DSGVO im B2B

Adresshandel in turbulenten Zeiten

Was Kohle gegen Ende des 18. Jahrhunderts für die industrielle Revolution, Gold im 19. Jahrhundert zu Zeiten des Goldrausches und Öl im 20. Jahrhundert für den Fortschritt bedeutete – dem kommen heute Personendaten gleich. Sie sind wichtiger als jemals zuvor. Die Nachfrage nach passenden Informationen ist riesig – und das zu Recht. Mit den richtigen Daten können Marketer und Vertriebler Leads zu loyalen Kunden wandeln. Im digitalen Zeitalter spielen personenbezogene Daten also eine entscheidende Rolle. Im privaten und im beruflichen Sinn.

Personalisierte Werbung und Kontaktaufnahme stellen kein Geheimnis mehr da. Für Unternehmen, ganz gleich ob B2B oder B2C, gibt es keinen Weg mehr an der Personalisierung vorbei. Unternehmen besitzen dementsprechend ein großes Interesse an der Währung des 21. Jahrhunderts. Gewinnung potenzieller Kunden durch Adresshandel steht an der Tagesordnung für Firmen, die weiterwachsen und sich auf dem Markt etablieren wollen. Kundenstammdaten bilden dabei das Herzstück.

Je wichtiger eine Ressource, desto mehr müssen Datenschaffende beachten. Welche Regeln gelten aktuell genau? Ist der Adresshandel nun legal oder nicht? Was sollten Zuständige beim Handel mit Daten beachten?

DSGVO und BDSG – mehr als nur Zungenbrecher

Die Datenschutzgrundverordnung und das Bundesdatenschutzgesetz, DSGVO und BDSG, zählen beide zu verschiedenen Gesetzesordnungen, die den Datenschutz in der Europäischen Union und in Deutschland regeln. Während das BDSG, wie der Name schon andeutet, ein beschränktes Gesetz für Deutschland ist, ziehen die Grenzen der DSGVO einen weiteren Kreis. Als EU-Verordnung steuert sie seit 2018 den Datenschutz aller Mitgliedsstaaten in der Europäischen Union. Im nationalen Kontext ergänzt und präzisiert das BDSG die Bestimmungen der DSGVO.

Auf das heutige digitale Zeitalter antwortet die DSGVO auf die EU-Datenschutzrichtlinien aus 1995. Neue Techniken oder Veränderungen der Datenverarbeitungen benötigen auch neue Lösungen in gesetzlichen Regelungen. Vor diesem Hintergrund stimmte das Europäische Parlament 2016 mit breiter Mehrheit der Verordnung zu. Damit gilt es als ein weiterer Schritt zu einem harmonisierten europäischen Binnenmarkt.

Die EU überlässt den Mitgliedsstaaten in gewissen Bereichen des Datenschutzes Gestaltungsräume. Genau hier greift das BDSG für Deutschland. Dabei bestimmt es detaillierter und im nationalen Gefüge Einzelheiten im Rahmen des Datenschutzes. Dazu zählt beispielsweise die Umsetzung der Richtlinien durch Polizei und Justiz, Einzelheiten der Datenschutzerklärungen oder explizitere Bestimmungen der (Auftrags-)Datenverarbeitung.

Unterschiede zwischen DSGVO und BDSG

Neben den verschiedenen räumlichen Geltungsbereichen unterscheiden sich beide Verordnungen in den Rechtsgrundlagen. Die DSGVO beinhaltet in erster Linie grundlegende Datenschutzprinzipien: Rechte der Personen, Pflichten für Verantwortliche, Sanktionen bei Verstößen und Strukturen zur Zusammenarbeit der Datenschutzbehörden aller Mitgliedsstaaten.

Während die DSGVO Grundlagen und Prinzipien vorgibt, spezifiziert das BDSG diese für Deutschland. Es enthält zusätzliche Regelungen und Ausnahmen, die im nationalen Recht gelten. Dazu zählen Verarbeitungen von Beschäftigtendaten und Befugnisse der Datenschutzbehörden in Deutschland.

