DSGVO-konforme B2B-Akquise: Rechtliche Voraussetzungen und Grenzen im deutschen Recht

Die Gewinnung neuer Geschäftskunden setzt häufig voraus, Informationen über Unternehmen und ihre Ansprechpartner zu erheben, zu bewerten und für eine Kontaktaufnahme zu nutzen. Dabei entstehen rechtliche Fragen, die sich nicht auf die Datenschutz-Grundverordnung beschränken: Dürfen öffentlich zugängliche Kontaktdaten in eine Vertriebsdatenbank übernommen werden? Unter welchen Voraussetzungen sind Werbeanrufe gegenüber Unternehmen zulässig? Benötigt eine geschäftliche Werbe-E-Mail eine Einwilligung? Welche Folgen hat ein Widerspruch?

Für eine rechtmäßige B2B-Akquise müssen Unternehmen insbesondere das Datenschutzrecht und das deutsche Wettbewerbsrecht gemeinsam beachten. Eine datenschutzrechtliche Rechtsgrundlage erlaubt nicht automatisch die Ansprache über jeden Kommunikationskanal. Umgekehrt beseitigt eine wettbewerbsrechtlich zulässige Kontaktaufnahme nicht die datenschutzrechtlichen Informations- und Organisationspflichten.

Der Beitrag erläutert die wesentlichen Anforderungen an die Geschäftskundenakquise in Deutschland. Im Mittelpunkt stehen die Verarbeitung personenbezogener Kontaktdaten, die Zulässigkeit unterschiedlicher Werbewege sowie die Anforderungen an Dokumentation, Betroffenenrechte und Vertriebsorganisation. Maßgeblich ist jeweils die konkrete Gestaltung der Akquisemaßnahme. Zwar bestehen bei einzelnen Werbewegen Unterschiede zwischen Verbraucher- und Geschäftskundenkontakten. Eine pauschale Freistellung geschäftlicher Akquise von Datenschutz- oder Wettbewerbsrecht gibt es jedoch nicht.

Begriffsklärung: Wann Geschäftskundenakquise personenbezogen ist

Unternehmen, Beschäftigte und geschäftliche Kontaktdaten

B2B bezeichnet Geschäftsbeziehungen zwischen Unternehmen. Datenschutzrechtlich entscheidend ist jedoch nicht die geschäftliche Zielrichtung, sondern der Personenbezug der verarbeiteten Informationen. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Der Name einer Einkaufsleiterin, ihre persönliche geschäftliche E-Mail-Adresse und eine ihr zugeordnete Durchwahlnummer sind deshalb grundsätzlich personenbezogene Daten. Das gilt auch für Gesprächsnotizen, Zuständigkeitsangaben oder Bewertungen, soweit diese Informationen eine natürliche Person betreffen. Eine ausschließlich auf das Unternehmen bezogene Umsatzprognose wird dagegen nicht schon durch die Speicherung neben einem Ansprechpartner zwingend zu einer personenbezogenen Bewertung. Entscheidend sind Inhalt, Zweck und Zusammenhang der Information.

Informationen über eine juristische Person als solche werden grundsätzlich nicht durch die DSGVO geschützt. Eine allgemeine Adresse wie „info@unternehmen.de“ muss daher nicht personenbezogen sein. Anders kann es insbesondere bei Einzelunternehmen oder bei einer tatsächlichen Zuordnung zu einer bestimmten natürlichen Person liegen.

Für die wettbewerbsrechtliche Zulässigkeit einer Werbe-E-Mail ist diese Unterscheidung nicht ausschlaggebend. § 7 UWG schützt auch Empfänger, deren verwendete Kontaktadresse keinen Personenbezug im Sinne der DSGVO aufweist.

Werbung ist weiter als ein konkretes Verkaufsangebot

Der rechtliche Werbebegriff erfasst nicht nur unmittelbar auf einen Vertragsschluss gerichtete Angebote. Auch Maßnahmen zur mittelbaren Absatzförderung können Werbung sein. Dazu gehören je nach Inhalt und Zusammenhang Einladungen zu Produktveranstaltungen, vertrieblich motivierte Kontaktanfragen, Unternehmensnewsletter und Kundenzufriedenheitsbefragungen.

Die Bezeichnung einer Nachricht als „fachlicher Austausch“ oder „unverbindliche Vernetzung“ entscheidet deshalb nicht über ihre rechtliche Einordnung. Maßgeblich sind Inhalt, Zweck und Kontext. Dient eine Nachricht der Anbahnung einer späteren Geschäftsbeziehung und damit der Förderung des Absatzes eigener Leistungen, kann bereits diese erste Kontaktaufnahme Werbecharakter haben. Nicht jede berufliche Kommunikation ist allerdings allein wegen ihres geschäftlichen Umfelds Werbung.

Reine Vertragskommunikation ist davon abzugrenzen. Eine notwendige Rückfrage zu einer Bestellung oder die Übermittlung einer angeforderten Rechnung ist für sich genommen regelmäßig keine Werbung. Werden zusätzliche Verkaufsangebote oder andere absatzfördernde Inhalte beigefügt, sind diese Bestandteile gesondert zu beurteilen. Der notwendige Anlass der Nachricht rechtfertigt nicht automatisch den werblichen Zusatz.

Rechtlicher Rahmen: Datenschutz und Wettbewerbsrecht nebeneinander

Die datenschutzrechtliche Rechtsgrundlage

Die Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für die B2B-Akquise kommen insbesondere eine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und berechtigte Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO in Betracht.

