Datenschutzkonformes Direktmarketing im B2B-Bereich: Rechtliche Grenzen und praktische Anforderungen

Direktmarketing zwischen Unternehmen bewegt sich im Spannungsfeld zwischen wirtschaftlichen Kommunikationsinteressen, wettbewerbsrechtlichem Belästigungsschutz und dem Schutz personenbezogener Daten. Unternehmen dürfen ihre Leistungen grundsätzlich bewerben und potenzielle Geschäftspartner ansprechen. Daraus folgt jedoch keine allgemeine Befugnis, geschäftliche Kontaktdaten beliebig zu sammeln, anzureichern und für Werbeansprachen einzusetzen. Insbesondere ist die Annahme unzutreffend, Werbung gegenüber Unternehmen benötige generell keine Einwilligung.

Für eine rechtmäßige Gestaltung müssen zwei Fragen getrennt beantwortet werden: Darf ein Unternehmen die betreffenden personenbezogenen Daten für Werbezwecke verarbeiten? Und darf es den gewählten Kommunikationskanal für die konkrete Ansprache nutzen? Die erste Frage richtet sich insbesondere nach der Datenschutz-Grundverordnung, die zweite vor allem nach dem Gesetz gegen den unlauteren Wettbewerb. Je nach technischer Ausgestaltung können weitere Vorschriften hinzutreten.

Der Beitrag erläutert diese doppelte Prüfung für das deutsche Recht. Im Mittelpunkt stehen geschäftliche E-Mails, Telefonwerbung, postalische Ansprache, öffentlich zugängliche Kontaktdaten und gekaufte Adressbestände. Hinzu kommen Informationspflichten, Widerspruchsrechte, Nachweisanforderungen und organisatorische Voraussetzungen. Die rechtliche Bewertung hängt vielfach von Umständen ab, die sich nicht allein anhand der Bezeichnung „B2B-Marketing“ bestimmen lassen.

1. Begriffsklärung und Anwendungsbereich

Direktmarketing als gezielte werbliche Ansprache

Direktmarketing bezeichnet die unmittelbare Ansprache bestimmter oder bestimmbarer Adressaten zu werblichen Zwecken. Dazu gehören insbesondere individualisierte Werbebriefe, Telefonanrufe, Newsletter und Nachrichten über digitale Kommunikationsdienste. Maßgeblich sind Inhalt, Zweck und Zusammenhang der Maßnahme, nicht lediglich ihre Bezeichnung durch den Absender.

Der Werbebegriff ist weit. Er erfasst nicht nur konkrete Verkaufsangebote, sondern grundsätzlich auch Maßnahmen zur Absatzförderung und Kundenbindung. Einladungen zu Produktpräsentationen, geschäftlich motivierte Zufriedenheitsbefragungen und Hinweise auf zusätzliche Dienstleistungen können deshalb Werbung sein. Eine „Kontaktanfrage“ ist nicht schon deshalb werbefrei, weil sie zunächst nur das Interesse an einem späteren Verkaufsgespräch ermitteln soll.

Davon zu unterscheiden sind notwendige Vertragsmitteilungen, etwa zur Lieferung oder Rechnungsstellung. Werden solche Nachrichten um verkaufsfördernde Inhalte ergänzt, kann der zusätzliche Werbeteil rechtlich eigenständig relevant werden. Nicht jede Unternehmensangabe in einer Signatur ist allerdings bereits Werbung. Gesetzlich erforderliche Pflichtangaben und sachliche Kontaktdaten sind von zusätzlichen absatzfördernden Aussagen zu unterscheiden.

Personenbezug trotz geschäftlichen Zusammenhangs

Die Datenschutz-Grundverordnung schützt natürliche Personen. Reine Informationen über eine juristische Person, etwa deren Firma und allgemeine Geschäftsanschrift, fallen als solche grundsätzlich nicht darunter. Dies bedeutet jedoch nicht, dass sämtliche im Geschäftsverkehr verwendeten Daten vom Datenschutzrecht ausgenommen wären.

Personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO liegen vor, wenn sich Informationen auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen regelmäßig namentliche geschäftliche E-Mail-Adressen, persönliche Durchwahlen und Angaben über die Zuständigkeit bestimmter Beschäftigter. Auch Informationen über selbstständig tätige natürliche Personen können personenbezogen sein.

Eine Funktionsadresse wie „einkauf@unternehmen.de“ muss für sich genommen nicht personenbezogen sein. Der Verarbeitungskontext kann aber einen Personenbezug herstellen, etwa wenn die Adresse einem identifizierbaren Einzelunternehmer zugeordnet ist oder im Vertriebssystem mit einer bestimmten Person verbunden wird. Entscheidend ist die tatsächliche Zuordenbarkeit, nicht allein der Aufbau der Adresse.

Unabhängig davon bleibt das Wettbewerbsrecht anwendbar. Auch eine Werbe-E-Mail an eine nicht personenbezogene Unternehmensadresse kann nach § 7 UWG unzulässig sein. Die fehlende Anwendbarkeit der DSGVO auf einen einzelnen Datensatz beseitigt daher nicht die Anforderungen an den Werbekanal.

2. Rechtlicher Rahmen: Datenschutz und Wettbewerbsrecht

Die notwendige Doppelprüfung

Die datenschutzrechtliche Zulässigkeit einer Verarbeitung ersetzt nicht die wettbewerbsrechtliche Erlaubnis zur Kontaktaufnahme. Ebenso begründet ein wettbewerbsrechtlich zulässiger Kommunikationsweg nicht automatisch eine datenschutzrechtliche Rechtsgrundlage.

Beide Regelungsbereiche verfolgen unterschiedliche, teilweise überlappende Schutzzwecke. Die DSGVO betrifft die Verarbeitung personenbezogener Daten. § 7 UWG schützt Marktteilnehmer vor unzumutbaren Belästigungen durch geschäftliche Handlungen, insbesondere durch Werbung.

