Ein weit verbreiteter Irrtum lautet, im B2B-Geschäft spiele Datenschutz kaum eine Rolle, weil man ja „nur mit Unternehmen“ kommuniziere. Das Gegenteil ist der Fall. Die DSGVO schützt natürliche Personen, nicht Unternehmen. In dem Moment, in dem Sie den Namen, die geschäftliche E-Mail-Adresse, die Durchwahl oder das LinkedIn-Profil eines konkreten Ansprechpartners verarbeiten, arbeiten Sie mit personenbezogenen Daten – auch wenn dieser Mensch für die Sie interessierende Firma tätig ist. Genau diese Ansprechpartnerdaten sind der Rohstoff des B2B-Vertriebs, und genau deshalb ist die DSGVO für jeden Vertrieb relevant, der nicht ausschließlich mit anonymen Firmenschildern arbeitet.
Der wirtschaftliche Gedanke dahinter ist wichtig: Datenschutz ist kein Selbstzweck und auch kein Feind des Vertriebs. Er ist die Grundlage von Vertrauen. Ein Interessent, der erlebt, dass ein Anbieter sorgsam mit seinen Daten umgeht, transparent informiert und Wünsche respektiert, entwickelt eher eine Geschäftsbeziehung als jemand, der sich überrumpelt oder ausgespäht fühlt. Im DACH-Raum, wo Datenschutzbewusstsein traditionell hoch ist, kann ein sauberer Umgang mit Daten sogar zum Verkaufsargument werden – während ein Verstoß nicht nur Bußgelder, sondern auch handfeste Reputationsschäden nach sich zieht.
Personenbezogene Daten sind nach der DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im Vertriebsalltag ist das erstaunlich viel: der Name des Einkaufsleiters, seine geschäftliche E-Mail-Adresse nach dem Muster vorname.nachname@firma.de, seine Telefondurchwahl, seine Funktion, sein LinkedIn- oder Xing-Profil, aber auch Notizen im CRM über ein Gespräch, die IP-Adresse eines Website-Besuchers oder die Information, welche E-Mail ein Kontakt geöffnet hat. All das lässt sich einer Person zuordnen und fällt damit unter die Verordnung.
Eine feine, aber praktisch bedeutsame Unterscheidung betrifft rein funktionsbezogene Kontaktdaten. Eine allgemeine Firmenadresse wie info@firma.de oder kontakt@firma.de bezieht sich zunächst nicht auf eine bestimmte Person und ist datenschutzrechtlich weniger heikel als eine personalisierte Adresse. Sobald jedoch ein konkreter Mensch hinter der Adresse steht oder Sie diesen Menschen ansprechen, greift der volle Schutz. Für den Vertrieb heißt das: Behandeln Sie im Zweifel jede Ansprechpartnerinformation als personenbezogenes Datum. Diese Grundhaltung erspart im Nachhinein viele schwierige Abgrenzungsfragen.
Die DSGVO gilt unmittelbar in allen Mitgliedstaaten der EU und des EWR. Entscheidend ist aber das sogenannte Marktortprinzip: Die Verordnung greift nicht nur, wenn ein Unternehmen in der EU niedergelassen ist, sondern auch, wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet. Ein US-amerikanischer Anbieter, der deutsche Interessenten anspricht, unterliegt damit ebenso der DSGVO wie ein Betrieb aus Löhne oder Linz. Für den B2B-Vertrieb im DACH-Raum bedeutet das: Es gibt kein Ausweichen auf einen vermeintlich unregulierten Raum, sobald Ihre Zielgruppe in Europa sitzt.
Ergänzt wird die DSGVO in Deutschland durch das Bundesdatenschutzgesetz und – für die Frage der werblichen Ansprache besonders wichtig – durch das Gesetz gegen den unlauteren Wettbewerb, das UWG. Diese Verzahnung wird im Vertrieb häufig übersehen: Ob eine Kaltakquise-E-Mail zulässig ist, entscheidet sich nicht allein an der DSGVO, sondern maßgeblich am Wettbewerbsrecht. Wer nur auf den Datenschutz schaut, übersieht die halbe Regelungslandschaft. Wir vertiefen das im Kapitel zur Kaltakquise, halten aber schon hier fest: Vertriebsrechtliche Compliance ist immer ein Zusammenspiel mehrerer Gesetze.
Zwei Rollen prägen die DSGVO und tauchen im Vertriebskontext ständig auf. Der Verantwortliche ist derjenige, der über Zwecke und Mittel der Datenverarbeitung entscheidet – im Regelfall Ihr Unternehmen, das entscheidet, welche Leads es anspricht und in welchem CRM es sie speichert. Der Auftragsverarbeiter verarbeitet Daten in Ihrem Auftrag und nach Ihrer Weisung – etwa der Anbieter Ihres CRM, Ihres E-Mail-Tools oder Ihrer Datenanreicherungs-Software. Diese Unterscheidung ist keine Formalie: Sie bestimmt, wer welche Pflichten trägt und wer im Ernstfall haftet.
