Firmendaten kaufen legal: Was gilt in Deutschland?

1. Rechtsrahmen: DSGVO, BDSG und UWG

Für personenbezogene Firmendaten gelten die Datenschutz-Grundverordnung (DSGVO) und ergänzend das Bundesdatenschutzgesetz (BDSG). Beide sind relevant, wenn Angaben einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. Dass Informationen beruflich genutzt werden oder öffentlich auffindbar sind, nimmt ihnen nicht automatisch den Personenbezug. Reine Angaben über eine juristische Person sind dagegen grundsätzlich keine personenbezogenen Daten.

Daneben regelt das Gesetz gegen den unlauteren Wettbewerb (UWG), unter welchen Voraussetzungen Werbung zulässig ist. Diese Prüfung steht neben dem Datenschutz: Eine tragfähige Rechtsgrundlage für die Speicherung erlaubt nicht automatisch eine Werbe-E-Mail oder einen Werbeanruf. Umgekehrt ersetzt eine zulässige Kontaktaufnahme nicht sämtliche datenschutzrechtlichen Pflichten.

Prüfen Sie deshalb schon vor dem Erwerb Zweck, Datenarten und geplante Kommunikationskanäle. Fragen Sie nach Herkunft, Aktualität und nachvollziehbaren Informationen zur Bereitstellung der Daten. Wer Firmenadressen kaufen möchte, sollte zwischen einer Datengrundlage für Recherche und einer nachweisbaren Erlaubnis zur Werbung unterscheiden. Die rechtliche Bewertung Ihrer eigenen Verarbeitung und Ansprache bleibt Ihre Aufgabe.

2. Berechtigtes Interesse im B2B-Bereich

Art. 6 Abs. 1 Buchst. f DSGVO kann eine Rechtsgrundlage für bestimmte Verarbeitungen im geschäftlichen Umfeld sein. Ein berechtigtes Interesse ist jedoch keine pauschale B2B-Ausnahme. Benennen Sie zunächst einen konkreten, rechtmäßigen Zweck, etwa die Recherche geeigneter Geschäftspartner. Prüfen Sie anschließend, ob die personenbezogenen Angaben dafür tatsächlich erforderlich sind oder weniger eingriffsintensive Unternehmensinformationen ausreichen.

Danach folgt die Interessenabwägung: Welche vernünftigen Erwartungen hat die betroffene Person? Wie eng passt ihre berufliche Funktion zum Zweck? Welche Nachteile können entstehen? Umfang, Quelle und Verwendung der Daten gehören in diese Bewertung. Dokumentieren Sie das Ergebnis nachvollziehbar, statt lediglich im CRM das Feld „berechtigtes Interesse“ anzukreuzen. Eine breite Datensammlung ohne klaren Zweck lässt sich dadurch nicht rechtfertigen.

Wer personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhebt, muss außerdem die Informationspflichten nach Art. 14 DSGVO prüfen und erfüllen. Dazu gehören insbesondere Angaben zum Verantwortlichen, Zweck, zur Rechtsgrundlage, Datenherkunft, Speicherdauer und zu Betroffenenrechten. Die Information ist grundsätzlich innerhalb eines Monats erforderlich, bei früherer Kommunikation spätestens dabei; gesetzliche Ausnahmen sind gesondert zu prüfen.

Ein Datenschutzhinweis schafft keine Werbeeinwilligung. Ebenso wenig darf die Information als Vorwand für eine unzulässige Werbe-E-Mail dienen. Widerspricht eine Person der Verarbeitung für Direktwerbung, ist diese Nutzung zu beenden. Eine zweckgebundene Sperrkennzeichnung kann helfen, erneute Ansprache zu verhindern; ihre Ausgestaltung und Rechtsgrundlage sind ebenfalls zu prüfen.

3. E-Mail-Kaltakquise: Auch B2B grundsätzlich nur mit Einwilligung

Für Werbe-E-Mails verlangt § 7 Abs. 2 Nr. 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung – auch gegenüber Unternehmen. Eine passende Branche, ein nützliches Angebot oder eine veröffentlichte E-Mail-Adresse ersetzen diese nicht. Das gilt auch für allgemeine Funktionspostfächer. Datenschutzrechtlich fehlender Personenbezug bedeutet daher nicht, dass Werbung per E-Mail frei versendet werden darf.

Auch eine individuell formulierte Nachricht kann Werbung sein. Entscheidend ist nicht, ob Sie einen Newsletter versenden oder eine einzelne Person anschreiben, sondern der werbliche Charakter. Eine unerbetene E-Mail, die lediglich um Erlaubnis für spätere Angebote bittet, ist deshalb kein verlässlicher Ausweg. Beim Erwerb von E-Mail-Adressen von Firmen sollten Sie vorhandene Kontaktdaten ausdrücklich von nachgewiesenen Einwilligungen trennen.

Die Bestandskundenausnahme nach § 7 Abs. 3 UWG ist eng begrenzt. Sie setzt unter anderem voraus, dass die Adresse im Zusammenhang mit einem Verkauf erlangt wurde, für eigene ähnliche Waren oder Dienstleistungen geworben wird, kein Widerspruch vorliegt und die erforderlichen Widerspruchshinweise erfolgen. Alle Voraussetzungen müssen zusammen erfüllt sein. Eine gekaufte Neukundenliste erfüllt diese Bedingungen nicht allein durch ihren Erwerb.

