Generación de Leads B2B Conforme al RGPD: ¿Qué Está Permitido?

Generación de leads B2B y RGPD — para muchos equipos de ventas suena a contradicción. No lo es: la investigación de datos empresariales públicos para captar nuevos clientes es en principio posible bajo el RGPD (el Reglamento General de Protección de Datos de la UE, conocido en Alemania como DSGVO), por regla general sobre la base del interés legítimo según el art. 6, apdo. 1, letra f del RGPD. Los requisitos son una ponderación de intereses documentada, el cumplimiento de los deberes de información del art. 14 del RGPD, procesos funcionales para los derechos de los interesados y el canal de contacto correcto según el § 7 UWG (artículo de la ley alemana contra la competencia desleal). Esta guía explica los cuatro pilares — y lo que expresamente no está permitido. No sustituye el asesoramiento jurídico.

¿Se aplica el RGPD a la generación de leads B2B?

Sí, el RGPD también se aplica a la generación de leads B2B — pero solo a los datos personales, es decir, a la información sobre personas físicas identificadas o identificables (art. 4, n.º 1 del RGPD). Los datos sobre empresas como personas jurídicas no entran en su ámbito. En la práctica, sin embargo, esta frontera se difumina rápidamente:

• Los datos sobre personas jurídicas (GmbH, AG, e.K. con varios socios) no están directamente sujetos al RGPD
• En empresarios individuales, profesionales liberales y socios de una GbR, los datos de la empresa y de la persona son idénticos — aquí el RGPD se aplica por completo. Para talleres artesanales, consultas o despachos, este es el caso habitual, no la excepción
• Los datos sobre personas individuales como representantes de una empresa (por ejemplo, "Max Mustermann, administrador") son datos personales y están sujetos al RGPD
• Las direcciones funcionales genéricas como info@firma.de se consideran en la práctica menos dignas de protección que las direcciones personalizadas — pero en cuanto son atribuibles a una persona (empresa individual), también son datos personales

Datos personales son toda la información que se refiere a una persona física identificada o identificable — en el contexto B2B, por tanto, el nombre, la dirección de correo electrónico personalizada, la extensión telefónica directa o el perfil de LinkedIn de una persona de contacto. Quien construye una lista de leads debería asumir, por ello, que una parte considerable de los registros está sujeta al RGPD y orientar el proceso en consecuencia desde el principio.

Datos de empresa o datos personales — ¿dónde está la frontera?

La frontera no pasa entre "B2B" y "B2C", sino entre datos con y sin relación con una persona física. La misma información puede estar sujeta al RGPD o no, según la forma jurídica de la empresa. El siguiente resumen muestra los casos más importantes:

Consecuencia práctica: no necesitas dos procesos separados. Quien configura su investigación de leads de modo que sea válida para datos personales queda automáticamente en el lado seguro también con datos puramente empresariales — lo contrario no se cumple.

¿Qué base jurídica permite la generación de leads B2B?

La base jurídica central para investigar y almacenar datos de contacto B2B es el interés legítimo según el art. 6, apdo. 1, letra f del RGPD. El considerando 47 del RGPD menciona expresamente la publicidad directa como un tratamiento que puede servir a un interés legítimo. También las autoridades de control alemanas lo reconocen: la guía orientativa de la Datenschutzkonferenz sobre publicidad directa (febrero de 2022) confirma que el tratamiento de datos con fines publicitarios puede apoyarse en el art. 6, apdo. 1, letra f del RGPD — pero subraya a la vez que las valoraciones de la UWG se incorporan a la ponderación de intereses.

