Zugriff externer Agenturen begrenzen

Leiten Sie den Zugang aus dem konkreten Auftrag ab und begrenzen Sie ihn auf das erforderliche Konto, die Handlung, die Person und die Laufzeit. Halten Sie Freigabe und Entzug in einem gemeinsamen Nachweis fest. Prüfen Sie direkte Nutzer und Partnerverknüpfungen getrennt und kontrollieren Sie den Entzug nach der Übergabe.

Den Auftrag in Rechte übersetzen

Beschreiben Sie die Arbeit genau: Soll die Agentur Entwürfe erstellen, Kampagnen bearbeiten, Berichte lesen oder neue Nutzer einladen? Welche Daten muss sie dafür sehen? „Betreuung des Marketings“ ist als Grundlage für eine Berechtigung zu ungenau.

Erfassen Sie vor der Freigabe System und Konto, Agenturperson, erlaubte Handlung sowie Beginn und vorgesehenes Ende. Lassen Sie den Zugang durch eine intern für das Konto zuständige Person freigeben und halten Sie Änderungen im selben Nachweis fest.

Für eine direkte Einladung in Google Ads wählen Sie „Tools und Einstellungen“ > „Zugriff und Sicherheit“ und dort „+“. Tragen Sie die E-Mail-Adresse ein, wählen Sie die passende Zugriffs-Stufe und senden Sie die Einladung; die eingeladene Person muss sie annehmen.

Gleichen Sie die angebotene Zugriffs-Stufe mit dem Auftrag ab. Wenn sie weiter reicht als nötig, dokumentieren Sie die zusätzlichen Rechte und lassen Sie sie ausdrücklich intern genehmigen oder wählen Sie einen engeren Zugangsweg.

Vergleich von Zugriffsstufen in Google Ads

Partnerverknüpfungen gesondert prüfen

In Google Ads gibt es neben direkten Nutzereinladungen Verknüpfungen mit Verwaltungskonten. Eine Agentur kann dafür die Kundennummer des Google-Ads-Kontos verwenden und eine Verknüpfungsanfrage senden; die Anfrage wird im Konto angenommen.

Prüfen Sie in Google Analytics Nutzer und Nutzergruppen getrennt. Google Tag Manager hat eigene Zugriffsrechte. Erfassen Sie außerdem, ob Google Ads mit einem Merchant Center verknüpft ist, damit diese Verbindung in die Entzugsprüfung eingeht.

Dokumentieren Sie bei einer Google-Ads-Verwaltungskontoverknüpfung auch den jeweiligen Eigentümerstatus. Sorgen Sie dafür, dass eine interne zuständige Person weiterhin Zugriff auf das Kundenkonto hat.

Datenverarbeitung getrennt vom Login klären

Ein eingeschränkter Login bestimmt nicht die datenschutzrechtliche Rolle der Agentur. Verarbeitet sie personenbezogene Daten im Auftrag, handelt sie als Auftragsverarbeiterin ausschließlich nach den Weisungen des Verantwortlichen; der Verantwortliche bestimmt Zweck und Mittel der Verarbeitung.

Regeln Sie die Weisungen und die erforderlichen technischen und organisatorischen Maßnahmen. Ein Unterauftragsverarbeiter darf nur mit schriftlicher Autorisierung des Verantwortlichen eingesetzt werden; der Auftragsverarbeiter muss mit ihm einen verbindlichen Vertrag mit demselben Schutz der personenbezogenen Daten schließen.

Übergeben Sie nur die für die Aufgabe erforderlichen Daten. Legen Sie fest, wer Exporte anfordern darf, wo sie abgelegt werden und ob sie am Auftragsende zurückgegeben oder gelöscht werden.

Wichtige Datenschutzregeln für Auftragsverarbeiter

Das Auftragsende ohne Betriebsunterbrechung vorbereiten

Übergeben Sie offene Kampagnen, Entwürfe und Berichte an interne Zuständige. Erfassen Sie vor dem Lösen einer Google-Ads-Verwaltungskontoverknüpfung, welche Funktionen und Datenflüsse davon abhängen, und legen Sie für erkannte Abhängigkeiten nötige Ersatzwege fest.

Prüfen Sie direkte Google-Ads-Nutzer unter „Tools und Einstellungen“ > „Zugriff und Sicherheit“ und entfernen Sie nicht mehr benötigte Zugänge. Entfernen Sie in Google Analytics nicht mehr benötigte Nutzer oder Nutzergruppen und beenden Sie außerdem entbehrliche technische Zugänge und Verwaltungskontoverknüpfungen.

Kontrollieren Sie anschließend aus dem Kundenkonto, ob direkte Nutzer, Nutzergruppen und Partnerverknüpfungen tatsächlich keinen Zugang mehr ermöglichen. Halten Sie im Nachweis fest, wer den Entzug ausgeführt hat, welche Zugangswege geprüft wurden und wer die Prüfung vorgenommen hat.