DSGVO-Compliance im Off-Page-Monitoring

Off-Page-Monitoring beobachtet, was außerhalb der eigenen Website über eine Marke passiert: neue Backlinks, Erwähnungen in Fachmedien, Bewertungen, Social-Profile und zunehmend Zitierungen in KI-Antworten. Genau dabei werden regelmäßig personenbezogene Daten verarbeitet, oft ohne dass es den Beteiligten bewusst ist. Dieser Artikel zeigt, wann im Off-Page-SEO die DSGVO greift, welche Verträge und Rechtsgrundlagen nötig sind und wie du das Monitoring in Österreich rechtssicher aufsetzt.

Warum Datenschutz im Off-Page-Monitoring geschäftskritisch ist

Off-Page-SEO galt lange als rein technische Disziplin. Tatsächlich verarbeitet jedes Backlink-Audit, jedes Brand-Monitoring und jede Outreach-Kampagne Daten, die sich auf identifizierbare Personen beziehen: Namen von Autorinnen und Journalisten, Klarnamen unter Bewertungen, Social-Profile und IP-Adressen. Damit ist die Verarbeitung nicht datenschutzfrei, sondern fällt voll in den Anwendungsbereich der DSGVO.

Das Haftungsrisiko ist real und steigt. Bis zum 1. März 2026 summierten sich die kumulierten DSGVO-Bußgelder auf rund 6,11 Milliarden Euro über 2.685 erfasste Bußgeldverfahren, bei einem Durchschnitt von 2.277.122 Euro je Verfahren (internationaler Tracker, EU-weit). Diese Zahlen sind kein abstraktes Restrisiko, sondern der finanzielle Anker, an dem Agenturen und ihre Kunden ihre Off-Page-Prozesse ausrichten sollten.

Die Tool-Realität verschärft das Thema. Die meisten Off-Page-Werkzeuge laufen als Cloud-SaaS, und Cloud ist in österreichischen Unternehmen Standard: 52 Prozent der Unternehmen nutzten 2025 Cloud Services, 30 Prozent Künstliche Intelligenz und 26 Prozent Data Analytics (Österreich, Betriebe ab 10 Beschäftigten). Jede dieser Cloud-Verarbeitungen braucht eine saubere datenschutzrechtliche Grundlage, sobald personenbezogene Daten im Spiel sind.

Funktionsweise: Wann personenbezogene Daten verarbeitet werden

Der entscheidende erste Schritt ist die Prüfung, ob überhaupt ein Personenbezug vorliegt. Im Off-Page-Monitoring ist die Antwort oft Ja, an mehreren Stellen gleichzeitig.

• IP-Adressen: Der EuGH hat im Verfahren Breyer entschieden, dass eine dynamische IP-Adresse für den Verantwortlichen ein personenbezogenes Datum darstellt, sofern er über rechtliche Mittel verfügt, die Person über einen Dritten wie den Internetzugangsanbieter zu identifizieren (EuGH C-582/14, zur Richtlinie 95/46/EG). Das Urteil erging vor Geltungsbeginn der DSGVO, der Kerngedanke des relativen Personenbezugs wird in der Praxis aber auf Logfiles, Analytics und Crawler-Daten übertragen.
• Autoren- und Journalistenkontakte: Namen, E-Mail-Adressen und Redaktionszuordnungen aus PR-Datenbanken sind eindeutig personenbezogen.
• Bewertungen und Social-Mentions: Klarnamen unter Reviews, Profilnamen auf LinkedIn oder XING und zitierte Aussagen lassen sich konkreten Personen zuordnen.
• Reviewer- und Kommentardaten: Auch Pseudonyme können personenbezogen sein, wenn sie sich mit weiteren Daten zu einer Person verknüpfen lassen.

Sobald einer dieser Fälle vorliegt, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Im B2B-Off-Page-Bereich ist das in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Dieses setzt zwingend einen dokumentierten Abwägungstest voraus: dein Interesse am Monitoring gegen die schutzwürdigen Interessen der betroffenen Person. Ohne dokumentierte Abwägung fehlt die Grundlage, auch wenn das Interesse sachlich berechtigt wäre.

Strategie: AVV, Drittlandtransfer und Rollenverteilung

Off-Page-Monitoring funktioniert fast nie ohne externe Tools. Damit entstehen zwei zentrale Pflichtenkreise: Auftragsverarbeitung und Drittlandtransfer.

Auftragsverarbeitung nach Art. 28 DSGVO

Wer Ahrefs, Semrush, BrandMentions oder Brand24 einsetzt und dabei personenbezogene Daten verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Verantwortlicher ist in der Regel das Unternehmen, der Tool-Anbieter ist Auftragsverarbeiter. Setzt die Agentur das Tool im Auftrag des Kunden ein, ist der Anbieter ihr Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO, und der Kunde muss seinen Einsatz genehmigen. Ein tragfähiger AVV regelt mindestens:

• Gegenstand und Zweck: Welche Daten zu welchem Zweck verarbeitet werden dürfen, und das Verbot der Zweckänderung.
• Weisungsbindung: Der Auftragsverarbeiter handelt nur auf dokumentierte Weisung des Verantwortlichen.
• Subunternehmer: Genehmigungspflicht und Liste der eingesetzten Sub-Auftragsverarbeiter, etwa Hosting- und Analytics-Dienstleister.
• TOM und Löschung: Technische und organisatorische Maßnahmen sowie die Rückgabe oder Löschung der Daten nach Vertragsende.