Praktisch bedeutet dies: Ein berechtigtes Interesse an Kundengewinnung erlaubt nicht ohne Weiteres unaufgeforderte Werbe-E-Mails. Umgekehrt entbindet eine wirksame Werbeeinwilligung nicht von Transparenz, Datensicherheit und Speicherbegrenzung. Zu prüfen sind insbesondere die Datenerhebung, eine etwaige Anreicherung, die Auswahl der Empfänger, der Versand und die anschließende Auswertung.

Nicht jede wettbewerbsrechtliche Unzulässigkeit entscheidet automatisch über jede vorgelagerte Datenverarbeitung. Eine andere, unabhängig tragfähige Verarbeitung kann beispielsweise zur Bearbeitung einer tatsächlich eingegangenen Anfrage erforderlich sein. Die Datenverarbeitung muss deshalb nach ihren konkreten Zwecken und Verarbeitungsschritten beurteilt werden.

Datenschutzrechtliche Rechtsgrundlagen

Für werbliche Verarbeitungen kommen insbesondere Art. 6 Abs. 1 Buchst. a DSGVO und Art. 6 Abs. 1 Buchst. f DSGVO in Betracht.

Eine Einwilligung muss nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, informiert und unmissverständlich durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung erteilt werden. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche sie nachweisen können. Vorangekreuzte Auswahlfelder und bloßes Schweigen genügen nicht. Einwilligungserklärungen müssen außerdem nach Art. 7 Abs. 2 DSGVO hinreichend verständlich und von anderen Erklärungen unterscheidbar sein.

Der Widerruf muss gemäß Art. 7 Abs. 3 DSGVO jederzeit möglich und ebenso einfach wie die Erteilung sein. Er lässt die Rechtmäßigkeit der vor dem Widerruf aufgrund der Einwilligung erfolgten Verarbeitung unberührt. Über das Widerrufsrecht ist vor Abgabe der Einwilligung zu informieren. Für spätere werbliche Verarbeitungen kann die widerrufene Einwilligung dagegen keine Grundlage mehr bilden.

Das berechtigte Interesse verlangt eine dreistufige Prüfung: Es muss ein berechtigtes Interesse bestehen, die Verarbeitung muss zu dessen Wahrung erforderlich sein, und entgegenstehende Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen nicht überwiegen. Erwägungsgrund 47 DSGVO nennt Direktwerbung als möglichen Fall eines berechtigten Interesses. Dies ist keine pauschale Werbeerlaubnis.

Bei der Abwägung sind insbesondere Datenquelle, Beziehung zum Unternehmen, berufliche Zuständigkeit, Umfang der Datenverarbeitung und vernünftige Erwartungen der betroffenen Person zu berücksichtigen. Die Erforderlichkeit ist ebenfalls eigenständig zu prüfen. Eine möglichst umfangreiche Datensammlung ist nicht bereits deshalb erforderlich, weil sie den Vertrieb erleichtert.

Auch die Zulässigkeit des Kommunikationskanals ist wesentlich. Eine nach § 7 UWG verbotene Ansprache lässt sich nicht dadurch legitimieren, dass der Versender wirtschaftliche Interessen geltend macht. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, sind zudem die zusätzlichen Anforderungen des Art. 9 DSGVO zu beachten; Art. 6 Abs. 1 Buchst. f DSGVO allein genügt hierfür nicht.

Art. 6 Abs. 1 Buchst. b DSGVO betrifft Verarbeitungen, die zur Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage erforderlich sind. Allgemeine Neukundenwerbung wird nicht allein durch den angestrebten Vertragsschluss zu einer solchen Maßnahme. Bei Beschäftigten eines Geschäftskunden ist außerdem häufig das Unternehmen und nicht die kontaktierte Person Vertragspartner.

E-Mail und Telefon nach § 7 UWG

Für Werbung mittels elektronischer Post verlangt § 7 Abs. 2 Nr. 2 UWG grundsätzlich die vorherige ausdrückliche Einwilligung des Adressaten. Das gilt auch im B2B-Bereich. Eine lediglich vermutete Zustimmung genügt nicht. Auch eine öffentlich angegebene E-Mail-Adresse begründet für sich genommen keine Einwilligung.

Bei Telefonwerbung unterscheidet § 7 Abs. 2 Nr. 1 UWG zwischen Verbrauchern und sonstigen Marktteilnehmern. Gegenüber Verbrauchern ist eine vorherige ausdrückliche Einwilligung erforderlich. Gegenüber sonstigen Marktteilnehmern kann eine zumindest mutmaßliche Einwilligung ausreichen. Entscheidend ist dabei der Zusammenhang der Ansprache; eine Person wird nicht allein aufgrund ihrer beruflichen Stellung bei jeder Kontaktaufnahme zum sonstigen Marktteilnehmer.

Die mutmaßliche Einwilligung ist eng zu verstehen. Die objektiven Umstände müssen vor dem Anruf die Annahme rechtfertigen, der Adressat werde gerade mit einer telefonischen Ansprache zu diesem Thema einverstanden sein. Eine abstrakte Nützlichkeit des Produkts oder die bloße Branchenzugehörigkeit reicht regelmäßig nicht.

Für Werbung mittels automatischer Anrufmaschinen und Faxgeräten gelten die strengeren Anforderungen des § 7 Abs. 2 Nr. 2 UWG. Eine möglicherweise mutmaßliche Einwilligung in einen persönlich geführten Werbeanruf lässt sich deshalb nicht ohne Weiteres auf diese Kommunikationsformen übertragen.