Unternehmen und Organisationen in Deutschland müssen also sowohl die DSGVO als auch das BDSG befolgen, um den Vorschriften im Datenschutz gerecht zu werden. Bei Verstößen gelten allerdings auch hier teils unterschiedliche Sanktionen. Die DSGVO reagiert auf Verstöße mit erheblichen Geldbußen. Das BDSG geht auch hier detaillierter vor. Mit zusätzlichen Sanktionen und Maßnahmen kontrollieren die deutschen Datenschutzbeauftragten das Einhalten des Schutzes der (persönlichen) Daten.

Personenbezogene Daten

Daten, die alle Informationen erfassen, welche sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, gelten als personenbezogene Daten. Schwer verständlich und undeutlich ist die Definition klassischerweise im Gesetzestext der DSGVO nach Art. 4 Nr. 1 definiert:

„personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; [...]

In der Praxis zählen also alle Informationen zu personenbezogenen Daten, die einer Person zugeordnet werden können. Wie diese Zuordnung im Detail abläuft, hängt von den verfügbaren Informationen ab. Ob Telefonnummern, Kreditkarten- oder Personalnummern, Kontodaten, Kfz-Kennzeichen oder Anschriften: All das gehört zu personenbezogenen Daten.

Laut dem Europäischen Gerichtshof fallen auch weniger eindeutige Informationen darunter. Aufzeichnungen über Arbeitszeiten, schriftliche Antworten eines Prüflings und IP-Adressen gelten also ebenfalls als personenbezogene Daten. Weg von objektiven hin zu subjektiven Informationen: auch Meinungen, Beurteilungen und Einschätzungen können unter diesen Begriff fallen.

Eine genaue Definition lässt sich daher nicht einfach darstellen. Kontext und Möglichkeiten der Identifizierung beeinflussen die Bedeutung. Fest steht allerdings, dass sich die Informationen auf eine natürliche Person beziehen müssen. Im Umkehrschluss bedeutet dies also, dass der Datenschutz für Angaben über juristische Personen wie Körperschaften, Stiftungen, Aktiengesellschaften und Anstalten nicht greift. Zeitgleich kommen vor diesem Hintergrund Fragen rund um die Sicherheit der personenbezogenen Daten und die Möglichkeiten des Schutzes dafür auf.

Pseudonymisierung vs. Anonymisierung

Viele Gemeinsamkeiten teilen beide Begriffe nicht. Außer, dass sie zusammen auf die Möglichkeit zur Wiederherstellung des Personenbezuges aufbauen. Während bei der Pseudonymisierung ein Personenbezug möglich ist, entfernt eine Anonymisierung dauerhaft den Bezug, sodass Datenschutzanforderungen nicht mehr gelten. Pseudonymisierung verknüpft personenbezogene Daten mit einer ID-Nummer oder einem Code, wodurch nur durch Zugriff auf die Zusatzinformationen Verknüpfungen herstellbar sind.

Bei der Anonymisierung fehlt eben diese Zusatzinformation und die Rückverfolgung zu den Personen ist – in der Theorie – nicht mehr möglich. Sobald der Personenbezug fehlt, fallen diese Daten nicht mehr in den Anwendungsbereich der DSGVO. Dadurch ergeben sich Optionen für Unternehmen. Daten ohne Rechtsgrundlage, wie beispielsweise eine Einwilligung einer Person, zu nutzen oder zu verbreiten ist durch die Anonymisierung möglich. Anforderungen des Datenschutzes wie technische und organisatorische Schutzmaßnahmen oder Löschkonzepte und Löschfristen benötigen keine Beachtung mehr. Zusammenfassend lässt sich allerdings sagen, dass Pseudonymisierung und Anonymisierung keine Zustände, sondern vielmehr Prozesse sind.

