DSGVO-konforme B2B Lead Generierung: Was ist erlaubt?

DSGVO B2B Lead Generierung — für viele Vertriebsteams klingt das nach Widerspruch. Ist es nicht: Die Recherche öffentlicher Unternehmensdaten für die Neukundengewinnung ist unter der DSGVO grundsätzlich möglich, in der Regel auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Voraussetzung sind eine dokumentierte Interessenabwägung, erfüllte Informationspflichten nach Art. 14 DSGVO, funktionierende Prozesse für Betroffenenrechte und der richtige Ansprachekanal nach § 7 UWG. Dieser Leitfaden erklärt alle vier Bausteine — und was ausdrücklich nicht geht. Er ersetzt keine Rechtsberatung.

Gilt die DSGVO für B2B Lead Generierung?

Ja, die DSGVO gilt auch bei der B2B Lead Generierung — aber nur für personenbezogene Daten, also Informationen über identifizierte oder identifizierbare natürliche Personen (Art. 4 Nr. 1 DSGVO). Daten über Unternehmen als juristische Personen fallen nicht darunter. In der Praxis verschwimmt diese Grenze allerdings schnell:

• Daten über juristische Personen (GmbH, AG, e.K. mit mehreren Gesellschaftern) fallen nicht direkt unter die DSGVO
• Bei Einzelunternehmern, Freiberuflern und GbR-Gesellschaftern sind Unternehmens- und Personendaten identisch — hier gilt die DSGVO vollständig. Für Handwerksbetriebe, Praxen oder Kanzleien ist das der Regelfall, nicht die Ausnahme
• Daten über Einzelpersonen als Vertreter eines Unternehmens (etwa „Max Mustermann, Geschäftsführer") sind personenbezogen und unterliegen der DSGVO
• Allgemeine Funktionsadressen wie info@firma.de gelten in der Praxis als weniger schützenswert als personalisierte Adressen — sobald sie aber einer Person zuordenbar sind (Einzelunternehmen), sind auch sie personenbezogen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — im B2B-Kontext also Name, personalisierte E-Mail-Adresse, Durchwahl oder das LinkedIn-Profil eines Ansprechpartners. Wer eine Lead-Liste aufbaut, sollte deshalb davon ausgehen, dass ein erheblicher Teil der Datensätze der DSGVO unterliegt, und den Prozess von Anfang an danach ausrichten.

Firmendaten oder personenbezogene Daten — wo verläuft die Grenze?

Die Grenze verläuft nicht zwischen „B2B" und „B2C", sondern zwischen Daten mit und ohne Bezug zu einer natürlichen Person. Dieselbe Information kann je nach Rechtsform des Unternehmens unter die DSGVO fallen oder nicht. Die folgende Übersicht zeigt die wichtigsten Fälle:

Praktische Konsequenz: Du brauchst keine zwei getrennten Prozesse. Wer seine Lead-Recherche so aufsetzt, dass sie für personenbezogene Daten trägt, ist automatisch auch bei reinen Firmendaten auf der sicheren Seite — umgekehrt gilt das nicht.

Welche Rechtsgrundlage erlaubt die B2B Lead Generierung?

Die zentrale Rechtsgrundlage für die Recherche und Speicherung von B2B-Kontaktdaten ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Erwägungsgrund 47 der DSGVO nennt die Direktwerbung ausdrücklich als Verarbeitung, die einem berechtigten Interesse dienen kann. Auch die deutschen Aufsichtsbehörden erkennen das an: Die Orientierungshilfe der Datenschutzkonferenz zur Direktwerbung (Februar 2022) bestätigt, dass werbliche Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann — betont aber zugleich, dass die Wertungen des UWG in die Interessenabwägung einfließen.