Eine Einwilligung muss nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, informiert und unmissverständlich erklärt werden. Art. 7 DSGVO enthält zusätzliche Anforderungen, insbesondere an den Nachweis und den Widerruf. Eine pauschale Zustimmung zu Werbung durch nicht näher bezeichnete „Partnerunternehmen“ kann diese Anforderungen verfehlen. Die betroffene Person muss hinreichend erkennen können, wem sie welche Datenverarbeitung zu welchen Zwecken gestattet.

Das berechtigte Interesse verlangt eine dreistufige Prüfung:

• Es muss ein berechtigtes, tatsächlich verfolgtes Interesse bestehen.
• Die Verarbeitung muss zur Verfolgung dieses Interesses erforderlich sein.
• Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dürfen nicht überwiegen.

Erwägungsgrund 47 DSGVO nennt Direktwerbung als möglichen Anwendungsfall berechtigter Interessen. Daraus folgt keine allgemeine Werbeerlaubnis. Bedeutung haben unter anderem die vernünftigen Erwartungen der betroffenen Person, die Datenquelle, die Eingriffsintensität, der Umfang der Datenverarbeitung und die vorgesehene Ansprache.

Bei der Erforderlichkeit sind auch weniger eingriffsintensive, vergleichbar geeignete Möglichkeiten zu berücksichtigen. Eine umfangreiche Anreicherung beruflicher Kontaktdaten mit privaten Informationen lässt sich daher nicht allein damit begründen, dass detailliertere Profile den Vertrieb erleichtern könnten.

Vertragsanbahnung ist keine allgemeine Akquisegrundlage

Art. 6 Abs. 1 Buchst. b DSGVO erlaubt erforderliche Verarbeitungen zur Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Maßnahmen auf deren Anfrage. Die Vorschrift trägt nicht jede vom werbenden Unternehmen gewünschte Vertragsanbahnung.

Ein unaufgefordert angesprochener Interessent hat nicht allein deshalb vorvertragliche Maßnahmen angefragt, weil das Angebot zu seiner beruflichen Tätigkeit passt. Zudem ist bei Beschäftigten eines Unternehmens zu berücksichtigen, dass Vertragspartner häufig die juristische Person und nicht der kontaktierte Beschäftigte wird. Die Verarbeitung seiner Kontaktdaten lässt sich dann nicht ohne Weiteres auf einen Vertrag mit ihm stützen.

Bei einer konkreten Angebotsanfrage bestehen regelmäßig tragfähige Verarbeitungsmöglichkeiten. Welche Rechtsgrundlage einschlägig ist, hängt jedoch von der Beteiligtenstruktur und dem Kommunikationszweck ab. Bei Ansprechpartnern einer juristischen Person kann insbesondere Art. 6 Abs. 1 Buchst. f DSGVO in Betracht kommen. Bei einer natürlichen Person, die selbst einen Vertrag anfragt, kann Art. 6 Abs. 1 Buchst. b DSGVO einschlägig sein.

Die zusätzliche Schranke des § 7 UWG

§ 7 UWG schützt Marktteilnehmer vor unzumutbaren Belästigungen durch Werbung. Die Vorschrift unterscheidet nach Kommunikationskanal und teilweise danach, ob Verbraucher oder sonstige Marktteilnehmer angesprochen werden.

Für die Praxis sind deshalb zwei Fragen getrennt zu beantworten: Darf das Unternehmen personenbezogene Daten für den vorgesehenen Zweck verarbeiten? Darf es den Adressaten über den gewählten Kanal werblich kontaktieren?

Eine Interessenabwägung nach Art. 6 Abs. 1 Buchst. f DSGVO kann die Anforderungen des § 7 UWG nicht ersetzen. Die wettbewerbsrechtliche Unzulässigkeit einer geplanten Kontaktaufnahme ist zugleich für die datenschutzrechtliche Bewertung relevant. Beide Prüfungen dürfen deshalb weder gleichgesetzt noch vollständig voneinander isoliert werden.

Umgekehrt rechtfertigt eine zulässige Werbeansprache keine unbegrenzte Speicherung, Profilbildung oder Weitergabe. Für zusätzliche Verarbeitungszwecke und weitere Empfänger ist jeweils zu prüfen, ob die vorhandene Rechtsgrundlage diese erfasst.

Kommunikationskanäle: Unterschiedliche Voraussetzungen für die Ansprache

Werbe-E-Mails benötigen grundsätzlich eine vorherige Einwilligung

Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung unter Verwendung elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten grundsätzlich unzulässig. Die Ausnahme des § 7 Abs. 3 UWG bleibt vorbehalten. Das grundsätzliche Einwilligungserfordernis gilt auch im Geschäftsverkehr und bei allgemeinen Unternehmenspostfächern.

Weder die Veröffentlichung einer E-Mail-Adresse im Impressum noch ein vermutetes Interesse an bestimmten Produkten ersetzt die Einwilligung. Ebenso wenig genügt die Annahme, dass ein Angebot wirtschaftlich nützlich sein könnte. Auch die individuelle Formulierung einer Nachricht oder der Verzicht auf einen Massenversand schafft keine allgemeine Ausnahme.

Eine E-Mail, die zunächst nur um Erlaubnis für die Zusendung eines Angebots bittet, kann bereits Werbung sein. Eine erforderliche Einwilligung lässt sich daher nicht verlässlich dadurch beschaffen, dass ungefragt eine werbliche Einwilligungsanfrage versandt wird.

Zum Nachweis elektronisch erteilter Einwilligungen wird häufig das Double-Opt-in-Verfahren eingesetzt. Dabei wird eine Anmeldung durch eine gesonderte Bestätigung über das angegebene Postfach verifiziert. Das Verfahren ist kein gesetzlich vorgeschriebenes Universalmodell und heilt keine inhaltlich unbestimmte Einwilligung. Es kann aber die Beweisbarkeit verbessern.

