GDPR-Compliant B2B Lead Generation: What Is Allowed?

GDPR и генерация B2B-лидов — для многих отделов продаж это звучит как противоречие. Но это не так: поиск публичных данных о компаниях для привлечения новых клиентов в принципе возможен в рамках GDPR (Общего регламента ЕС по защите данных, в Германии известного как DSGVO), как правило на основании законного интереса согласно Art. 6 Abs. 1 lit. f DSGVO. Условия — документированное взвешивание интересов, выполненные обязанности по информированию согласно Art. 14 DSGVO, работающие процессы для прав субъектов данных и правильный канал обращения согласно § 7 UWG (немецкий закон о недобросовестной конкуренции). Это руководство объясняет все четыре элемента — и то, что прямо запрещено. Оно не заменяет юридическую консультацию.

Действует ли GDPR при генерации B2B-лидов?

Да, GDPR действует и при генерации B2B-лидов — но только для персональных данных, то есть информации об идентифицированных или идентифицируемых физических лицах (Art. 4 Nr. 1 DSGVO). Данные о компаниях как юридических лицах под него не подпадают. На практике, однако, эта граница быстро размывается:

• Данные о юридических лицах (GmbH, AG, e.K. с несколькими участниками) не подпадают напрямую под GDPR
• У индивидуальных предпринимателей, лиц свободных профессий и участников GbR данные компании и личные данные идентичны — здесь GDPR действует полностью. Для ремесленных предприятий, практик или адвокатских контор это правило, а не исключение
• Данные об отдельных людях как представителях компании (например, «Max Mustermann, управляющий директор») являются персональными и подпадают под GDPR
• Общие функциональные адреса вроде info@firma.de на практике считаются менее защищёнными, чем персонализированные — но как только их можно соотнести с человеком (индивидуальное предприятие), они тоже персональные

Персональные данные — это вся информация, относящаяся к идентифицированному или идентифицируемому физическому лицу; в контексте B2B это имя, персонализированный e-mail-адрес, прямой номер или профиль контактного лица в LinkedIn. Кто строит лид-лист, должен поэтому исходить из того, что значительная часть записей подпадает под GDPR, и с самого начала выстраивать процесс соответственно.

Данные компании или персональные данные — где проходит граница?

Граница проходит не между «B2B» и «B2C», а между данными с привязкой к физическому лицу и без неё. Одна и та же информация в зависимости от организационно-правовой формы компании может подпадать под GDPR или нет. Следующий обзор показывает важнейшие случаи:

Практический вывод: вам не нужны два раздельных процесса. Кто выстраивает поиск лидов так, чтобы он выдерживал требования для персональных данных, автоматически на надёжной стороне и с чистыми данными компаний — обратное неверно.

Какое правовое основание разрешает генерацию B2B-лидов?

Центральное правовое основание для поиска и хранения B2B-контактных данных — законный интерес согласно Art. 6 Abs. 1 lit. f DSGVO. Преамбула 47 GDPR прямо называет прямую рекламу обработкой, которая может служить законному интересу. Немецкие надзорные органы это тоже признают: ориентировочное руководство Конференции по защите данных о прямой рекламе (февраль 2022) подтверждает, что рекламную обработку данных можно опереть на Art. 6 Abs. 1 lit. f DSGVO — но одновременно подчёркивает, что оценки UWG входят во взвешивание интересов.

Законный интерес — не карт-бланш, а взвешивание в три ступени, которое следует документировать:

1. Назвать законный интерес: привлечение новых клиентов в B2B — признанный экономический интерес
2. Проверить необходимость: обрабатываются ли только данные, нужные для цели (название компании, деловые контактные данные, отрасль) — или больше?
3. Взвесить интересы: перевешивают ли интересы субъекта данных? Для деловых контактных данных из публичных источников, обрабатываемых в профессиональном контексте, — как правило, нет; для частных данных или неожиданного использования — да

Важно: «данные публичны» само по себе не индульгенция. Всегда нужно документированное взвешивание, и обработка должна оставаться в рамках того, на что субъект данных разумно может рассчитывать. Управляющий директор, публикующий свои контакты в Impressum (обязательный по немецкому праву блок с реквизитами на сайте), должен рассчитывать на деловое обращение — но не на то, что его данные перепродадут третьим лицам.

Какие источники данных подходят?

Подходят источники, которые компания сама делает общедоступными и происхождение которых вы можете подтвердить по каждой записи:

• Записи в Google Maps / Google Business Profile
• Данные Impressum на сайтах компаний
• Контактные e-mail на публичных сайтах (info@, kontakt@)
• Публичные LinkedIn-профили управляющих директоров
• Записи в Handelsregister

Как технически чисто и в рамках условий использования Google получать эти публичные данные через Google Places API, объясняет наша статья о скрейпинге Google Maps и легальной альтернативе через API.