Für die Praxis folgt daraus eine klare Botschaft: Die datenschutzrechtliche Verantwortung für Ihren Vertrieb lässt sich nicht an einen Tool-Anbieter delegieren. Auch wenn Sie ein fremdes CRM oder einen Datenprovider nutzen, bleiben Sie der Verantwortliche gegenüber Ihren Interessenten und der Aufsichtsbehörde. Der Dienstleister trägt seinen Teil, aber die Auswahl geeigneter Werkzeuge, der Abschluss der nötigen Verträge und die Rechtmäßigkeit der Ansprache liegen bei Ihnen. Diese Einsicht ist unbequem, aber sie ist der Ausgangspunkt jeder tragfähigen Vertriebs-Compliance.
Für viele Vertriebsvorgänge ist das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO die praktisch wichtigste Rechtsgrundlage. Sie erlaubt eine Verarbeitung, wenn diese zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Der Gesetzgeber erkennt Direktwerbung ausdrücklich als möglichen Fall eines berechtigten Interesses an. Damit ist die Ansprache eines geschäftlichen Kontakts im B2B grundsätzlich nicht per se verboten – aber sie steht unter dem Vorbehalt einer Abwägung.
Diese Interessenabwägung ist der entscheidende und zugleich am häufigsten unterschätzte Schritt. Sie verlangt, das eigene wirtschaftliche Interesse an der Ansprache gegen die schutzwürdigen Belange des Kontakts abzuwägen. Dabei spielt eine Rolle, ob die Person mit der Ansprache vernünftigerweise rechnen musste, ob ein sachlicher Bezug zwischen Ihrem Angebot und ihrer beruflichen Funktion besteht und wie eingriffsintensiv die Verarbeitung ist. Eine an die berufliche Rolle anknüpfende, thematisch passende Ansprache eines Entscheiders fällt anders aus als das massenhafte Anschreiben beliebiger Privatpersonen. Wir empfehlen dringend, diese Abwägung nicht nur im Kopf, sondern dokumentiert vorzunehmen – sie ist im Zweifel Ihr wichtigster Nachweis.
Die zweite zentrale Rechtsgrundlage ist die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Sie ist die sauberste, aber auch anspruchsvollste Grundlage: Eine wirksame Einwilligung muss freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich erteilt werden. Vorangekreuzte Kästchen oder in AGB versteckte Zustimmungen genügen nicht. Und ganz wesentlich: Eine Einwilligung ist jederzeit widerrufbar, und der Widerruf muss so einfach sein wie die Erteilung. Wer sich auf Einwilligung stützt, muss deren Vorliegen zudem nachweisen können.
Im Vertrieb ist die Einwilligung vor allem dort unverzichtbar, wo das Gesetz sie zwingend verlangt – insbesondere bei der werblichen Ansprache per E-Mail und Telefon, die maßgeblich durch das UWG geregelt wird. Hier reicht ein berechtigtes Interesse in aller Regel nicht aus. Das führt zu einer wichtigen Klarstellung, die im Vertrieb oft für Verwirrung sorgt: Datenschutzrecht und Wettbewerbsrecht sind zwei getrennte Prüfebenen. Selbst wenn die reine Speicherung eines Kontakts über ein berechtigtes Interesse gedeckt ist, kann die aktive werbliche Kontaktaufnahme über denselben Kanal nach dem UWG eine Einwilligung erfordern. Beide Ebenen müssen erfüllt sein.
Über die Wahl der Rechtsgrundlage hinaus prägen drei Grundsätze jede Verarbeitung. Der Grundsatz der Zweckbindung verlangt, dass Daten nur für den festgelegten, eindeutigen Zweck verarbeitet werden, für den sie erhoben wurden. Wer Kontaktdaten für eine konkrete Anfrage erhält, darf sie nicht ohne Weiteres für beliebige andere Kampagnen weiterverwenden. Der Grundsatz der Datenminimierung fordert, nur die Daten zu erheben, die für den Zweck tatsächlich erforderlich sind – nicht alles, was technisch möglich oder bequem wäre.
Der dritte Grundsatz ist die Speicherbegrenzung: Daten dürfen nicht länger aufbewahrt werden, als es der Zweck erfordert. Für den Vertrieb bedeutet dieses Trio, dass ein CRM kein Endlager sein darf, in dem jeder je gescannte Visitenkartenkontakt bis in alle Ewigkeit schlummert. Vielmehr braucht es klare Regeln, welche Daten zu welchem Zweck erhoben, wie lange sie genutzt und wann sie gelöscht werden. Diese Grundsätze wirken abstrakt, haben aber sehr konkrete Folgen für die Gestaltung von Formularen, CRM-Feldern und Löschroutinen, auf die wir in den folgenden Kapiteln zurückkommen.