El interés legítimo no es un salvoconducto, sino una ponderación en tres niveles que deberías documentar:

1. Nombrar el interés legítimo: la captación de nuevos clientes en B2B es un interés económico reconocido
2. Comprobar la necesidad: ¿se tratan solo los datos necesarios para la finalidad (nombre de la empresa, datos de contacto profesionales, sector) — o más?
3. Ponderar los intereses: ¿prevalecen los intereses de la persona afectada? Con datos de contacto profesionales procedentes de fuentes públicas y tratados en contexto profesional, por regla general no — con datos privados o usos inesperados, sí

Importante: "los datos son públicos" no es por sí solo un salvoconducto. Siempre hace falta la ponderación documentada, y el tratamiento debe mantenerse dentro de lo que la persona afectada puede razonablemente esperar. Un administrador que publica sus datos de contacto en el Impressum (aviso legal obligatorio en Alemania) debe contar con contactos comerciales — pero no con que su registro se revenda a terceros.

¿Qué fuentes de datos entran en consideración?

Son adecuadas las fuentes que la propia empresa hace públicamente accesibles y cuyo origen puedes acreditar por cada registro:

• Fichas en Google Maps / Google Business Profile
• Datos del Impressum en los sitios web de las empresas
• Correos de contacto en sitios web públicos (info@, kontakt@)
• Perfiles públicos de LinkedIn de administradores
• Inscripciones en el Handelsregister (registro mercantil alemán)

Cómo obtener estos datos públicos de forma técnicamente limpia y dentro de las condiciones de uso de Google mediante la Google Places API lo explica nuestro artículo sobre el scraping de Google Maps y la alternativa legal de la API.

¿Qué deberes de información rigen según el art. 14 del RGPD?

Quien no recoge los datos personales de la propia persona — el caso habitual en la investigación de leads — debe informar activamente a la persona afectada según el art. 14 del RGPD: dentro de un plazo razonable, a más tardar un mes después de la recogida y, en todo caso, a más tardar en el primer contacto. Este deber es el que más se pasa por alto en la práctica.

Entre los datos obligatorios figuran en particular:

• Identidad y datos de contacto de tu empresa (y, en su caso, del delegado de protección de datos)
• Finalidad y base jurídica del tratamiento — con el art. 6, apdo. 1, letra f del RGPD, también el interés legítimo concreto
• Categorías de los datos tratados y su fuente (p. ej. "ficha pública en un directorio sectorial", "Impressum del sitio web de la empresa")
• Plazo de conservación o criterios para su determinación
• Derechos de los interesados, en particular el derecho de oposición del art. 21 del RGPD, y el derecho a reclamar ante una autoridad de control

En la práctica lo resuelves con una breve nota de transparencia en el primer contacto ("He tomado sus datos de contacto de su perfil público de empresa") más un enlace a una información completa de protección de datos. La excepción del art. 14, apdo. 5, letra b del RGPD — exención del deber por esfuerzo desproporcionado — debe interpretarse de forma restrictiva y normalmente no aplica en el contacto individual selectivo con leads: quien puede contactar a una persona, también puede informarla.

El canal de contacto decide: ¿qué permite el § 7 UWG?

El RGPD solo regula el tratamiento de datos — para el contacto publicitario rige además el § 7 UWG (ley alemana contra la competencia desleal), y sus valoraciones se incorporan directamente a la ponderación de intereses según el criterio de las autoridades de protección de datos. Las reglas difieren claramente según el canal:

• Correo electrónico: los correos publicitarios requieren según el § 7, apdo. 2, n.º 2 UWG un consentimiento expreso previo — también en B2B. En el correo electrónico no existe el "consentimiento presunto". Única excepción: clientes existentes bajo los estrictos requisitos del § 7, apdo. 3 UWG. Los correos en frío a direcciones investigadas sin consentimiento son contrarios a la competencia leal y pueden dar lugar a una Abmahnung (requerimiento formal de cese con costes, habitual en el derecho alemán)
• Teléfono (B2B): admisible con consentimiento presunto (§ 7, apdo. 2, n.º 1 UWG) — de las circunstancias debe poder deducirse un interés concreto y objetivo del destinatario de la llamada en la oferta; la mera pertenencia a un sector no basta
• Correo postal: la publicidad por carta a direcciones comerciales es por regla general admisible sobre la base del interés legítimo, mientras no exista oposición

Las direcciones de correo investigadas son, por tanto, sobre todo datos de investigación y verificación (quién es la persona de contacto correcta, cuál es el dominio) — no una lista de envío para la prospección en frío. Los detalles del contacto por correo electrónico los explica nuestro artículo sobre la prospección en frío B2B por correo electrónico en Alemania, y las reglas para las llamadas, la guía de la prospección telefónica en B2B.

