Ad Account Action Log: Der Compliance-Audit-Use-Case für Agenturen

Wenn ein regulierter Werbetreibender seine Agentur bittet „Zeigen Sie uns jede Änderung an unseren Kampagnen der letzten 90 Tage, mit dem Namen der Person, die sie jeweils vorgenommen hat", kann die native Änderungshistorie in Meta oder Google diese Frage nicht beantworten. Sie läuft zu schnell ab, ordnet Änderungen dem Zugang auf Kontoebene statt namentlich benannten Personen zu und existiert nicht als einheitliche Aufzeichnung, sobald der Werbetreibende mehr als eine Plattform nutzt. Der Compliance-Audit-Use-Case eines Ad Account Action Log ist die Art, wie Agenturen mit Kunden aus regulierten Branchen genau das lösen — indem sie eine durchgängige, mit Urheber versehene, durchsuchbare Aufzeichnung pflegen, die sich auf Anfrage einem Prüfer übergeben lässt.

Dieser Leitfaden zeigt, was einen Action Log compliance-tauglich macht, wie Agenturen den Workflow strukturieren und wie das Ergebnis aussieht, wenn ein regulierter Kunde nachweisen muss, dass er sein Werbekonto im Griff hat.

Warum native Änderungshistorien an Compliance-Anforderungen scheitern

Die meisten Agenturen entdecken die Lücke zwischen „Änderungshistorie" und „Compliance-Prüfpfad" beim ersten Mal, wenn ein regulierter Kunde eine Dokumentation verlangt. Die nativen Tools haben drei strukturelle Schwächen.

Ablauf. Metas native Änderungshistorie ist 90 Tage verfügbar. Die Google-Ads-Historie reicht weiter zurück, der praktische Zugriff in der Oberfläche ist aber begrenzt. Ein Finanzdienstleister, der einer Prüfung durch die BaFin unterliegt, muss eventuell Aufzeichnungen vorlegen, die 12 bis 24 Monate zurückreichen. Eine native Historie deckt diesen Zeitraum nicht ab.

Zuordnung zu Konten, nicht zu Personen. Wenn drei Mitglieder eines Agenturteams alle Zugriff auf den Meta Business Manager eines Kunden haben und eines von ihnen das Gebot einer Kampagne ändert, verbucht die native Historie die Änderung unter der Business-Manager-Identität — nicht unter einer namentlich benannten Person. Aus dem nativen Log lässt sich nicht ablesen, welches Teammitglied die Änderung vorgenommen hat. Für ein Compliance-Audit, bei dem es um individuelle Verantwortlichkeit geht, ist das keine Antwort.

Fragmentierung über Plattformen hinweg. Ein regulierter Werbetreibender, der Meta und Google Ads nutzt, hat seine Änderungshistorie in zwei völlig getrennten Logs, mit zwei unterschiedlichen Schemata, zwei unterschiedlichen Ablaufrichtlinien und ohne Möglichkeit, sie als einheitliche, chronologische Aufzeichnung zu betrachten. Wenn ein Prüfer „alle Änderungen am Werbekonto in Q3" verlangt, bedeutet die Antwort: aus zwei Quellen exportieren, zwei Schemata normalisieren und eine zusammengeführte Aufzeichnung präsentieren — was die meisten Agenturen manuell zusammenbauen müssen, was das Fehlerrisiko erhöht.

Laut einer Analyse aus dem Jahr 2025 zählte digitale Werbung regulierter Finanzunternehmen zu den häufigsten Compliance-Schwachstellen in aufsichtsrechtlichen Prüfungen — wobei eine unzureichende Dokumentation rund um Kampagnenänderungen ausdrücklich als beitragender Faktor in einem erheblichen Anteil der untersuchten Durchsetzungsfälle genannt wurde. Regulierte Werbetreibende brauchen mehr als Performance-Nachweise; sie brauchen Prozessnachweise.

Was einen Action Log compliance-tauglich macht

Nicht jeder Action Log qualifiziert sich als Compliance-Prüfpfad. Der Unterschied läuft auf drei Eigenschaften hinaus.