Das berechtigte Interesse ist kein Freifahrtschein, sondern eine Abwägung in drei Stufen, die du dokumentieren solltest:

1. Berechtigtes Interesse benennen: Neukundengewinnung im B2B ist ein anerkanntes wirtschaftliches Interesse
2. Erforderlichkeit prüfen: Werden nur die Daten verarbeitet, die für den Zweck nötig sind (Firmenname, geschäftliche Kontaktdaten, Branche) — oder mehr?
3. Interessen abwägen: Überwiegen die Interessen der betroffenen Person? Bei geschäftlichen Kontaktdaten aus öffentlichen Quellen, die im beruflichen Kontext verarbeitet werden, in der Regel nicht — bei privaten Daten oder unerwarteten Verwendungen schon

Wichtig: „Die Daten sind öffentlich" ist allein kein Freibrief. Es braucht immer die dokumentierte Abwägung, und die Verarbeitung muss sich im Rahmen dessen bewegen, womit die betroffene Person vernünftigerweise rechnen muss. Ein Geschäftsführer, der seine Kontaktdaten im Impressum veröffentlicht, muss mit geschäftlicher Kontaktaufnahme rechnen — nicht aber damit, dass sein Datensatz an Dritte weiterverkauft wird.

Welche Datenquellen kommen infrage?

Geeignet sind Quellen, die das Unternehmen selbst öffentlich zugänglich macht und deren Herkunft du je Datensatz nachweisen kannst:

• Einträge in Google Maps / Google Business Profile
• Impressums-Angaben auf Unternehmenswebseiten
• Kontakt-E-Mails auf öffentlichen Webseiten (info@, kontakt@)
• Öffentliche LinkedIn-Profile von Geschäftsführern
• Handelsregister-Einträge

Wie du diese öffentlichen Daten technisch sauber und im Rahmen der Google-Nutzungsbedingungen über die Google Places API abrufst, erklärt unser Artikel zu Google Maps Scraping und der legalen API-Alternative.

Welche Informationspflichten gelten nach Art. 14 DSGVO?

Wer personenbezogene Daten nicht bei der Person selbst erhebt — der Normalfall bei der Lead-Recherche —, muss die betroffene Person nach Art. 14 DSGVO aktiv informieren: innerhalb einer angemessenen Frist, spätestens binnen eines Monats nach Erhebung, und in jedem Fall spätestens bei der ersten Kontaktaufnahme. Diese Pflicht wird in der Praxis am häufigsten übersehen.

Zu den Pflichtangaben gehören insbesondere:

• Identität und Kontaktdaten deines Unternehmens (und ggf. des Datenschutzbeauftragten)
• Zweck und Rechtsgrundlage der Verarbeitung — bei Art. 6 Abs. 1 lit. f DSGVO auch das konkrete berechtigte Interesse
• Kategorien der verarbeiteten Daten und deren Quelle (z. B. „öffentlicher Brancheneintrag", „Impressum der Unternehmenswebsite")
• Speicherdauer oder Kriterien für ihre Festlegung
• Betroffenenrechte, insbesondere das Widerspruchsrecht nach Art. 21 DSGVO, und das Beschwerderecht bei einer Aufsichtsbehörde

Praktisch löst du das mit einem kurzen Transparenzhinweis in der Erstansprache („Ihre Kontaktdaten habe ich Ihrem öffentlichen Unternehmensprofil entnommen") plus Link auf eine vollständige Datenschutzinformation. Die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO — Wegfall der Pflicht bei unverhältnismäßigem Aufwand — ist eng auszulegen und trägt bei gezielter Einzelansprache von Leads regelmäßig nicht: Wer eine Person kontaktieren kann, kann sie auch informieren.

Der Ansprachekanal entscheidet: Was erlaubt § 7 UWG?

Die DSGVO regelt nur die Datenverarbeitung — für die werbliche Ansprache gilt zusätzlich § 7 UWG, und dessen Wertungen fließen nach Auffassung der Datenschutzaufsichtsbehörden direkt in die Interessenabwägung ein. Die Regeln unterscheiden sich je Kanal deutlich:

• E-Mail: Werbe-E-Mails erfordern nach § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung — auch im B2B. Eine „mutmaßliche Einwilligung" gibt es bei E-Mail nicht. Einzige Ausnahme: Bestandskunden unter den engen Voraussetzungen des § 7 Abs. 3 UWG. Kalt-E-Mails an recherchierte Adressen ohne Einwilligung sind wettbewerbswidrig und abmahnfähig
• Telefon (B2B): zulässig bei mutmaßlicher Einwilligung (§ 7 Abs. 2 Nr. 1 UWG) — aus den Umständen muss sich ein konkretes, sachliches Interesse des Angerufenen am Angebot ableiten lassen; bloße Branchenzugehörigkeit genügt nicht
• Post: Briefwerbung an Geschäftsadressen ist auf Grundlage des berechtigten Interesses in der Regel zulässig, solange kein Widerspruch vorliegt