Die werbliche Ansprache per E-Mail ist der am strengsten regulierte Kanal. Nach § 7 UWG gilt E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung des Empfängers grundsätzlich als unzumutbare Belästigung – und dieser Grundsatz gilt im B2B ebenso wie gegenüber Verbrauchern. Die verbreitete Annahme, man dürfe Geschäftskontakte einfach kalt anschreiben, weil es sich ja um Business handele, ist in dieser Pauschalität falsch und ein häufiger, teurer Irrtum. Eine kalte Werbe-E-Mail an einen Empfänger, der nie eingewilligt hat, ist im Regelfall unzulässig.
Es gibt eine eng umrissene Ausnahme für Bestandskunden, wenn man im Rahmen einer bestehenden Geschäftsbeziehung für eigene, ähnliche Produkte wirbt, der Kunde bei der Erhebung nicht widersprochen hat und in jeder Nachricht auf das Widerspruchsrecht hingewiesen wird. Diese Ausnahme ist jedoch schmal und für die klassische Neukunden-Kaltakquise gerade nicht einschlägig. Für Vertriebsteams heißt das praktisch: Der Weg zu rechtssicherer E-Mail-Ansprache führt über die Erzeugung von Einwilligungen – etwa durch attraktive Inhalte, für die sich Interessenten mit ihrer Zustimmung registrieren –, nicht über den Kauf von Adressen und das kalte Anschreiben. Wer dennoch kalt mailt, sollte sich der rechtlichen Risiken bewusst sein.
Bei der telefonischen Kaltakquise unterscheidet das UWG deutlich zwischen Verbrauchern und Unternehmen. Gegenüber Verbrauchern ist der Werbeanruf ohne vorherige ausdrückliche Einwilligung praktisch tabu. Im B2B-Verhältnis ist der Maßstab etwas milder: Hier genügt eine mutmaßliche Einwilligung des Angerufenen. Das bedeutet aber nicht, dass jeder Firmenanruf erlaubt wäre. Es muss aufgrund konkreter Umstände ein sachliches Interesse des angerufenen Unternehmens an genau diesem Anruf zu vermuten sein.
In der Praxis heißt das: Der Anruf muss thematisch zum Geschäft des Angerufenen passen, und es muss plausibel sein, dass Ihr Angebot für dessen betriebliche Tätigkeit relevant ist. Ein Anruf bei einem Logistikunternehmen zu einer Speditionssoftware kann diese Vermutung tragen; ein wahlloser Anruf zu einem völlig fremden Thema in der Regel nicht. Wichtig ist auch, dass diese Erleichterung nur die wettbewerbsrechtliche Zulässigkeit des Anrufs betrifft. Die datenschutzrechtliche Ebene – woher haben Sie die Nummer, auf welcher Grundlage speichern Sie den Kontakt, wie informieren Sie transparent – bleibt davon unberührt und muss zusätzlich erfüllt sein.
Die Ansprache über berufliche Netzwerke wie LinkedIn gilt vielen als eleganter Ausweg aus den strengen Regeln für E-Mail und Telefon. Das ist nur teilweise richtig. Eine reine Vernetzungsanfrage oder ein echtes, individuelles Gespräch über die Plattform bewegt sich in einem anderen Rahmen als eine automatisierte Massen-Nachricht mit klarem Werbecharakter. Sobald jedoch die Nachricht überwiegend werblich ist und in großer Zahl automatisiert versendet wird, nähert sie sich funktional der E-Mail-Werbung an – mit entsprechenden rechtlichen Fragezeichen, die im Detail umstritten und noch nicht abschließend geklärt sind.
Aus INAGRO-Sicht ist LinkedIn kein rechtsfreier Raum, sondern verlangt dieselbe Grundhaltung wie jeder andere Kanal: individuell statt massenhaft, relevant statt wahllos, transparent statt getarnt. Wer die Plattform für echtes Beziehungsmanagement und thematisch passende Erstkontakte nutzt, bewegt sich auf deutlich sichererem Terrain als jemand, der Automatisierungswerkzeuge einsetzt, um Hunderte identische Verkaufsnachrichten zu streuen. Hinzu kommt, dass ein solches Vorgehen häufig gegen die Nutzungsbedingungen der Plattform selbst verstößt und den eigenen Account gefährdet – ein Risiko, das neben der rechtlichen Dimension oft übersehen wird.
Die datenschutzrechtlich unproblematischste Form der Leadgenerierung ist die eigene, einwilligungsbasierte Gewinnung über die Website. Wer wertvolle Inhalte anbietet – ein Whitepaper, ein Webinar, einen Newsletter – und dafür im Gegenzug eine freiwillige, informierte Zustimmung einholt, schafft eine belastbare Grundlage für die weitere Ansprache. Der Interessent kennt den Anbieter, hat aktiv gehandelt und rechnet mit einer Kontaktaufnahme. Genau diese Erwartungshaltung ist der Kern einer sauberen Rechtsgrundlage. Für die E-Mail-Kommunikation ist das Double-Opt-In-Verfahren, bei dem die Anmeldung über eine Bestätigungsmail verifiziert wird, der bewährte Standard und liefert zugleich den nötigen Nachweis.
