Ihr habt euch entschieden. Das Tool passt, das Budget steht, die Fachabteilung ist an Bord. Du schickst den Vertragsentwurf an die Rechtsabteilung, mit dem Vermerk, dass ihr zum Ersten starten wollt.
Sechs Wochen später habt ihr immer noch nicht gestartet. Es fehlt ein Auftragsverarbeitungsvertrag, die IT will wissen, wo die Daten liegen, und jemand fragt, ob Inhalte zum Training verwendet werden. Fragen, die niemand böswillig stellt. Nur eben zum spätestmöglichen Zeitpunkt.
IT und Datenschutz spät einzubinden kostet in der Regel mehr Zeit als der gesamte Auswahlprozess davor. Wer beide Bereiche schon in der Anforderungsphase beteiligt, verwandelt sie von Bremsern in Mitentscheider. Entscheidend sind vier Punkte: Verarbeitungszweck, Datenstandort, Auftragsverarbeitung und Trainingsnutzung.
Warum die Prüfung so spät kommt
In den meisten Unternehmen beginnt die Toolsuche im Marketing, weil dort der Schmerz sitzt. IT und Datenschutz erfahren davon, wenn eine Unterschrift ansteht. Aus deren Sicht kommt dann ein fertiges Ergebnis mit Terminwunsch, ohne dass sie die Anforderungen kannten.
Das erzeugt zwei Reaktionen. Entweder wird gründlich geprüft, dann dauert es. Oder es wird schnell abgelehnt, weil eine Ablehnung immer das risikoärmere Ergebnis ist, wenn die Zeit fehlt. Beides fühlt sich für euch wie Blockade an, ist aber die logische Folge des Zeitpunkts.
Der Hebel liegt deshalb nicht darin, schneller zu prüfen. Er liegt darin, früher zu fragen. Wer IT und Datenschutz in der Anforderungsphase beteiligt, bekommt ihre Kriterien als Teil der Auswahl statt als Einspruch danach.
Die vier Fragen, die immer kommen
Unabhängig von Branche und Unternehmensgröße laufen die Prüfungen auf dieselben vier Punkte hinaus. Wenn ihr diese vorab beantworten könnt, verkürzt sich der Prozess erheblich.
Die vierte Frage entscheidet in der Praxis häufiger über Zustimmung oder Ablehnung als alle anderen. Klärt sie schriftlich, nicht im Gespräch, und legt die Antwort der Prüfung bei.
Was die späte Einbindung tatsächlich kostet
Die folgenden Werte sind ein Arbeitsmodell zur Veranschaulichung und keine erhobenen Messwerte. Setzt eure eigenen Erfahrungswerte ein.
Der Unterschied entsteht nicht durch schnellere Prüfung, sondern dadurch, dass keine Nachforderungen nötig sind. Jede Nachforderung kostet einen kompletten Durchlauf, weil die Unterlagen erneut in die Warteschlange gehen.
| Schritt | Späte Einbindung | Frühe Einbindung |
|---|---|---|
| Anforderungen festlegen | ohne IT und Datenschutz | gemeinsam, Kriterien fließen ein |
| Anbieterauswahl | rein fachlich | fachlich plus Ausschlusskriterien |
| Prüfung | beginnt bei null, mehrere Rückfragen | bestätigt Bekanntes |
| Ergebnis | Verzögerung oder Ablehnung | Freigabe oder frühe Absage |
Der letzte Punkt ist der unterschätzte. Eine frühe Absage ist unangenehm, aber deutlich billiger als eine späte. Wenn ein Anbieter aus grundsätzlichen Erwägungen nicht infrage kommt, wollt ihr das vor dem Test wissen und nicht danach.
Fünf Fehler bei der Einbindung
- Die Prüfung als Formalie ankündigenWer signalisiert, dass die Entscheidung schon gefallen ist, bekommt eine gründlichere Prüfung, nicht eine schnellere.
- Nur die Rechtsabteilung fragenDatenschutz und IT-Sicherheit sind unterschiedliche Perspektiven mit unterschiedlichen Kriterien. Beide gehören an den Tisch.
- Unterlagen stückweise nachreichenJede Nachlieferung startet den Durchlauf neu. Ein vollständiges Paket auf einmal ist schneller als drei schnelle Teillieferungen.
- Den tatsächlichen Einsatz beschönigenWenn im Prüfantrag steht, es würden keine personenbezogenen Daten verarbeitet, und später tauchen Kundenzitate auf, ist die Freigabe hinfällig.
- Ohne benannte Ansprechperson arbeitenEine feste Person auf beiden Seiten verkürzt die Abstimmung mehr als jedes Formular.
In fünf Schritten zur reibungslosen Freigabe
- Vor der SucheKriterien abholenEin Termin von 30 Minuten mit IT und Datenschutz, in dem ihr fragt, welche Punkte für sie Ausschlusskriterien wären. Ergebnis ist eine Liste, keine Diskussion.
- Während der AuswahlKriterien in die AnforderungslisteDie genannten Punkte werden gleichrangig zu den fachlichen Anforderungen aufgenommen und bei jedem Anbieter abgefragt.
- Vor dem TestUnterlagen vollständig einholenAuftragsverarbeitungsvertrag, Angaben zu Serverstandort und Subunternehmern sowie eine schriftliche Aussage zur Trainingsnutzung.
- Zum TestbeginnTestrahmen schriftlich festhaltenWelche Daten im Test verwendet werden und welche ausdrücklich nicht. Das nimmt der Prüfung den größten Teil der Unsicherheit.
