DSGVO und E-Mail-Marketing im Franchising: Compliance-Guide für deutsche Franchisepartner

Franchisepartner in Deutschland, Österreich und der Schweiz sind nach der DSGVO eigenständige Verantwortliche – unabhängig davon, was der Franchisegeber vorgibt oder zentral regelt. Für E-Mail-Marketing bedeutet das konkret: Du brauchst eine rechtsgültige Einwilligung für jeden Kontakt, einen abgeschlossenen Auftragsverarbeitervertrag mit ActiveCampaign und klare schriftliche Absprachen darüber, welche Daten du mit dem Franchisegeber teilst und unter welcher Rechtsgrundlage.

Das Wichtigste in Kürze

• Franchisepartner sind nach Art. 4 Nr. 7 DSGVO eigenständige Verantwortliche – auch wenn der Franchisegeber Systeme, Templates oder Kampagnenpläne vorgibt.
• Im DACH-Raum verlangt § 7 UWG das Double-Opt-in-Verfahren für Werbe-E-Mails; ein einfaches Opt-in ist vor deutschen Gerichten kein ausreichender Nachweis.
• Die Datenbeziehung zwischen Franchisepartner und Franchisegeber muss schriftlich als Auftragsverarbeitung (Art. 28 DSGVO) oder gemeinsame Verantwortlichkeit (Art. 26 DSGVO) geregelt sein – bevor du das erste Mal Daten überträgst.
• ActiveCampaign stellt den Auftragsverarbeitervertrag direkt im Account bereit; die DSGVO-Funktionen aktivierst du manuell unter Konto → Einstellungen → Datenschutz.

Wer trägt die rechtliche Verantwortung – du oder der Franchisegeber?

Die häufigste Fehlannahme in Franchisesystemen ist, der Franchisegeber sorge schon für die Datenschutz-Compliance. Das stimmt so nicht. Gemäß Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Entscheidend ist dabei nicht der Franchisevertrag, sondern die tatsächliche Kontrolle über die Datenverarbeitung.

Sobald du eigenständig Kundendaten sammelst – über ein Kontaktformular, eine Landingpage oder ein Gewinnspiel – und darüber entscheidest, wann und mit welchem Inhalt du E-Mails sendest, bist du Verantwortlicher. Das gilt auch dann, wenn der Franchisegeber dir Newsletter-Templates oder Kampagnenpläne vorgibt. Die Vorlagen befreien dich nicht von der Verantwortung für die Datenverarbeitung in deinem Betrieb.

Was das in der Praxis bedeutet

Als eigenständiger Verantwortlicher bist du gegenüber Aufsichtsbehörden und betroffenen Personen unmittelbar rechenschaftspflichtig. Konkret heißt das:

• Jede Person, die du per E-Mail kontaktierst, muss ihre Einwilligung bei dir gegeben haben – nicht beim Franchisegeber.
• Löschungsanfragen von Kontakten musst du in deinen eigenen Systemen umsetzen, auch wenn der Franchisegeber dieselbe Person in seinem CRM führt.
• Bei einer Datenpanne in deinem ActiveCampaign-Account bist du meldepflichtig gegenüber der Aufsichtsbehörde – nicht automatisch der Franchisegeber.
• Bußgelder treffen dich als eigenständige juristische Person, nicht pauschal das gesamte Franchisesystem.

Daran ändert sich nur etwas, wenn du als reines Werkzeug des Franchisegebers fungierst: wenn du ausschließlich auf seine Weisung handelst, keine eigenen Entscheidungen über Zwecke oder Mittel triffst und alle Daten in seinen Systemen liegen. In diesem Fall wärst du Auftragsverarbeiter. Auf die meisten Franchisepartner im DACH-Raum, die eigenständig lokales E-Mail-Marketing betreiben, trifft das jedoch nicht zu.

Auftragsverarbeitung oder gemeinsame Verantwortlichkeit mit dem Franchisegeber?

Sobald Daten zwischen Franchisepartner und Franchisegeber fließen, stellt sich eine entscheidende Folgefrage: Unter welcher Rechtsgrundlage geschieht das? Die DSGVO kennt zwei Modelle für die Zusammenarbeit zwischen zwei Verantwortlichen, die völlig unterschiedliche Anforderungen mitbringen.