Die Hürden des Adresshandels

Adresshandel, oder im Englischen Listbroking, ist eine Vermittlung zwischen Kontaktdaten einer Person von einem Adresshändler an den Käufer, hauptsächlich zur Nutzung in Vertrieb und Marketing. Doch um werben zu können, benötigen Unternehmen Daten von potenziellen Kunden und Kundinnen. Diese Daten müssen längst nicht nur Adressen sein. In der Regel generiert und vermarktet der Händler auch andere Daten für Zielgruppenanalysen oder zur Erstellung von Nutzerprofilen.

Allgemeine Rechtsgrundlage des Adresshandels

Adressen kaufen ist grundsätzlich nicht direkt verboten. Im Gegenteil: Das Erwerben von beispielsweise Firmenadressen für die Neukundenakquise kann eine der erfolgreichsten Methoden des Direktmarketings sein und bildet dabei eine wertvolle Chance für mehr Wachstum. Auf E-Mail-Marketing mag teils ein schlechter Ruf lasten, es zeigt sich aber dennoch als wertvolle Option, um die Kundenstammdaten zu erweitern. Seit der DSGVO und dem BDSG ist die Neukundengewinnung durch neue gesetzliche Regelungen und Datenschutzbehörden beeinflusst. Das deutsche und europäische Datenschutzrecht gehört zu den strengsten Lösungen der Welt.

Gesetz des unlauteren Wettbewerbs

Akquirieren Vertriebstätige Adressmaterial, müssen sie sich immer an die Verpflichtungen des unlauteren Wettbewerbs halten. Dies richtet sich in erster Linie an die Wirtschaft, da einige Unternehmen mit rechtlich unzulässigen Mitteln versuchen, sich einen Vorsprung gegenüber der Konkurrenz zu verschaffen. Darunter fällt auch unzumutbare Belästigung des Verbrauchers, beispielsweise durch Telefonwerbung. Seit 2004 schützt das Gesetz des unlauteren Wettbewerbs (UWG) vor Täuschungen und unseriösen Geschäften. Paragraf 7 dieses Gesetzes regelt außerdem, wann genau Werbeeinwilligungen vorzuliegen haben.

• Postalische Werbung ist erlaubt, wenn die Herkunft der Adresse und die Abmeldemöglichkeit gegeben sind.
• E-Mail-Werbung ist im Firmen- und im Privatbereich ohne Werbeeinwilligung verboten.
• Telefonische Werbung bei Privatpersonen ist ohne Einwilligung tabu, bei Firmen liegt es im Graubereich.

Ohne Einwilligung wird's schwer

Ohne eine gesetzesmäßige Einwilligung ist der Handel mit Adressen also weitaus schwieriger. Gemäß Art. 4 Nr. 11 DSGVO ist eine Einwilligung:

„jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist."

Grundsätzlich gilt also, dass der Handel mit personenbezogenen Daten durch nicht öffentliche Stellen zum Zwecke des Adresshandels oder für fremde Werbezwecke nur mit schriftlicher Einwilligung gestattet ist. Dabei entscheidet, auf welche Art der Kontaktaufnahme sich die Einwilligung bezieht und ob es sich um eine Einwilligung zur Weitergabe oder zur Nutzung der Daten handelt.

Einwilligungserklärung nach der DSGVO

Eine Einwilligung muss im Allgemeinen aber einige Grundsätze verfolgen. In der DSGVO sind strenge Anforderungen festgelegt, die rechtmäßiger Einwilligungen bedürfen:

• Freiwilligkeit:
  Die Einwilligung darf nur ohne Zwang oder bevorstehende Nachteile für die betroffene Person erteilt werden.
• Informationspflicht:
  Die Informationen der Datenverwendung gegenüber den betroffenen Personen müssen deutlich und in leicht verständlicher Sprache vermittelt werden.
• Spezifischer Zweck:
  Ohne einen festgelegten Zweck darf eine Einwilligung nicht erteilt werden.
• Opt-in-Verfahren:
  Die Einwilligung sollte auf Basis des Opt-in-Verfahrens stehen. Die betroffene Person muss aktiv durch beispielsweise das Ausfüllen eines Formulars oder das Ankreuzen eines Kästchens ihr Einverständnis erklären. Doch Achtung: Auch die Opt-out-Erklärungen können wirksam sein, beispielsweise im Rahmen des UWGs.
• Widerrufsmöglichkeiten:
  Das Recht des Widerrufs muss gegeben sein und der betroffenen Person vermittelt werden, damit ein Einverständnis rechtsgemäß ist.
• Datenschutzrechte:
  Das Aufklären über die Datenschutzrechte wie das Recht auf Auskunft oder Löschung und Einschränkung der Verarbeitung muss gegeben sein.
• Kinderschutz:
  Hier gelten zusätzliche Schutzmaßnahmen und die Einwilligung der Erziehungsberechtigten ist unabdingbar.

Erwägungsgründe

Einen weiteren wichtigen Punkt stellen hierbei die sogenannten Erwägungsgründe dar. Die DSGVO besteht aus 173 Erwägungsgründen und 99 Artikeln. Einer dieser Erwägungsgründe ist für den Kauf von Adressen ausschlaggebend. Juristische Personen schließt der Erwägungsgrund 14 vom Schutz durch die DSGVO aus, was auch personenbezogene Daten betrifft. Daten von juristischen Personen können also so behandelt werden wie vor der DSGVO.

Daneben spielt auch der Erwägungsgrund 47 eine entscheidende Rolle. Dieser setzt Direktmarketing mit berechtigtem Interesse gleich und begünstigt damit ebenfalls den Adresshandel. Wer also glaubt, die DSGVO würde dem Adresshandel nur im Weg stehen: Fehlanzeige. Der Art. 6f der DSGVO räumt quasi ein, dass berechtigtes Interesse das schützenswerte Interesse des Betroffenen aushebeln kann.

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

[…] f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Was sind juristische Personen?

Unter einer juristischen Person versteht man grundsätzlich eine Vereinigung von Personen oder eine Vermögensmasse, die mit bürgerlicher Rechtsfähigkeit ausgestattet ist. Eingetragene Vereine, Aktiengesellschaften oder Genossenschaften – all das fällt unter den Begriff. Unterschieden wird zwischen juristischen Personen des Privatrechts und des öffentlichen Rechts. Wirtschaftliche Unternehmen als Kapitalgesellschaften, also beispielsweise GmbHs und AGs, fallen unter das Privatrecht. Gemeinden, Bund oder Länder unter das öffentliche Recht.

Adresshandel als wertvolle Chance

Adresshandel ist also grundsätzlich legal, aber insbesondere im europäischen Raum mit einigen Hürden bestückt. Die DSGVO und das BDSG definieren klare Rahmen, an die sich der Adresshandel halten muss. Für die Neukundenakquise durch Adresshandel und Direktmarketing mit gekauften Adressen wirken die Bedingungen auf den ersten Blick sehr harsch. Trotz der typisch deutschen Menge an Vorschriften innerhalb der Datenschutzrechte ist dem allerdings nicht so. Die DSGVO verlor in den letzten Jahren für viele Unternehmen etwas von ihrem Schrecken. Einige Optionen, weiterhin erfolgreich Kunden zu gewinnen, Kundendaten zu erweitern, Adressen zu kaufen und Direktmarketing zu betreiben, stehen offen. Vertriebler sollten dem Adresshandel also noch eine Chance geben.

Datensätze verfolgen im Business immer ein Ziel: Den Kundenstamm des Verkäufers zu erweitern. Unternehmen nutzen die Adressdaten, um potenzielle Neukunden zu gewinnen. Der Adresshandel bietet dafür eine sichere und zuverlässige Option. Listbroker verkaufen zugeschnittene Adresslisten, die zu der gewünschten Zielgruppe passen. Diese Listen richten sich nach dem sozialen Status, der Wohngegend oder nach der Mobilität. Kann so viel Persönliches legal sein?