Какие обязанности по информированию действуют согласно Art. 14 GDPR?

Кто собирает персональные данные не у самого человека — обычный случай при поиске лидов, — обязан согласно Art. 14 DSGVO активно проинформировать субъекта данных: в разумный срок, не позднее месяца после сбора и в любом случае не позднее первого контакта. На практике эту обязанность упускают чаще всего.

К обязательным сведениям относятся, в частности:

• Идентификационные и контактные данные вашей компании (и при наличии — уполномоченного по защите данных)
• Цель и правовое основание обработки — при Art. 6 Abs. 1 lit. f DSGVO также конкретный законный интерес
• Категории обрабатываемых данных и их источник (например, «публичная отраслевая запись», «Impressum сайта компании»)
• Срок хранения или критерии его определения
• Права субъектов данных, в частности право на возражение согласно Art. 21 DSGVO, и право на жалобу в надзорный орган

Практически это решается коротким уведомлением о прозрачности в первом обращении («Ваши контактные данные я взял из вашего публичного профиля компании») плюс ссылкой на полную информацию о защите данных. Исключение Art. 14 Abs. 5 lit. b DSGVO — отпадение обязанности при несоразмерных затратах — толкуется узко и при целевом индивидуальном обращении к лидам, как правило, не работает: кто может связаться с человеком, может его и проинформировать.

Канал обращения решает: что разрешает § 7 UWG?

GDPR регулирует только обработку данных — для рекламного обращения дополнительно действует § 7 UWG, и его оценки, по мнению надзорных органов по защите данных, напрямую входят во взвешивание интересов. Правила заметно различаются по каналам:

• E-mail: рекламные письма требуют согласно § 7 Abs. 2 Nr. 2 UWG предварительного явного согласия — в том числе в B2B. «Предполагаемого согласия» для e-mail не существует. Единственное исключение: действующие клиенты при узких условиях § 7 Abs. 3 UWG. Холодные письма на найденные адреса без согласия недобросовестны и грозят Abmahnung (формальная досудебная претензия с требованием прекращения, типичная для немецкого права)
• Телефон (B2B): допустим при предполагаемом согласии (§ 7 Abs. 2 Nr. 1 UWG) — из обстоятельств должен выводиться конкретный предметный интерес того, кому звонят, к предложению; простая принадлежность к отрасли недостаточна
• Почта: рекламные письма на деловые адреса на основании законного интереса, как правило, допустимы, пока нет возражения

Найденные e-mail-адреса — это прежде всего данные для исследования и верификации (кто правильное контактное лицо, какой домен), а не список рассылки для холодных писем. Детали обращения по e-mail объясняет наша статья о холодных B2B-письмах в Германии, правила для звонков — руководство по телефонным продажам в B2B.

Какие права субъектов данных нужно обеспечить?

Каждый человек в вашей базе лидов имеет права, защищаемые в суде, и для них нужны работающие процессы — независимо от размера списка. Четыре важнейших:

• Доступ (Art. 15 DSGVO): по запросу вы обязаны в течение месяца сообщить, какие данные храните, откуда они и для чего используются
• Исправление (Art. 16 DSGVO): неверные данные подлежат незамедлительному исправлению
• Удаление (Art. 17 DSGVO): если цель отпала или действует возражение, данные подлежат удалению — лиды без реакции по истечении разумного срока в любом случае
• Возражение (Art. 21 DSGVO): возражение против прямой рекламы абсолютно — оно должно исполняться немедленно, без взвешивания. Ведите стоп-лист, чтобы возразившие контакты не попадали в базу снова при следующем поиске

Что надзорные органы относятся к этому серьёзно, показывает подтверждённый случай: Берлинский уполномоченный по защите данных и свободе информации наложил в 2019 году штрафы в общей сложности 195.407 евро на Delivery Hero Germany GmbH — среди прочего потому, что один человек, несмотря на явное возражение против рекламы, получил ещё 15 рекламных писем, а старые аккаунты не были удалены.

Что не разрешено при генерации B2B-лидов?

