Gekaufte B2B-Kontaktdaten rechtssicher nutzen

Der Erwerb gewerblicher Kontaktdatenbanken überträgt die regulatorische Verantwortung nicht auf den Verkäufer. Nach europäischen Datenschutzstandards bleibt ein Unternehmen, das Interessentendaten von Dritten erwirbt oder lizenziert, direkt für die Gültigkeit der zugrunde liegenden Einwilligung und die Rechtmäßigkeit der Datenerhebung haftbar. Wenn sich ein Anbieter auf irreführende Opt-in-Formulare oder unüberprüfte Erhebungsketten stützt, drohen der erwerbenden Organisation behördliche Sanktionen für den Einsatz dieser Kontakte in ihren Kampagnen.

Organisationen, die Outbound-Pipelines aufbauen, gehen häufig davon aus, dass vertragliche Zusicherungen von Datenhändlern sie vor behördlichen Maßnahmen abschirmen. Jüngste Durchsetzungsmaßnahmen von Datenschutzbehörden bestätigen das Gegenteil. Eine sorgfältige Prüfung (Due Diligence) der Datenherkunft ist eine betriebliche Notwendigkeit und kein optionaler Schutzmechanismus.

Die Solocal-Verfügung: Warum die Haftung des Käufers vertraglich nicht ausgeschlossen werden kann

Am 24. September 2026 veröffentlichte die französische Datenschutzbehörde (CNIL) auf dem offiziellen Durchsetzungsportal der CNIL den Abschluss des Verfahrens gegen Solocal Marketing Services auf Grundlage des am 17. September 2026 verabschiedeten Beschlusses SAN-2026-012. Diese Entscheidung folgte auf ein Bußgeld in Höhe von 900.000 Euro, das im Mai 2025 wegen Mängeln bei der Erhebung und dem Nachweis der Einwilligung von Zielpersonen gewerblicher Prospektierungskampagnen verhängt worden war, wie im Verfahrensprotokoll der CNIL zu Solocal detailliert dargelegt ist.

Solocal erwarb Interessentendaten von externen Datenhändlern sowie Herausgebern von Gewinnspiel- und Produkttest-Websites, den sogenannten Ersterhebern, und nutzte diese Datensätze für Prospektierungsmaßnahmen im Auftrag von Werbekunden. Die Aufsichtsbehörde stellte fest, dass irreführende Formulargestaltungen dieser Datenhändler Nutzer daran hinderten, eine freie und unmissverständliche Einwilligung zu erteilen.

Um der Anordnung nachzukommen, richtete Solocal ein internes Prüfsystem ein, das eine automatisierte Analyse der Partner-Erfassungsformulare mit einer manuellen Überprüfung kombiniert. Die CNIL schloss das Verfahren ab, nachdem sie diese verfahrenstechnischen Verbesserungen bei gewissenhafter Anwendung als zufriedenstellend bewertet hatte. Dennoch bekräftigte die Behörde ausdrücklich einen fundamentalen Grundsatz: Das erwerbende Unternehmen bleibt voll verantwortlich für die Gültigkeit der Einwilligungen, die in seinem Namen von externen Partnern eingeholt wurden. Umgeht ein ungültiges oder täuschendes Formular die internen Kontrollen, fällt die Haftung vollumfänglich auf das Unternehmen zurück, das die Datensätze verwendet.

Diese regulatorische Haltung entkräftet die Annahme, dass eine vertragliche Freistellungsklausel des Anbieters eine Outbound-Marketingkampagne absichern kann. Für jeden Käufer, der Kontaktdatenbanken erwirbt, wird die Nachlässigkeit des Partners zum direkten Compliance-Risiko.

Regeln für die indirekte Datenerhebung: Das 30-Tage-Transparenzgebot

Werden Interessentendaten nicht direkt bei der betroffenen Person erhoben, unterliegen Organisationen den strengen Bestimmungen für die indirekte Erhebung. Gemäß den Richtlinien vom 29. Juli 2019 in den CNIL-Leitlinien zur Information von Personen und zur Gewährleistung von Transparenz müssen Verantwortliche, die Datensätze über Partner, Datenhändler oder öffentlich zugängliche Quellen beziehen, die betroffene Person so schnell wie möglich informieren. Diese Mitteilung muss spätestens bei der ersten Kontaktaufnahme erfolgen, keinesfalls jedoch später als einen Monat nach Erhalt der Daten.

Diese Benachrichtigung bei indirekter Erhebung muss mehrere spezifische Angaben enthalten:

• Die Identität und Kontaktdaten des Verantwortlichen.
• Die genauen Zwecke und die Rechtsgrundlage der Verarbeitung.
• Die Kategorien der verarbeiteten personenbezogenen Daten und deren Speicherdauer.
• Die genaue Quelle der Daten mit dem ausdrücklichen Hinweis, ob sie aus öffentlich zugänglichen Quellen stammen.
• Hinweise dazu, wie der Empfänger seine Rechte auf Auskunft, Berichtigung und Widerspruch ausüben kann.

Zusätzlich muss der Transparenzhinweis gemäß den CNIL-Richtlinien vom 5. Dezember 2022 zum Verkauf von Interessentendateien den genauen Handelsnamen des Unternehmens nennen, das die Datei verkauft oder übermittelt hat. Jede ausgehende Nachricht muss, unabhängig vom gewählten Kanal, eine unkomplizierte und direkte Möglichkeit bieten, künftige Mitteilungen abzulehnen.

