Firmenrecherche und DSGVO: Was du im B2B-Vertrieb beachten musst
Recherche im B2B-Vertrieb bewegt sich zwischen zwei Extremen: Manche Teams recherchieren gar nicht mehr, aus Angst vor der DSGVO. Andere sammeln alles, was öffentlich ist, und halten das für erlaubt. Beides ist falsch. Dieser Artikel ordnet ein, was die Datenschutz-Grundverordnung für die Firmenrecherche tatsächlich bedeutet.
Firmendaten oder Personendaten? Die wichtigste Unterscheidung
Die DSGVO schützt personenbezogene Daten, also Angaben zu identifizierbaren natürlichen Personen. Daten über eine GmbH als solche, etwa Umsatz, Standort, Produktportfolio oder Registernummer, sind keine personenbezogenen Daten. Ihre Recherche ist datenschutzrechtlich unkritisch.
Anders sieht es aus, sobald du Ansprechpartner erfasst: Name, Position, berufliche E-Mail-Adresse oder Telefonnummer. Das sind personenbezogene Daten, auch wenn sie im beruflichen Kontext stehen und öffentlich zugänglich sind. Für diese Daten brauchst du eine Rechtsgrundlage und musst Pflichten erfüllen.
Eine Grauzone sind Angaben zu Geschäftsführern und Inhabern im Handelsregister. Sie sind öffentlich und beziehen sich auf eine Funktion, bleiben aber personenbezogen. Die Verarbeitung ist möglich, muss aber denselben Regeln folgen wie andere Kontaktdaten.
Die Rechtsgrundlage im B2B-Vertrieb
Für die Recherche und Ansprache von Geschäftskontakten kommt in der Praxis meist das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO in Betracht. Die Verordnung nennt Direktwerbung in Erwägungsgrund 47 ausdrücklich als Beispiel für ein mögliches berechtigtes Interesse. Voraussetzung ist eine dokumentierte Interessenabwägung: Dein Interesse an der Ansprache muss gegen die Erwartungen der betroffenen Person abgewogen werden.
Für diese Abwägung sprechen typischerweise: ein klarer beruflicher Bezug der Daten, ein sachlicher Zusammenhang zwischen deinem Angebot und der Funktion der Person, sparsame Datenerhebung und eine einfache Widerspruchsmöglichkeit. Gegen sie sprechen: private Daten, sensible Kategorien, massenhafte Erhebung ohne Bezug zur Rolle.
Eine Einwilligung ist im B2B-Vertrieb selten praktikabel und für die reine Recherche meist nicht nötig. Sie wird aber relevant, wenn es um den Kanal der Ansprache geht.
Der Kanal ist eine eigene Frage: UWG neben DSGVO
Ob du jemanden anrufen oder anschreiben darfst, regelt in Deutschland zusätzlich das Gesetz gegen den unlauteren Wettbewerb. Paragraf 7 UWG unterscheidet nach Kanal: Telefonwerbung gegenüber Unternehmen ist zulässig, wenn eine mutmaßliche Einwilligung vorliegt, also ein sachliches Interesse des Angerufenen an deinem Angebot plausibel ist. Werbung per E-Mail braucht grundsätzlich eine vorherige ausdrückliche Einwilligung, mit einer engen Ausnahme für Bestandskunden.
Das bedeutet in der Praxis: Recherchieren und einen Ansprechpartner identifizieren ist die eine Sache. Ihn kalt per E-Mail anzuschreiben, ist eine andere. Viele Vertriebsteams recherchieren deshalb sauber, rufen an oder nutzen Netzwerke, und holen die E-Mail-Einwilligung im Gespräch ein.
Deine Pflichten, sobald du Ansprechpartner erfasst
Wenn du Daten nicht bei der Person selbst erhebst, sondern aus Website, Register oder Netzwerk, greift die Informationspflicht nach Artikel 14 DSGVO. Du musst die Person innerhalb einer angemessenen Frist, spätestens bei der ersten Kontaktaufnahme und innerhalb eines Monats, darüber informieren, wer du bist, welche Daten du woher hast, wozu du sie nutzt und welche Rechte sie hat.
Dazu kommen die allgemeinen Grundsätze: Zweckbindung, Datenminimierung und Speicherbegrenzung. Öffentlich zugängliche Daten sind kein Freifahrtschein. Wer Kontakte jahrelang ohne Anlass speichert, verstößt gegen die Speicherbegrenzung, auch wenn jede einzelne Angabe im Netz steht.
- Auskunft (Art. 15): Auf Anfrage musst du sagen können, welche Daten du zu einer Person hast und woher.
- Löschung (Art. 17): Wenn der Zweck entfällt oder die Person widerspricht, musst du löschen.
- Widerspruch (Art. 21): Gegen Direktwerbung kann jede Person jederzeit widersprechen. Dann ist Schluss, ohne Abwägung.
- Verzeichnis (Art. 30): Die Vertriebsrecherche gehört als Verarbeitungstätigkeit in dein Verzeichnis.
KI-Tools und externe Dienste: Wohin fließen die Daten?
Sobald ein Tool Daten für dich recherchiert, zusammenfasst oder bewertet, kommt eine weitere Frage dazu: Wer verarbeitet die Daten außer dir? Cloud-KI-Anbieter, Datenlieferanten und CRM-Systeme sind Empfänger oder Auftragsverarbeiter, für die du Verträge und eine Prüfung der Datenflüsse brauchst.
Bei KI-Modellen lohnt sich die Frage, welche Inhalte tatsächlich an den Anbieter gehen: nur öffentliche Website-Texte oder auch Kontaktdaten und interne Notizen. Lokale Modelle vermeiden die Übertragung ganz, Cloud-Modelle brauchen einen Vertrag zur Auftragsverarbeitung und eine Einordnung, welche Datenklasse dorthin darf.
Checkliste für saubere Firmenrecherche
Wenn du diese acht Punkte erfüllst, bist du für die meisten B2B-Rechercheszenarien gut aufgestellt.
- Firmendaten und Personendaten getrennt behandeln.
- Berechtigtes Interesse für Ansprechpartner dokumentieren, mit Interessenabwägung.
- Zu jeder Person die Quelle und den Zeitpunkt der Erhebung festhalten.
- Informationstext nach Art. 14 bereithalten und den Versand dokumentieren.
- Löschfristen festlegen und automatisch durchsetzen.
- Widersprüche sofort umsetzen und eine erneute Erfassung verhindern.
- Für jeden Kanal prüfen, ob das UWG zusätzliche Anforderungen stellt.
- Für jedes Tool klären, welche Daten wohin fließen und ob ein Vertrag zur Auftragsverarbeitung besteht.
So unterstützt AVA bei den Pflichten
AVA zeigt zu jeder erfassten Kontaktperson Quelle, Zeitpunkt und erhebende Organisation, stellt einen vorformulierten Informationstext nach Art. 14 bereit, löscht Personen im gesamten Bestand mit Sperre gegen erneute Erfassung und entfernt Kontakte ohne neue Beobachtung automatisch nach einer einstellbaren Frist. Die Rechtsgrundlage prüft deine Organisation.
Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Wie die Regeln in deinem Unternehmen anzuwenden sind, klärst du mit deiner Datenschutzbeauftragten oder deinem Datenschutzbeauftragten.