Запрещены или связаны с высоким риском прежде всего эти практики — они снова и снова всплывают в Abmahnung и делах о штрафах:

• Рассылать рекламные письма без предварительного явного согласия (§ 7 Abs. 2 Nr. 2 UWG — в том числе в B2B)
• Использовать частные e-mail-адреса или частные профили в соцсетях для привлечения клиентов
• Использовать данные людей, которые возразили
• Покупать адресные списки из неясных или нелегальных источников — без доказуемого правового основания сбора вы отвечаете за дальнейшую обработку
• Извлекать данные из-за логинов или закрытых разделов
• Хранить больше данных, чем нужно для обращения (нарушение минимизации данных, Art. 5 Abs. 1 lit. c DSGVO)

Практическое руководство: как снизить риск вашей генерации лидов

1. Документируйте взвешивание интересов — законный интерес работает, только если он обоснован и зафиксирован письменно
2. Выбирайте правильный канал — телефон (B2B, при предполагаемом согласии) и почта приемлемы; e-mail только с согласием или в отношениях с действующими клиентами
3. Используйте публичные источники данных с указанием источника — Google Places и сайты компаний прозрачнее купленных баз неясного происхождения
4. Выполняйте обязанность по информированию — не позднее первого контакта сообщайте об источнике данных, цели и праве на возражение; поддерживайте актуальность декларации о защите данных
5. Обрабатывайте данные в Европе — американские инструменты означают дополнительные проверки (передача в третьи страны)
6. Немедленно реагируйте на возражения — кто отписался, должен быть сразу удалён из всех списков и защищён от повторного включения

Как anilead.io поддерживает процесс с ориентацией на защиту данных?

anilead.io — это софт для генерации B2B-лидов на рынке DACH, который находит компании через Google Places, извлекает e-mail-адреса и оценивает каждый лид с помощью Claude AI. Для практики защиты данных релевантны три свойства: обрабатываются исключительно общедоступные данные о компаниях (Google Places API, сайты компаний), источник происхождения сохраняется по каждой записи — это упрощает ответ на запрос доступа по Art. 15 и указание источника по Art. 14 — и обработка данных идёт на серверах ЕС во Франкфурте. Это существенно сокращает объём проверок по сравнению с базами из США, но не заменяет вашу собственную ответственность: anilead.io сознательно не является инструментом рассылки e-mail, и юридически корректная организация установления контакта — выбор канала, согласия, обязанности по информированию — лежит на вас как пользователе. Почему происхождение данных решает при выборе инструмента, показывает наше сравнение альтернатив Apollo.io для DACH.

Частые вопросы о GDPR при генерации B2B-лидов

Нужно ли согласие, чтобы искать B2B-лиды?

Нет, для поиска и хранения деловых контактных данных из публичных источников, как правило, достаточно законного интереса согласно Art. 6 Abs. 1 lit. f DSGVO с документированным взвешиванием интересов. Согласие нужно только для определённых каналов обращения: рекламные письма предполагают согласно § 7 Abs. 2 Nr. 2 UWG предварительное явное согласие — в том числе в B2B.

Можно ли использовать данные из Impressum для привлечения клиентов?

Да, данные Impressum — это общедоступные сведения о компании, их можно искать и хранить на основании законного интереса. Но «публично» — не индульгенция: взвешивание интересов должно быть документировано, обязанность по информированию согласно Art. 14 DSGVO всё равно действует, а для обращения действуют правила каналов § 7 UWG.

Обязан ли я активно информировать каждого найденного лида?

В принципе да: Art. 14 DSGVO требует информирования в течение месяца после сбора, не позднее первого контакта. Практично указание источника в первом обращении плюс ссылка на информацию о защите данных. Исключение из-за несоразмерных затрат (Art. 14 Abs. 5 lit. b DSGVO) при целевом индивидуальном обращении, как правило, не работает.

Что грозит при нарушениях?

Три риска параллельно: штрафы надзора по защите данных согласно Art. 83 DSGVO (в деле Delivery Hero 2019 года: 195.407 евро), конкурентно-правовые Abmahnung с заявлением о прекращении и договорной неустойкой при недопустимом рекламном обращении (§ 7 UWG), а также требования о возмещении ущерба субъектов данных согласно Art. 82 DSGVO. Чистые процессы заметно дешевле первого судебного спора.

Американский инструмент для генерации лидов автоматически недопустим?

Нет, но он увеличивает объём проверок: нужно обезопасить передачу в третью страну (например, через EU-US Data Privacy Framework или стандартные договорные положения), оценить правовое основание лежащей в основе контактной базы и выполнить обязанности по информированию. Хостинг в ЕС и прозрачные публичные источники данных существенно упрощают эту проверку.

Вывод

Генерация B2B-лидов и GDPR не исключают друг друга. Решающие факторы — документированное правовое основание (Art. 6 Abs. 1 lit. f DSGVO), выполненные обязанности по информированию (Art. 14 DSGVO), реально работающие права субъектов данных (в особенности абсолютное возражение против рекламы согласно Art. 21 DSGVO) и правильный канал обращения согласно § 7 UWG. Кто это соблюдает, сводит риск Abmahnung и штрафов к минимуму — но гарантий в праве о защите данных не бывает никогда. Эта статья не является юридической консультацией; для оценки вашего конкретного процесса поможет квалифицированная адвокатская помощь.