Die Bestandskundenausnahme

§ 7 Abs. 3 UWG lässt Werbung mittels elektronischer Post ohne gesonderte ausdrückliche Einwilligung nur unter kumulativen Voraussetzungen zu:

• Der Unternehmer hat die elektronische Postadresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
• Er verwendet sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen.
• Der Kunde hat der Verwendung nicht widersprochen.
• Bei Erhebung der Adresse und bei jeder Verwendung wird klar und deutlich auf die jederzeitige Widerspruchsmöglichkeit hingewiesen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Die bloße Aufnahme in eine Kundendatenbank belegt diese Voraussetzungen nicht. Eine Anfrage, ein unverbindlicher Erstkontakt oder die Übergabe einer Visitenkarte genügt für sich genommen ebenfalls nicht. Ob die beworbenen Leistungen hinreichend ähnlich sind, richtet sich nach dem konkreten Zusammenhang mit dem ursprünglichen Erwerb. Die bloße Zugehörigkeit zum Sortiment des Anbieters reicht nicht als Begründung.

Ebenso wenig erlaubt die Ausnahme ohne Weiteres Werbung für andere Konzerngesellschaften oder sonstige Dritte. Fehlt der erforderliche Hinweis bei der Erhebung, wird dieser Mangel nicht allein dadurch behoben, dass die spätere Werbenachricht eine Abmeldemöglichkeit enthält.

Die datenschutzrechtliche Rechtsgrundlage und die Informationspflichten sind zusätzlich zu prüfen. § 7 Abs. 3 UWG ist keine eigenständige Rechtsgrundlage nach Art. 6 DSGVO.

3. Rechtsprechungslinien und ihre Bedeutung

Unerbetene E-Mails an Unternehmen

Der Bundesgerichtshof hat mit Beschluss vom 20. Mai 2009, Az. I ZR 218/07, herausgestellt, dass bereits die einmalige unverlangte Zusendung einer Werbe-E-Mail einen rechtswidrigen Eingriff in das Recht am eingerichteten und ausgeübten Gewerbebetrieb darstellen kann.

Die Entscheidung betrifft insbesondere die zivilrechtliche Abwehr unerwünschter Werbung. Sie verdeutlicht, dass gewerbliche Empfänger keinen rechtlich schutzlosen Raum bilden. Eine umfangreiche Kampagne oder wiederholte Kontaktaufnahme ist nicht notwendige Voraussetzung eines Abwehranspruchs.

Für die Praxis folgt daraus, dass niedrige Versandzahlen und sorgfältige Personalisierung eine fehlende rechtliche Erlaubnis nicht ersetzen. Die Entscheidung erging vor der Anwendbarkeit der DSGVO. Ob daneben datenschutzrechtliche Ansprüche bestehen, ist nach den dafür geltenden Voraussetzungen gesondert zu beurteilen und setzt insbesondere eine vom Datenschutzrecht erfasste Verarbeitung voraus.

Werbung innerhalb einer Vertragsnachricht

Mit Urteil vom 10. Juli 2018, Az. VI ZR 225/17, befasste sich der Bundesgerichtshof mit einer Kundenzufriedenheitsbefragung innerhalb einer E-Mail, die zugleich eine Rechnung enthielt. Die Befragung wurde als Werbung eingeordnet.

Die Bedeutung liegt im funktionalen Werbebegriff: Ein zulässiger Anlass für eine Nachricht rechtfertigt nicht automatisch sämtliche darin enthaltenen Zusatzinhalte. Auch eine werbliche Ergänzung kann die geschützten Interessen des Empfängers berühren, obwohl die übrige Nachricht einer zulässigen Vertragsabwicklung dient.

Unternehmen sollten notwendige Vertragskommunikation deshalb grundsätzlich von zusätzlichen Werbeinhalten trennen oder deren Zulässigkeit gesondert absichern. Das betrifft insbesondere Bewertungsaufforderungen, Produktempfehlungen und verkaufsfördernde Signaturzusätze. Daraus folgt kein generelles Verbot sachlicher Unternehmenssignaturen; maßgeblich bleiben Inhalt und Zweck.

Datenschutzrechtlicher Schadensersatz

Der Gerichtshof der Europäischen Union hat mit Urteil vom 4. Mai 2023, Rechtssache C-300/21, klargestellt, dass ein DSGVO-Verstoß allein keinen Schadensersatzanspruch nach Art. 82 DSGVO begründet. Erforderlich sind außerdem ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang zwischen Verstoß und Schaden. Für immaterielle Schäden darf keine zusätzliche Erheblichkeitsschwelle verlangt werden.

Eine unzulässige Werbemaßnahme führt daher nicht automatisch zu einer bestimmten Geldzahlung. Die betroffene Person muss die Voraussetzungen ihres Anspruchs darlegen und gegebenenfalls nachweisen. Die bloße Feststellung einer Rechtsverletzung ersetzt nicht die Feststellung eines Schadens.

Umgekehrt dürfen mögliche immaterielle Schäden nicht allein wegen ihres geringen Gewichts ausgeschlossen werden. Ob etwa ein behaupteter Kontrollverlust oder andere nachteilige Folgen einen ersatzfähigen Schaden darstellen, hängt von den feststellbaren Umständen ab. Ein allgemeiner Geldbetrag pro unerlaubter Werbe-E-Mail lässt sich aus dieser Entscheidung nicht ableiten.

4. Typische Fallkonstellationen im B2B-Vertrieb

Öffentlich recherchierte Ansprechpartner

Ein Anbieter recherchiert auf Unternehmenswebseiten die Namen und E-Mail-Adressen von Einkaufsverantwortlichen. Die öffentliche Zugänglichkeit ist keine allgemeine Freigabe für Werbung. Die Veröffentlichung kann der Erreichbarkeit für bestimmte geschäftliche Zwecke dienen, ohne eine Einwilligung in beliebige Verkaufsansprachen auszudrücken.