Entscheidend ist die wirtschaftliche Realität, nicht die Bezeichnung im Franchisevertrag. Wenn der Franchisegeber deine Kundendaten nutzt, um systemweite Statistiken zu erstellen, übergreifende Loyalty-Programme zu betreiben oder eigene Retargeting-Kampagnen zu fahren, liegt gemeinsame Verantwortlichkeit vor – auch wenn der Franchisevertrag von "Auftragsverarbeitung" spricht. Der Europäische Datenschutzausschuss (EDPB) hat dazu in seinen Leitlinien festgelegt, dass die funktionale Kontrolle über Zwecke und Mittel ausschlaggebend ist, nicht die formale Vertragskategorie.

Die Art-26-Vereinbarung: Was sie enthalten muss

Wenn gemeinsame Verantwortlichkeit vorliegt, schreibt Art. 26 DSGVO eine schriftliche Vereinbarung vor, die mindestens folgende Fragen klärt: Wer beantwortet Auskunftsanfragen von Betroffenen? Wer setzt Löschungsanfragen um? Wer meldet Datenpannen an die Aufsichtsbehörde? Das Wesentliche dieser Vereinbarung muss Betroffenen zugänglich gemacht werden – in der Datenschutzerklärung oder auf Anfrage. Eine fehlende oder unvollständige Art-26-Vereinbarung ist ein eigenständiger Datenschutzverstoß, unabhängig davon, ob die Datenverarbeitung selbst beanstandungsfrei ist.

Was eine gültige E-Mail-Einwilligung im DACH-Raum enthalten muss

Die DSGVO nennt vier Anforderungen an eine wirksame Einwilligung: Sie muss freiwillig, für einen bestimmten Zweck, informiert und unmissverständlich abgegeben werden. In der Praxis scheitern Einwilligungen am häufigsten an Freiwilligkeit und Informiertheit. Ein Opt-in-Feld, das bereits angekreuzt ist, ist von vornherein ungültig. Ebenso eine Einwilligung, die mit dem Zugang zu einem Rabattcode verknüpft ist, ohne dass eine echte Wahl besteht.

Double-Opt-in nach § 7 UWG

Zusätzlich zur DSGVO regelt § 7 Abs. 2 Nr. 3 UWG, dass E-Mail-Werbung eine vorherige ausdrückliche Einwilligung des Empfängers voraussetzt. Im DACH-Raum hat sich das Double-Opt-in-Verfahren als anerkannter Nachweis dieser Einwilligung etabliert. Deutsche Gerichte haben ein einfaches Opt-in wiederholt als nicht ausreichend bewertet, weil der Absender damit nicht beweisen kann, dass tatsächlich die Person hinter der E-Mail-Adresse die Einwilligung erteilt hat. Die Double-Opt-in-Formulare in ActiveCampaign lassen sich mit Bordmitteln vollständig DSGVO-konform einrichten.

Der Ablauf, der vor deutschen Gerichten standhält:

1. Kontakt füllt das Opt-in-Formular aus; ActiveCampaign protokolliert automatisch Zeitpunkt, IP-Adresse und die verwendete Formularversion.
2. ActiveCampaign sendet sofort eine Bestätigungs-E-Mail mit einem personalisierten Bestätigungslink; der Link ist 24 bis 48 Stunden gültig.
3. Kontakt klickt den Bestätigungslink; ActiveCampaign protokolliert Zeitpunkt und IP-Adresse des Klicks.
4. Erst nach diesem Klick wird der Kontakt in den Marketing-Verteiler aufgenommen und erhält Marketing-E-Mails.
5. Der vollständige Einwilligungsnachweis – Formular-Timestamp, Bestätigungs-IP, Klick-Timestamp – ist in ActiveCampaign unter dem Kontaktprofil dauerhaft abrufbar und exportierbar.

