Datenschutz in der Influencer-Agentur heißt: Du weißt, welche personenbezogenen Daten du von Creatorn, Ansprechpersonen bei Marken und anderen Menschen verarbeitest, auf welcher Grundlage, bei welchen Dienstleistern sie liegen und wie lange du sie brauchst. Die Regeln dafür stehen in der Datenschutz-Grundverordnung (DSGVO), in Deutschland ergänzt durch das Bundesdatenschutzgesetz.
Agenturen haben dabei eine besondere Lage: Sie sitzen zwischen Creatorn und Marken, geben Daten in beide Richtungen weiter und arbeiten mit vielen Werkzeugen, vom Postfach bis zum Messenger. Hier bekommst du einen Überblick über die Daten einer Agentur, die wichtigsten Pflichten, den Umgang mit Dienstleistern und Marken und eine Checkliste. Stand Oktober 2026. Die Umsetzung im Einzelfall klärst du mit deiner Kanzlei oder Datenschutzberatung.
Welche Daten verarbeitet eine Influencer-Agentur?
Personenbezogen sind alle Daten, die sich einer Person zuordnen lassen. In einer Agentur kommt einiges zusammen:
| Gruppe | Typische Daten | Mögliche Rechtsgrundlage nach Art. 6 DSGVO |
|---|---|---|
| Creator unter Management | Name, Anschrift, Kontakt, Bankverbindung, Steuerangaben, Verträge, Honorare, Kennzahlen | Vertrag, rechtliche Pflicht |
| Creator in der Anbahnung | Profil, Kontakt, Notizen aus dem Scouting | berechtigtes Interesse |
| Ansprechpersonen bei Marken | Name, Funktion, Mail, Telefon | Vertrag oder berechtigtes Interesse |
| Mitarbeitende | Personaldaten | Beschäftigungsverhältnis |
| Teilnehmende an Gewinnspielen | Name, Anschrift, Kontakt | Teilnahmebedingungen, Einwilligung |
Welche Rechtsgrundlage im Einzelfall trägt, beurteilt deine Datenschutzberatung. Wichtig für die Praxis: Für die meisten Daten deiner Creator brauchst du keine Einwilligung, weil du sie für den Managementvertrag und die Abrechnung brauchst. Für alles darüber hinaus, etwa Fotos in einer öffentlichen Referenzliste, sieht es anders aus.
Vorsicht bei besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten. Erzählt ein Creator von einer Schwangerschaft oder Krankheit, weil eine Kooperation verschoben werden muss, gehört diese Information nicht in eine Tabelle, die das ganze Team sieht. Welche Daten du von einem Creator wirklich brauchst, zeigt der Artikel zu den Creator-Stammdaten.
Welche Pflichten hat die Agentur nach der DSGVO?
Informieren
Nach Art. 13 DSGVO informierst du Menschen bei der Erhebung ihrer Daten, wer verantwortlich ist, wofür und auf welcher Grundlage du die Daten verarbeitest, an wen sie gehen und wie lange du sie speicherst. Für Creator und Ansprechpersonen bei Marken hilft ein kurzer Datenschutzhinweis, den du dem Managementvertrag beilegst oder in der Mail-Signatur verlinkst.
Verzeichnis führen
Nach Art. 30 DSGVO führst du ein Verzeichnis deiner Verarbeitungstätigkeiten. Für Unternehmen mit weniger als 250 Beschäftigten gibt es eine Ausnahme, die aber nicht gilt, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Kategorien umfasst. Die Datenschutzkonferenz der Aufsichtsbehörden weist darauf hin, dass die Ausnahme eng ist. Eine Agentur, die laufend Creator-Daten verarbeitet, sollte das Verzeichnis führen.
Mit Dienstleistern Verträge schließen
Verarbeitet ein Dienstleister Daten in deinem Auftrag, etwa ein Cloud-Speicher, ein Rechnungsprogramm oder eine Agentursoftware, brauchst du nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung.
Sicherheit organisieren
Nach Art. 32 DSGVO triffst du angemessene technische und organisatorische Maßnahmen, etwa Zugriffsrechte nach Rolle, sichere Passwörter, Sicherungen.
Auskunft geben
Fragt ein Creator nach, welche Daten du über ihn speicherst, antwortest du nach Art. 15 DSGVO. Die Frist beträgt nach Art. 12 Absatz 3 DSGVO in der Regel einen Monat.