Wichtig ist bei aller Inbound-Freundlichkeit die Sauberkeit der Formulare. Es dürfen nur die Daten abgefragt werden, die für den Zweck erforderlich sind – der Grundsatz der Datenminimierung aus Kapitel 02 wirkt hier ganz konkret. Ein Whitepaper-Download, der zwölf Pflichtfelder inklusive Umsatz und Mitarbeiterzahl verlangt, überschreitet diese Grenze und schreckt zudem ab. Ebenso muss klar und transparent sein, wofür die Zustimmung gilt: Wer für einen Newsletter einwilligt, hat damit nicht automatisch der telefonischen Vertriebsansprache zugestimmt. Die Zweckbindung setzt der späteren Verwendung enge Grenzen, die schon bei der Gestaltung des Formulars mitgedacht werden müssen.
Der Zukauf von Adressbeständen oder Lead-Listen ist im B2B verbreitet und zugleich rechtlich heikel. Das Grundproblem: Sie werden zum Verantwortlichen für Daten, deren Herkunft und Rechtsgrundlage Sie oft nicht überblicken. Damit stellen sich mehrere Fragen zugleich. Auf welcher Grundlage wurden die Daten ursprünglich erhoben? Deckt diese Grundlage die Weitergabe an Dritte und die von Ihnen beabsichtigte Nutzung überhaupt ab? Und wie erfüllen Sie Ihre Informationspflicht gegenüber Personen, deren Daten Sie nicht selbst erhoben haben? Nach Artikel 14 DSGVO müssen Sie betroffene Personen grundsätzlich über die Verarbeitung informieren, wenn Sie ihre Daten nicht direkt bei ihnen erhoben haben.
In der Praxis bedeutet das: Ein gekaufter Datensatz ist nur so viel wert wie die Rechtsgrundlage, die ihn trägt – und die kalte werbliche Ansprache über E-Mail bleibt auch bei zugekauften Adressen an den strengen Regeln des UWG hängen. Wer Daten zukauft, sollte sich vom Anbieter die Herkunft und die Rechtsgrundlage nachvollziehbar bestätigen lassen, die zulässige Nutzung vertraglich klären und die eigene Informationspflicht organisieren. Aus INAGRO-Sicht ist der reine Adresskauf für die kalte Ansprache selten der Königsweg – die Kombination aus rechtlicher Unsicherheit, oft mäßiger Datenqualität und schwacher Resonanz macht sauber generierte Inbound-Leads meist zur nachhaltigeren Investition.
Eine eigene Kategorie bilden spezialisierte B2B-Datenanbieter und Anreicherungsdienste, die Firmen- und Kontaktinformationen aus verschiedenen Quellen zusammenführen. Werkzeuge dieser Art können Vertriebsdaten ergänzen, etwa um Funktion, Unternehmensgröße oder Kontaktdaten. Auch hier bleiben Sie als Nutzer der Verantwortliche für die Verarbeitung in Ihrem Unternehmen. Zentrale Prüfpunkte sind die Herkunft der Daten beim Anbieter, dessen eigene Rechtsgrundlage, der Serverstandort und die Frage, ob Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag benötigen oder ob dieser als eigener Verantwortlicher agiert.
Besonders sensibel ist das automatisierte Auslesen von Daten aus öffentlichen Quellen und Profilen – das sogenannte Web-Scraping. Dass eine Information öffentlich zugänglich ist, etwa in einem beruflichen Netzwerk, bedeutet keineswegs, dass sie frei für jeden Zweck verarbeitet werden darf. Die betroffene Person hat ihre Daten in einem bestimmten Kontext und zu einem bestimmten Zweck veröffentlicht, nicht als Freibrief für Massen-Akquise. Das systematische Abgreifen und werbliche Weiterverarbeiten solcher Daten bewegt sich in einer rechtlich umstrittenen Zone und wird von Aufsichtsbehörden zunehmend kritisch gesehen. Wer solche Werkzeuge einsetzt, sollte den Datenfluss, die Rechtsgrundlage und den Serverstandort besonders sorgfältig prüfen – und im Zweifel eine europäische, transparent arbeitende Lösung einer intransparenten Massenquelle vorziehen.
Nahezu jedes moderne Sales-Tool ist ein cloudbasierter Dienst, bei dem ein externer Anbieter Ihre Vertriebsdaten in Ihrem Auftrag verarbeitet. Für dieses Verhältnis schreibt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag vor, im internationalen Kontext oft als Data Processing Agreement bezeichnet. Dieser Vertrag legt Zweck, Dauer, Art der Daten, die Weisungsbindung des Anbieters und dessen Sicherheitsmaßnahmen fest. Ohne einen solchen Vertrag ist der Einsatz eines externen Verarbeiters für personenbezogene Daten regelmäßig unzulässig – unabhängig davon, wie verbreitet das Tool ist.