Zuordnung zu namentlich benannten Personen. Der Log muss nicht nur festhalten, was geändert wurde, sondern wer es geändert hat — unter einer echten, benannten Identität, nicht einem geteilten Konto oder einer Gruppenrolle. Das setzt voraus, dass jedes Teammitglied, das auf die Werbeverwaltungsebene zugreift, dies unter seiner eigenen Identität tut, mit seinem eigenen Sitzplatz. Geteilte Logins machen Compliance-Dokumentation per Definition unmöglich.

Unveränderlichkeit. Die Aufzeichnung muss widerspiegeln, was tatsächlich passiert ist, nicht eine Version der Ereignisse, die jemand nachträglich bearbeiten könnte. Compliance-Prüfpfade sollten aus dem System of Record zum Zeitpunkt jedes Ereignisses erzeugt werden, nicht im Nachhinein aus Erinnerung oder Notizen rekonstruiert.

Ausreichender Aufbewahrungszeitraum. Der Log muss für den Zeitraum aufbewahrbar sein, den die Compliance-Pflicht erfordert — 12 Monate sind ein gängiges Minimum für regulierte Finanzwerber; 24 Monate sind typisch für Unternehmen, die einer regelmäßigen aufsichtsrechtlichen Prüfung unterliegen. Das System muss den Export und die Speicherung dieser Aufzeichnungen außerhalb des Live-Dashboards unterstützen, falls nötig.

Der Action Log von Wevion erfüllt alle drei Anforderungen. Jede in der Plattform erfasste Änderung wird dem namentlich benannten Teammitglied zugeordnet, das sie vorgenommen hat, wird aus dem Live-Ereignis zum Zeitpunkt der Änderung erzeugt und ist in Exporten aufbewahrbar, die jeden Zeitraum der Historie des verbundenen Kontos abdecken. Die Verbindung zu den Werbeplattformen läuft über offizielle OAuth-APIs und synchronisiert etwa alle 15 Minuten. Das bedeutet, der Log spiegelt wider, was tatsächlich auf dem Werbekonto passiert ist — einschließlich Änderungen, die außerhalb der Oberfläche von Wevion vorgenommen wurden und in der zugeordneten Aufzeichnung als externe Änderungen erscheinen.

Wie Agenturen den Compliance-Workflow strukturieren

Agenturen, die regulierte Kunden betreuen, bauen den Compliance-Use-Case typischerweise als festen Workflow mit drei Komponenten auf.

Benannte Sitzplätze als Fundament

Der Compliance-Pfad ist nur so gut wie die Identitätsebene darunter. Bevor ein regulierter Werbetreibender überhaupt onboardet, richtet die Agentur benannte Sitzplätze für jedes Teammitglied ein, das das Konto anfassen wird. Jeder Sitzplatz trägt eine Rolle — typischerweise eine von Buyer, Reviewer oder Account Manager — mit gescopten Berechtigungen. Keine geteilten Logins, kein „team@agentur.de"-Konto, das von mehreren Personen genutzt wird.

Das ist für Compliance nicht optional. Es ist die Voraussetzung. Für die Mechanik, benannte Sitzplätze mit rollenbasierten Berechtigungen einzurichten, siehe unseren Leitfaden zu geteilten Logins und was sie Ihre Agentur kosten.

Der durchgängige Log als operative Aufzeichnung

Sind die benannten Sitzplätze einmal eingerichtet, baut sich der Action Log von selbst auf, während das Team arbeitet. Jeder Launch, jeder Edit, jede Budgetänderung, jede Pause wird im Log mit Zeitstempel, dem Namen des Teammitglieds, das sie vorgenommen hat, dem geänderten Feld und den Vorher-Nachher-Werten, wo zutreffend, erfasst. Die Agentur muss keinen separaten Log pflegen — der Log ist das Nebenprodukt davon, die Arbeit über die Plattform zu erledigen.

