DSGVO & der Vertrieb: Wie darf ich Daten erheben, kaufen und was mache ich mit Altbeständen?

Daten sind die Grundlage der Vertriebsarbeit. Die DSGVO stellt Sie aber oft vor die Frage, wie Sie noch rechtskonform an neue kommen, bzw. ob Sie Ihre Altbestände überhaupt noch nutzen dürfen. Denn auch im B2B spielt es eine Rolle, wie und woher Sie personenbezogene Daten beziehen.

Grundsätzlich gibt es mehrere Möglichkeiten, um an Informationen über Interessenten zu gelangen. In diesem Beitrag gehen wir auf drei davon näher ein. Falls Sie sich auch für die übrigen interessieren, finden Sie am Ende des Artikels einen Link, über den Sie noch weitere wertvolle Tipps bekommen.

Datenerhebung beim Betroffenen selbst

Es gibt es verschiedene Wege, auf denen Sie von Interessenten oder Kunden Daten übermittelt bekommen. Die häufigsten Fälle sind:

• Der Betroffene füllt ein Formular aus (physisch oder auf Ihrer Webseite)
• Der Betroffene übermittelt Ihnen seine Daten per Fax oder per E-Mail (Briefkopf, Signatur)
• Sie erhalten die Daten über eine Kontaktanfrage (Visitenkarte oder XING-Einladung)
• Er teilt Ihnen seine Daten persönlich mit (z.B. direkt oder am Telefon)

Damit Sie diese Daten DSGVO-konform erheben, müssen eine Reihe an Anforderungen erfüllt werden. Unter anderem gilt die Informationspflicht nach Art. 13. Das heißt, dass Sie zum Zeitpunkt der Erhebung in schriftlicher oder elektronischer Form die darin genannten Informationen bereitstellen müssen. Wie Sie das am besten umsetzen, hängt von der Art ab, in der Sie der Betroffene kontaktiert. Bei persönlichem Kontakt empfehlen sich Handzettel oder ein Aushang, bei elektronischem Kontakt ein Verweis auf die URL Ihrer Datenschutzerklärung.

Telefonieren Sie jedoch mit dem Betroffenen, wird das schon umständlicher. Es kursieren schon diverse Empfehlungen, von einer vorgeschalteten Bandansage, bis zur anschließenden E-Mail-Zusammenfassung. Letztendlich muss jeder die praktikabelste Lösung für sich finden.

Datenerhebung durch Drittanbieter (z.B. Kauf oder Miete)

Eine andere Form der Herkunft liegt vor, wenn Sie die Daten durch einen Dritten, zum Beispiel ein Call-Center, erheben lassen, wenn Sie Daten und Adresslisten mieten oder fertige Adresslisten einkaufen und zusätzlich zu Firmenadressen auch konkrete Ansprechpartner benötigen.

In der Vergangenheit galt für diese Fälle das sogenannte „Listenprivileg“. Hierdurch war es gemäß §28/29 BDSG (alt) erlaubt, personenbezogene Daten z.B. von bestimmten Berufsgruppen für Zwecke der Werbung selbst und sogar für die geschäftsmäßige Übermittlung zu erheben, wenn es sich um listenmäßig zusammengefasste Daten handelte und keine schutzwürdigen Interessen der Betroffenen entgegenstanden. Diese Regelungen sind mit der Einführung der DSGVO weggefallen.

PRAXISTIPPS:

• Klären Sie im Vorfeld, dass der Anbieter rechtskonform arbeitet und jeder Betroffene der Erhebung, Verarbeitung und Weitergabe seiner Daten zugestimmt hat.
• Prüfen Sie die Einhaltung des sog. „Koppelungsverbots“, also z.B., dass die Teilnahme an einem Gewinnspiel nicht von der Zustimmung der Datenweitergabe abhängt.
• Wenn Sie Adressen oder Verteiler mieten, verwenden Sie den Absender, dem der Betroffene seine Zustimmung erteilt hat, sonst kann es zu Verwirrung kommen.
• Fragen Sie den Anbieter nach einer Freistellung, wenn sich im Fall der Nutzung gekaufter Daten herausstellen sollte, dass er unsauber gearbeitet hat.

KOMMENTAR RECHTSANWALT DR. CARSTEN ULBRICHT
„Das Thema Adresshandel und der Datenkauf sind im Rahmen der DSGVO leider rechtlich noch weitgehend ungeklärt. Die Absicht Direktwerbung als berechtigtes Interesse nach Art. 6 Abs. 1 lit. f rechtssicher zu legitimieren wird noch einige Diskussionen und Urteile benötigen. Beachten Sie in jedem Fall, dass Sie unabhängig von der Datenverarbeitung auch prüfen müssen, ob und auf welchem Weg Sie zur Kontaktaufnahme berechtigt sind.“

Altbestände legitimieren – geht das?

In vielen Kundendatenbanken befinden sich noch nicht-DSGVO-konforme “Altlasten“. Sie fragen sich jetzt: „Muss ich meine Personendatenbank löschen?“

Pauschal kann man zunächst vorwegschicken, dass Datenverarbeitungsvorgänge vor dem 25.05.2018, die den Vorgaben des Bundesdatenschutzgesetzes entsprochen haben, grundsätzlich auch den Anforderungen der DSGVO genügen. So haben die Datenschutzbehörden mitgeteilt, dass bestehende BDSG-konforme Einwilligungen, die vor Geltung der DSGVO eingeholt worden sind, auch nach besagtem Datum fortwirken.

Altbestände sollten folglich daraufhin geprüft werden, ob diese BDSG-konform erhoben worden sind, bzw. ob dies nachgewiesen werden kann. Wenn das nicht der Fall ist, stellt sich die Frage, ob Sie die Daten auch nachträglich legitimieren können und falls ja, wie?

PRAXISTIPP:

Greifen Sie auf externe Hilfe zurück, um größere Mengen zu legitimieren. Indem Sie mithilfe von Google oder Echobot öffentliche Quellen recherchieren, können Sie die Herkunft belegen und die Aktualität und Richtigkeit prüfen. Echobot ermöglicht Ihnen bei Bedarf sogar eine CRM-Integration von Echtzeit-Daten. Wenn Sie jetzt noch den Zweck ergänzen und sicherstellen, dass Sie alle vorhandenen Daten benötigen, sind Sie auf gutem Weg Ihren Altbestand rechtskonform zu halten.

Mehr Praxistipps

Wenn Sie mehr darüber erfahren möchten, auf welchen Wegen Sie noch Daten beziehen können und wie Sie diese mit der DSGVO vereinen, finden Sie alle Antworten in unserem Praxisleitfaden. Darin beantworten wir auch viele weitere Fragen zum Vertriebsprozess und der Vereinbarkeit mit der Datenschutzgrundverordnung.

Jetzt Leitfaden kostenfrei downloaden ►

Haftungsausschluss
Wir haben uns alle Mühe gegeben, die aktuelle Rechtslage verständlich zusammenzufassen, dennoch ersetzt diese Beitragsreihe keine individuelle Rechtsberatung. Sie dient Ihnen rein als Orientierungshilfe. Da jedes Unternehmen anders arbeitet und in bestimmten Branchen auch zusätzliche Vorschriften gelten, können Angaben im Artikel für Ihr Unternehmen auch unzutreffend sein.

Cover-Foto: succo / pixabay.com