Recherchierte E-Mail-Adressen sind damit vor allem Recherche- und Verifikationsdaten (wer ist der richtige Ansprechpartner, wie lautet die Domain) — keine Versandliste für Kaltakquise. Die Details zur E-Mail-Ansprache erklärt unser Artikel zur B2B Kaltakquise per E-Mail in Deutschland, die Regeln für Anrufe der Leitfaden zur Telefonakquise im B2B.

Welche Betroffenenrechte musst du umsetzen?

Jede Person in deiner Lead-Datenbank hat einklagbare Rechte, für die du funktionierende Prozesse brauchst — unabhängig davon, wie klein die Liste ist. Die vier wichtigsten:

• Auskunft (Art. 15 DSGVO): Auf Anfrage musst du binnen eines Monats mitteilen, welche Daten du speicherst, woher sie stammen und wofür du sie nutzt
• Berichtigung (Art. 16 DSGVO): Falsche Daten sind unverzüglich zu korrigieren
• Löschung (Art. 17 DSGVO): Wenn der Zweck entfällt oder ein Widerspruch greift, sind die Daten zu löschen — Leads ohne Reaktion nach angemessener Zeit ohnehin
• Widerspruch (Art. 21 DSGVO): Der Widerspruch gegen Direktwerbung ist absolut — er muss ohne Abwägung sofort umgesetzt werden. Führe eine Sperrliste, damit widersprochene Kontakte nicht bei der nächsten Recherche erneut in der Datenbank landen

Dass Aufsichtsbehörden das ernst nehmen, zeigt ein verifizierter Fall: Die Berliner Beauftragte für Datenschutz und Informationsfreiheit verhängte 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH — unter anderem, weil eine Person trotz ausdrücklichen Werbewiderspruchs 15 weitere Werbe-E-Mails erhielt und Alt-Konten nicht gelöscht wurden.

Was ist bei der B2B Lead Generierung nicht erlaubt?

Verboten oder mit hohem Risiko verbunden sind vor allem diese Praktiken — sie tauchen in Abmahnungen und Bußgeldverfahren immer wieder auf:

• Werbe-E-Mails ohne vorherige ausdrückliche Einwilligung versenden (§ 7 Abs. 2 Nr. 2 UWG — auch im B2B)
• Private E-Mail-Adressen oder private Social-Media-Profile für die Akquise nutzen
• Daten von Personen verwenden, die widersprochen haben
• Adresslisten aus unklaren oder illegalen Quellen kaufen — ohne nachweisbare Rechtsgrundlage der Erhebung haftest du für die Weiterverarbeitung
• Daten hinter Logins oder aus geschlossenen Bereichen abgreifen
• Mehr Daten speichern, als für die Ansprache notwendig ist (Verstoß gegen die Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO)

Praktischer Leitfaden: So reduzierst du das Risiko deiner Lead Generierung

1. Dokumentiere deine Interessenabwägung — das berechtigte Interesse trägt nur, wenn es begründet und schriftlich festgehalten ist
2. Wähle den richtigen Kanal — Telefon (B2B, bei mutmaßlicher Einwilligung) und Post sind vertretbar; E-Mail nur mit Einwilligung oder im Bestandskundenverhältnis
3. Nutze öffentliche Datenquellen mit Quellennachweis — Google Places und Unternehmenswebseiten sind nachvollziehbarer als eingekaufte Datenbanken unklarer Herkunft
4. Erfülle die Informationspflicht — spätestens beim Erstkontakt über Datenquelle, Zweck und Widerspruchsrecht informieren; Datenschutzerklärung aktuell halten
5. Verarbeite Daten in Europa — US-Tools bedeuten zusätzlichen Prüfaufwand (Drittlandtransfer)
6. Reagiere sofort auf Widersprüche — wer sich abmeldet, muss sofort aus allen Listen entfernt und gegen erneute Aufnahme gesperrt werden

Wie unterstützt anilead.io einen datenschutzorientierten Prozess?