Schon das Erfassen personenbezogener Angaben im Vertriebssystem benötigt eine Rechtsgrundlage. Dabei sind Veröffentlichungskontext, Relevanz, Umfang und geplante Verwendung einzubeziehen. Auch eine öffentlich sichtbare Information darf nicht ohne Weiteres mit zusätzlichen Daten verbunden und dauerhaft für unterschiedliche Marketingzwecke gespeichert werden.

Eine anschließende Werbe-E-Mail benötigt grundsätzlich eine ausdrückliche Einwilligung oder muss die Voraussetzungen des § 7 Abs. 3 UWG erfüllen. Die berufliche Passgenauigkeit eines Angebots ersetzt diese Voraussetzungen nicht.

Öffentlich zugängliche Daten sind außerdem nicht generell von den Informationspflichten ausgenommen. Werden sie nicht bei der betroffenen Person erhoben, ist grundsätzlich Art. 14 DSGVO maßgeblich. Eine etwaige Ausnahme muss anhand der gesetzlichen Voraussetzungen geprüft werden.

Gekaufte Adresslisten und externe Leadgenerierung

Beim Erwerb von Kontaktdaten muss das werbende Unternehmen eigenständig prüfen, ob es die Daten erhalten und für den vorgesehenen Zweck verwenden darf. Die Zusicherung eines Anbieters, ein Datensatz sei „DSGVO-konform“, ersetzt diese Prüfung nicht. Auch vertragliche Haftungsregelungen gegenüber dem Anbieter beseitigen die eigene datenschutzrechtliche Verantwortlichkeit nicht.

Zu klären sind insbesondere Herkunft, Erhebungszusammenhang, Erhebungszeitpunkt, Rechtsgrundlage und gegebenenfalls der genaue Einwilligungstext. Eine Einwilligung muss die beabsichtigte Werbung hinreichend bestimmt erfassen. Pauschale Verweise auf nicht erkennbare oder nicht überschaubare „Partnerunternehmen“ können den Anforderungen an Bestimmtheit und Informiertheit nicht genügen.

Eine bloße Bestätigung des Listenverkäufers, Einwilligungen lägen vor, gewährleistet noch keinen ausreichenden Nachweis. Erforderlich ist ein nachvollziehbares Verfahren, mit dem sich die einschlägige Erklärung und ihre Zuordnung zum jeweiligen Kontakt belegen lassen. Auch zwischenzeitliche Widerrufe und Widersprüche müssen berücksichtigt werden.

Die Rollenverteilung ist ebenfalls zu bestimmen. Ein Dienstleister kann Auftragsverarbeiter nach Art. 28 DSGVO, eigenständig Verantwortlicher oder gemeinsam Verantwortlicher nach Art. 26 DSGVO sein. Maßgeblich sind die tatsächlichen Entscheidungen über Zwecke und wesentliche Mittel der Verarbeitung. Der Erwerb einer eigenständig aufgebauten Adressliste ist nicht allein deshalb Auftragsverarbeitung, weil der Vertrag diese Bezeichnung verwendet.

Messekontakte und Visitenkarten

Die Übergabe einer Visitenkarte erlaubt nicht automatisch jede spätere Marketingmaßnahme. Entscheidend ist der erkennbare Zweck. Bittet eine Ansprechpartnerin ausdrücklich um ein bestimmtes Angebot, ist die darauf beschränkte Kommunikation anders zu beurteilen als die Aufnahme in einen allgemeinen Newsletter.

Eine solche Bitte kann die angeforderte elektronische Kommunikation wettbewerbsrechtlich tragen. Datenschutzrechtlich bleibt zu prüfen, welche Rechtsgrundlage für die Verarbeitung der Kontaktdaten einschlägig ist. Art. 6 Abs. 1 Buchst. b DSGVO scheidet insbesondere dann als unmittelbare Grundlage aus, wenn der angestrebte Vertrag nicht mit der betroffenen Person, sondern mit ihrem Arbeitgeber geschlossen werden soll.

Erteilte Zustimmungen sollten nach Inhalt, Zeitpunkt und Kommunikationskanal nachvollziehbar dokumentiert werden. Ein Vermerk wie „Messekontakt“ belegt allein keine ausdrückliche Einwilligung in fortlaufende E-Mail-Werbung.

Auch das Einscannen eines Besucherausweises oder einer Visitenkarte erzeugt für sich genommen keine entsprechende Erlaubnis. Die technische Erfassung ersetzt weder einen tragfähigen Erlaubnistatbestand noch angemessene Informationen über die Verarbeitung.

Telefonische Neukundenansprache

Bei einem geschäftlichen Werbeanruf genügt es nicht, dass der Angerufene das angebotene Produkt theoretisch gebrauchen könnte. Andernfalls würde die mutmaßliche Einwilligung zu einer allgemeinen Erlaubnis für telefonische Kaltakquise.

Für eine Einzelfallprüfung können konkrete geschäftliche Beziehungen oder ein erkennbarer aktueller Bedarf bedeutsam sein. Zusätzlich muss nachvollziehbar sein, warum gerade ein Telefonanruf erwartet oder gebilligt werden durfte. Eine Geschäftsbeziehung rechtfertigt daher nicht automatisch Anrufe zu beliebigen anderen Leistungen.

Wer einen ausdrücklich ausgeschriebenen Bedarf aufgreift, muss auch prüfen, welche Kontaktwege hierfür vorgesehen sind. Die Veröffentlichung einer Telefonnummer allein lässt nicht auf Zustimmung zu Werbeanrufen schließen.

Eine interne Dokumentation sollte die vor dem Anruf bekannten Umstände festhalten. Eine erst nachträglich formulierte Vertriebsbegründung ersetzt diese Tatsachengrundlage nicht. Auch eine solche Dokumentation garantiert allerdings nicht, dass die Voraussetzungen der mutmaßlichen Einwilligung tatsächlich erfüllt sind.