Auch bei diesem Verfahren bleiben die konkrete Gestaltung und die Nachweiskette entscheidend. Die Bestätigungsnachricht sollte ausschließlich der Verifikation einer tatsächlich veranlassten Anmeldung dienen und keine zusätzlichen werblichen Inhalte enthalten. Daraus folgt jedoch keine pauschale rechtliche Unbedenklichkeit jeder als Bestätigungsnachricht bezeichneten E-Mail.

Die Bestandskundenausnahme ist eng begrenzt

§ 7 Abs. 3 UWG erlaubt unter kumulativen Voraussetzungen Werbung per elektronischer Post ohne gesonderte ausdrückliche Einwilligung. Erforderlich ist, dass ein Unternehmer die elektronische Postadresse des Kunden im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten hat und sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet.

Außerdem darf der Kunde der Verwendung nicht widersprochen haben. Bei Erhebung der Adresse und bei jeder Verwendung muss klar und deutlich darauf hingewiesen werden, dass der Kunde jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Die bloße Bezeichnung als „Bestandskunde“ genügt nicht. Auch darf ein vorhandener Kundenkontakt nicht ohne Weiteres zur Werbung für beliebige Leistungen oder andere Unternehmen genutzt werden. Ob Waren oder Dienstleistungen hinreichend ähnlich sind, richtet sich nach dem konkreten Leistungsangebot und dem Zusammenhang mit dem vorausgegangenen Geschäft.

Eine bloße Anfrage oder ein abgebrochener Bestellvorgang begründet die Ausnahme nicht ohne Weiteres. Bei unentgeltlichen digitalen Angeboten und anderen besonderen Geschäftsmodellen bedarf die Frage, ob ein ausreichender Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung besteht, einer gesonderten rechtlichen Prüfung. Allein aus einem Download folgt jedenfalls keine allgemeine Erlaubnis für nachfolgende Werbemails.

Die wettbewerbsrechtliche Ausnahme ersetzt nicht die datenschutzrechtliche Rechtsgrundlage. Soweit personenbezogene Daten verarbeitet werden, kommt hierfür häufig Art. 6 Abs. 1 Buchst. f DSGVO in Betracht; dessen Voraussetzungen sind eigenständig zu prüfen.

Telefonwerbung gegenüber Unternehmen

Bei Telefonwerbung gegenüber sonstigen Marktteilnehmern genügt nach § 7 Abs. 2 Nr. 1 UWG eine zumindest mutmaßliche Einwilligung. Darin liegt ein wesentlicher Unterschied zu Werbeanrufen gegenüber Verbrauchern, die eine vorherige ausdrückliche Einwilligung voraussetzen.

Ob ein Kontakt geschäftlich oder als Verbraucherkontakt einzuordnen ist, richtet sich nach dem konkreten Zusammenhang. Eine berufliche Stellung oder eine geschäftlich veröffentlichte Telefonnummer schließt nicht aus, dass ein Angebot die Person in ihrer privaten Rolle betrifft.

Die mutmaßliche Einwilligung ist keine allgemeine Erlaubnis zur telefonischen Kaltakquise. Erforderlich sind konkrete Umstände, die vor dem Anruf die Annahme rechtfertigen, der Angerufene werde mit dieser werblichen Kontaktaufnahme einverstanden sein. Eine bloße Branchenzugehörigkeit, eine veröffentlichte Telefonnummer oder die allgemeine Brauchbarkeit des Angebots reichen dafür nicht ohne Weiteres aus.

Entscheidend sind sowohl das Thema als auch die telefonische Kontaktform. Je austauschbarer das Angebot und je schwächer der konkrete Anlass, desto schwieriger lässt sich die mutmaßliche Zustimmung begründen. Ein erkennbarer entgegenstehender Wille steht einer solchen Annahme entgegen. Eine spätere positive Reaktion ersetzt nicht die Prüfung der Voraussetzungen, die bereits beim Anruf vorliegen müssen.

Briefwerbung und Nachrichten in beruflichen Netzwerken

Postalische Werbung unterliegt nicht demselben grundsätzlichen Einwilligungserfordernis wie E-Mail-Werbung. Die Verarbeitung personenbezogener Adressdaten kann auf Art. 6 Abs. 1 Buchst. f DSGVO gestützt werden, wenn Erforderlichkeit und Interessenabwägung dies tragen. § 7 Abs. 1 UWG bleibt zu beachten, insbesondere bei einem erkennbaren entgegenstehenden Willen des Empfängers.

Eine postalische Kontaktaufnahme ist deshalb nicht allein aufgrund des gewählten Mediums rechtmäßig. Datenherkunft, Inhalt, Häufigkeit und bisherige Ablehnungen können für die Bewertung erheblich sein.

Bei Direktnachrichten in beruflichen Netzwerken ist ebenfalls Vorsicht geboten. Abhängig von der technischen Ausgestaltung können solche Nachrichten als elektronische Post im Sinne von § 7 Abs. 2 Nr. 2 UWG einzuordnen sein. Ein berufliches Profil bedeutet keine pauschale Zustimmung zu individuellen Werbebotschaften. Auch die Annahme einer Vernetzungsanfrage ist nicht ohne Weiteres eine ausdrückliche Werbeeinwilligung.

Die konkrete Kommunikationsfunktion, der Nachrichteninhalt und der erkennbare Kontaktanlass müssen gesondert bewertet werden. Nutzungsbedingungen oder technische Möglichkeiten der Plattform ersetzen die gesetzlichen Anforderungen nicht.