Drittlandtransfer bei US-Tools

Viele etablierte Off-Page-Tools sind US-basiert oder verarbeiten in den USA. Damit wird der Transfer in ein Drittland zum eigenen Prüfpunkt. Zulässig ist er über das EU-US Data Privacy Framework (DPF), sofern der konkrete Anbieter zertifiziert ist, oder über Standardvertragsklauseln (SCC) mit ergänzendem Transfer Impact Assessment (TIA). Nicht jeder Anbieter sitzt in den USA: Vertragspartner im AVV von Ahrefs ist die Ahrefs Pte Ltd mit Sitz in Singapur. Für Singapur greift das DPF nicht, der Transfer läuft dort über SCC und braucht ein TIA. Prüfe pro Tool einzeln, auf welcher Grundlage der Transfer läuft, und dokumentiere das Ergebnis. Eine pauschale Annahme, das DPF decke alles ab, trägt nicht.

Reputation, Reviews und Digital PR

Bei Bewertungen und Mentions ist berechtigtes Interesse meist die passende Grundlage, aber mit Grenzen: Die Verarbeitung muss auf das Monitoring beschränkt bleiben. Eine Anreicherung zu umfassenden Personenprofilen geht darüber hinaus und ist vom berechtigten Interesse nicht gedeckt. In der Digital PR gilt im B2B-Bereich der Outreach an berufliche Redaktionskontakte datenschutzrechtlich regelmäßig als von berechtigtem Interesse gedeckt, weil sich die Ansprache auf die berufliche Rolle bezieht. Für den Versandweg E-Mail reicht das nicht: In Österreich ist werbliche E-Mail nach § 174 Abs. 3 TKG 2021 auch an Unternehmen nur mit vorheriger Einwilligung zulässig. Das berechtigte Interesse nach DSGVO ersetzt diese Einwilligung nicht.

Best Practices für datenschutzkonformes Off-Page-Monitoring

Die folgenden Maßnahmen machen das Monitoring nachweisbar rechtskonform, ohne die SEO-Wirkung zu schwächen.

• VVT pflegen: Führe das Verzeichnis der Verarbeitungstätigkeiten auch für Off-Page-Workflows. Jede wiederkehrende Verarbeitung, etwa monatliche Backlink-Audits oder dauerhaftes Brand-Monitoring, gehört mit Zweck, Rechtsgrundlage und Löschfrist erfasst.
• AVV vor Tool-Start abschließen: Hole den AVV ein, bevor das Tool produktiv Daten verarbeitet, nicht erst im Audit-Fall.
• IP-Anonymisierung umsetzen: Anonymisiere oder pseudonymisiere IP-Adressen in Analytics und Logs so früh wie möglich, idealerweise vor der Speicherung.
• Löschkonzept definieren: Setze konkrete Speicherfristen entlang des Grundsatzes der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Crawler- und Audit-Daten brauchen ein Verfallsdatum, kein unbegrenztes Archiv.
• Abwägungstest dokumentieren: Halte den Test zum berechtigten Interesse schriftlich fest, je Verarbeitungskategorie. Das ist Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
• Datenminimierung im Outreach: Erhebe in PR-Datenbanken nur Kontaktdaten, die du für die berufliche Ansprache brauchst, und keine privaten Zusatzinformationen.

Österreich-spezifische Pflichten und rechtskonforme Kanäle

In Österreich gilt neben der DSGVO das Datenschutzgesetz (DSG), Aufsichtsbehörde ist die Datenschutzbehörde (DSB). Das DSG ergänzt die DSGVO um nationale Regelungen, etwa zur Verarbeitung durch Behörden und zu Sanktionen, hebt die europäischen Pflichten aber nicht auf. Für den Linkaufbau eignen sich institutionelle Quellen wie das WKO-Firmen-A-Z, österreichische Fachmedien und Branchenverzeichnisse. Sie liefern Earned Media und Erwähnungen aus öffentlich zugänglichen Quellen und sind datenschutzrechtlich unkritischer als das breite Abgreifen privater Social-Profile.

Berufliche Netzwerke bleiben dabei ein zentraler Hebel. In Österreich gab es Anfang 2025 7,30 Millionen Social-Media-Identitäten, was 80,1 Prozent der Bevölkerung entspricht, und die LinkedIn-Werbereichweite lag bei 31,1 Prozent der Internetnutzer (Österreich). Das Monitoring beruflicher Erwähnungen ist also wirkungsvoll, muss sich aber auf den beruflichen Kontext und das berechtigte Interesse stützen.