Postalische Werbung und digitale Netzwerke

Personalisierte Briefwerbung unterliegt nicht demselben grundsätzlichen Einwilligungserfordernis wie elektronische Post. Sie kann auf Art. 6 Abs. 1 Buchst. f DSGVO gestützt werden, wenn Erforderlichkeit und Interessenabwägung dies tragen. Datenquelle, Inhalt, Häufigkeit und Adressierung können dabei Bedeutung gewinnen.

§ 7 Abs. 1 UWG bleibt anwendbar. Insbesondere ist Werbung unzulässig, wenn erkennbar ist, dass der angesprochene Marktteilnehmer sie nicht wünscht. Bei personenbezogener Direktwerbung ist zusätzlich ein Widerspruch nach Art. 21 DSGVO zu beachten.

Bei Direktnachrichten in beruflichen Netzwerken ist Zurückhaltung geboten. Eine Plattformmitgliedschaft oder die Annahme einer Vernetzungsanfrage bedeutet nicht automatisch Zustimmung zu werblichen Nachrichten. Ob eine konkrete Funktion als elektronische Post im Sinne des § 7 Abs. 2 Nr. 2 UWG einzuordnen ist, richtet sich nach ihrer technischen und funktionalen Ausgestaltung. Die bloße Bezeichnung als Netzwerknachricht begründet keine Ausnahme.

Auch eine Nachricht, die lediglich um Erlaubnis für spätere Werbung bittet, kann bereits selbst Werbung sein. Einwilligungen dürfen deshalb nicht durch eine ihrerseits unzulässige Werbeansprache beschafft werden.

5. Informationspflichten, Widerspruch und Fristen

Information bei direkter und indirekter Erhebung

Bei einer Erhebung unmittelbar bei der betroffenen Person sind die Informationen nach Art. 13 DSGVO grundsätzlich zum Erhebungszeitpunkt bereitzustellen. Bei anderweitiger Beschaffung gilt Art. 14 DSGVO. Entscheidend ist, von wem die Daten erhoben werden; eine Unternehmenswebseite ist nicht allein deshalb eine direkte Erhebungsquelle, weil dort Beschäftigte genannt werden.

Die Informationen müssen insbesondere Verantwortlichen, Zwecke, Rechtsgrundlage, gegebenenfalls berechtigte Interessen, Empfänger oder Empfängerkategorien, Speicherdauer beziehungsweise deren Kriterien und Betroffenenrechte erkennen lassen. Weitere Angaben, etwa zu Drittlandübermittlungen oder zum Datenschutzbeauftragten, sind abhängig von den Umständen erforderlich. Bei indirekter Erhebung sind außerdem die Datenkategorien und die Herkunft anzugeben, einschließlich des Umstands, ob die Daten aus öffentlich zugänglichen Quellen stammen.

Nach Art. 14 Abs. 3 DSGVO ist innerhalb einer angemessenen Frist nach Erlangung der Daten, spätestens innerhalb eines Monats, zu informieren. Werden die Daten zur Kommunikation verwendet, muss die Information spätestens bei der ersten Mitteilung erfolgen. Ist eine Offenlegung an einen anderen Empfänger beabsichtigt, ist spätestens bei der ersten Offenlegung zu informieren. Ein früher eintretender maßgeblicher Zeitpunkt darf nicht unter Berufung auf die Monatsfrist überschritten werden.

Die Monatsfrist ist daher keine allgemeine Wartefrist. Ebenso wenig schafft die Informationspflicht eine Erlaubnis, eine ansonsten verbotene Werbe-E-Mail zu versenden. Ausnahmen nach Art. 13 Abs. 4 DSGVO oder Art. 14 Abs. 5 DSGVO müssen tatsächlich vorliegen. Die bloße öffentliche Zugänglichkeit der Daten reicht dafür nicht.

Das uneingeschränkte Werbewiderspruchsrecht

Nach Art. 21 Abs. 2 DSGVO kann die betroffene Person jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten für Direktwerbung widersprechen. Dies umfasst Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Eine besondere Begründung ist für diesen Werbewiderspruch nicht erforderlich.

Nach dem Widerspruch dürfen die Daten gemäß Art. 21 Abs. 3 DSGVO nicht mehr für diese Zwecke verarbeitet werden. Eine erneute Interessenabwägung zugunsten des Werbenden findet insoweit nicht statt. Der Umfang einer Erklärung ist anhand ihres Inhalts auszulegen; ein allgemein erklärter Werbewiderspruch darf nicht ohne Grundlage auf eine einzelne Versandliste verengt werden.

Nach Art. 21 Abs. 4 DSGVO ist spätestens bei der ersten Kommunikation ausdrücklich auf das Widerspruchsrecht hinzuweisen. Der Hinweis muss verständlich und von anderen Informationen getrennt erfolgen.

Eine minimale Sperrdatei kann erforderlich sein, damit widersprechende Personen nicht durch spätere Datenimporte erneut angesprochen werden. Dies ist von einer weiteren Nutzung für Werbezwecke zu unterscheiden. Rechtsgrundlage, Umfang und Dauer dieser gesonderten Verarbeitung sind zu bestimmen. Die Sperrdatei darf nicht zur verdeckten Fortführung von Marketingprofilen werden.

Bearbeitung von Betroffenenanträgen

Über Maßnahmen auf einen Antrag nach Art. 15 bis Art. 22 DSGVO muss der Verantwortliche nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens innerhalb eines Monats nach Eingang, informieren. Eine Verlängerung um weitere zwei Monate ist möglich, soweit dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Über die Verlängerung und ihre Gründe muss innerhalb des ersten Monats informiert werden.