Datengewinnung, Transparenz und technische Infrastruktur

Öffentliche Daten und gekaufte Kontaktlisten

Öffentlich zugängliche personenbezogene Daten verlieren durch ihre Veröffentlichung nicht den Schutz der DSGVO. Ihre Zugänglichkeit kann zwar die vernünftigen Erwartungen der betroffenen Person beeinflussen, stellt aber keine generelle Freigabe für Vertriebszwecke dar. Ein Ansprechpartner auf einer Unternehmenswebsite kann für bestimmte fachliche Anliegen vorgesehen sein, ohne damit in breit angelegte Werbekampagnen einzuwilligen.

Bereits das Übernehmen und Speichern solcher Angaben in einer Vertriebsdatenbank ist eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO. Die rechtliche Prüfung darf deshalb nicht erst beim Versand einer Nachricht beginnen.

Beim Erwerb von Kontaktlisten sind insbesondere Herkunft, Erhebungszweck, Datenqualität und Rechtmäßigkeit der Übermittlung zu prüfen. Die Zusicherung eines Händlers, sämtliche Kontakte seien „DSGVO-konform“, ersetzt keine eigene Verantwortlichkeit des Erwerbers.

Soll eine Einwilligung genutzt werden, muss sie die konkrete Verarbeitung durch den werbenden Verantwortlichen hinreichend erfassen. Die betroffene Person muss erkennen können, welche Unternehmen zu welchen Zwecken tätig werden sollen. Ein Vertrag zwischen Adresshändler und Erwerber schafft für sich genommen keine Rechtsgrundlage gegenüber den betroffenen Personen.

Besondere Vorsicht ist geboten, wenn Datensätze Angaben enthalten, aus denen etwa Gesundheitszustand, politische Auffassungen oder religiöse Überzeugungen hervorgehen. Dann können zusätzlich die besonderen Voraussetzungen des Art. 9 DSGVO maßgeblich sein. Für gewöhnliche Geschäftskundenakquise sind solche Angaben regelmäßig nicht erforderlich.

Informationspflichten nach Art. 13 und Art. 14 DSGVO

Werden Daten unmittelbar bei der betroffenen Person erhoben, richtet sich die Information grundsätzlich nach Art. 13 DSGVO. Sie ist grundsätzlich zum Zeitpunkt der Erhebung zu erteilen. Werden Daten aus anderen Quellen übernommen, ist Art. 14 DSGVO maßgeblich.

Zu informieren ist insbesondere über den Verantwortlichen, Verarbeitungszwecke, Rechtsgrundlagen, Empfänger beziehungsweise Empfängerkategorien, Speicherdauer oder deren Kriterien und Betroffenenrechte. Bei einer Verarbeitung auf Grundlage berechtigter Interessen sind auch diese Interessen anzugeben. Bei mittelbarer Erhebung kommen unter anderem die Datenkategorien und die Datenquelle hinzu, einschließlich der Angabe, ob es sich um öffentlich zugängliche Quellen handelt.

Die Information nach Art. 14 Abs. 3 DSGVO muss unter Berücksichtigung der besonderen Umstände innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats nach Erlangung der Daten erfolgen. Werden die Daten zur Kommunikation mit der betroffenen Person verwendet, ist spätestens bei der ersten Mitteilung zu informieren. Ist eine Offenlegung an einen anderen Empfänger beabsichtigt, muss die Information spätestens bei der ersten Offenlegung erfolgen. Ein früher eintretender Informationszeitpunkt darf nicht unter Berufung auf die Monatsfrist hinausgeschoben werden.

Die öffentliche Zugänglichkeit einer Adresse beseitigt diese Pflichten nicht. Ausnahmen nach Art. 14 Abs. 5 DSGVO sind anhand ihrer jeweiligen Voraussetzungen zu prüfen. Ein großer Datenbestand oder wirtschaftlicher Aufwand rechtfertigt nicht automatisch den Verzicht auf Informationen.

Ebenso macht ein Datenschutzhinweis eine ansonsten unzulässige Werbenachricht nicht rechtmäßig. Transparenz und Zulässigkeit der Ansprache sind unterschiedliche Anforderungen.

CRM, Dienstleister und Tracking

Kundenverwaltungssysteme sollten nur solche Daten enthalten, die für festgelegte und rechtmäßige Zwecke erforderlich sind. Art. 5 Abs. 1 DSGVO verlangt unter anderem Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung. Unstrukturierte Notizen über private Umstände oder spekulative persönliche Bewertungen können damit unvereinbar sein.

Eine allgemeine gesetzliche Aufbewahrungsfrist für sämtliche Akquisekontakte gibt es nicht. Unternehmen müssen nachvollziehbare Lösch- und Überprüfungskriterien festlegen. Gesetzliche Aufbewahrungspflichten für bestimmte Geschäftsunterlagen begründen keine pauschale Befugnis, alle darin enthaltenen Kontaktdaten weiterhin werblich zu nutzen.

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, sind die Voraussetzungen des Art. 28 DSGVO zu beachten. Entscheidet er selbst über Zwecke und wesentliche Mittel, kann dagegen eine eigenständige Verantwortlichkeit bestehen. Bei gemeinsamen Entscheidungen kommt Art. 26 DSGVO in Betracht. Vertragsbezeichnungen allein sind für diese Einordnung nicht maßgeblich.

Bei Drittlandübermittlungen gelten zusätzlich die Anforderungen der Art. 44 ff. DSGVO. Dabei sind auch Zugriffs- und Supportkonstellationen zu prüfen. Ein europäischer Serverstandort beantwortet nicht sämtliche Fragen möglicher Datenübermittlungen.