Was der Einwilligungstext am Formular enthalten muss

Die Informiertheit der Einwilligung steht und fällt mit dem Einwilligungstext direkt am Formular. Diesen Text formulierst du als Franchisepartner selbst, weil du der Verantwortliche bist – nicht der Franchisegeber. Folgende Angaben sind notwendig:

• Name und Adresse deines Franchisebetriebs als Verantwortlicher
• Konkreter Zweck der E-Mail-Kommunikation, kein allgemeines "zu Marketingzwecken"
• Hinweis auf den jederzeitigen Widerruf per Abmeldelink oder E-Mail an eine benannte Adresse
• Link zur vollständigen Datenschutzerklärung, in der dein Betrieb als Verantwortlicher ausgewiesen ist

Nicht zulässig: mehrere Einwilligungszwecke in einer einzigen Checkbox zusammenfassen. Wenn du E-Mails für verschiedene Zwecke senden möchtest – zum Beispiel Produktneuheiten und Veranstaltungseinladungen – braucht jeder Zweck eine eigene Checkbox. Einwilligungen können dann getrennt voneinander widerrufen werden.

ActiveCampaign DSGVO-konform einrichten – Schritt für Schritt

ActiveCampaign stellt alle technischen Voraussetzungen für DSGVO-konformes E-Mail-Marketing bereit. Die meisten davon sind nicht automatisch aktiv; dieser Block zeigt, was du einmalig einrichten musst, bevor du die erste Kampagne sendest.

1. AVV abschließen: Gehe zu Konto → Einstellungen → Verträge. ActiveCampaign stellt den Auftragsverarbeitervertrag nach Art. 28 DSGVO als selbst unterzeichnendes Dokument bereit. Klicke "DPA unterzeichnen" und speichere das unterzeichnete Dokument lokal als Nachweis.
2. DSGVO-Einstellungen aktivieren: Gehe zu Konto → Einstellungen → Datenschutz. Aktiviere "GDPR-Compliance". Damit wird das Consent-Protokoll eingeschaltet und das Einwilligungsfeld in Formularen sichtbar.
3. Datenregion prüfen: Gehe zu Konto → Einstellungen → Konto. Neue Accounts werden seit 2022 standardmäßig in der EU gehostet. Bei älteren Accounts prüfe, ob die EU-Datenregion aktiv ist; bei Bedarf kontaktierst du den ActiveCampaign-Support für eine Migration.
4. Double-Opt-in-Automation einrichten: Automationen → Erstellen → Trigger "Formular wird ausgefüllt" → Aktion "Bestätigungs-E-Mail senden". Setze als Bedingung, dass der Kontakt erst nach Klick auf den Bestätigungslink in die Marketing-Liste aufgenommen wird.
5. Unsubscribe-Link in Templates sichern: ActiveCampaign fügt in EU-Accounts automatisch einen Abmeldelink ein. Prüfe das unter E-Mails → Vorlagen → Template öffnen → Vorschau. Stelle sicher, dass der Link nicht durch benutzerdefiniertes HTML überschrieben wurde.
6. Site Tracking an Cookie-Consent koppeln: Wenn du ActiveCampaigns Site Tracking nutzt, darf das Tracking-Script erst nach Erteilung des Analytics-Consents nach TDDDG laden. Steuere das über dein Consent-Management-System, indem du das ActiveCampaign-Tracking-Script ins Analytics-Segment deines Cookie-Banners verschiebst.
7. Auskunfts-Export testen: Öffne einen beliebigen Kontakt → Aktionen → "Daten exportieren". Prüfe, ob der Export alle personenbezogenen Daten enthält, die du über diese Person speicherst. Bei Auskunftsanfragen nach Art. 15 DSGVO muss dieser Export innerhalb von 30 Tagen bereitstehen.

Abmeldungen und Löschrechte ohne Compliance-Lücken handhaben

Der Abmeldeprozess ist gesetzlich geregelt: Ein-Klick-Abmeldung ohne Login-Pflicht, ohne Eingabe zusätzlicher Daten, ohne Bestätigungsformular. Wer Abmeldungen absichtlich erschwert, riskiert Beschwerden bei Aufsichtsbehörden und – bei gewerblichem Ausmaß – Abmahnungen nach UWG. ActiveCampaign-Abmeldelinks sind bei aktivierten EU-Einstellungen compliant; eine manuelle Nachbearbeitung der Standardlinks ist nicht nötig.