Diese Antwortfrist erlaubt nicht, nach einem Werbewiderspruch noch einen Monat weiterzuwerben. Art. 21 Abs. 3 DSGVO untersagt die weitere Verarbeitung zu den betroffenen Werbezwecken nach dem Widerspruch. Die hierfür notwendigen organisatorischen und technischen Abläufe müssen eine wirksame Umsetzung ermöglichen.

Bei begründeten Zweifeln an der Identität können nach Art. 12 Abs. 6 DSGVO zusätzliche erforderliche Informationen angefordert werden. Daraus folgt jedoch keine allgemeine Befugnis, für jede Newsletterabmeldung eine Ausweiskopie zu verlangen.

Feste allgemeine Aufbewahrungsfristen für sämtliche Marketingkontakte bestehen nicht. Löschkonzepte müssen sich an Zweckfortbestand, Erforderlichkeit und gegebenenfalls eigenständigen Nachweis- oder Verteidigungsinteressen orientieren. Eine zulässige Aufbewahrung für solche Zwecke rechtfertigt keine weitere werbliche Nutzung.

6. Rechtsfolgen, Risiken und Durchsetzung

Zivil- und wettbewerbsrechtliche Ansprüche

Unzulässige Direktwerbung kann Beseitigungs- und Unterlassungsansprüche auslösen. Wettbewerbsrechtliche Ansprüche richten sich insbesondere nach § 8 UWG und stehen den dort bezeichneten Anspruchsberechtigten unter den gesetzlichen Voraussetzungen zu. Nicht jeder Werbeempfänger ist allein durch den Empfang einer Nachricht nach § 8 UWG anspruchsberechtigt.

Unmittelbar betroffene Unternehmen oder natürliche Personen können daneben zivilrechtliche Abwehransprüche haben, insbesondere aus § 823 Abs. 1 BGB in Verbindung mit § 1004 BGB entsprechend. Als geschützte Rechtspositionen kommen je nach Fall das Recht am eingerichteten und ausgeübten Gewerbebetrieb oder das allgemeine Persönlichkeitsrecht in Betracht. Die jeweiligen Voraussetzungen sind eigenständig zu prüfen.

Eine Abmahnung kann die Aufforderung enthalten, eine strafbewehrte Unterlassungserklärung abzugeben. Deren Reichweite verdient besondere Aufmerksamkeit: Durch eine wirksame Unterlassungsvereinbarung können längerfristige vertragliche Bindungen und bei späteren Verstößen Vertragsstrafen entstehen.

Ob Abmahnkosten zu erstatten sind und in welchem Umfang, hängt von Anspruchsgrundlage und gesetzlichen Voraussetzungen ab. Nicht jede Zahlungsforderung in einer Abmahnung ist allein wegen eines festgestellten Werbeverstoßes berechtigt.

Aufsichtliche Maßnahmen und Bußgelder

Datenschutzaufsichtsbehörden können Beschwerden prüfen und ihre Befugnisse nach Art. 58 DSGVO einsetzen. In Betracht kommen insbesondere Anordnungen zur Herstellung rechtmäßiger Zustände, Verarbeitungsbeschränkungen, Verarbeitungsverbote und Löschungsanordnungen, jeweils unter den einschlägigen Voraussetzungen.

Bei den in Art. 83 Abs. 5 DSGVO bezeichneten Verstößen, insbesondere gegen Verarbeitungsgrundsätze oder Betroffenenrechte, gelten Bußgeldobergrenzen von bis zu 20 Millionen Euro oder bei Unternehmen bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Diese Grenzen sind keine Regelbeträge für unerlaubte Werbenachrichten. Für die Entscheidung über eine Geldbuße und ihre Höhe sind insbesondere die Faktoren des Art. 83 Abs. 2 DSGVO maßgeblich. Dazu gehören Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit sowie Maßnahmen zur Schadensminderung. Eine Geldbuße setzt einen schuldhaften, also vorsätzlichen oder fahrlässigen Verstoß voraus.

Datenschutzrechtliche Sanktionen erfordern einen entsprechenden Datenschutzverstoß. Nicht jeder wettbewerbsrechtliche Fehler ist automatisch ein solcher. Daneben können für bestimmte Werbeverstöße besondere wettbewerbsrechtliche Ordnungswidrigkeitentatbestände einschlägig sein; deren Voraussetzungen sind gesondert zu prüfen.

Verfahren und Reaktion auf Beanstandungen

Betroffene Personen können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Gerichtliche Rechtsbehelfe gegen Verantwortliche oder Auftragsverarbeiter sieht insbesondere Art. 79 DSGVO vor. Für private Unternehmen sind in Deutschland grundsätzlich die Datenschutzaufsichtsbehörden der Länder zuständig; besondere Zuständigkeiten und die Regeln für grenzüberschreitende Verarbeitungen bleiben zu berücksichtigen.

Geht eine Abmahnung oder behördliche Anfrage ein, sind die beanstandete Verarbeitung, eine erforderliche Unterbrechung der Kampagne und die Sicherung relevanter Nachweise zu prüfen. Dazu gehören Einwilligungstexte, Versandprotokolle, Datenquellen und dokumentierte Widersprüche. Eine Nachweissicherung muss ihrerseits auf erforderliche Daten und angemessene Aufbewahrungszeiträume begrenzt bleiben.

Für Unterlassungsverfahren und einstweiligen Rechtsschutz können kurze Reaktionszeiträume praktisch entscheidend sein. Eine universelle gesetzliche Antwortfrist für sämtliche Werbeabmahnungen existiert jedoch nicht. Behördlich oder gerichtlich gesetzte Fristen sind von privaten Fristsetzungen und von den Antwortfristen der DSGVO zu unterscheiden.