AI-Zitierungs-Monitoring datenschutzkonform aufsetzen

Das Tracking der eigenen Marke in KI-Antworten ist der neue Off-Page-Kanal. Die Reichweite ist enorm: ChatGPT erreichte im Oktober 2025 rund 800 Millionen wöchentliche aktive Nutzer (weltweit), und Google AI Overviews kamen im zweiten Quartal 2025 auf 2 Milliarden monatliche Nutzer in 200 Ländern und Territorien (weltweit). Zu prüfen, ob und wie die eigene Marke dort zitiert wird, ist legitimes Brand-Monitoring.

Der Datenschutz-Punkt liegt hier auf der Datenrichtung. Beim GEO-Monitoring beobachtest du die Ausgaben der KI-Systeme zu deiner eigenen Marke. Solange du nur eigene Markenbegriffe abfragst und die Ergebnisse auswertest, verarbeitest du in der Regel keine personenbezogenen Drittdaten. Heikel wird es, wenn Prompts oder Logs Nutzer- oder Kundendaten enthalten oder wenn Antworten Aussagen über identifizierbare Dritte erfassen und gespeichert werden. Dann gelten dieselben Pflichten wie im übrigen Off-Page-Monitoring: Rechtsgrundlage, Minimierung und Löschfrist.

Häufige Fehler

• Kein AVV mit Monitoring-Tools: Der Einsatz von Ahrefs, Semrush oder Brand24 ohne Auftragsverarbeitungsvertrag ist einer der häufigsten Verstöße und im Audit sofort sichtbar.
• Drittlandtransfer ungeprüft: Die pauschale Annahme, US-Tools seien über das DPF automatisch abgedeckt, ersetzt keine Prüfung je Anbieter inklusive SCC und TIA.
• Fehlende Abwägung beim berechtigten Interesse: Art. 6 Abs. 1 lit. f DSGVO ohne dokumentierten Abwägungstest trägt nicht, auch wenn das Interesse plausibel ist.
• Unbegrenzte Speicherung: Crawler- und Backlink-Daten ohne Löschkonzept verstoßen gegen die Speicherbegrenzung nach Art. 5 DSGVO.
• Off-Page im VVT vergessen: Viele Verzeichnisse decken nur die Website ab, nicht das laufende Brand- und Backlink-Monitoring.
• Profilbildung statt Monitoring: Das Anreichern von Reviewer- oder Social-Daten zu umfassenden Personenprofilen überschreitet die Grenze des berechtigten Interesses.
• IP-Adressen unbehandelt speichern: Rohe IP-Logs ohne Anonymisierung erhöhen Datenmenge und Risiko unnötig.

Metriken und Nachweis der Compliance

Datenschutz-Compliance ist messbar und nachweispflichtig. Folgende Kennzahlen und Belege machen den Stand prüfbar:

• AVV-Abdeckungsquote: Anteil der eingesetzten Off-Page-Tools mit gültigem Auftragsverarbeitungsvertrag, Ziel 100 Prozent.
• Transfer-Dokumentation: Je US-Tool ein hinterlegter Nachweis der Transfergrundlage, also DPF-Zertifizierung oder SCC plus TIA.
• Löschfristen-Einhaltung: Nachweis, dass Crawler- und Audit-Daten nach Ablauf der definierten Frist tatsächlich gelöscht oder anonymisiert werden.
• Reaktionszeit auf Betroffenenrechte: Bearbeitungsdauer von Auskunfts- und Löschanträgen, mit der gesetzlichen Frist als Obergrenze.
• VVT-Aktualität: Datum der letzten Prüfung des Verzeichnisses der Verarbeitungstätigkeiten für alle Off-Page-Workflows.
• Dokumentierte Abwägungstests: Anzahl der Verarbeitungskategorien mit schriftlich festgehaltener Interessenabwägung.

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass du die Einhaltung sicherstellen und belegen kannst. Im Streitfall zählt die Dokumentation, nicht die gute Absicht.

Weiterführendes: Verantwortlichkeit zwischen Agentur und Kunde

In Agentur-Mandaten ist die Rollenverteilung zwischen Agentur und Kunde regelmäßig offen. In der Praxis ist meist der Kunde Verantwortlicher für die Off-Page-Daten seiner Marke, während die Agentur als Auftragsverarbeiterin oder, bei eigenen Zwecken, als gemeinsam Verantwortliche auftritt. Diese Rolle gehört vertraglich klar geregelt, samt Weisungen, Tool-Liste und Löschpflichten. Kläre außerdem, wer Betroffenenanfragen entgegennimmt und wer die fristgerechte Beantwortung sicherstellt.

Als nächste Schritte empfehlen sich ein Tool-Inventar mit AVV- und Transferstatus, ein dokumentiertes Löschkonzept für alle Crawler- und Monitoring-Daten und die Aufnahme der Off-Page-Workflows ins Verzeichnis der Verarbeitungstätigkeiten. Wer diese drei Bausteine sauber aufsetzt, kann Backlink-Audits, Brand-Monitoring und KI-Zitierungs-Tracking betreiben, ohne die DSGVO oder das österreichische DSG zu verletzen.