Für Newsletter-Tracking oder andere Speicherungen und Zugriffe auf Informationen in Endgeräten kann außerdem § 25 TDDDG einschlägig sein. Die dortigen Anforderungen gelten nicht ausschließlich für personenbezogene Informationen. Die Ausnahmen vom Einwilligungserfordernis nach § 25 Abs. 2 TDDDG sind gesondert zu prüfen. Die Zulässigkeit einer Werbenachricht erlaubt somit nicht automatisch eine personenbezogene Öffnungs- oder Klickmessung.

Rechtsprechungslinien und aufsichtsbehördliche Orientierung

Weiter Werbebegriff und eigenständige Bedeutung des Kommunikationskanals

Der Bundesgerichtshof hat mit Urteil vom 10. Juli 2018 – VI ZR 225/17 – eine Kundenzufriedenheitsbefragung per E-Mail als Werbung eingeordnet. Dass die E-Mail zugleich eine Rechnung enthielt, beseitigte den Werbecharakter der Befragung nicht.

Für die B2B-Praxis folgt daraus, dass erforderliche Geschäftskommunikation nicht ohne gesonderte Prüfung als Transportmittel für zusätzliche Werbung verwendet werden sollte. Der sachlich zulässige Anlass einer Nachricht legitimiert nicht jeden beigefügten Inhalt.

Bei telefonischer Geschäftskundenwerbung kommt es für eine mutmaßliche Einwilligung auf konkrete tatsächliche Umstände an. Die allgemeine Erwägung, ein Unternehmen könnte die angebotene Leistung benötigen, genügt nicht als belastbare Begründung. Die Prüfung muss vielmehr auch erfassen, weshalb gerade eine telefonische Werbeansprache vom mutmaßlichen Willen des Adressaten gedeckt sein soll.

Die rechtliche Bewertung ist dabei nicht auf eine nachträgliche Beschreibung des Gesprächserfolgs zu stützen. Erforderlich ist eine tragfähige Grundlage im Zeitpunkt der Kontaktaufnahme.

Datenschutzrechtliche Interessenabwägung und Schadensersatz

Der Gerichtshof der Europäischen Union hat mit Urteil vom 4. Oktober 2024 – C-621/22 – bestätigt, dass ein wirtschaftliches Interesse grundsätzlich ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 Buchst. f DSGVO sein kann. Daraus folgt jedoch weder eine automatische Zulässigkeit von Datenübermittlungen noch eine allgemeine Freigabe von Direktwerbung. Erforderlichkeit und Interessenabwägung bleiben eigenständige Voraussetzungen.

Für Schadensersatz nach Art. 82 DSGVO ist zwischen Verstoß und Schaden zu unterscheiden. Nach dem Urteil des Gerichtshofs der Europäischen Union vom 4. Mai 2023 – C-300/21 – genügt ein Datenschutzverstoß allein nicht. Erforderlich sind ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang zwischen Verstoß und Schaden. Für immaterielle Schäden darf allerdings keine zusätzliche Erheblichkeitsschwelle verlangt werden.

Die Datenschutzkonferenz erläutert in ihrer Orientierungshilfe zur Verarbeitung personenbezogener Daten für Zwecke der Direktwerbung die aufsichtsbehördliche Sicht. Solche Veröffentlichungen sind praktisch bedeutsam, aber weder Gesetze noch bindende Gerichtsentscheidungen. Sie sind als Auslegungshilfen einzuordnen und im Zusammenhang mit der jeweils maßgeblichen Gesetzeslage und Rechtsprechung zu lesen.

Typische Fallkonstellationen der B2B-Akquise

Kontakt nach Messe oder Fachveranstaltung

Die Übergabe einer Visitenkarte erlaubt nicht automatisch die Aufnahme in einen dauerhaften Newsletterverteiler. Maßgeblich ist, was die Beteiligten erklärt haben und welche Verwendung erkennbar beabsichtigt war.

Wird ausdrücklich um ein bestimmtes Angebot per E-Mail gebeten, kann dessen Zusendung vom geäußerten Wunsch gedeckt sein. Daraus folgt aber keine sachlich unbegrenzte Zustimmung zu weiteren Werbekampagnen. Auch mehrere spätere Nachrichten sind nicht allein deshalb zulässig, weil ursprünglich ein Messekontakt bestand.

Die Reichweite der Anfrage sollte nachvollziehbar dokumentiert werden. Dabei sind insbesondere der gewünschte Inhalt, das angesprochene Unternehmen und die vereinbarte Kommunikationsform von Bedeutung. Eine gesetzlich vorgeschriebene einheitliche Form für diese Dokumentation besteht nicht; Nachweisprobleme können jedoch zulasten des Werbenden gehen.

Auch beim Scannen von Besucherausweisen müssen Zweck und rechtliche Grundlage geklärt sein. Die technische Verfügbarkeit von Kontaktdaten ersetzt weder eine erforderliche Einwilligung noch transparente Informationen über spätere Nutzungen. Eine beim Veranstalter abgegebene Erklärung muss die Verarbeitung durch den jeweiligen Aussteller tatsächlich erfassen, wenn dieser sich darauf berufen will.

Ansprache eines recherchierten Einkaufsverantwortlichen

Ein Anbieter recherchiert den Namen eines Einkaufsverantwortlichen auf der Unternehmenswebsite und speichert dessen geschäftliche Kontaktdaten. Bereits diese Speicherung benötigt eine datenschutzrechtliche Rechtsgrundlage.

Eine begrenzte, sachbezogene Recherche kann nach Art. 6 Abs. 1 Buchst. f DSGVO zulässig sein. Ob dies zutrifft, hängt unter anderem von Zweck, Datenumfang, Quelle und geplanter Verwendung ab. Die bloße Möglichkeit einer späteren Geschäftsbeziehung rechtfertigt keine beliebige Datensammlung.