7. Praktische Handlungsschritte für Unternehmen

Datenbestände und Kontaktkanäle systematisch erfassen

Ausgangspunkt ist eine Bestandsaufnahme: Welche Daten werden woher bezogen, welche Personen betreffen sie, wer erhält Zugriff und für welche Zwecke und Kanäle werden sie genutzt? Erst danach lässt sich eine belastbare Rechtsgrundlagenprüfung durchführen.

Im Vertriebssystem sollten Datenherkunft, Verarbeitungszweck, Rechtsgrundlage, Einwilligungsumfang und Widerspruchsstatus voneinander unterscheidbar sein. Die Kennzeichnung „geschäftlicher Kontakt“ sagt weder etwas über eine Einwilligung noch über die Voraussetzungen der Bestandskundenausnahme aus.

Bei einer Verarbeitung auf Grundlage berechtigter Interessen sollte eine nachvollziehbar dokumentierte Abwägung vorliegen. Dies unterstützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Eine bestimmte Formularform ist hierfür nicht allgemein vorgeschrieben. Entscheidend ist, dass die dokumentierten Erwägungen zum tatsächlichen Verfahren passen und erforderlichenfalls überprüft werden.

Standardisierte Vorlagen können helfen, ersetzen aber keine Bewertung von Datenquelle, Betroffenenkreis, Verarbeitungsumfang und Kommunikationskanal. Ändert sich der Zweck oder werden zusätzliche Datenquellen verknüpft, kann eine erneute rechtliche Prüfung notwendig werden.

Einwilligungen nachweisbar gestalten

Einwilligungserklärungen sollten Verantwortlichen, Werbeinhalte und vorgesehene Kanäle hinreichend klar bezeichnen. Die betroffene Person muss erkennen können, worin sie einwilligt. Datenschutzrechtliche und wettbewerbsrechtliche Anforderungen können in einem abgestimmten Verfahren erfüllt werden, bleiben aber jeweils zu prüfen.

Bei elektronischen Anmeldungen kann ein Double-Opt-in-Verfahren die Nachweisbarkeit verbessern. Dabei wird die Anmeldung über eine zusätzliche Bestätigung abgesichert. Das Verfahren ist keine umfassende Rechtmäßigkeitsgarantie: Ein unbestimmter Einwilligungstext wird durch einen Bestätigungsklick nicht hinreichend bestimmt.

Zu dokumentieren sind insbesondere der maßgebliche Erklärungstext und die relevanten Anmelde- und Bestätigungsvorgänge. Zusätzliche technische Daten dürfen nicht unbegrenzt allein mit einem allgemeinen Nachweisinteresse gespeichert werden. Umfang und Aufbewahrung müssen erforderlich und begründet sein.

Bestätigungsnachrichten sollten auf die Überprüfung der Anmeldung beschränkt bleiben und keine zusätzlichen Werbeinhalte enthalten. Auch ihre Zulässigkeit hängt vom Zusammenhang und von der tatsächlichen Veranlassung ab. Das Verfahren darf nicht genutzt werden, um beliebige fremde Adressen erstmals werblich anzuschreiben.

Dienstleister und internationale Datenflüsse kontrollieren

Beim Einsatz externer Versand- oder CRM-Dienste sind die datenschutzrechtlichen Rollen zu bestimmen und erforderliche Verträge abzuschließen. Bei Auftragsverarbeitung gilt Art. 28 DSGVO. Der Verantwortliche muss unter anderem geeignete Dienstleister auswählen und die vertraglich sowie gesetzlich vorgesehenen Kontrollmöglichkeiten angemessen nutzen.

Technische und organisatorische Maßnahmen müssen den Anforderungen des Art. 32 DSGVO entsprechen. Das erforderliche Schutzniveau richtet sich nach dem Risiko der Verarbeitung. Praktisch relevant sind abgestufte Zugriffsrechte, angemessene Authentifizierung, kontrollierte Datenexporte und ein geregeltes Berechtigungskonzept.

Werden personenbezogene Daten in Drittländer übermittelt, sind zusätzlich Art. 44 ff. DSGVO zu beachten. Je nach Sachlage kommen insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO in Betracht. Ob weitere Maßnahmen erforderlich sind, hängt vom Übermittlungsmechanismus und den tatsächlichen Bedingungen ab.

Die Standortangabe des Vertragspartners genügt für diese Prüfung nicht. Auch Unterauftragnehmer und Zugriffsmöglichkeiten aus Drittländern können relevant sein. Eine Speicherung auf einem europäischen Server schließt eine Drittlandübermittlung nicht in jeder Konstellation aus.

Sperrung, Löschung und Qualitätskontrolle verbinden

Abmeldungen und Widersprüche müssen die von ihrer Reichweite betroffenen Versandwege und verbundenen Systeme erreichen. Besonders fehleranfällig sind parallele Listen bei Vertrieb, Marketing und Agenturen. Ein abgestimmtes Sperrkonzept verringert das Risiko erneuter Ansprache.

Regelmäßige Prüfungen sollten veraltete Ansprechpartner, überholte Zuständigkeiten und nicht mehr benötigte Datensätze erfassen. Art. 5 Abs. 1 DSGVO verlangt unter anderem Richtigkeit, Datenminimierung und Speicherbegrenzung. Daraus folgt keine Befugnis zu unbegrenzter Datenanreicherung unter dem Vorwand der Aktualisierung.

Eine Abmeldung von Werbung verlangt nicht zwangsläufig die Löschung aller Daten aus einer bestehenden Geschäftsbeziehung. Vertragsunterlagen können anderen Zwecken und gesetzlichen Aufbewahrungspflichten unterliegen. Die Trennung zwischen Werbenutzung, Vertragsabwicklung, Sperrvermerk und zulässiger Nachweisaufbewahrung muss jedoch tatsächlich umgesetzt werden.