¿Qué derechos de los interesados debes aplicar?

Cada persona de tu base de datos de leads tiene derechos exigibles judicialmente, para los que necesitas procesos funcionales — con independencia de lo pequeña que sea la lista. Los cuatro más importantes:

• Acceso (art. 15 del RGPD): a petición, debes comunicar en el plazo de un mes qué datos guardas, de dónde proceden y para qué los usas
• Rectificación (art. 16 del RGPD): los datos incorrectos deben corregirse sin demora
• Supresión (art. 17 del RGPD): si desaparece la finalidad o prospera una oposición, los datos deben borrarse — los leads sin respuesta, en cualquier caso, tras un tiempo razonable
• Oposición (art. 21 del RGPD): la oposición a la publicidad directa es absoluta — debe aplicarse de inmediato sin ponderación. Mantén una lista de exclusión para que los contactos que se opusieron no vuelvan a entrar en la base de datos en la siguiente investigación

Que las autoridades de control se lo toman en serio lo demuestra un caso verificado: la comisionada de protección de datos y libertad de información de Berlín impuso en 2019 multas por un total de 195.407 euros a Delivery Hero Germany GmbH — entre otras razones, porque una persona recibió 15 correos publicitarios adicionales pese a su oposición expresa a la publicidad y no se borraron cuentas antiguas.

¿Qué no está permitido en la generación de leads B2B?

Prohibidas o de alto riesgo son sobre todo estas prácticas — aparecen una y otra vez en Abmahnungen y procedimientos sancionadores:

• Enviar correos publicitarios sin consentimiento expreso previo (§ 7, apdo. 2, n.º 2 UWG — también en B2B)
• Usar direcciones de correo privadas o perfiles privados de redes sociales para la prospección
• Utilizar datos de personas que se han opuesto
• Comprar listas de direcciones de fuentes dudosas o ilegales — sin base jurídica acreditable de la recogida, respondes por el tratamiento posterior
• Extraer datos detrás de inicios de sesión o de áreas cerradas
• Almacenar más datos de los necesarios para el contacto (infracción de la minimización de datos, art. 5, apdo. 1, letra c del RGPD)

Guía práctica: así reduces el riesgo de tu generación de leads

1. Documenta tu ponderación de intereses — el interés legítimo solo se sostiene si está fundamentado y consta por escrito
2. Elige el canal correcto — el teléfono (B2B, con consentimiento presunto) y el correo postal son defendibles; el correo electrónico solo con consentimiento o en la relación con clientes existentes
3. Usa fuentes de datos públicas con acreditación del origen — Google Places y los sitios web de las empresas son más trazables que bases de datos compradas de origen dudoso
4. Cumple el deber de información — informar a más tardar en el primer contacto sobre la fuente de los datos, la finalidad y el derecho de oposición; mantener actualizada la política de privacidad
5. Trata los datos en Europa — las herramientas estadounidenses implican un esfuerzo adicional de verificación (transferencia a terceros países)
6. Reacciona de inmediato a las oposiciones — quien se da de baja debe ser eliminado al instante de todas las listas y bloqueado contra una nueva inclusión

¿Cómo apoya anilead.io un proceso orientado a la protección de datos?

