Die DSGVO hat Leadgenerierung nicht unmöglich gemacht, nur Schlamperei. Wer Rechtsgrundlagen, Prozesse und Tooling im Griff hat, wächst einfach weiter. Das müssen Sie regeln.

Kontaktdaten sind personenbezogene Daten

Eine geschäftliche E-Mail-Adresse mit Namen, eine Durchwahl, ein LinkedIn-Profil: Unter der DSGVO sind das alles personenbezogene Daten. Wer Leads generiert (B2B oder B2C), verarbeitet personenbezogene Daten und braucht dafür eine gültige Rechtsgrundlage.

Die Rechtsgrundlage: berechtigtes Interesse oder Einwilligung

Für B2B-Marketing ist das "berechtigte Interesse" oft die praktikable Grundlage: Direktmarketing an geschäftliche Entscheider kann darunter fallen, sofern Sie eine Interessenabwägung dokumentieren und ein klares Opt-out anbieten. Im B2C-Marketing ist die Einwilligung häufiger erforderlich oder sicherer. Die Einwilligung muss freiwillig, spezifisch und nachweisbar sein: ein vorangekreuztes Kästchen zählt nicht.

E-Mail, Telefon und Tracking: was wann erlaubt ist

  • Kalte Geschäfts-E-Mails: nur mit Opt-in oder unter strengen Bedingungen; prüfen Sie neben der DSGVO auch das UWG
  • Telefonakquise bei Unternehmen: mit mutmaßlicher Einwilligung möglich, Widerspruch sofort respektieren und dokumentieren
  • Verbrauchermarketing: strengere Anforderungen; oft Einwilligung und Beachtung von Widerspruchsregistern
  • Tracking- und Marketing-Cookies auf Ihrer Website: immer vorherige Einwilligung über einen Consent-Banner, sonst kein Pixel

Die Informationspflicht, die fast jeder vergisst

Erheben Sie Daten nicht direkt bei der Person selbst, etwa über Datenanbieter oder Scraping, gilt Artikel 14: Sie müssen die betroffene Person innerhalb eines Monats oder beim ersten Kontakt informieren, welche Daten Sie haben, wofür, und woher sie stammen. Nehmen Sie das in Ihre erste Kontaktaufnahme oder Datenschutzerklärung auf.

Betroffenenrechte: den Prozess aufsetzen

Auskunft, Berichtigung, Löschung, Widerspruch: Jede Anfrage muss innerhalb eines Monats bearbeitet sein. Praktisch bedeutet das eine zentrale E-Mail-Adresse, eine Sperrliste, damit gelöschte Kontakte nicht erneut importiert werden, und die Protokollierung jedes Opt-outs.

Compliance ist ein Wettbewerbsvorteil: saubere Daten, bessere Zustellbarkeit und Outreach, der nicht wie Spam wirkt, konvertiert nachweislich besser.

Die praktische Checkliste

  • Rechtsgrundlage pro Kanal dokumentiert (Interessenabwägung oder Consent-Log)
  • Auftragsverarbeitungsverträge mit CRM-, E-Mail- und Werbeplattformen
  • Aufbewahrungsfristen festgelegt: weg mit Leads, die zwei Jahre still sind
  • Opt-out in jeder Nachricht und eine Sperrliste im CRM
  • Consent-Banner für Cookies, verknüpft mit Ihrem Tag-Manager

Häufig gestellte Fragen

Gilt die DSGVO auch für B2C-Leadgenerierung?

Ja. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten natürlicher Personen in der EU, egal ob Sie B2B- oder B2C-Leads sammeln. Im B2C ist die Einwilligung häufiger die richtige oder sicherere Grundlage, und neben der DSGVO gelten oft strengere Telekommunikations- und Verbraucherschutzregeln.

Darf ich LinkedIn-Profile für kalte Outreach nutzen?

Ein LinkedIn-Profil enthält personenbezogene Daten. Sie brauchen eine gültige Rechtsgrundlage, müssen die betroffene Person informieren (oft nach Artikel 14) und Widerspruch respektieren. Scraping gegen die Nutzungsbedingungen oder ohne Rechtsgrundlage ist riskant. Behandeln Sie LinkedIn-Daten so sorgfältig wie jede andere Leadquelle.

Was ist der Unterschied zwischen Einwilligung und berechtigtem Interesse?

Einwilligung ist ein aktives, freies und spezifisches Ja der betroffenen Person und muss nachweisbar sein. Berechtigtes Interesse verlangt eine Interessenabwägung: Ihr Interesse darf die Privatsphäre der Person nicht unverhältnismäßig beeinträchtigen, und es muss ein klares Opt-out geben. Für B2B-Direktmarketing ist berechtigtes Interesse oft praktikabel; für viele B2C-Kanäle ist die Einwilligung stärker oder vorgeschrieben.

Wie lange darf ich Lead-Daten speichern?

Nur so lange wie für den Zweck nötig, nicht länger. Legen Sie Aufbewahrungsfristen fest (zum Beispiel Leads löschen oder anonymisieren, die lange still sind) und dokumentieren Sie diese. Die DSGVO schreibt keine feste Monatszahl vor; die Verhältnismäßigkeit zählt.

Was tun, wenn jemand widerspricht oder Löschung verlangt?

Bearbeiten Sie die Anfrage innerhalb eines Monats, löschen oder sperren Sie die Daten wo nötig, und setzen Sie den Kontakt auf eine Sperrliste, damit er nicht erneut importiert wird. Protokollieren Sie das Opt-out. Widerspruch gegen Direktmarketing müssen Sie grundsätzlich beachten.

Sind Marketing-Cookies auf meiner Landingpage immer einwilligungspflichtig?

Marketing- und Tracking-Cookies, die nicht unbedingt erforderlich sind, brauchen vorherige Einwilligung über einen Consent-Banner. Ohne Einwilligung dürfen Sie kein Marketing-Pixel laden. Strikt notwendige funktionale Cookies für den Dienst fallen in der Regel nicht darunter.

Dieser Artikel ist eine allgemeine Information, keine Rechtsberatung. Ziehen Sie für Ihre spezifische Situation einen Datenschutzjuristen hinzu.