Stützen Sie eine Kampagne auf Einwilligungen, prüfen Sie deren Inhalt, Reichweite und Nachweisbarkeit. Erfasst die Erklärung Ihr Unternehmen, den Werbezweck und den Kanal? Ein pauschaler Vermerk des Datenanbieters genügt dafür nicht ohne belastbare Grundlage.

4. Telefonmarketing: Mutmaßliche Einwilligung konkret begründen

Telefonwerbung gegenüber Unternehmen setzt nach § 7 Abs. 2 Nr. 1 UWG mindestens eine mutmaßliche Einwilligung voraus. Diese ist nicht mit dem berechtigten Interesse nach der DSGVO gleichzusetzen. Es braucht konkrete Umstände, aus denen sich ein sachliches Interesse gerade an diesem Angebot und an einer telefonischen Kontaktaufnahme ableiten lässt.

Die bloße Veröffentlichung einer Telefonnummer genügt nicht. Auch die Annahme, jede Firma brauche irgendwann Software, Personal oder Beratung, trägt keinen beliebigen Werbeanruf. Eine allgemeine Branchenpassung allein ist regelmäßig zu wenig. Halten Sie vor dem Anruf fest, welche konkreten Umstände die vermutete Zustimmung stützen. Bei Unsicherheit sollte keine automatische Freigabe durch das Vertriebsteam erfolgen.

Wer B2B-Leads kaufen möchte, erwirbt damit keine bestätigte Gesprächsbereitschaft. Prüfen Sie außerdem, ob tatsächlich ein geschäftlicher Anschluss und eine geschäftliche Ansprache vorliegen. Benennen Sie beim Gespräch transparent Absender und Anlass, respektieren Sie Ablehnungen und führen Sie interne Sperrvermerke. Ein abgelehnter Kontakt darf nicht beim nächsten Listenimport erneut in der Anrufliste landen.

5. Personenbezogene Daten oder reine Unternehmensdaten?

Die Einordnung hängt vom konkreten Datensatz und seinem Kontext ab, nicht vom Etikett „B2B“. Eine Firmenliste kann zugleich reine Unternehmensangaben und personenbezogene Informationen enthalten. Prüfen Sie insbesondere Einzelunternehmen, namentliche Kontakte und direkte Erreichbarkeiten. Für die anschließende Werbung bleibt das UWG unabhängig davon relevant.

6. Checkliste: In sechs Schritten zur regelkonformen Ansprache

Nutzen Sie die folgende Checkliste als Freigabeprozess, nicht als Garantie. Zuständigkeiten sollten vor dem Import feststehen. Auch eine kleine Testkampagne benötigt eine tragfähige rechtliche Grundlage.

1. Zweck festlegen: Beschreiben Sie, wofür die Daten gebraucht werden und welche Unternehmen relevant sind. Trennen Sie Marktanalyse, Kontaktrecherche und Werbung. Erfassen Sie nur Angaben, die für den jeweiligen Zweck erforderlich sind.
2. Daten und Anbieter prüfen: Kontrollieren Sie Stichprobe, Herkunftsinformationen und Aktualität. Unterscheiden Sie Unternehmensdaten von personenbezogenen Angaben. Klären Sie Unklarheiten vor dem Kauf; eine Datei allein belegt weder Rechtmäßigkeit noch Einwilligung.
3. Rechtsgrundlage dokumentieren: Legen Sie für personenbezogene Verarbeitung eine passende Grundlage fest. Bei berechtigtem Interesse dokumentieren Sie Zweck, Erforderlichkeit und Abwägung. Bestimmen Sie außerdem, wer die Verarbeitung intern verantwortet.
4. Kontaktkanal freigeben: Prüfen Sie bei E-Mails ausdrückliche Einwilligung oder sämtliche Voraussetzungen der Bestandskundenausnahme. Begründen Sie bei geschäftlichen Werbeanrufen die mindestens erforderliche mutmaßliche Einwilligung anhand konkreter Umstände.
5. Information und Widerspruch organisieren: Erfüllen Sie gegebenenfalls Art. 14 DSGVO und schaffen Sie erreichbare Kontaktwege für Betroffenenanfragen. Sorgen Sie dafür, dass Widerrufe und Werbewidersprüche zeitnah in allen beteiligten Systemen berücksichtigt werden.
6. Nutzung laufend kontrollieren: Beschränken Sie Zugriffsrechte, prüfen Sie Speicherfristen und entfernen Sie nicht mehr benötigte Daten. Gleichen Sie neue Importe mit Sperrvermerken ab. Überprüfen Sie Freigaben erneut, wenn sich Zweck oder Kampagne ändern.

7. Hinweis: Keine individuelle Rechtsberatung

Dieser Leitfaden bietet allgemeine Orientierung und ersetzt keine Rechtsberatung. Die Zulässigkeit hängt vom Einzelfall, den Daten, dem Empfängerkreis und der konkreten Kampagne ab. Lassen Sie Zweifelsfälle vor der Nutzung durch qualifizierte Rechtsberatung prüfen.

Häufige Fragen zu Datenschutz und B2B-Werbung

Weiterführende Datenbanken und Ratgeber

• Firmendatenbank Deutschland
• Firmenadressen kaufen: Ratgeber
• Seriöse Firmendatenbanken beurteilen
• Firmendaten aus dem Handelsregister
• Datenmethodik von Kontabase
• Europäische Firmendatenbank