anilead.io es un software de generación de leads B2B para el mercado DACH que encuentra empresas a través de Google Places, extrae direcciones de correo electrónico y evalúa cada lead con Claude AI. Para la práctica de protección de datos son relevantes tres características: se tratan exclusivamente datos empresariales de acceso público (Google Places API, sitios web de empresas), la fuente de origen se guarda por cada registro — lo que facilita el acceso según el art. 15 y la indicación de la fuente según el art. 14 — y el tratamiento de datos se realiza en servidores de la UE en Fráncfort. Esto reduce considerablemente el esfuerzo de verificación frente a bases de datos con sede en EE. UU., pero no sustituye tu propia responsabilidad: anilead.io no es, deliberadamente, una herramienta de envío de correos, y el diseño legalmente conforme del contacto — elección de canal, consentimientos, deberes de información — te corresponde a ti como usuario. Por qué el origen de los datos marca la diferencia al elegir herramienta lo muestra nuestra comparativa de alternativas a Apollo.io para DACH.

Preguntas frecuentes sobre el RGPD en la generación de leads B2B

¿Necesito un consentimiento para investigar leads B2B?

No, para investigar y almacenar datos de contacto profesionales procedentes de fuentes públicas basta por regla general el interés legítimo según el art. 6, apdo. 1, letra f del RGPD con una ponderación de intereses documentada. El consentimiento lo necesitas solo para determinados canales de contacto: los correos publicitarios exigen según el § 7, apdo. 2, n.º 2 UWG un consentimiento expreso previo — también en B2B.

¿Puedo usar los datos del Impressum para la prospección?

Sí, los datos del Impressum son información empresarial de acceso público y pueden investigarse y almacenarse sobre la base del interés legítimo. Pero "público" no es un salvoconducto: la ponderación de intereses debe estar documentada, el deber de información del art. 14 del RGPD sigue vigente y para el contacto rigen las reglas de canal del § 7 UWG.

¿Debo informar activamente a cada lead investigado?

En principio, sí: el art. 14 del RGPD exige la información dentro del mes siguiente a la recogida y, a más tardar, en el primer contacto. Lo practicable es una indicación de la fuente en el primer mensaje más un enlace a la información de protección de datos. La excepción por esfuerzo desproporcionado (art. 14, apdo. 5, letra b del RGPD) normalmente no aplica en el contacto individual selectivo.

¿Qué consecuencias tienen las infracciones?

Tres riesgos en paralelo: multas de la autoridad de protección de datos según el art. 83 del RGPD (en el caso Delivery Hero de 2019: 195.407 euros), Abmahnungen de derecho de la competencia con declaración de cese y pena contractual por contacto publicitario inadmisible (§ 7 UWG), así como reclamaciones de indemnización de las personas afectadas según el art. 82 del RGPD. Unos procesos limpios salen mucho más baratos que el primer litigio.

¿Es automáticamente inadmisible una herramienta estadounidense para la generación de leads?

No, pero aumenta el esfuerzo de verificación: debes asegurar la transferencia a terceros países (por ejemplo, mediante el EU-US Data Privacy Framework o cláusulas contractuales tipo), evaluar la base jurídica de la base de datos de contactos subyacente y cumplir los deberes de información. El alojamiento en la UE y unas fuentes de datos públicas trazables simplifican considerablemente esta verificación.

Conclusión

La generación de leads B2B y el RGPD no se excluyen. Lo decisivo son una base jurídica documentada (art. 6, apdo. 1, letra f del RGPD), el cumplimiento de los deberes de información (art. 14 del RGPD), unos derechos de los interesados aplicados en la práctica (en particular la oposición absoluta a la publicidad según el art. 21 del RGPD) y el canal de contacto correcto según el § 7 UWG. Quien lo respeta reduce al mínimo el riesgo de Abmahnungen y multas — aunque en el derecho de protección de datos nunca hay garantías. Este artículo no es asesoramiento jurídico; para evaluar tu proceso concreto conviene un asesoramiento legal cualificado.