Löschungsanfragen: Was wirklich gelöscht werden muss

Das Recht auf Löschung nach Art. 17 DSGVO gilt nicht absolut. Du darfst Daten aufbewahren, soweit eine andere Rechtspflicht das verlangt – zum Beispiel die handelsrechtliche Aufbewahrungspflicht nach § 257 HGB, die Rechnungen und Buchungsbelege zehn Jahre bindend aufzubewahren vorschreibt. Die Unterscheidung in der Praxis:

• E-Mail-Adresse als aktiver Marketingkontakt in ActiveCampaign: löschen, sobald keine Einwilligung mehr besteht und kein anderes berechtigtes Interesse vorliegt.
• E-Mail-Adresse in einer Rechnung: aufbewahren nach § 257 HGB, aber aus Marketing-Systemen und CRM entfernen.
• Verhaltensdaten aus Site Tracking und Klick-Protokollen: löschen, da keine gesetzliche Aufbewahrungspflicht besteht.
• Consent-Nachweis (Timestamp, IP, Einwilligungstext): separat aufbewahren als Nachweis für die Dauer möglicher Beschwerdefristen, aber vom aktiven Marketing-Kontakt getrennt führen.

Wichtig bei ActiveCampaign: "Kontakt archivieren" deaktiviert den Kontakt, löscht aber keine personenbezogenen Daten. Für eine vollständige Löschung wählst du im Kontaktprofil "Kontakt löschen". Damit werden die personenbezogenen Daten aus dem System entfernt; Automations-Statistiken bleiben anonym erhalten.

Löschungsvorgänge dokumentieren

Bei Löschungsanfragen kommt es auf den Nachweis an. Führe ein einfaches Protokoll: Datum der Anfrage, betroffene Datenkategorien, Datum der Umsetzung, etwaige Ausnahmen mit rechtlicher Begründung. Ein Tabellenblatt reicht für kleinere Franchisebetriebe; bei häufigerem Aufkommen lohnt ein dediziertes Datenschutz-Management-Tool.

DSGVO-Fallen in Automatisierungen und Site Tracking

ActiveCampaigns Site Tracking protokolliert das Surfverhalten bekannter Kontakte auf deiner Website – welche Seiten besucht, wie oft, in welcher Abfolge. Diese Daten sind für verhaltensbasierte Automationen wertvoll, erfordern aber eine zusätzliche Einwilligung nach TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Ohne aktiven Analytics-Cookie-Consent darf das Tracking-Script nicht laden.

Die Konsequenz für verhaltensbasierte Workflows: Ein Trigger wie "Kontakt besucht Produktseite → Follow-up-E-Mail nach 24 Stunden" darf nur für Kontakte ausgeführt werden, die dem Tracking ausdrücklich zugestimmt haben. Ein praktikabler Weg: Nach Erteilung des Cookie-Consents setzt du in ActiveCampaign automatisch ein Tag "Site-Tracking-Consent". Automationen, die auf Websitedaten basieren, prüfen dieses Tag als erste Bedingung und laufen nur, wenn es gesetzt ist.

Lead Scoring: Welche Daten du DSGVO-konform einbeziehen darfst

Lead Scoring ist mit der DSGVO vereinbar, solange die Grundsätze der Zweckbindung und Datenminimierung eingehalten werden. Welche Rechtsgrundlage für welche Datenkategorie gilt:

• Verhaltensdaten aus E-Mail-Interaktionen (Öffnungen, Klicks): berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist vertretbar, da der Kontakt sich aktiv in den Verteiler eingetragen hat und E-Mail-Interaktionen vom Einwilligungszweck gedeckt sind.
• Website-Besuchsdaten aus Site Tracking: nur mit Analytics-Cookie-Consent verwertbar.
• Externe Daten aus sozialen Netzwerken oder Firmendatenbanken: in der Regel keine Rechtsgrundlage ohne ausdrückliche Einwilligung; Vorsicht ist geboten, insbesondere bei XING- und LinkedIn-Profilzugriffen.