In der Praxis bieten seriöse Anbieter einen Standard-AVV an, den es aber zu prüfen gilt: Welche Unterauftragsverarbeiter setzt der Anbieter ein, wo verarbeiten diese die Daten, und welche Sicherheitsmaßnahmen sagt er zu? Gerade die Kette der Unterauftragsverarbeiter wird oft übersehen, obwohl über sie Daten in Drittländer gelangen können. Wir empfehlen, den AVV nicht nur abzuhaken, sondern die zentralen Punkte – Serverstandort, Subunternehmer, Löschung bei Vertragsende – bewusst zu lesen und ins Verzeichnis der Verarbeitungstätigkeiten aufzunehmen. Dieser Schritt gehört vor den Produktivstart, nicht in die Nacharbeit nach einer behördlichen Anfrage.
Die schönste Rechtsgrundlage nützt wenig, wenn die Daten nicht angemessen gesichert sind. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Im CRM-Alltag heißt das ganz konkret: ein durchdachtes Rollen- und Rechtekonzept, sodass nicht jeder Mitarbeiter auf alle Kontakte zugreift; sichere Authentifizierung, idealerweise mit Zwei-Faktor-Verfahren; Verschlüsselung sensibler Daten; und die Protokollierung von Zugriffen, damit im Ernstfall nachvollziehbar ist, wer was getan hat. Diese Maßnahmen schützen nicht nur vor Bußgeldern, sondern vor dem viel realeren Risiko eines Datenlecks.
Ein im Mittelstand häufig unterschätztes Risiko ist der ausscheidende Vertriebsmitarbeiter, der seinen Kontaktbestand mitnimmt. Kundendaten sind kein persönliches Eigentum des Verkäufers, sondern gehören dem Unternehmen als Verantwortlichem – und ihr unbefugtes Kopieren ist ein Datenschutzverstoß. Klare Regeln zum Umgang mit Daten beim Ausscheiden, technische Vorkehrungen gegen den Massenexport und ein sauberes Offboarding gehören daher zu den organisatorischen Maßnahmen, die im Vertrieb besonders relevant sind. Sie zeigen zugleich, dass TOMs nicht nur ein IT-Thema sind, sondern gelebte Vertriebsorganisation.
Der Grundsatz der Speicherbegrenzung verlangt, Daten nicht länger aufzubewahren, als es der Zweck erfordert. In der Realität sammeln CRM-Systeme über Jahre hinweg Kontakte an, die längst nicht mehr aktiv sind, ohne dass jemals aufgeräumt wird. Ein Löschkonzept schafft hier Ordnung: Es legt für jede Kategorie von Daten fest, wie lange sie zu welchem Zweck gespeichert werden und wann sie zu löschen oder zu anonymisieren sind. Dabei sind auch gesetzliche Aufbewahrungspflichten zu berücksichtigen, etwa steuer- und handelsrechtliche Fristen für bestimmte Geschäftsunterlagen, die einer sofortigen Löschung entgegenstehen können.
Für den Vertrieb hat ein Löschkonzept einen doppelten Nutzen. Rechtlich erfüllt es eine Kernpflicht der DSGVO und erleichtert zugleich die Beantwortung von Löschanträgen. Praktisch verbessert es die Datenqualität: Ein CRM, das regelmäßig von Karteileichen und veralteten Datensätzen befreit wird, liefert bessere Auswertungen, verlässlicheres Routing und weniger Fehlansprachen. Datenhygiene ist damit kein bürokratischer Ballast, sondern zugleich ein Beitrag zur Vertriebsqualität. Wer sein Löschkonzept in automatisierte Routinen im CRM übersetzt, muss nicht jeden Datensatz von Hand prüfen, sondern lässt das System nach klaren Regeln aufräumen.
Ein Drittland ist im Sinne der DSGVO jedes Land außerhalb der EU und des EWR. Die Übermittlung personenbezogener Daten in ein solches Land – etwa dadurch, dass Ihr CRM oder Ihr Datenanbieter die Daten auf Servern in den USA verarbeitet – ist nicht verboten, aber an zusätzliche Bedingungen geknüpft. Der Grund liegt darin, dass die DSGVO das hohe europäische Schutzniveau nicht durch einen Transfer in ein Land aushöhlen lassen will, in dem etwa staatliche Zugriffsrechte weiter reichen als in Europa. Für den Vertrieb heißt das: Sobald ein US-Tool im Spiel ist, verarbeiten Sie Ihre Interessentendaten mutmaßlich in einem Drittland – und müssen diesen Transfer absichern.