Eine unaufgeforderte Werbe-E-Mail ist gleichwohl grundsätzlich nach § 7 Abs. 2 Nr. 2 UWG unzulässig, wenn weder eine vorherige ausdrückliche Einwilligung noch die Ausnahme des § 7 Abs. 3 UWG vorliegt. Für einen Anruf müssten konkrete Umstände eine zumindest mutmaßliche Einwilligung tragen.

Eine postalische Ansprache kann rechtlich anders zu bewerten sein. Dieses Beispiel zeigt, weshalb die Wahl des Kanals bereits Bestandteil der rechtlichen Planung und nicht erst eine operative Vertriebsentscheidung sein sollte.

Empfehlungen und nachgelagerte Vertriebsansprache

Die Mitteilung eines Geschäftspartners, ein bestimmtes Unternehmen könne Bedarf haben, ist nicht mit einer Zustimmung des dortigen Ansprechpartners gleichzusetzen. Eine Empfehlung kann einen sachlichen Anlass liefern, ersetzt aber keine erforderliche Einwilligung des Adressaten.

Eine vom Interessenten selbst veranlasste Vorstellung oder Kontaktanfrage erleichtert die rechtliche Einordnung. Auch dann ist zu klären, welche Kommunikationsform und welcher Inhalt gewünscht wurden. Die Bitte um eine einmalige Kontaktvermittlung erlaubt nicht automatisch die Aufnahme in langfristige Werbeprogramme.

Ähnlich ist der Download eines Fachpapiers zu behandeln. Die Anforderung legitimiert grundsätzlich die gewünschte Bereitstellung, soweit die konkrete Datenverarbeitung dafür erforderlich und rechtlich gedeckt ist. Sie bedeutet aber keine automatische Zustimmung zu nachfolgenden Verkaufsgesprächen oder Serienmails.

Wird zusätzlich eine Werbeeinwilligung eingeholt, müssen Zweck, Umfang und Freiwilligkeit erkennbar sein. Bei einer Verknüpfung der Bereitstellung mit der Einwilligung ist insbesondere Art. 7 Abs. 4 DSGVO zu berücksichtigen. Eine Kopplung ist nicht anhand einer bloßen Bezeichnung als „kostenloses Angebot“, sondern nach ihrer tatsächlichen Ausgestaltung zu beurteilen.

Rechtsfolgen und Risiken unzulässiger Akquise

Unterlassung, Abmahnung und Kosten

Unzulässige Werbung kann Unterlassungsansprüche auslösen. Wettbewerbsrechtliche Ansprüche richten sich insbesondere nach § 8 UWG. Anspruchsberechtigt sind jedoch nur die gesetzlich vorgesehenen Personen und Stellen unter den dort genannten Voraussetzungen. Nicht jeder Werbeempfänger kann allein wegen des Empfangs sämtliche Ansprüche nach dem UWG geltend machen.

Daneben kommen zivilrechtliche Ansprüche in Betracht, etwa wegen eines Eingriffs in das allgemeine Persönlichkeitsrecht oder in den eingerichteten und ausgeübten Gewerbebetrieb. Rechtsgrundlagen können insbesondere § 823 Abs. 1 BGB und § 1004 BGB entsprechend sein. Ob der erforderliche Eingriff und die weiteren Anspruchsvoraussetzungen vorliegen, ist im Einzelfall zu prüfen.

Eine Abmahnung kann auf die Abgabe einer strafbewehrten Unterlassungserklärung gerichtet sein. Ihre Unterzeichnung kann vertragliche Bindungen begründen. Spätere Verstöße gegen die übernommene Verpflichtung können Vertragsstrafen auslösen. Nicht jede verlangte Erklärung ist deshalb ohne Prüfung ihres Umfangs sachgerecht.

Ob Abmahnkosten zu erstatten sind, hängt insbesondere von Anspruchsgrundlage, Berechtigung, formellen Voraussetzungen und gesetzlichen Einschränkungen ab. Pauschale Kostenangaben für jede unerlaubte Werbenachricht wären nicht belastbar.

Aufsichtsrechtliche Maßnahmen und Schadensersatz

Datenschutzaufsichtsbehörden verfügen nach Art. 58 DSGVO über Untersuchungs- und Abhilfebefugnisse. Sie können beispielsweise Informationen verlangen, Verwarnungen aussprechen oder Verarbeitungen beschränken beziehungsweise untersagen.

Für die in Art. 83 Abs. 5 DSGVO erfassten Verstöße sieht die Verordnung Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Nicht jeder Datenschutzverstoß fällt unter diese Vorschrift; Art. 83 Abs. 4 DSGVO enthält für andere Verstöße einen abweichenden Bußgeldrahmen.

Die gesetzlichen Höchstgrenzen sagen nichts darüber aus, ob im konkreten Fall eine Geldbuße verhängt wird und wie hoch sie ausfällt. Maßgeblich sind insbesondere die Kriterien des Art. 83 Abs. 2 DSGVO, darunter Art, Schwere und Dauer des Verstoßes sowie Verschulden und getroffene Abhilfemaßnahmen.

Hinzu können Schadensersatzansprüche nach Art. 82 DSGVO treten. Nicht jede unerwünschte Nachricht führt automatisch zu einem Zahlungsanspruch. Ein tatsächlich entstandener immaterieller Schaden darf andererseits nicht allein deshalb unberücksichtigt bleiben, weil er als geringfügig eingeordnet wird.