anilead.io ist eine B2B-Leadgenerierungs-Software für den DACH-Markt, die Unternehmen über Google Places findet, E-Mail-Adressen extrahiert und jeden Lead mit Claude AI bewertet. Für die Datenschutz-Praxis relevant sind drei Eigenschaften: Es werden ausschließlich öffentlich zugängliche Unternehmensdaten verarbeitet (Google Places API, Firmenwebseiten), die Herkunftsquelle wird je Datensatz gespeichert — das erleichtert die Auskunft nach Art. 15 und die Quellenangabe nach Art. 14 —, und die Datenverarbeitung läuft auf EU-Servern in Frankfurt. Das reduziert den Prüfaufwand gegenüber US-basierten Datenbanken erheblich, ersetzt aber nicht deine eigene Verantwortung: anilead.io ist bewusst kein E-Mail-Versandtool, und die rechtskonforme Gestaltung der Kontaktaufnahme — Kanalwahl, Einwilligungen, Informationspflichten — liegt bei dir als Nutzer. Warum die Datenherkunft bei der Toolauswahl den Unterschied macht, zeigt unser Apollo.io Alternativenvergleich für DACH.

Häufige Fragen zur DSGVO bei der B2B Lead Generierung

Brauche ich eine Einwilligung, um B2B-Leads zu recherchieren?

Nein, für die Recherche und Speicherung geschäftlicher Kontaktdaten aus öffentlichen Quellen genügt in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Interessenabwägung. Eine Einwilligung brauchst du erst für bestimmte Ansprachekanäle: Werbe-E-Mails setzen nach § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung voraus — auch im B2B.

Darf ich Impressumsdaten für die Akquise verwenden?

Ja, Impressumsdaten sind öffentlich zugängliche Unternehmensangaben und dürfen auf Grundlage des berechtigten Interesses recherchiert und gespeichert werden. „Öffentlich" ist aber kein Freibrief: Die Interessenabwägung muss dokumentiert sein, die Informationspflicht nach Art. 14 DSGVO gilt trotzdem, und für die Ansprache gelten die Kanalregeln des § 7 UWG.

Muss ich jeden recherchierten Lead aktiv informieren?

Grundsätzlich ja: Art. 14 DSGVO verlangt die Information binnen eines Monats nach Erhebung, spätestens bei der ersten Kontaktaufnahme. Praktikabel ist ein Quellenhinweis in der Erstansprache plus Link zur Datenschutzinformation. Die Ausnahme wegen unverhältnismäßigen Aufwands (Art. 14 Abs. 5 lit. b DSGVO) greift bei gezielter Einzelansprache regelmäßig nicht.

Was droht bei Verstößen?

Drei Risiken parallel: Bußgelder der Datenschutzaufsicht nach Art. 83 DSGVO (im Fall Delivery Hero 2019: 195.407 Euro), wettbewerbsrechtliche Abmahnungen mit Unterlassungserklärung und Vertragsstrafe bei unzulässiger Werbeansprache (§ 7 UWG) sowie Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Saubere Prozesse sind deutlich günstiger als der erste Rechtsstreit.

Ist ein US-Tool für die Lead-Generierung automatisch unzulässig?

Nein, aber es erhöht den Prüfaufwand: Du musst den Drittlandtransfer absichern (etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln), die Rechtsgrundlage der zugrunde liegenden Kontaktdatenbank bewerten und die Informationspflichten erfüllen. EU-Hosting und nachvollziehbare öffentliche Datenquellen vereinfachen diese Prüfung erheblich.

Fazit

B2B Lead Generierung und DSGVO schließen sich nicht aus. Entscheidend sind eine dokumentierte Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO), erfüllte Informationspflichten (Art. 14 DSGVO), gelebte Betroffenenrechte (insbesondere der absolute Werbewiderspruch nach Art. 21 DSGVO) und der richtige Ansprachekanal nach § 7 UWG. Wer das beachtet, reduziert das Abmahn- und Bußgeldrisiko auf ein Minimum — eine Garantie gibt es im Datenschutzrecht aber nie. Dieser Artikel ist keine Rechtsberatung; für die Bewertung deines konkreten Prozesses hilft qualifizierte anwaltliche Beratung.