DSGVO (Influencer)

Definition: Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union gilt seit Mai 2018 und regelt die Erhebung, Verarbeitung und Weitergabe personenbezogener Daten – auch im Influencer Marketing. Relevant wird die DSGVO immer dann, wenn im Rahmen von Influencer-Kampagnen Nutzerdaten erfasst werden: beim Einsatz von Tracking-Links mit Cookies, bei der Erhebung von E-Mail-Adressen über Gewinnspiele, bei der Nutzung von Influencer-Analyse-Tools, die Follower-Daten verarbeiten, oder bei der Weitergabe personenbezogener Daten an Influencer (z. B. Adressdaten für Produktlieferungen). Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro bestraft werden.

Erläuterung

Im Influencer Marketing berührt die DSGVO mehrere Bereiche gleichzeitig: Marken, Agenturen und Influencer agieren häufig gemeinsam als Datenverarbeiter, ohne sich dieser Verantwortung bewusst zu sein. Wenn eine Marke einem Influencer Zugang zu Zielgruppendaten oder Tracking-Systemen gibt, liegt eine Auftragsverarbeitung vor, für die ein Auftragsverarbeitungsvertrag (AV-Vertrag nach Art. 28 DSGVO) abgeschlossen werden muss. Influencer, die auf ihrer eigenen Website oder ihrem Blog Cookies einsetzen oder Newsletter-Adressen sammeln, sind selbst als Verantwortliche im Sinne der DSGVO anzusehen und benötigen eine eigene Datenschutzerklärung. Besonders kritisch sind internationale Kampagnen: Werden Follower-Daten durch US-amerikanische Analyse-Tools verarbeitet (z. B. HypeAuditor mit Serverstandort in den USA), muss dies im Einklang mit den Datentransfer-Regelungen (Adequacy Decision oder SCCs) stehen. Auch einfache UTM-Links sind DSGVO-relevant, wenn über das Tracking personenbezogene Daten wie IP-Adressen gespeichert werden.

DSGVO-relevante Szenarien im Influencer Marketing

• UTM-Tracking und Affiliate-Links: Beim Klick auf Links werden IP-Adressen und Gerätedaten erfasst; die Datenschutzerklärung der Marken-Website muss diese Verarbeitung abbilden und ein Cookie-Consent-System ist erforderlich.
• Gewinnspiele und Lead-Generierung: Erhobene E-Mail-Adressen und Namen sind personenbezogene Daten; eine explizite Einwilligung (Opt-in) nach Art. 6 Abs. 1 lit. a DSGVO ist zwingend erforderlich; Datenschutzhinweis im Gewinnspiel-Post und Teilnahmebedingungen notwendig.
• Influencer-Analyse-Tools: Tools wie HypeAuditor, Modash oder Kolsquare verarbeiten Social-Media-Daten; DSGVO-Konformität des Anbieters vor Einsatz prüfen; AV-Vertrag mit dem Tool-Anbieter schließen.
• Produktlieferungen an Influencer: Name und Adresse des Influencers sind personenbezogene Daten; Speicherung und Verarbeitung erfordern eine Rechtsgrundlage (in der Regel Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung).
• Retargeting auf Basis von Influencer-Traffic: Wenn Besucher, die über Influencer-Links kamen, via Pixel für Retargeting-Anzeigen markiert werden, ist eine Cookie-Einwilligung vor dem Setzen des Pixels Pflicht.

DSGVO-Compliance-Checkliste für Influencer-Kampagnen

• AV-Vertrag abschließen: Mit jedem Tool-Anbieter und Influencer, der Zugang zu Nutzerdaten erhält, einen Auftragsverarbeitungsvertrag abschließen.
• Datenschutzerklärung aktualisieren: Neue Tracking-Methoden oder Drittanbieter, die im Rahmen der Kampagne eingesetzt werden, in der Datenschutzerklärung der eigenen Website ergänzen.
• Cookie-Consent prüfen: Sicherstellen, dass Tracking-Pixel und UTM-Cookies erst nach Nutzereinwilligung gesetzt werden; Double-Opt-in für E-Mail-Adressen aus Gewinnspielen verwenden.
• Tool-Serverstandorte klären: Influencer-Analyse-Tools bevorzugen, die Daten ausschließlich in der EU verarbeiten, oder deren Datentransfer durch SCCs (Standard Contractual Clauses) abgesichert ist.