Typische Fehler, die Franchisepartner bei der DSGVO machen

Fehler 1: AVV mit ActiveCampaign nicht abgeschlossen. Viele Franchisepartner nutzen ActiveCampaign seit Jahren, ohne je den Auftragsverarbeitervertrag unterschrieben zu haben. ActiveCampaign verarbeitet dabei technisch personenbezogene Daten im Auftrag des Account-Inhabers – ohne schriftlichen AVV ist das ein Verstoß gegen Art. 28 DSGVO. Das Gegenmittel: AVV sofort unter Konto → Einstellungen → Verträge abschließen. Es dauert weniger als zwei Minuten.

Fehler 2: GDPR-Features in ActiveCampaign nicht aktiviert. Ältere Accounts haben die DSGVO-Funktionen standardmäßig deaktiviert. Ohne Aktivierung fehlt das Consent-Protokoll, das im Streit- oder Abmahnungsfall den Nachweis erbringt. Gegenmittel: Konto → Einstellungen → Datenschutz → "GDPR-Compliance" einschalten.

Fehler 3: Altlisten ohne erneute Einwilligung reaktiviert. Beim Wechsel zu ActiveCampaign werden bestehende Kontaktlisten importiert – oft ohne zu prüfen, ob die ursprüngliche Einwilligung für das neue System und den neuen Zweck gilt. Eine Einwilligung, die für ein anderes Tool oder einen anderen Verantwortlichen erteilt wurde, gilt nicht automatisch weiter. Gegenmittel: Re-Opt-in-Kampagne für alle importierten Altlisten, bevor die erste reguläre Kampagne startet.

Fehler 4: Franchisegeber erhält Datenzugriff ohne rechtliche Grundlage. Wenn der Franchisegeber Admin-Zugriff auf den ActiveCampaign-Account erhält oder Kontaktdaten per CSV-Export weitergegeben werden, ohne dass ein AVV oder eine Art-26-Vereinbarung vorliegt, ist das ein eigenständiger Datenschutzverstoß. Gegenmittel: Vor jedem Datenzugriff des Franchisegebers Rechtsgrundlage und Vertrag schriftlich klären.

Fehler 5: Cookie-Banner und E-Mail-Einwilligung nicht synchronisiert. Viele Franchisepartner betreiben einen Cookie-Banner auf der Website, ohne dessen Consent-Status in ActiveCampaign zu übertragen. Damit fehlt die Verbindung zwischen Tracking-Consent und tatsächlichem E-Mail-Marketing-Consent. Gegenmittel: Consent-Management-System so konfigurieren, dass der erteilte Cookie-Consent-Status als Custom-Field in ActiveCampaign gespeichert wird.

Wann dieses Compliance-Setup nicht ausreicht

Das beschriebene Setup passt für Franchisepartner, die eigenständig E-Mail-Marketing betreiben und ihre Kundendaten selbst verwalten. Es gibt Konstellationen, in denen ein anderer Ansatz nötig ist oder das Setup an seine Grenzen stößt.

Wenn dein Franchisegeber zentral alle Kundendaten verwaltet und du lediglich auf ein gemeinsames CRM zugreifst, bist du möglicherweise nicht eigenständiger Verantwortlicher für diese Daten, sondern berechtigter Nutzer des Franchisegebers. In diesem Fall liegt die primäre Compliance-Verantwortung beim Franchisegeber; du brauchst aber trotzdem Einsicht in das bestehende Datenschutzkonzept, bevor du Daten für eigene lokale Kampagnen verwendest.

Wenn du ausschließlich B2B-Marketing an Ansprechpartner bei Unternehmen betreibst, gilt § 7 UWG eingeschränkt. E-Mails an berufliche Adressen mit sachlichem Bezug zum Geschäftsfeld können auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Double-Opt-in ist in diesem Fall weiterhin empfehlenswert als Nachweis, aber nach derzeitiger Rechtsprechung nicht zwingend. Das Multi-Location-Marketing im Franchising folgt eigenen strategischen Regeln, die über E-Mail-Compliance hinausgehen.