Verfahren und Fristen im Umgang mit Betroffenen

Werbewiderspruch und Widerruf

Nach Art. 21 Abs. 2 DSGVO können betroffene Personen der Verarbeitung ihrer personenbezogenen Daten für Direktwerbung jederzeit widersprechen. Das umfasst auch Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Nach Art. 21 Abs. 3 DSGVO dürfen die Daten anschließend nicht mehr für diese Zwecke verarbeitet werden. Eine erneute Interessenabwägung zugunsten der Fortsetzung der Direktwerbung findet nicht statt.

Auf das Widerspruchsrecht ist nach Art. 21 Abs. 4 DSGVO spätestens bei der ersten Kommunikation ausdrücklich hinzuweisen. Dieser Hinweis muss verständlich und von anderen Informationen getrennt erfolgen.

Beruht die Verarbeitung auf einer Einwilligung, kann diese nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der zuvor auf dieser Grundlage erfolgten Verarbeitung nicht. Er muss so einfach möglich sein wie die Erteilung der Einwilligung.

Werbesperren müssen innerhalb der verantworteten Abläufe auch angeschlossene Dienstleister und automatisierte Kampagnen erfassen. Ein Widerspruch darf nicht erst bei einem späteren Routineabgleich umgesetzt werden, wenn dadurch inzwischen weitere Direktwerbung erfolgt. Sein sachlicher Umfang ist zu beachten; unklare Erklärungen dürfen nicht ohne Weiteres möglichst eng zulasten der betroffenen Person ausgelegt werden.

Auskunft, Löschung und behördliche Beschwerden

Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche Informationen über die auf einen Antrag nach Art. 15 bis 22 DSGVO ergriffenen Maßnahmen unverzüglich, spätestens innerhalb eines Monats nach Eingang bereitstellen. Die Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist. Über die Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu informieren.

Wird der Verantwortliche auf einen Antrag nicht tätig, gelten die Informationspflichten des Art. 12 Abs. 4 DSGVO. Eine unbegründete Nichtbearbeitung ist daher keine zulässige Alternative zur Antwort.

Die Antwortfrist erlaubt nicht, Werbung nach einem Widerspruch noch einen Monat fortzusetzen. Auch eine erforderliche Löschung ist nach Art. 17 DSGVO grundsätzlich unverzüglich vorzunehmen. Die dort geregelten Ausnahmen, etwa für bestimmte rechtliche Verpflichtungen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, sind gesondert zu prüfen.

Eine auf notwendige Angaben beschränkte Sperrdatei kann dazu dienen, erneute Werbung nach einem späteren Datenimport zu verhindern. Für diese zweckgebundene Speicherung sind Rechtsgrundlage, Erforderlichkeit und Dauer eigenständig zu begründen. Sie darf nicht zur verdeckten Fortführung des Vertriebsprofils genutzt werden.

Betroffene können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für private Unternehmen sind in Deutschland häufig Landesaufsichtsbehörden zuständig; gesetzliche Sonderzuständigkeiten bleiben möglich. Beschwerden, zivilrechtliche Ansprüche und Reaktionen auf Abmahnungen sind jeweils eigenständig zu behandeln.

Praktische Handlungsschritte für eine rechtmäßige Vertriebsorganisation

Kampagnen vor dem Start strukturieren

Eine belastbare Prüfung beginnt vor der Datenerhebung. Zunächst sollten Zielgruppe, Datenquellen, Kommunikationskanäle und konkrete Werbezwecke festgelegt werden. Erst danach lässt sich beurteilen, welche Daten erforderlich sind und welche rechtlichen Voraussetzungen erfüllt werden müssen.

Für jede Kampagne sollten insbesondere folgende Punkte nachvollziehbar festgehalten werden:

• Herkunft, Umfang und Aktualität der Kontaktdaten;
• datenschutzrechtliche Rechtsgrundlage;
• wettbewerbsrechtliche Zulässigkeit des jeweiligen Kanals;
• Inhalt und Nachweis erforderlicher Einwilligungen;
• Erfüllung der Informationspflichten;
• Widerspruchs- und Widerrufsmöglichkeiten;
• Lösch- und Überprüfungskriterien;
• Zuständigkeiten und eingesetzte Dienstleister.

Bei berechtigten Interessen muss die Abwägung die tatsächliche Verarbeitung abbilden. Ein allgemeiner Satz, Vertrieb liege im Unternehmensinteresse, ersetzt keine Prüfung von Erforderlichkeit, vernünftigen Erwartungen und entgegenstehenden Rechten.

Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Eine Dokumentation sollte deshalb nicht nur ein Ergebnis nennen, sondern die wesentlichen tatsächlichen Annahmen und Schutzmaßnahmen erkennen lassen. Ändern sich Datenquellen, Zielgruppen oder Verarbeitungszwecke, kann eine erneute Bewertung erforderlich werden.

Technische und organisatorische Kontrollen

Einwilligungen sollten mit Zeitpunkt, Erklärungsinhalt, Erhebungsweg und erfasstem Kommunikationskanal nachweisbar sein. Änderungen an Formularen und Einwilligungstexten müssen so nachvollziehbar bleiben, dass die tatsächlich abgegebene Erklärung zugeordnet werden kann. Die Speicherung lediglich eines Kennzeichens „Einwilligung vorhanden“ genügt dafür häufig nicht.

Für eine mutmaßliche Einwilligung bei B2B-Anrufen sollten die konkreten tatsächlichen Anhaltspunkte festgehalten werden. Eine interne Dokumentation macht einen objektiv unzulässigen Anruf allerdings nicht rechtmäßig.