Datenpannen melden
Geht ein Laptop mit Creator-Daten verloren oder landet eine Liste mit Bankverbindungen bei der falschen Marke, meldest du das nach Art. 33 DSGVO möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde, es sei denn, die Panne führt voraussichtlich nicht zu einem Risiko.
Datenschutzbeauftragte Person benennen
In Deutschland ist das nach § 38 BDSG in der Regel nötig, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ob das bei dir zutrifft, prüfst du mit deiner Datenschutzberatung.
Rechenbeispiel: Fristen im Ernstfall
Die Daten sind frei gewählt.
Datenpanne: Am Freitag um 16 Uhr bemerkt Alex Nord, dass eine Tabelle mit Bankverbindungen von zwölf Creatorn an die falsche Marke ging. 72 Stunden später ist Montag, 16 Uhr. Bis dahin muss die Meldung an die Aufsichtsbehörde raus, sofern ein Risiko besteht. Das Wochenende zählt mit.
Auskunft: Mara Linden fragt am 3. November nach ihren gespeicherten Daten. Die Antwort ist in der Regel bis zum 3. Dezember fällig. Sammelst du ihre Daten aus Postfach, Tabellen, Messenger und Rechnungsprogramm zusammen, ist ein Monat schneller vorbei, als es klingt.
Dienstleister und Werkzeuge: wo liegen deine Daten?
Die meisten Daten einer Agentur liegen nicht auf eigenen Rechnern, sondern bei Dienstleistern. Eine einfache Liste schafft Überblick:
| Werkzeug | Welche Daten | Vertrag zur Auftragsverarbeitung | Speicherort |
|---|---|---|---|
| Mail-Postfach | Kommunikation mit Creatorn und Marken | vorhanden? | prüfen |
| Cloud-Speicher | Verträge, Content, Belege | vorhanden? | prüfen |
| Tabellen | Honorare, Kontakte | über den Speicherdienst | prüfen |
| Messenger | Nachrichten, Entwürfe | oft nicht vorgesehen | prüfen |
| Rechnungsprogramm | Rechnungen, Bankdaten | vorhanden? | prüfen |
| Agentursoftware | Kooperationen, Verträge, Auszahlungen | vorhanden? | prüfen |
Besonders kritisch sind private Messenger-Gruppen mit Creatorn, in denen Verträge, Honorare und Ausweisfotos landen. Das ist bequem, aber kaum zu kontrollieren. Wie du Werkzeuge in der Agentur ordnest, zeigt der Ratgeber Der Tool-Stack für Influencer-Agenturen.
Liegen Daten bei Dienstleistern außerhalb der EU, kommen die Regeln für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO dazu. Das klärst du mit deiner Datenschutzberatung.
Creator-Daten an Marken weitergeben
Marken brauchen manche Daten von Creatorn: eine Lieferanschrift für Produkte, Kennzahlen für die Auswahl, Namen für Verträge. Drei Regeln helfen:
- Nur, was nötig ist. Für den Produktversand reicht die Lieferanschrift, nicht die Privatadresse samt Telefonnummer, wenn eine Agenturadresse genügt.
- Nur an die richtige Person. Ansprechpersonen wechseln. Prüfe vor dem Versand, wer zuständig ist.
- Nicht dauerhaft offen. Media-Kits und Listen teilst du besser über befristete Links als über angehängte Dateien, die ewig in fremden Postfächern liegen.
Der Creator sollte wissen, welche Daten an Marken gehen. Halte das im Managementvertrag oder im Datenschutzhinweis fest. Große Marken fragen umgekehrt oft, wie die Agentur mit Daten umgeht, meist in einem Fragebogen bei der Lieferantenanlage.
Löschen: wann Daten weg müssen
Daten, die du nicht mehr brauchst, löschst du. Gesetzliche Aufbewahrungspflichten gehen dem vor: Eine Gutschrift mit Bankverbindung bleibt so lange liegen, wie das Steuerrecht es verlangt. Welche Fristen gelten, erklärt der Artikel zu den Aufbewahrungsfristen in der Agentur. Alles andere, etwa Scouting-Notizen zu Creatorn, die nie unter Vertrag kamen, oder alte Castingunterlagen, löschst du nach einer festen Frist.