Das ist der strukturelle Vorteil, eine integrierte operative Ebene zu betreiben, statt native Plattformen separat zu nutzen. Wenn das Team Kampagnen über Wevion startet und verwaltet, ist der Log automatisch vollständig. Wenn sich das Team separat in Meta, Google und TikTok einloggt, muss es den Log aus drei Quellen zusammenstellen — und in genau dieser Zusammenstellung entstehen Fehler und Lücken.

Der vierteljährliche Export als Ergebnis

Die meisten regulierten Werbetreibenden verlangen die Dokumentation auf vierteljährlicher oder jährlicher Basis, häufig ausgelöst durch eine Compliance-Prüfung oder eine aufsichtsrechtliche Anfrage und nicht durch einen konkreten Vorfall. Die Agentur bereitet sich darauf vor, indem sie ein festes vierteljährliches Export-Protokoll etabliert: Am Ende jedes Quartals wird die Kontohistorie jedes regulierten Kunden exportiert, auf das relevante Konto und den Zeitraum gefiltert und in einem sicheren Kundenordner abgelegt.

Das Exportformat ist als datierte, mit Urheber versehene Abfolge von Ereignissen lesbar. Jeder Eintrag in einem Compliance-Export enthält typischerweise: Datum und Uhrzeit (auf die Minute genau), Name und Rolle des Teammitglieds, betroffenes Konto und betroffene Kampagne, Aktionstyp (Edit, Pause, Launch, Budgetänderung, Zugriffsereignis) und die Vorher-Nachher-Werte des geänderten Feldes.

Für eine Anleitung, wie Sie die Änderungshistorie für Vorfalluntersuchungen nutzen — der schnellere, taktischere Einsatz desselben Logs — siehe wie man Änderungen am Werbekonto untersucht.

Wie das Compliance-Audit-Ergebnis aussieht

Wenn ein regulierter Kunde die Dokumentation für ein Audit anfordert — intern oder extern — sollte das Ergebnis der Agentur eine formatierte Aufzeichnung mit einer Zusammenfassung als Deckblatt und dem gefilterten Log als Anhang sein.

Zusammenfassung auf dem Deckblatt (eine Seite):

• Kundenname und Kontokennungen
• Abgedeckte Plattformen und Zeitraum
• Gesamtzahl der erfassten Änderungen
• Namentlich benannte Teammitglieder mit ihren Rollen, die im Zeitraum auf das Konto zugegriffen oder es geändert haben
• Zusammenfassung der Änderungstypen (X Budget-Edits, Y Creative-Änderungen, Z Anpassungen der Gebotsstrategie usw.)
• Etwaige ungewöhnliche Zugriffsereignisse (neuer Sitzplatz hinzugefügt, Berechtigungen geändert, externe Logins)

Anhang — der gefilterte Log: Der Roh-Log, gefiltert auf den Zeitraum, chronologisch sortiert, wobei jeder Eintrag zeigt: Zeitstempel, Name des Teammitglieds, Änderungstyp, betroffenes Konto bzw. betroffene Kampagne, Vorher- und Nachher-Werte.

Dieses zweiteilige Format dient sowohl dem internen Compliance-Verantwortlichen, der prüfen muss, dass nichts Ungewöhnliches passiert ist, als auch dem externen Prüfer, der eine vollständige Aufzeichnung braucht, die er gegen die Performance-Daten der Kampagne und den Freigabe-Workflow des Werbetreibenden abgleichen kann.

Ein Fall aus dem Finanzdienstleistungssektor: Die 90-Tage-Prüfung

Das Muster wird im Finanzdienstleistungskontext konkret. Ein regulierter Finanzwerber, der Kampagnen für Altersvorsorgeprodukte auf Meta betreibt, unterliegt der aufsichtsrechtlichen Kontrolle seiner digitalen Werbung. Die Aufsichtsbehörde kann die Dokumentation von Kampagnenänderungen während eines Prüfzeitraums anfordern — meist als Reaktion auf eine Beschwerde oder als Teil eines geplanten Aufsichtszyklus.

Ohne einen compliance-tauglichen Action Log hat die Agentur folgende Optionen: die native Meta-Änderungshistorie ziehen (läuft nach 90 Tagen ab, keine namentliche Zuordnung), aus Erinnerung und internen Nachrichten rekonstruieren (als Compliance-Aufzeichnung unzulässig) oder einräumen, dass sie die Dokumentation nicht liefern kann.