Speichern der Daten als Voraussetzung für den legalen Erwerb

Für einen legitimen Verkauf nach dem BDSG müssen entsprechende Daten durch den Verkäufer legal gespeichert worden sein. Ob und wie Kundendaten legal gespeichert werden können, wird in § 28 BDSG genauer definiert. Der Paragraph bestimmt, wann das Erheben, Speichern, Verändern und Übermitteln von personenbezogenen Daten zulässig ist.

Gemäß Abs. 1 des Gesetzes ist das Speichern und Nutzen zulässig, wenn es der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnissen mit Betroffenen dient. Das bedeutet: Daten, die wichtig sind, um Geschäftsbeziehungen mit Kunden oder Lieferanten abwickeln zu können, sind weiterhin speicherbar.

Abs. 2 zeigt, dass die Verarbeitung von personenbezogenen Daten erlaubt ist, soweit diese aufgrund von berechtigtem Interesse der verantwortlichen Stelle erforderlich ist. Außerdem darf kein Grund zur Annahme bestehen, dass keine Interessen des Betroffenen gegenüber der Verarbeitung überwiegen. Unter ein berechtigtes Interesse fällt hierbei jedes Interesse, dessen Verfolgung auf einem gesunden Rechtsempfinden basiert. Wenn das Unternehmen also ein berechtigtes Interesse nachweisen kann, das das schutzwürdige Interesse des Betroffenen überwiegt, benötigt es nicht die Zustimmung des Betroffenen.

Wer sich allerdings auf ein berechtigtes Interesse berufen möchte, der muss eine Interessenabwägung vornehmen und eine schriftliche Dokumentation verfassen. Dies muss dann zu dem Ergebnis kommen, dass das Interesse des Unternehmens die Interessen des Betroffenen überwiegt. Dadurch, dass die meisten Adresshändler nur mit veröffentlichten Daten arbeiten, steht das schützenswerte Interesse des Betroffenen meist weniger wichtig da. Daten, die öffentlich zugänglich sind, können für Geschäftszwecke gespeichert, genutzt, verarbeitet und übermittelt werden.

Legales Geschäft der Listbroker

Wenn Daten also legal gespeichert wurden, können Listbroker im nächsten Schritt auch damit handeln. Unternehmen können dann potenzielle Neukunden durch unterschiedliche Werbemaßnahmen kontaktieren, sodass der Kundenstamm wächst. Das funktioniert sowohl in der Neukundengewinnung B2B als auch im B2C.

Allerdings wurde mit der letzten Novellierung des BDSG die Verbraucherrolle erneut gestärkt. Das gestaltet B2C-Adresshandel immer schwieriger. Anders steht es um den B2B-Bereich. Hier genießen B2B-Adressen-Anbieter Vorteile, die sich in der Rechtsgrundlage ausdrücken. Das liegt daran, dass Unternehmensadressen in der Regel öffentlich verfügbar sind und dementsprechend auch so behandelt werden können. Weder die DSGVO noch das BDSG schränken Vertriebler hier extrem ein, der Handel mit Unternehmensdaten bleibt legal.

Weiterverkauf von Daten

Daten dürfen nur verkauft werden, wenn eine schriftliche Einwilligung des Betroffenen vorliegt. Allerdings muss nach § 4a Abs. 1 BDSG diese Einwilligung nicht ausschließlich durch zusätzliche Unterschriften oder durch Kreuze in dafür vorgesehene Kästchen geschehen. Zulässig sind auch „Opt-out"-Erklärungen: Einwilligungen, die durch das Nichtankreuzen eines Kästchens genehmigt werden. Demnach sind sowohl die Nutzung und die Übermittlung als auch die Weitergabe personenbezogener Daten zulässig, wenn sie für Zwecke der Werbung oder der Markt- und Meinungsforschung genutzt werden.