Typische Fehler beim Datenschutz in Agenturen
Die Bankdaten-Tabelle für alle
Eine Tabelle mit allen Honoraren und Bankverbindungen, auf die das ganze Team Zugriff hat. Vergib Rechte nach Rolle.
Messenger als Ablage
Verträge, Ausweise und Rechnungen in Gruppenchats. Leg sie dort ab, wo Zugriff und Löschung geregelt sind.
Keine Verträge mit Dienstleistern
Das Rechnungsprogramm läuft seit Jahren, ein Vertrag zur Auftragsverarbeitung wurde nie abgeschlossen. Prüfe deine Liste.
Daten von Minderjährigen ohne Eltern
Bei minderjährigen Creatorn sind die Eltern beteiligt. Mehr dazu im Ratgeber Minderjährige Creator unter Vertrag.
Gewinnspieldaten bleiben liegen
Teilnehmerlisten aus Gewinnspielen werden nach der Auslosung nicht gelöscht. Wie du Gewinnspiele organisierst, zeigt der Ratgeber Gewinnspiel als Influencer.
Checkliste Datenschutz für die Agentur
So hilft CreatorOffice beim Datenschutz
CreatorOffice ist ein Backoffice im Browser für Talent-Managements und Influencer-Agenturen. Es nimmt dir die Pflichten als Verantwortlicher nicht ab, macht aber einiges einfacher. Belegt sind diese Punkte:
- Speicherort in der EU: Datenbank und Dateien liegen in einem Rechenzentrum in der EU.
- Auftragsverarbeitung: Der AVV ist Teil jedes Abos, alle Unterauftragsverarbeiter stehen offen im AVV.
- Getrennte Bereiche: Mandantentrennung und Rollen prüft die Datenbank bei jedem Zugriff. Rechte je Manager legst du ab Tarif Team fest.
- Creator-Portal: Creator pflegen Anschrift und Bankverbindung selbst. Interne Notizen, Anfragen an Marken und Daten anderer Creator sehen sie nie.
- Links statt Anhänge: Media-Kits und Pitch-Listen gehen als persönlicher, befristeter, jederzeit widerrufbarer Link, jeder Aufruf steht im Protokoll. Ab Tarif Team.
- Export und Löschung: Den vollständigen Export erstellst du jederzeit selbst. Gelöscht wird nach Ankündigung, Aufbewahrungsfristen sind eingebaut.
Mehr dazu auf der Seite Sicherheit und Datenschutz, die Tarife findest du bei den Tarifen.
Häufige Fragen
Braucht eine Influencer-Agentur eine Einwilligung der Creator für ihre Daten?
Für Daten, die du für den Managementvertrag und die Abrechnung brauchst, in der Regel nicht, weil die Verarbeitung zur Erfüllung des Vertrags nötig ist. Für weitergehende Zwecke kann eine Einwilligung nötig sein. Das klärst du mit deiner Datenschutzberatung.
Brauche ich ein Verzeichnis der Verarbeitungstätigkeiten?
Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Eine Agentur, die laufend Daten von Creatorn verarbeitet, sollte das Verzeichnis führen.
Was muss ich bei einer Datenpanne tun?
Die Panne nach Art. 33 DSGVO möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko. Bei hohem Risiko informierst du auch die Betroffenen.
Darf ich Daten von Creatorn an Marken weitergeben?
Soweit es für die Kooperation nötig ist, etwa Name für den Vertrag oder Lieferanschrift für Produkte. Gib so wenig wie möglich weiter und halte im Managementvertrag fest, welche Daten an Marken gehen.
Brauche ich mit meiner Agentursoftware einen Vertrag zur Auftragsverarbeitung?
Ja, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Bei CreatorOffice ist der Auftragsverarbeitungsvertrag Teil jedes Abos.
Wo speichert CreatorOffice die Daten?
Datenbank und Dateien liegen in einem Rechenzentrum in der EU. Sicherungen laufen jede Nacht in einen getrennten Speicher in der EU.
CreatorOffice kostenlos testen
Wenn Creator-Daten bei dir heute in Postfach, Tabellen und Messenger verteilt sind, probiere aus, wie es wirkt, wenn sie an einem Ort mit Rechten je Rolle liegen. Teste CreatorOffice 14 Tage kostenlos im Tarif deiner Wahl.