Der Serverstandort ist damit kein technisches Detail, sondern eine strategische Weichenstellung. Er entscheidet mit darüber, welchem Rechtsregime Ihre Vertriebsdaten unterliegen und wie viel Kontrolle Sie über sie behalten. Im DACH-Raum, wo Datenhoheit zunehmend als Wettbewerbs- und Sicherheitsfrage verstanden wird, wird diese Weichenstellung immer häufiger auf Geschäftsleitungsebene getroffen – zu Recht, denn sie berührt nicht nur die Compliance, sondern auch die Abhängigkeit von außereuropäischen Anbietern.
Für die Übermittlung in die USA gibt es derzeit im Wesentlichen zwei Absicherungswege. Der erste ist das EU-US Data Privacy Framework (DPF): Für US-Unternehmen, die sich unter diesem Rahmen zertifiziert haben, hat die EU-Kommission ein angemessenes Schutzniveau anerkannt, sodass ein Transfer an diese zertifizierten Empfänger grundsätzlich zulässig ist. Praktisch heißt das, dass Sie prüfen sollten, ob Ihr konkreter US-Anbieter unter dem DPF gelistet und zertifiziert ist – das ist nicht bei jedem Anbieter automatisch der Fall und kann sich zudem ändern.
Der zweite Weg sind die Standardvertragsklauseln (SCC), von der EU-Kommission vorformulierte Vertragsbausteine, die zwischen Datenexporteur und -importeur vereinbart werden. Nach der Rechtsprechung genügen die SCC allein jedoch nicht immer: Es kann erforderlich sein, im Rahmen eines sogenannten Transfer Impact Assessment zu prüfen, ob im Empfängerland ein vergleichbares Schutzniveau tatsächlich gewährleistet ist, und gegebenenfalls ergänzende technische Maßnahmen wie Verschlüsselung zu treffen. Diese Materie ist rechtlich anspruchsvoll und in Bewegung – ein guter Grund, sie mit fachkundiger Begleitung und nicht im Alleingang zu bewerten.
Angesichts dieser Komplexität gibt es einen Weg, der viele Fragen entschärft: die bewusste Wahl europäischer Anbieter oder europäischer Verarbeitungsregionen. Wenn Ihre Vertriebsdaten von einem Anbieter mit Sitz und Rechenzentren in der EU verarbeitet werden, findet in der Regel gar keine Drittlandübermittlung statt – und die gesamte Problematik von DPF, SCC und Transfer Impact Assessment entfällt weitgehend. Aus INAGRO-Sicht ist das für datenschutzsensible Organisationen die klarste und robusteste Option, weil sie das Risiko an der Wurzel vermeidet, statt es aufwendig zu verwalten.
Dabei ist zweierlei wichtig. Erstens bieten auch viele US-Konzerne inzwischen EU-Verarbeitungsregionen an – die bloße Herkunft des Anbieters entscheidet nicht allein, sondern der tatsächliche Verarbeitungsort und die Frage, ob der Mutterkonzern dennoch Zugriff nehmen kann. Zweitens ist die Wahl eines europäischen Anbieters keine Garantie für vollständige Konformität, denn auch dieser muss AVV, TOMs und Löschkonzept sauber erfüllen. Die EU-Region reduziert das Drittland-Risiko erheblich, ersetzt aber nicht die übrige Sorgfalt. Wir empfehlen, den Verarbeitungsort und die Souveränitätsfrage bewusst zu benennen und zu einem Auswahlkriterium zu machen – gerade wenn es um sensible Zielgruppen oder große Datenbestände geht.
Das Auskunftsrecht nach Artikel 15 DSGVO erlaubt jeder Person zu erfahren, ob und welche Daten ein Unternehmen über sie verarbeitet, zu welchen Zwecken, aus welchen Quellen und an wen die Daten gegebenenfalls weitergegeben werden. Für den Vertrieb ist das besonders relevant, weil Interessenten zunehmend genau dann eine Auskunft verlangen, wenn sie sich über eine unerwartete Ansprache ärgern. Die Antwort muss grundsätzlich unentgeltlich und innerhalb eines Monats erfolgen – eine Frist, die ohne vorbereiteten Prozess unangenehm knapp werden kann, wenn die Daten über mehrere Tools verstreut sind.
Eng verbunden ist die Informationspflicht nach den Artikeln 13 und 14 DSGVO. Sie verlangt, betroffene Personen aktiv und verständlich darüber zu informieren, wer ihre Daten zu welchem Zweck und auf welcher Grundlage verarbeitet – bei der Direkterhebung sofort, bei Daten aus anderen Quellen innerhalb angemessener Frist. Diese Transparenz ist kein lästiges Kleingedrucktes, sondern der Vertrauensanker der gesamten DSGVO. Ein Vertrieb, der offen kommuniziert, woher er die Daten hat und was er damit vorhat, erfüllt nicht nur eine Pflicht, sondern begegnet dem Interessenten auf Augenhöhe – was gerade im DACH-Raum honoriert wird.
