Datenschutz für Medien und Verlage in Hamburg — Datenverarbeitung und Datenschutzerklärung

Inhalt in Kürze

• Hamburger Verlage und Medienunternehmen verarbeiten Daten auf vielen Ebenen — vom AdTech-Stack über Abonnentenverwaltung bis zu sozialen Netzwerken. Nur die journalistische Arbeit genießt das Medienprivileg.
• Die Rechtsgrundlage für die Verarbeitung ist entscheidend: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO für Tracking, berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) für Kontaktaufnahme, Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Abos.
• Betroffene Personen haben umfassende Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch gegen die Verarbeitung — auch bei Verlagen.
• frag.hugo unterstützt Verlage in Hamburg als externer Datenschutzbeauftragter ab 149 €/Monat — mit Expertise in Medienprivileg, AdTech und Consent-Management.

Medienstadt Hamburg: Datenschutz zwischen Pressefreiheit und DSGVO

Hamburg ist Deutschlands Medienhauptstadt. Gruner + Jahr, Spiegel, Zeit, Stern, dpa und hunderte weitere Verlag GmbH und Medienunternehmen haben hier ihren Sitz. Die Hamburger Medienlandschaft steht unter besonderer Beobachtung des HmbBfDI — des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit — und unter besonderem Druck, Pressefreiheit und Datenschutz in Einklang zu bringen.

Die Datenverarbeitung in einem modernen Verlag ist komplex: Redaktionelle Inhalte, Nutzerprofile, Werbe-Tracking, Newsletter-Versand, Kontaktdaten von Autoren und Freelancern — all das erfordert eine klare Bestimmung der Rechtsgrundlage für die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO.

Welche Verlage haben ihren Sitz in Hamburg?

Hamburg ist Heimat einiger der größten und einflussreichsten Verlage Deutschlands. Die Medien- und Verlagslandschaft der Hansestadt umfasst z. B.:

• Spiegel-Verlag (20457 Hamburg) — Deutschlands auflagenstärkstes Nachrichtenmagazin
• Zeitverlag Gerd Bucerius (20354 Hamburg) — Die ZEIT und ZEIT ONLINE
• Gruner + Jahr — Stern, Geo, Brigitte und weitere Titel
• Bauer Media Group — Europas größter Zeitschriftenverlag
• Rowohlt Verlag GmbH — Einer der traditionsreichsten deutschen Buchverlage
• Carlsen Verlag GmbH — Kinder- und Jugendliteratur, Manga
• Edel SE & Co. KGaA — Musik, Bücher, Unterhaltung
• dpa Deutsche Presse-Agentur GmbH — Nachrichtenagentur

Jede dieser Verlag GmbH verarbeitet personenbezogene Daten in erheblichem Umfang — und die meisten davon außerhalb des Medienprivilegs. Nähere Informationen zum Datenschutz für Ihren Verlag erhalten Sie bei einem kostenlosen Erstgespräch.

Das Medienprivileg: Was es schützt — und was nicht

Das Medienprivileg nach § 12 HmbDSG (Umsetzung von Art. 85 DSGVO) schützt die journalistische Arbeit vor übermäßigen DSGVO-Einschränkungen. Recherche, Berichterstattung und redaktionelle Verarbeitung personenbezogener Daten sind privilegiert.

Aber: Das Privileg hat klare Grenzen. Es gilt nicht für:

• Abonnentenverwaltung — Abo-Daten, Zahlungsinformationen, Kündigungen — hier ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage
• Werbe-Tracking — Programmatic Advertising, Nutzerprofile, Retargeting — Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG erforderlich
• HR und Personalverwaltung — Mitarbeiterdaten, Freelancer-Verträge — Kontaktdaten und Vertragsdaten auf Basis von Art. 6 Abs. 1 lit. b DSGVO
• CRM und Marketing — Newsletter, Events, Leserbefragungen — Einwilligung für jeden Zweck separat erforderlich, Widerruf jederzeit mit Wirkung für die Zukunft möglich
• Sozialen Netzwerke — Facebook, Instagram, LinkedIn — sozialen Netzwerke verarbeiten Daten außerhalb der EU, z. B. Meta Platforms Ireland Limited, Google Ireland Limited
• IT-Systeme — Server-Logs, E-Mail-Verkehr, Cloud-Dienste — Datenverarbeitung auf Grundlage berechtigter Interessen