Ausschlaggebend sind außerdem Listendaten. Handelt es sich um listenmäßige Daten, die das BDSG normiert, ist die Verarbeitung ebenfalls rechtmäßig. Diese müssen sich aber auf Angaben über die Zugehörigkeit des Betroffenen zu bestimmten Personengruppen beschränken. Also beispielsweise:

• Berufs-, Branchen- oder Geschäftsbezeichnungen
• Namen
• Titel
• Akademische Grade
• Anschrift
• Geburtsjahr

Die Weitergabe von Daten an Dritte ist ohne Einwilligung des Betroffenen zulässig, wenn kein schutzwürdiges Interesse des Betroffenen gegen die Übermittlung spricht. Der Gesetzgeber hat diese Voraussetzungen allerdings nicht präzise vorgeschrieben, sodass hier oft nach Einzelfällen entschieden wird. Werden Daten an Dritte übergeben, so dürfen diese Daten nur für den Zweck verarbeitet oder genutzt werden, zu dessen Erfüllung sie erst weitergegeben worden sind. Am unkompliziertesten ist es also immer, die Erlaubnis der betroffenen Person einzuholen.

Beim Weiterverkauf von Daten gibt es also einiges zu beachten. Datenbanken stehen unter Urheberrechtsschutz, weshalb Datennutzende den Umfang der eingeräumten Nutzungsrechte im Zweifel eng anlegen sollten. Eine ausdrückliche und umfassende Nutzungsrechtseinräumung ist empfehlenswert, um den Umfang der Nutzungsrechte des Käufers und Lizenznehmers früh zu definieren.

Firmenadressen kaufen – so geht's richtig

Noch vor der Akquise benötigen Marketer und Vertriebstätige Adressen. Einige Zuständige, die dem Einkauf von Adressdaten offen gegenüberstehen, kaufen Firmendaten, ohne zu überlegen, beim nächsten Listbroker. Dabei ist die Wahl des Drittanbieters von Lead-Adressen äußerst wichtig – sowohl für DSGVO-Konformität als auch für das Endergebnis. Denn nicht nur die Einwilligungen zur Nutzung dieser Daten, sondern auch ihre Aktualität, Genauigkeit und ihr Detailreichtum entscheiden über eine erfolgreiche Neukundengewinnung. Um B2B-Leads zu generieren, benötigen Vertriebler und Marketer nicht nur Daten zu den Unternehmen, sondern auch zu den Führungskräften selbst. Beispielsweise wirkt ein Erstkontakt unprofessionell, wenn der Vertriebstätige nach einem Entscheidungsträger fragt, der schon lange nicht mehr im Unternehmen tätig ist. Veraltete Telefonnummern oder Mailadressen verhindern ebenfalls einen Geschäftsabschluss.

Die Business Engine von databyte verfügt beispielsweise nicht nur über einen Datensatz von über 7 Millionen Firmenprofilen aus dem Handelsregister, zum Beispiel zur Position des Ansprechpartners, zur Unternehmensgröße oder zum Umsatz. Sondern die bis zu täglich aktualisierten Daten stammen aus verifizierten Quellen, wie dem Handelsregister – garantiert DSGVO-konform. Business-Engine-Nutzer greifen ohne Sorge wegen illegalen Handlungen auf die über 100 Millionen Einzelinformationen zurück und filtern genau die Adressen, die sie finden wollen. Denn statt einer einzelnen in Auftrag gegebenen Liste, die nicht aktualisiert wird und zumeist nur grobe Eckpunkte preisgibt, verfügen databyte-Kunden über ständigen Zugang zur Business Engine und werden bei Änderungen wie Umzügen, Entscheiderwechsel oder zu Feierlichkeiten wie dem Geburtstag des Ansprechpartners informiert. Ganz legal nach DSGVO und BDSG.