Autor: Sebastian Geier
Wie verteilt man Verantwortlichkeiten für Consent und Tracking zwischen drei Beteiligten?
Das Unternehmen bleibt für Geschäftsentscheidung und freigegebene Verarbeitung zuständig, während Agentur und Anbieter definierte Umsetzungs- oder Betriebsaufgaben übernehmen. Für jeden Datenfluss werden Entscheidungsrecht, ausführende Rolle, Nachweis und Eskalation schriftlich sowie technisch verankert.
Änderungs- und Incidentweg
Kontrollsignal
Signal 1
Anteil kritischer Datenschutz- und Trackingaufgaben mit eindeutigem Entscheider, Ausführendem und Vertretungsweg.
Kontrollsignal
Signal 2
Zahl unklarer Eigentums-, Zugriffs- oder Eskalationsfälle in Änderungen und Übungen.
Zugriffsmodell
Datenflüsse und Betriebsaufgaben werden in Entscheidung, Umsetzung, Kontrolle, Nachweis und Eskalation zerlegt.
Eine RACI-Matrix wird mit Konten, Rollen, Verträgen, Runbooks und technischen Freigaben abgeglichen.
Ein Änderungs- oder Incident-Szenario wird gemeinsam durchgespielt und deckt unbesetzte Übergaben auf.
Diagnosefall: „Agentur als Eigentümer“
Die Agentur verwaltet den Tag Manager, das Unternehmen genehmigt Zwecke und Empfänger, der Toolanbieter betreibt die Plattform. Ein neuer Tag benötigt beide internen Freigaben; Konten bleiben beim Unternehmen und der Incidentweg benennt alle drei Rollen.
Entscheidung versus Ausführung
Prüfkriterium
Entscheidung versus Ausführung
Wer Zweck und Mittel festlegt, wird von der Rolle getrennt, die Tags konfiguriert oder Plattformbetrieb liefert.
Prüfkriterium
Zugriffsmodell
Konten, Rollen, Secrets, Auditlogs und Entzug gehören dem vereinbarten Verantwortungs- und Vertretungsmodell.
Änderungs- und Incidentweg – Neue Anbieter, Releases, Datenpannen und Löschanfragen besitzen vorab definierte Kontakte, Fristen und Belege.
Agentur als Eigentümer
Agentur als Eigentümer – Konten, Container und Dokumentation liegen ausschließlich bei einem Dienstleister und erschweren Kontrolle oder Wechsel.
Anbieterstandard ungeprüft – Voreinstellungen werden als Entscheidung des Toolanbieters behandelt, obwohl die konkrete Konfiguration freigegeben werden muss.
Gemeinsame Lücke – Alle Beteiligten nehmen an, eine andere Partei teste Consent, lösche Daten oder überwache neue Unterauftragnehmer.
Welche Fragen sich daraus als Nächstes ergeben
Eine passende Anschlussfrage beantwortet Tag Manager so konfigurieren, dass Consent-Regeln nicht umgangen werden: „Wie verhindert man, dass ein Tag Manager festgelegte Consent-Regeln umgeht?“
Eine zweite Verbindung für „Datenschutz-Verantwortung im Setup klären“ führt zu Rollen und Rechte in Redaktionssystemen sauber begrenzen. Dieser Beitrag bleibt auf der Frage „Wie werden Rollen und Rechte in einem Redaktionssystem nachvollziehbar begrenzt?“ fokussiert.
Wenn du „Datenschutz-Verantwortung im Setup klären“ praktisch umsetzen möchtest, kannst du auf robuste Website-Systeme zurückgreifen. Dort stehen „Datenschutzinventur und Verantwortung“ und „Entscheidung versus Ausführung“ im Mittelpunkt.
Fazit: Datenschutz-Verantwortung im Setup klären
Klare Verantwortung verbindet organisatorische Entscheidung mit technischem Zugriff und Nachweis. Outsourcing von Arbeit ersetzt nicht die Zuordnung von Eigentum.
Quellen und weiterführende Hinweise
Die folgenden Quellen belegen die für „Datenschutz-Verantwortung im Setup klären“ verwendeten technischen und methodischen Leitplanken.
Guidelines 05/2020 on Consent – European Data Protection Board: Offizielle europäische Auslegung der organisatorischen und nachweisbezogenen Anforderungen an Einwilligung.
General Data Protection Regulation – EUR-Lex: Primärquelle zu Rechenschaftspflicht, Informationspflichten, Verarbeitungsverzeichnis und Rollen von Verantwortlichen und Auftragsverarbeitern.
Kernthese
Eine RACI-ähnliche Matrix weist jede Verarbeitung, Konfigurationsänderung, Kontrolle und Störung einer verantwortlichen Stelle zu. Freigaben und Nachweise bleiben beim benannten Eigentümer auffindbar.
Worum es nicht geht
Ein Vertrag mit einer Agentur oder einem Toolanbieter überträgt nicht automatisch alle fachlichen, technischen und datenschutzbezogenen Entscheidungen aus dem Unternehmen.
Worum es geht
Ein RACI- und Betriebsmodell ordnet Zweck, Konfiguration, Zugriff, Änderung, Prüfung, Incident, Betroffenenprozess und Löschung eindeutig zu.
Consent, Datenschutz & Tracking-Qualität
Eine technische Datenschutz-Inventur für Websites durchführen
Zu „Datenschutz-Verantwortung im Setup klären“ gehört als eigenständiger Prüfschritt die Frage: Welche technischen Spuren muss eine Datenschutz-Inventur einer Website erfassen?
Consent, Datenschutz & Tracking-Qualität
Cookie-Kategorien nach tatsächlicher Funktion definieren
Ergänzt „Datenschutz-Verantwortung im Setup klären“ um eine getrennte Entscheidung: Wie ordnet man Cookies und ähnliche Technologien sachgerecht einer Kategorie zu?
Insights Übersicht
Alle VELUNO Insights im Überblick
Weitere Analysen zu Website-Systemen, digitaler Sichtbarkeit und belastbaren Arbeitsmodellen.
Änderungs- und Incidentweg: Startpunkt der Umsetzung
Ein kritischer Datenfluss wird zuerst in Entscheidung, Umsetzung und Kontrolle zerlegt. Die Rollen werden danach gegen reale Konten und Incidentwege geprüft.