Wenn dein Franchise grenzüberschreitend tätig ist und du Kontakte in mehreren EU-Ländern ansprichst, beachte die nationalen Ausprägungen. Österreich hat mit dem DSG ein eigenes Datenschutzgesetz, das in Teilen über die DSGVO-Mindestanforderungen hinausgeht. Die Schweiz hat mit dem revidierten DSG eine DSGVO-nahe Regelung in Kraft gesetzt, die aber als Nicht-EU-Recht eigene Anforderungen stellt – insbesondere beim Datentransfer in und aus der Schweiz.

Häufige Fragen

Muss ich als Franchisepartner einen eigenen Datenschutzbeauftragten benennen?

Die Pflicht zur Benennung eines Datenschutzbeauftragten besteht nach Art. 37 DSGVO, wenn du in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigst, oder wenn du besondere Kategorien personenbezogener Daten verarbeitest. Für die meisten kleinen Franchisebetriebe entfällt diese Pflicht. Sinnvoll ist es trotzdem, intern eine verantwortliche Person für Datenschutzanfragen zu benennen und diese Zuständigkeit schriftlich zu dokumentieren.

Gilt die Einwilligung, die der Franchisegeber gesammelt hat, auch für meine eigenen Kampagnen?

Nein. Eine Einwilligung ist zweckgebunden und gilt für den Verantwortlichen, der sie eingeholt hat, sowie für den darin genannten Zweck. Wenn der Franchisegeber Einwilligungen für systemweite Kommunikation gesammelt hat, berechtigt das dich als eigenständigen Franchisepartner nicht, diese Kontakte für eigene lokale Kampagnen zu verwenden. Dazu brauchst du eine eigene Einwilligung, in der dein Betrieb als Verantwortlicher namentlich genannt wird.

Was passiert bei einem Datenleck in meinem ActiveCampaign-Account?

Eine Datenschutzverletzung muss nach Art. 33 DSGVO binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden – in Deutschland dem Landesbeauftragten deines Bundeslandes, in Österreich der Datenschutzbehörde Wien, in der Schweiz dem EDÖB. Betroffene Personen sind zu benachrichtigen, wenn das Risiko für sie voraussichtlich hoch ist. Dokumentiere den Vorfall sofort: was ist passiert, welche Datenkategorien sind betroffen, wie viele Personen, welche Gegenmaßnahmen wurden ergriffen.

Kann ich den ActiveCampaign-Consent-Nachweis bei einer Abmahnung verwenden?

Ja, wenn die DSGVO-Einstellungen im Account aktiviert sind. ActiveCampaign protokolliert dann Consent-Zeitpunkt, IP-Adresse, Formularversion und Bestätigungs-Klick für jeden Kontakt. Diese Daten sind im Kontaktprofil einsehbar und exportierbar. Ohne aktivierte DSGVO-Einstellungen wird dieses Protokoll nicht geführt – dann fehlt der Nachweis auch dann, wenn die Einwilligung tatsächlich vorlag.

Darf ich Kontaktlisten übernehmen, wenn ein Standort des Franchisesystems schließt?

Nicht ohne eigene Rechtsgrundlage. Die Einwilligung der Kontakte wurde gegenüber dem schließenden Franchisepartner als Verantwortlichem erteilt. Eine Übertragung auf einen anderen Verantwortlichen ist nur zulässig, wenn eine eigene Rechtsgrundlage besteht – zum Beispiel eine neue, informierte Einwilligung der betroffenen Personen. Im Zweifel schützt eine Re-Opt-in-Kampagne vor Abmahnrisiken, bevor du den übernommenen Verteiler für eigene Kampagnen nutzt.

Wer die Compliance-Basis einmal sauber aufgesetzt hat, macht danach kaum noch Nacharbeit: AVV unterschreiben, DSGVO-Einstellungen aktivieren, Einwilligungstext und Bestätigungs-E-Mail prüfen, Absprachen mit dem Franchisegeber schriftlich festhalten. Wer dabei Unterstützung sucht und ActiveCampaign gezielt für das Franchise-E-Mail-Marketing aufsetzen will, findet in unserer ActiveCampaign-Beratung für DACH-Unternehmen den nächsten konkreten Schritt.