Mit einem compliance-tauglichen Log exportiert die Agentur die gefilterte Aufzeichnung für den Prüfzeitraum, annotiert die wesentlichen Änderungen mit der Freigabedokumentation, die sie autorisiert hat, und liefert das Paket. Der Prüfer sieht eine saubere, mit Urheber versehene Zeitleiste jeder Kampagnenänderung, mit benannten Teammitgliedern und dokumentierten Rollen. Die Prüfung wird ohne Eskalation abgeschlossen.

Der Fall ist nicht theoretisch. Branchenauswertungen aus dem Jahr 2025 zeigen, dass ein erheblicher Anteil der Werbetreibenden in regulierten Kategorien in den vorangegangenen 12 Monaten mindestens eine Compliance-Anfrage zu Änderungen an der digitalen Werbung erlebt hat. Agenturen, die eine zugeordnete Dokumentation vorlegen konnten, lösten diese Anfragen im Schnitt in wenigen Tagen; Agenturen, die das nicht konnten, brauchten im Schnitt mehrere Wochen und endeten häufiger mit formellen Verwarnungen.

Den Compliance-Use-Case ins Onboarding neuer Kunden einbauen

Der effizienteste Weg, das umzusetzen, ist nicht eine nachträgliche Nachrüstung, wenn ein Audit eintrifft, sondern ein Standardelement der Onboarding-Checkliste für jedes Konto in einer regulierten Kategorie.

Die Checkliste hat drei Punkte:

1. Benannte Sitzplätze eingerichtet, bevor die Arbeit beginnt — keine geteilten Logins, jedes Teammitglied unter seiner eigenen Identität mit einer gescopten Rolle
2. Plattformverbindungen über offizielle APIs autorisiert — die OAuth-Verbindung sorgt für die korrekte Zuordnung aller per API erfassten Änderungen
3. Vierteljährlicher Export-Rhythmus etabliert — eine feste Aufgabe im Projektmanagement-System der Agentur, den Action Log am Ende jedes Quartals zu ziehen und abzulegen, ohne auf ein Compliance-Ereignis als Auslöser zu warten

Das verwandelt Compliance-Dokumentation von einer reaktiven Notlage in eine feste operative Gewohnheit. Für Agenturen, die mehrere regulierte Kunden verwalten, liegen die Grenzkosten pro zusätzlichem Kunden nahe null, sobald der Workflow etabliert ist — dasselbe Export-Protokoll gilt für jedes Konto.

Für eine breitere Sicht auf den Prüfpfad in nicht regulierten Kontexten — wie er als Bindungsinstrument und internes Verantwortungssystem funktioniert — siehe den verwandten Beitrag zum Prüfpfad für Agentur-Kundenkonten. Für das vollständige Agentur-Toolkit deckt der Agency-Tools-Cluster den kompletten operativen Stack ab.

Fazit

Regulierte Werbetreibende brauchen nicht einfach nur bessere Kampagnenergebnisse — sie brauchen nachweisbare Kontrolle über ihren Werbebetrieb. Ein Ad Account Action Log, der jede Änderung einer namentlich benannten Person zuordnet, die Historie über den nativen 90-Tage-Ablauf hinaus aufbewahrt und sich als einheitliche Aufzeichnung über Plattformen hinweg spannt, liefert diese Kontrolle in audit-fähiger Form.

Für Agenturen macht es das Compliance-Ergebnis nahezu kostenlos, wenn sie den Compliance-Use-Case auf den Action Log aufbauen, den sie ohnehin schon für operative Zwecke nutzen — Vorfalluntersuchung, Team-Verantwortlichkeit, Kundenkommunikation. Der Log läuft immer mit. Der Export dauert Minuten. Und die Fähigkeit, einem Prüfer eine saubere, zugeordnete Aufzeichnung zu übergeben, wer wann was und warum geändert hat, ist genau die operative Sorgfalt, wegen der regulierte Kunden nicht gehen.