Während im Business-to-Business-Bereich (B2B) in Teilen Europas die Rechtsgrundlage des berechtigten Interesses nach Artikel 6 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung (DSGVO) anstelle einer strikten vorherigen Opt-in-Einwilligung greifen kann, gilt diese Flexibilität nur dann, wenn sich die Kommunikation direkt auf die berufliche Funktion des Empfängers bezieht. Sie entbindet nicht von der Transparenzpflicht: Der erste Kontaktpunkt muss dennoch offenlegen, woher die geschäftliche E-Mail-Adresse oder Telefonnummer bezogen wurde, und ein unmittelbares Widerspruchsrecht einräumen.

Audit der Partner-Datenlieferkette

Die Bewertung eines externen Datenanbieters erfordert die genaue Untersuchung der tatsächlichen Mechanismen seiner Erhebungspraktiken, anstatt sich auf allgemeine Marketingversprechen zu verlassen. Führungskräfte im Outbound-Vertrieb, die sich an den Rahmenwerken orientieren, die in den Knowledge-Leitfäden für den Vertrieb dargelegt sind, müssen potenzielle Datenlieferanten an überprüfbaren technischen und verfahrensbezogenen Kriterien messen.

Beim Erwerb unaufgeforderter Kontaktlisten ist die sicherste Vorgehensweise die Annahme, dass die Compliance-Dokumentation des Anbieters einer externen Prüfung möglicherweise nicht standhält. Wenn der Anbieter keine Beispiel-Screenshots aktiver Erfassungsmasken, lückenlose Protokolle von Einwilligungszeitstempeln oder verifizierte öffentliche Quellen für berufliche Adressen vorlegen kann, birgt das Einspielen dieser Dateien in ein aktives CRM ein unmittelbares operatives Risiko.

Die verantwortungsvolle Datenaufnahme operationalisieren

Der Erwerb von Listen ist nur die erste Hälfte der Risikokette; die zweite Hälfte beginnt, sobald diese Kontakte in aktive Outbound-Workflows übergehen. Vertriebsteams, die externe Tabellen importieren, verteilen ungeprüfte Datensätze oft über automatisierte Sequenzen, was zu Einbrüchen bei der Zustellbarkeit und zu behördlichen Beschwerden führen kann.

Teams, die gezielte Ansprachen durchführen, müssen ihre Erfassungsprozesse an strenge technische Vorgaben binden:

1. Herkunft vor dem Import überprüfen: Stellen Sie beim Import von CSV- oder Excel-Dateien aus externen Verzeichnissen sicher, dass das Herkunftsattribut auf Kontaktebene erhalten bleibt. Stammt eine Adresse aus einem exportierten Unternehmensregister, sollte dieses spezifische Register in der ersten Kontaktaufnahme per E-Mail genannt werden.
2. Globale Sperrlisten zentralisieren: Abmeldeanträge müssen dauerhaft für sämtliche Kanäle greifen. Wenn ein Kontakt die Löschung oder den Ausschluss verlangt, sollte die Sperre diese E-Mail-Adresse, die Stamm-Domain und das Profil in sozialen Netzwerken für künftige Kampagnen blockieren.
3. Datenalter und Relevanz auditieren: Das Vorhalten inaktiver, nicht reagierender Kontaktdaten über Jahre hinweg begründet regulatorische Risiken ohne geschäftlichen Nutzen. Aufbewahrungsrichtlinien sollten ruhende Datensätze systematisch identifizieren und zur Überprüfung vorlegen.

In Ember spiegelt das Listenmanagement und die Erfassungsintelligenz diese Aufgabenteilung wider. Gemäß den am 26. Oktober 2026 aktualisierten Ember Lead Intelligence Bedingungen für Interessentendaten agieren Kunden als unabhängige Verantwortliche, die ihre Kampagnen konfigurieren, ihre Zielgruppen festlegen und die Nachrichtenkanäle auf Basis des berechtigten Interesses bestimmen.

Teams, die externe Dateien in Ember importieren, können CSV- oder Excel-Listen mit bis zu 3.500 Zeilen, 10 Megabyte und 200 Spalten hochladen, die in Chargen von 500 Kontakten verarbeitet werden. Statt unüberwachte Automatisierungen auszulösen, erfordern Ansprachen standardmäßig eine manuelle Bestätigung und Terminierung, ergänzt um ein zehnsekündiges Zeitfenster für den Abbruch vor dem eigentlichen Versand.

Wird ein Interessent in Ember auf die Sperrliste gesetzt, werden ausstehende Aktionen und Nachfassnachrichten abgebrochen, die Beobachtung pausiert und künftige Zustellungen an diese E-Mail-Adresse, Domain oder das LinkedIn-Profil blockiert. Die Daten werden für die aktive Dauer des Projekts aufbewahrt, gestützt durch eine interne tägliche Überprüfung, die Administratoren auf Datensätze hinweist, zu denen seit mehr als drei Jahren kein Kontakt mehr bestand.

Der Kauf von Interessentenlisten ist im Kern eine Entscheidung über die Lieferkette. Leistungsstarke Vertriebsorganisationen betrachten Datenhändler nicht als rechtliche Schutzschilde, sondern als Zulieferer, deren Erfassungsmethoden die rechtliche Position des Unternehmens unmittelbar bestimmen. Die Prüfung der Herkunftsquelle und transparente Angaben beim Erstkontakt bleiben die einzig tragfähige Strategie, um Outbound-Gespräche sicher zu skalieren.