In der Praxis bedeutet das: Die Mehrheit der Datenverarbeitungen in einem Verlag unterliegt der vollen DSGVO — nur die redaktionelle Arbeit ist privilegiert. Wir unterstützen Sie bei der sauberen Trennung.

Gilt die DSGVO auch für Journalisten?

Ja — aber mit Einschränkungen. Die DSGVO gilt grundsätzlich auch für Journalisten. Art. 85 DSGVO verpflichtet die Mitgliedstaaten jedoch, Ausnahmen für die Verarbeitung personenbezogener Daten zu journalistischen Zwecken vorzusehen.

In Hamburg setzt § 12 HmbDSG dieses sogenannte Medienprivileg um. Konkret bedeutet das:

• Journalisten müssen kein Verarbeitungsverzeichnis für redaktionelle Daten führen
• Es besteht keine Pflicht zur Benennung eines DSB für den journalistischen Bereich
• Betroffenenrechte (Auskunft, Löschung, Berichtigung) sind eingeschränkt, soweit sie die Pressefreiheit gefährden
• Die Informationspflichten nach Art. 13 und 14 DSGVO gelten nicht für die journalistische Verarbeitung

Aber: Sobald die Datenverarbeitung nicht mehr journalistischen Zwecken dient — z. B. bei der Verarbeitung Ihrer personenbezogenen Daten für Werbezwecke, der Auswertung von Leserverhalten oder der Kontaktaufnahme für Marketing — greift die volle DSGVO. Die betroffene Person hat dann alle Rechte gemäß Art. 15–21 DSGVO, einschließlich Widerspruch gegen die Verarbeitung.

Welche Ausnahmen vom Datenschutzrecht gewährt das Medienprivileg?

Die konkreten Ausnahmen variieren je nach Bundesland. In Hamburg (§ 12 HmbDSG) gelten folgende Privilegierungen für die Verarbeitung personenbezogener Daten zu journalistischen Zwecken:

DSGVO-Pflicht	Journalistischer Bereich	Nicht-journalistischer Bereich
Verarbeitungsverzeichnis (Art. 30)	Nicht erforderlich	Pflicht
DSB-Benennung (Art. 37)	Nicht erforderlich	Ab 20 Personen Pflicht
Auskunftsrecht (Art. 15)	Stark eingeschränkt	Vollumfänglich
Löschungsrecht (Art. 17)	Pressefreiheit geht vor	Vollumfänglich
Einwilligung für Verarbeitung	Nicht erforderlich	Je nach Zweck erforderlich
DSFA (Art. 35)	Nicht erforderlich	Bei hohem Risiko Pflicht

Wichtig: Das Medienprivileg schützt nicht vor Schadensersatzansprüchen nach Presserecht. Und bei der Veröffentlichung in sozialen Netzwerken gelten die Datenschutzbestimmungen der jeweiligen Plattform — z. B. die von Meta Platforms Ireland Limited.

Wo melde ich Verstöße gegen Datenschutz?

Wenn Sie Datenschutzverstöße durch ein Hamburger Medienunternehmen vermuten, können Sie sich an folgende Stellen wenden:

1. Direkt an den Datenschutzbeauftragten des betreffenden Unternehmens — Kontaktdaten finden Sie in der Datenschutzerklärung
2. An den HmbBfDI — den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit. Sie haben gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer Aufsichtsbehörde
3. An die Rechtsabteilung des Verlags — bei presserechtlichen Fragen
4. An den Deutschen Presserat — bei Verstößen gegen den Pressekodex

Die Beschwerde bei einer Aufsichtsbehörde ist kostenlos. Sie können die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wählen. Beachten Sie: Für den rein journalistischen Bereich ist nicht der HmbBfDI zuständig, sondern der Medienbeauftragte für den Datenschutz bei der jeweiligen Landesmedienanstalt.