Das Recht auf Löschung nach Artikel 17 DSGVO verpflichtet Unternehmen, Daten zu löschen, wenn der Zweck der Verarbeitung entfallen ist, eine Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig war. Im Vertrieb betrifft das etwa den Interessenten, der kein Interesse mehr hat und aus dem Bestand verschwinden möchte. Wichtig ist die Grenze: Die Löschpflicht steht unter dem Vorbehalt gesetzlicher Aufbewahrungspflichten. Handels- und steuerrechtlich relevante Unterlagen dürfen und müssen teilweise weiter aufbewahrt werden – die Löschung beschränkt sich dann auf die nicht mehr benötigten Teile.
Praktisch zeigt sich beim Löschrecht, wie wertvoll ein durchdachtes Löschkonzept aus Kapitel 05 ist. Wer bereits definiert hat, welche Daten wo liegen und nach welchen Fristen sie ohnehin entfallen, kann einen Löschantrag zügig und vollständig bearbeiten. Wer dagegen erst im Anlassfall in verstreuten Tools nach allen Vorkommen eines Kontakts suchen muss, erfüllt die Frist oft nur mühsam oder unvollständig. Die Betroffenenrechte sind damit kein isoliertes Thema, sondern der Praxistest für die Ordnung Ihrer gesamten Datenhaltung.
Für den Vertrieb ist das Widerspruchsrecht nach Artikel 21 DSGVO besonders wichtig. Gegen die Verarbeitung zu Zwecken der Direktwerbung kann eine Person jederzeit und ohne Angabe von Gründen widersprechen – und ab diesem Moment dürfen ihre Daten nicht mehr für Werbung verwendet werden. Dieses Recht ist absolut: Es gibt keine Interessenabwägung mehr, kein „aber wir hätten da noch ein passendes Angebot“. Ein Widerspruch gegen Werbung ist eine rote Linie, die technisch und organisatorisch zuverlässig umgesetzt werden muss.
Ergänzt wird dies durch den Widerruf einer Einwilligung, der ebenso einfach möglich sein muss wie ihre Erteilung. In der Praxis bedeutet beides, dass Sie eine funktionierende Sperr- oder Blacklist-Logik brauchen: Wer widerspricht oder widerruft, muss zuverlässig von jeder weiteren Ansprache ausgenommen werden – über alle Kanäle und Tools hinweg. Der klassische Fehler ist der Kontakt, der sich über einen Kanal abgemeldet hat und trotzdem über einen anderen weiter beworben wird, weil die Systeme nicht sauber verknüpft sind. Aus INAGRO-Sicht ist eine belastbare, kanalübergreifende Umsetzung von Widerspruch und Widerruf einer der wichtigsten und zugleich am häufigsten vernachlässigten Prozesse im Vertriebsdatenschutz.
Im Mittelstand ist die Frage der Zuständigkeit oft ungeklärt – und das ist gefährlich, weil die DSGVO klare Verantwortung verlangt. Zunächst gilt es zu prüfen, ob eine Pflicht zur Bestellung eines Datenschutzbeauftragten besteht; das hängt unter anderem von der Art und dem Umfang der Verarbeitung ab und sollte im Einzelfall bewertet werden. Unabhängig davon braucht jeder Betrieb eine Person oder Rolle, die den Datenschutz im Vertrieb koordiniert, Ansprechpartner für Anfragen ist und die Dokumentation pflegt. Diese Rolle muss nicht hauptamtlich sein, aber sie muss besetzt und mit den nötigen Befugnissen ausgestattet sein.
Ebenso wichtig ist das Zusammenspiel zwischen Vertrieb, IT und Geschäftsführung. Der Vertrieb kennt die Prozesse und Tools, die IT kennt die technische Umsetzung, und die Geschäftsführung trägt die Gesamtverantwortung als Verantwortlicher. In der Praxis bewährt sich, diese drei an einen Tisch zu bringen, statt Datenschutz allein an eine Person oder einen externen Dienstleister abzuschieben. Datenschutz im Vertrieb ist eine Querschnittsaufgabe – und funktioniert am besten, wenn er nicht als fremdbestimmte Kontrolle, sondern als gemeinsame Qualitätsaufgabe verstanden wird.
Ein zentraler, im Alltag oft unterschätzter Grundsatz der DSGVO ist die Rechenschaftspflicht: Ein Unternehmen muss nicht nur rechtmäßig handeln, sondern dies auch nachweisen können. Für den Mittelstand ist das eine gute Nachricht, denn es verschiebt den Fokus von perfekter Fehlerfreiheit hin zu nachvollziehbarem, sorgfältigem Handeln. Wer dokumentiert, warum er eine bestimmte Rechtsgrundlage gewählt hat, welche Tools er wie geprüft hat und wie er Betroffenenrechte umsetzt, steht im Ernstfall deutlich besser da als jemand, der zwar guten Willens war, aber nichts belegen kann.