- Vor der UnterschriftGemeinsame FreigabeEin kurzer Termin mit allen Beteiligten statt eines Umlaufverfahrens. Offene Punkte werden im Gespräch geklärt, nicht per Nachricht.
Selbstcheck: Wie gut seid ihr vorbereitet?
Setzt Haken bei allem, was auf euch zutrifft.
wir prüfen derzeit Software für unsere Content-Produktion und möchten euch bewusst früh einbinden, nicht erst vor der Unterschrift.
Damit ihr nicht ins Blaue prüfen müsst: Wir würden gern von euch wissen, welche Punkte für euch Ausschlusskriterien sind. Diese nehmen wir gleichrangig zu den fachlichen Anforderungen in unsere Auswahlliste auf.
Von den Anbietern holen wir vorab ein: Auftragsverarbeitungsvertrag, Angaben zu Serverstandort und Subunternehmern sowie eine schriftliche Aussage dazu, ob Inhalte zum Training von Modellen verwendet werden.
Für den Test halten wir schriftlich fest, welche Daten verwendet werden und welche ausdrücklich nicht. Passt ein gemeinsamer Termin von 30 Minuten in den nächsten zwei Wochen?
Fazit: Früh fragen ist schneller als schnell prüfen
IT und Datenschutz sind keine Hürde am Ende des Prozesses, sondern eine Quelle von Auswahlkriterien am Anfang. Wer sie so behandelt, verliert gelegentlich einen Anbieter früher, gewinnt aber Wochen und trifft die Entscheidung mit den Beteiligten statt gegen sie.
Häufige Fragen
Was, wenn wir gar keine personenbezogenen Daten verarbeiten?
Prüft das genau, bevor ihr es zusichert. In Content-Prozessen tauchen personenbezogene Daten häufiger auf als erwartet, etwa in Interviews, Kundenreferenzen, Autorennamen oder Ansprechpartnern in Fallstudien. Eine falsche Zusicherung ist ein häufiger Grund, warum eine bereits erteilte Freigabe später zurückgezogen wird.
Reicht ein Auftragsverarbeitungsvertrag als Nachweis?
Er ist die Grundlage, aber selten allein ausreichend. Ergänzend werden meist Angaben zu Subunternehmern, Serverstandort und technischen Schutzmaßnahmen erwartet. Fragt bei eurer Datenschutzstelle nach, welche Unterlagen sie regelmäßig anfordert, und holt sie gleich mit ein.
Wie gehen wir mit einem Testzugang um, bevor die Prüfung durch ist?
Mit einem schriftlich festgehaltenen Testrahmen: ausschließlich unkritische Inhalte, keine personenbezogenen Daten, begrenzter Nutzerkreis, festes Enddatum. Damit wird der Test zu einem abgegrenzten Vorgang statt zu einem ungeklärten Dauerzustand.
Wer entscheidet am Ende?
Die fachliche Entscheidung bleibt bei euch, die Freigabe liegt bei den zuständigen Stellen. Genau deshalb lohnt die frühe Einbindung: Sie trennt die Frage, ob ein Werkzeug fachlich passt, von der Frage, ob es eingesetzt werden darf, und beantwortet beide rechtzeitig.
Wie lässt sich euer Marketingalltag einfacher machen?
In 30 Minuten schauen wir gemeinsam darauf, wo euch heute unnötige Abstimmungen, manuelle Aufgaben, Toolwechsel oder wiederkehrende Content-Arbeit Zeit kosten.
Du bekommst eine konkrete Einordnung, welche Aufgaben ihr vereinfachen, automatisieren oder besser organisieren könnt und wo KI und Tools tatsächlich helfen, statt zusätzliche Komplexität zu schaffen.
Alles an eurem tatsächlichen Marketingalltag.
30 Minuten, um deinen Marketingalltag zu vereinfachen Kostenfrei. Du nimmst konkrete Ansatzpunkte mit, die ihr intern direkt weiterverwenden könnt.
Dennis Gumprich
Dennis begleitet Marketing- und Kommunikationsteams bei der Frage, wie generative KI in bestehende Content-Prozesse passt, ohne Qualität, Markensprache und Freigaben zu untergraben. Schwerpunkte: Content Operations, AI Governance und Toolauswahl in Mittelstand und Konzern.
Transparenzhinweis: Dennis arbeitet für contentbird, einen Anbieter von KI-gestützter Content-Software. Produkterwähnungen sind im Beitrag gekennzeichnet. Mehr über Dennis · LinkedIn
Weiterlesen
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 28, zum Auftragsverarbeitungsvertrag.
- Verordnung (EU) 2016/679, Artikel 30, zum Verzeichnis von Verarbeitungstätigkeiten.
- Verordnung (EU) 2016/679, Kapitel V, zur Übermittlung personenbezogener Daten an Drittländer.
Entstehung dieses Beitrags
Dieser Beitrag ist unter Einsatz von KI entstanden. Struktur, Recherche und Formulierungsentwürfe wurden KI-gestützt erarbeitet. Fachliche Einordnung, Auswahl der Quellen, Prüfung der Aussagen und die finale Fassung liegen bei Dennis Gumprich. Die genannten Zeitangaben sind ausdrücklich als Arbeitsmodelle gekennzeichnet und keine erhobenen Messwerte.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine Rechts- oder Datenschutzberatung. Für die Bewertung eures konkreten Falls sind eure Datenschutzbeauftragten und eure Rechtsabteilung zuständig.