Die drei größten Datenschutz-Herausforderungen für Verlage

1. AdTech und Programmatic Advertising

Die digitale Werbebranche steht unter massivem regulatorischem Druck. Real-Time Bidding (RTB) überträgt bei jeder Anzeigenauktion personenbezogene Daten an Dutzende von Bietern — oft ohne wirksame Einwilligung. Der HmbBfDI hat sich hier klar positioniert.

Die Rechtsgrundlage für die Verarbeitung im AdTech-Bereich ist fast ausnahmslos die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) reichen für personalisierte Werbung nicht aus.

Verlage müssen ihre Ad-Stacks grundlegend überdenken:

• Server-Side Tracking statt Client-Side Pixel — weniger Daten an Dritte
• First-Party-Daten statt Third-Party-Cookies — die erteilte Einwilligung bleibt beim Verlag
• Contextual Targeting als datenschutzfreundliche Alternative — keine personenbezogenen Daten erforderlich
• Consent Management Platform (CMP) mit TDDDG-konformer Umsetzung — gespeicherte Cookies nur nach Einwilligung, Widerruf jederzeit mit Wirkung für die Zukunft möglich

2. Paywall und Nutzerregistrierung

Login-Pflicht und Paywalls erzeugen detaillierte Nutzerprofile: Leseverhalten, Interessen, Verweildauer, Zahlungshistorie. Diese Daten werden genutzt — aber die Zwecke der Verarbeitung müssen klar definiert sein.

Anforderungen:

• Transparente Datenschutzerklärung bei der Registrierung — folgende Daten werden erhoben: Name, E-Mail, Zahlungsdaten
• Zweckbindung — Leseprofil-Daten dürfen nicht automatisiert für Werbung genutzt werden. Die Verarbeitung der Daten zum Zweck der Personalisierung erfordert eine separate Einwilligung
• Löschkonzept — Inaktive Konten müssen nach definierten Fristen jederzeit gelöscht werden. Die Speicherung der Daten ist nur so lange zulässig, wie der Zweck besteht
• Datenportabilität — Nutzer können ihre erhobenen Daten gemäß Art. 20 DSGVO in einem strukturierten, gängigen und maschinenlesbaren Format anfordern
• Bearbeitung der Anfrage — Auskunftsersuchen und Löschungsanfragen müssen innerhalb von 30 Tagen beantwortet werden

3. Sozialen Netzwerke und Content-Distribution

Verlage nutzen sozialen Netzwerke wie Facebook, Instagram, LinkedIn und X intensiv zur Content-Distribution. Dabei verarbeiten die Plattformbetreiber — z. B. Meta Platforms Ireland Limited — umfangreiche Nutzerdaten, teilweise außerhalb der Europäischen Union.

Die Datenverarbeitung erfolgt in geteilter Verantwortlichkeit (Art. 26 DSGVO). Verlage müssen:

• Joint-Controller-Vereinbarungen mit den Plattformen abschließen
• Datenschutzerklärung auf den eigenen Social-Media-Seiten bereitstellen
• Eingaben von Nutzern (Kommentare, Direktnachrichten) datenschutzkonform verarbeiten
• Verarbeitung Ihrer Daten transparent kommunizieren — welche Daten werden zu welchem Zweck genutzt?

4. User-Generated Content und Kommentare

Kommentarbereiche, Leserbriefe und Community-Foren erzeugen personenbezogene Daten. Die Rechtsgrundlage der Verarbeitung ist in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Bearbeitung der Anfrage und der Moderation. IP-Adressen zur Missbrauchsbekämpfung dürfen gespeichert werden, aber Löschfristen müssen eingehalten werden. Die Verarbeitung der sie betreffenden Daten durch die betroffene Person kann eingeschränkt werden (Art. 18 DSGVO).