Diese Dokumentation muss nicht ausufern. Für viele Mittelständler genügt ein schlankes, aber gepflegtes Set: das Verzeichnis der Verarbeitungstätigkeiten, die AVV mit den Dienstleistern, das Löschkonzept, die dokumentierten Interessenabwägungen und ein Nachweis über Schulungen. Entscheidend ist, dass diese Unterlagen aktuell sind und gelebt werden, nicht dass sie besonders umfangreich sind. Aus INAGRO-Sicht ist eine pragmatische, ehrlich gepflegte Dokumentation der beste Schutzschild – sie zeigt der Aufsicht, dass Datenschutz kein Lippenbekenntnis, sondern gelebte Praxis ist, und sie macht den eigenen Vertrieb zugleich professioneller.
Die DSGVO sieht abgestufte Bußgelder vor, deren Obergrenze bewusst hoch angesetzt ist, um Wirkung zu entfalten. Für schwerwiegende Verstöße reicht der Rahmen bis zu 20 Millionen Euro oder, bei Unternehmen, bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist. Für bestimmte andere Verstöße gilt eine niedrigere Stufe von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des Jahresumsatzes. Diese „bis zu“-Werte sind Höchstgrenzen, keine Regelbeträge.
Wichtig ist die richtige Einordnung dieser Zahlen, denn hier kursiert viel Halbwissen. Das tatsächlich verhängte Bußgeld richtet sich nach einer Vielzahl von Faktoren – Art, Schwere und Dauer des Verstoßes, Grad des Verschuldens, Zahl der Betroffenen, getroffene Abhilfemaßnahmen und die Kooperation mit der Aufsichtsbehörde. Ein kleiner Mittelständler wird nicht für einen einmaligen Formfehler mit einem zweistelligen Millionenbetrag belegt. Gerade deshalb sollte man den Rahmen weder verharmlosen noch dramatisieren: Er ist real und ernst zu nehmen, aber er ist ein Rahmen für die Behörde, kein automatischer Tarif. Konkrete Beträge lassen sich seriös nicht vorhersagen und hängen vom Einzelfall ab.
Der Fokus auf Bußgelder verstellt oft den Blick auf Risiken, die im Vertriebsalltag häufiger und manchmal schmerzhafter sind. Da ist zunächst die Abmahnung durch Wettbewerber oder Verbände: Gerade unzulässige E-Mail-Werbung nach dem UWG kann kostenpflichtig abgemahnt werden, unabhängig von jeder behördlichen Reaktion. Diese wettbewerbsrechtliche Schiene ist im B2B ein sehr reales und oft unmittelbareres Risiko als das datenschutzrechtliche Bußgeld. Hinzu kommen mögliche Schadenersatzansprüche betroffener Personen, die durch einen Verstoß einen Schaden erlitten haben.
Mindestens ebenso gewichtig ist der Reputationsschaden. Ein bekannt gewordenes Datenleck oder eine als aufdringlich empfundene, rechtswidrige Ansprache beschädigt das Vertrauen, das im B2B die Grundlage jeder Geschäftsbeziehung ist. Im DACH-Raum, wo Datenschutz einen hohen Stellenwert hat, kann ein solcher Vorfall Türen verschließen, die sich nur schwer wieder öffnen. Und schließlich gibt es das operative Risiko: Wer seine Datenverarbeitung nicht im Griff hat, verliert Zeit mit Aufräumarbeiten, riskiert den Ausfall von Tools und bindet Ressourcen in Krisenmanagement statt in den Verkauf. Die Kosten eines Verstoßes bemessen sich also längst nicht nur am Bußgeld.
Über die reine Vermeidung von Verstößen hinaus rückt im DACH-Raum die Datenhoheit als strategisches Thema in den Vordergrund. Die Frage lautet nicht mehr nur „Ist es erlaubt?“, sondern „Wie viel Kontrolle über unsere Vertriebsdaten wollen und müssen wir behalten?“. Wer seine sensibelsten Daten – Kundenbeziehungen, Pipeline, Ansprechpartner – in intransparenten außereuropäischen Systemen speichert, macht sich abhängig und gibt Kontrolle ab. Die bewusste Wahl europäischer Anbieter und Verarbeitungsregionen ist deshalb nicht nur eine Compliance-Frage, sondern eine Frage unternehmerischer Souveränität und Resilienz.
Aus INAGRO-Sicht ist genau diese strategische Perspektive der konstruktive Kern des gesamten Themas. Datenschutz im Vertrieb sollte nicht als Angst vor Strafe betrieben werden, sondern als bewusste Gestaltung: sauber generierte Leads statt riskanter Massenkäufe, transparente Ansprache statt getarnter Werbung, kontrollierte Datenhaltung statt abhängiger Blackbox. Ein Unternehmen, das so handelt, minimiert nicht nur seine Risiken, sondern baut ein Vertriebsfundament, das dem wachsenden Datenschutzbewusstsein seiner Zielgruppen gerecht wird. Souveränität über die eigenen Daten wird damit vom Kostenfaktor zum Wettbewerbsvorteil.