Zweckmäßig ist eine Freigabe vor jeder Kampagne: Zielgruppe, Kanal, Rechtsgrundlage, Informationshinweise, Abmeldemöglichkeit und Sperrlistenabgleich werden gemeinsam geprüft. Ein solches Verfahren garantiert keine Fehlerfreiheit, unterstützt aber eine nachvollziehbare und kontrollierbare Umsetzung der gesetzlichen Anforderungen.

8. Offene Streitfragen und technische Entwicklungen

Reichweite von Erwartungen und Einwilligungen

Wie weit geschäftliche Erwartungen eine Verarbeitung nach Art. 6 Abs. 1 Buchst. f DSGVO tragen, bleibt stark einzelfallabhängig. Öffentliche berufliche Sichtbarkeit spricht nicht pauschal für eine Werbeverarbeitung. Entscheidend sind der konkrete Veröffentlichungskontext, die vorgesehene Verwendung und die Auswirkungen auf die betroffene Person.

Ebenso schwierig kann die Auslegung älterer Einwilligungen sein. Eine allgemeine gesetzliche Verfallsfrist für jede Werbeeinwilligung besteht nicht. Zeitablauf, längere Nichtnutzung, veränderte Angebote oder ein anderer Kommunikationszusammenhang können jedoch Zweifel an ihrer fortbestehenden Reichweite begründen.

Eine einmal erteilte Einwilligung darf deshalb nicht als unbegrenzte Erlaubnis für sämtliche künftigen Marketingmaßnahmen behandelt werden. Insbesondere Änderungen des werbenden Unternehmens, der beworbenen Leistungsbereiche oder der Kommunikationskanäle sind rechtlich zu bewerten. Auch die fortbestehende Nachweisbarkeit bleibt erforderlich.

Tracking und Profilbildung

Öffnungs- und Klickmessungen sind von der Zulässigkeit des Nachrichtenversands zu trennen. Personenbezogene Nutzungsprofile benötigen eine eigene datenschutzrechtliche Bewertung. Die Einwilligung in den Empfang eines Newsletters erfasst nicht automatisch eine detaillierte Beobachtung des Nutzungsverhaltens.

Soweit Informationen in einer Endeinrichtung gespeichert oder auf dort bereits gespeicherte Informationen zugegriffen wird, ist zusätzlich § 25 TDDDG zu prüfen. Diese Vorschrift ist nicht auf personenbezogene Informationen beschränkt. Grundsätzlich ist eine Einwilligung erforderlich, sofern keine der Ausnahmen des § 25 Abs. 2 TDDDG greift.

Ob ein bestimmtes Messverfahren unter § 25 TDDDG fällt, hängt von seiner technischen Funktionsweise ab. Die technische Bezeichnung als Zählpixel, Weiterleitungslink oder serverseitige Messung ersetzt diese Prüfung nicht. Ebenso wenig ist die Ausnahme für unbedingt erforderliche Vorgänge schon deshalb erfüllt, weil die Auswertung für den Werbenden wirtschaftlich nützlich ist.

Besonders eingriffsintensiv kann die Verknüpfung von Websitebesuchen, Kommunikationsverhalten und extern bezogenen Profildaten sein. Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist nach Art. 35 DSGVO grundsätzlich vorab eine Datenschutz-Folgenabschätzung durchzuführen. Nicht jedes einfache Vertriebssystem erreicht diese Schwelle; die konkrete Ausgestaltung ist maßgeblich.

Datenschutzkonformität als fortlaufende Aufgabe

Neue Plattformfunktionen, automatisierte Leadbewertung und maschinell erzeugte personalisierte Ansprache ändern die grundlegenden Anforderungen nicht. Sie können jedoch Umfang, Intransparenz und Eingriffsintensität der Verarbeitung erhöhen.

Automatisierung ersetzt insbesondere keine Einwilligung und keinen tragfähigen Kontaktanlass. Unternehmen müssen deshalb auch Selektionsregeln, Datenanreicherungen und technische Empfängerprüfungen in ihre rechtliche Kontrolle einbeziehen. Werden externe Systeme eingesetzt, sind deren Zugriff auf Kontaktdaten und eine mögliche Nutzung für eigene Zwecke gesondert zu prüfen.

Art. 22 DSGVO ist nicht auf jede automatisierte Sortierung von Interessenten anwendbar. Die Vorschrift betrifft unter ihren weiteren Voraussetzungen ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person. Auch unterhalb dieser Schwelle bleiben die allgemeinen Datenschutzgrundsätze und das Werbewiderspruchsrecht maßgeblich.

Zusammenfassung

Datenschutzkonformes B2B-Direktmarketing erfordert eine getrennte, aufeinander abgestimmte Prüfung von Datenschutzrecht und Wettbewerbsrecht. Die Verarbeitung personenbezogener geschäftlicher Kontaktdaten benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Der konkrete Werbekanal muss zusätzlich insbesondere § 7 UWG entsprechen.

Für Werbung mittels elektronischer Post ist grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich. Die Bestandskundenausnahme greift nur bei vollständiger Erfüllung ihrer Voraussetzungen. Telefonwerbung gegenüber sonstigen Marktteilnehmern kann auf mutmaßlicher Einwilligung beruhen, verlangt dafür aber konkrete objektive Anhaltspunkte, die auch die telefonische Ansprache tragen. Öffentliche Kontaktdaten und berufliche Relevanz reichen allein nicht aus.

Tragende Elemente einer rechtmäßigen Organisation sind transparente Informationen, belastbare Nachweise, wirksame Beachtung von Widersprüchen, zweckgebundene Speicherung und kontrollierte Dienstleisterbeziehungen. Tracking und Profilbildung bedürfen zusätzlicher Prüfung. Ein dokumentierter Prüfprozess unterstützt die Einhaltung dieser Anforderungen, ersetzt aber nicht die rechtliche Bewertung der konkreten Kampagne.