Datenverarbeitung im Verlag: Rechtsgrundlagen im Überblick

Für jeden Verarbeitungszweck muss eine eigene Rechtsgrundlage bestimmt werden. Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 DSGVO:

Verarbeitungszweck	Rechtsgrundlage	Hinweis
Abo-Verwaltung	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Newsletter-Versand	Art. 6 Abs. 1 lit. a DSGVO	Einwilligung, Widerruf jederzeit
Werbe-Tracking	Art. 6 Abs. 1 lit. a DSGVO + § 25 TDDDG	Einwilligung zwingend
Kontaktaufnahme per Kontaktformular	Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse an Bearbeitung
Personalverwaltung	Art. 6 Abs. 1 lit. b DSGVO	Vertragsdurchführung
Journalistische Verarbeitung	§ 12 HmbDSG	Medienprivileg
Social-Media-Auswertung	Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse, Widerspruch gemäß Art. 21 DSGVO

Beruht die Verarbeitung auf einer Einwilligung, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung wird dadurch nicht berührt.

Betroffenenrechte im Verlag: Was müssen Sie gewährleisten?

Betroffene Personen — Leser, Abonnenten, Autoren, Freelancer — haben folgende Rechte gemäß DSGVO:

• Recht auf Auskunft (Art. 15 DSGVO) — Verarbeitung der sie betreffenden personenbezogenen Daten, Zwecke, Empfänger, Speicherdauer
• Recht auf Berichtigung (Art. 16 DSGVO) — Unrichtige Kontaktdaten oder andere personenbezogene Daten müssen korrigiert werden
• Recht auf Löschung (Art. 17 DSGVO) — Wenn der Zweck entfällt oder die Einwilligung widerrufen wird
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) — z. B. während der Prüfung eines Widerspruchs
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Daten in strukturiertem Format
• Widerspruchsrecht (Art. 21 DSGVO) — Gegen Verarbeitung auf Grundlage berechtigter Interessen
• Beschwerderecht (Art. 77 DSGVO) — Bei der zuständigen Aufsichtsbehörde

Unser Medien-Datenschutz-Paket

1. Verlags-Audit — Trennung journalistischer und nicht-journalistischer Verarbeitungen, inklusive DSGVO-Audit
2. AdTech-Compliance — Prüfung und Optimierung Ihres Werbe-Stacks, Auswertung der Consent-Raten
3. CMP-Setup — TDDDG-konformes Consent Management für Ihre Portale gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG
4. VVT und AVV — Dokumentation aller nicht-privilegierten Verarbeitungen, Kontaktdaten der Auftragsverarbeiter
5. Redaktions-Schulung — Datenschutz-Bewusstsein in der Redaktion stärken, Verarbeitung personenbezogener Daten im Rahmen der Nutzung sozialer Netzwerke

Prüfen Sie Ihr Online-Portal kostenlos mit dem Hugo Check. Oder beauftragen Sie direkt ein kostenloses Erstgespräch mit Nils Oehmichen.

→ Kontakt aufnehmen · Alle Leistungen

Auch in Ihrer Region

Neben Hamburg betreuen wir Medien- und Verlagsunternehmen in der gesamten Metropolregion und darüber hinaus:

• Datenschutzbeauftragter Kiel – Landeshauptstadt & ULD-Standort
• Datenschutzbeauftragter Hannover – Messe, Medien & Landeshauptstadt
• Datenschutzbeauftragter Lübeck – Literatur- und Kulturstadt
• Datenschutzbeauftragter Flensburg – Grenzregion & dänische Medien
• Datenschutzbeauftragter Bremen – Radio Bremen & Medienstandort
• Datenschutzbeauftragter Rostock – Ostsee-Metropole & Universität

→ Alle Standorte