§ 7a UWG enthält besondere Dokumentationspflichten für ausdrückliche Einwilligungen in Telefonwerbung gegenüber Verbrauchern. Diese Vorschrift darf nicht undifferenziert auf sämtliche B2B-Kontakte übertragen werden. Unabhängig davon bleiben datenschutzrechtliche Rechenschaftspflichten und zivilrechtliche Beweisrisiken relevant.

Zugriffsrechte, Löschroutinen, Sperrlisten und Dienstleisteranbindungen sollten aufeinander abgestimmt werden. Art. 25 DSGVO betrifft Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen; Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Welche Maßnahmen erforderlich sind, hängt von der jeweiligen Verarbeitung ab.

Ein CRM-System ist nicht allein deshalb rechtskonform, weil es Datenschutzfunktionen anbietet. Entscheidend sind Konfiguration und tatsächliche Nutzung. Beschäftigte benötigen klare Vorgaben zur Datenübernahme, zu Gesprächsnotizen und zur Bearbeitung von Betroffenenanliegen. Stichproben können helfen, Abweichungen von den festgelegten Abläufen zu erkennen.

Offene Streitfragen und verbleibende Bewertungsunsicherheiten

Vernünftige Erwartungen im digitalen Geschäftsverkehr

Die Grenzen berechtigter Interessen bleiben bei öffentlich verfügbaren beruflichen Daten stark kontextabhängig. Eine gezielte Einzelrecherche ist anders zu bewerten als die massenhafte Zusammenführung von Profilen, Kontaktdaten und Verhaltensinformationen. Auch eine Einzelrecherche ist jedoch nicht automatisch zulässig.

Häufig betrifft die Unsicherheit weniger das wirtschaftliche Interesse an Kundengewinnung als die Frage, welche Verarbeitung die betroffene Person vernünftigerweise erwarten konnte. Die öffentliche Sichtbarkeit eines Profils erlaubt keine pauschale Antwort. Umfang, Zwecknähe, Datenquelle und mögliche Folgen der Nutzung sind einzubeziehen.

Auch die bloße Marktüblichkeit einer Vertriebsmethode begründet keine Rechtmäßigkeit. Umgekehrt ist nicht jede neue oder automatisierte Verarbeitung allein wegen ihrer technischen Ausgestaltung unzulässig. Maßgeblich bleiben die gesetzlichen Voraussetzungen und die konkreten Auswirkungen auf betroffene Personen.

Neue Kommunikationsformen und automatisierte Bewertungen

Bei Plattformnachrichten, automatisierten Kontaktsequenzen und KI-gestützten Vertriebsbewertungen sind unterschiedliche rechtliche Fragen zu trennen. Die technische Neuartigkeit beseitigt weder das Einwilligungserfordernis für bestimmte Werbewege noch die datenschutzrechtlichen Grundsätze.

Automatisierte Bewertungen können Profiling im Sinne von Art. 4 Nr. 4 DSGVO darstellen, wenn personenbezogene Daten automatisiert verwendet werden, um persönliche Aspekte zu bewerten. Daraus folgt nicht automatisch, dass Art. 22 DSGVO eingreift. Dafür müssen insbesondere eine ausschließlich automatisierte Entscheidung und eine rechtliche oder ähnlich erhebliche Wirkung gegenüber der betroffenen Person vorliegen.

Eine einfache Priorisierung geschäftlicher Kontakte erfüllt diese Voraussetzungen nicht zwangsläufig. Entscheidend sind die tatsächliche Funktion der Bewertung und ihre Folgen. Auch unterhalb der Schwelle des Art. 22 DSGVO bleiben Rechtsgrundlage, Transparenz, Datenrichtigkeit und gegebenenfalls Interessenabwägung erforderlich.

Führt eine Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein. Eine gewöhnliche Kontaktverwaltung löst diese Pflicht nicht allein wegen ihres Vertriebszwecks aus. Umfangreiches Profiling, sensible Daten oder besonders eingriffsintensive Datenverknüpfungen können eine andere Bewertung verlangen.

Zusammenfassung

DSGVO-konforme B2B-Akquise verlangt eine abgestimmte Prüfung von Datenschutz- und Wettbewerbsrecht. Geschäftliche Kontaktdaten können personenbezogen sein. Ihre öffentliche Verfügbarkeit ersetzt weder eine datenschutzrechtliche Rechtsgrundlage noch eine erforderliche Werbeeinwilligung.

Für E-Mail-Werbung gilt auch zwischen Unternehmen grundsätzlich das Erfordernis einer vorherigen ausdrücklichen Einwilligung. Die Ausnahme des § 7 Abs. 3 UWG setzt die vollständige Erfüllung ihrer gesetzlichen Voraussetzungen voraus. Telefonwerbung gegenüber sonstigen Marktteilnehmern kann auf einer mutmaßlichen Einwilligung beruhen, benötigt dafür aber konkrete tatsächliche Anhaltspunkte. Postalische Werbung unterliegt anderen Anforderungen, bleibt jedoch an Datenschutzrecht und erkennbare Ablehnungen gebunden.

Rechtmäßigkeit erschöpft sich nicht in der ersten Kontaktaufnahme. Erforderlich sind transparente Informationen, nachvollziehbare Datenquellen, zutreffend eingeordnete Dienstleisterbeziehungen, begründete Speicherfristen und wirksame Verfahren für Widersprüche und Widerrufe.

Eine dokumentierte, zweck- und kanalbezogene Prüfung bietet deshalb eine tragfähigere Grundlage als pauschale Aussagen über angeblich erlaubte Geschäftskundenwerbung. Wo die rechtliche Bewertung von technischen Einzelheiten oder besonderen Geschäftskonstellationen abhängt, lässt sich eine allgemeine Freigabe nicht seriös erteilen.