B2B-Akquise in der EU: Die fünf Regeln, die überall gelten

Ein Hersteller, der in einem anderen EU-Land Distributoren sucht, stößt auf zwei Rechtsebenen, bevor die erste Nachricht hinausgeht. Die Datenschutz-Grundverordnung (DSGVO) regelt jede Nutzung von Informationen über eine identifizierbare Person, einschließlich des Namens und der dienstlichen E-Mail-Adresse eines Einkäufers. Die ePrivacy-Richtlinie (2002/58/EG) ergänzt kanalspezifische Regeln für E-Mail, Fax, automatische Anrufe und in den meisten Ländern auch für das Telefon. Die DSGVO ist überall gleich; die ePrivacy-Regeln setzt jedes Land selbst um, und sie unterscheiden sich, teils deutlich.

Einfach gesagt: Sie dürfen ein Unternehmen in einem anderen EU-Land wegen Ihrer Produkte kontaktieren, müssen aber (1) eine Rechtsgrundlage für jede Nutzung personenbezogener Daten haben, (2) den Menschen sagen, woher Sie ihre Daten haben, (3) die nationale E-Mail-Regel beachten, die von „Opt-out für Unternehmen“ bis „Einwilligung für alle“ reicht, (4) sofort aufhören, wenn jemand widerspricht, und (5) all das schriftlich belegen können.

Die fünf folgenden Regeln gelten in jedem Mitgliedstaat. Die Länderartikel in diesem Bereich behandeln, was sich an der Grenze ändert.

Regel 1: Sie brauchen eine Rechtsgrundlage, und meist ist es das „berechtigte Interesse“

Wann immer Sie Daten über eine Person verarbeiten (eine namentlich genannte Einkaufsleiterin, die Adresse eines Vertriebsleiters), verlangt Art. 6 DSGVO eine Rechtsgrundlage. Für die B2B-Akquise ist die realistische Grundlage Art. 6 Abs. 1 lit. f, das berechtigte Interesse. Erwägungsgrund 47 sagt ausdrücklich, dass „die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung … als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden“ kann.

Das heißt nicht, dass alles erlaubt ist. Das berechtigte Interesse verlangt eine Abwägung zwischen Ihrem Interesse (einen Distributor zu finden) und den vernünftigen Erwartungen der Person. Eine Einkaufsleiterin bei einem Großhändler, der Ihre Produktkategorie bereits führt, kann vernünftigerweise mit einer passenden Lieferantenanfrage rechnen. Ein Buchhalter im selben Unternehmen nicht. Halten Sie die Begründung einmal schriftlich fest und wenden Sie sie auf jede Liste an, die Sie aufbauen.

Allgemeine Postfächer (info@, sales@, contact@) enthalten in der Regel keine personenbezogenen Daten, deshalb wiegt die DSGVO-Ebene dort leichter. Die ePrivacy-Ebene (Regel 3) gilt trotzdem.

Regel 2: Sagen Sie den Menschen, woher Sie ihre Daten haben

Art. 14 DSGVO betrifft Daten, die Sie nicht bei der Person selbst erhoben haben: einen Namen aus einer Zuschlagsbekanntmachung, von einer Website, aus einem Messekatalog. Sie müssen der Person die üblichen Datenschutzinformationen geben (wer Sie sind, warum Sie die Daten haben, die Quelle, ihre Rechte), und zwar innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, und wenn Sie die Daten zur Kontaktaufnahme nutzen, spätestens bei der ersten Mitteilung – je nachdem, was zuerst eintritt; eine Liste monatelang vorzuhalten, bis Sie schreiben, ist nicht zulässig.

In der Praxis: Ihre erste Nachricht enthält einen kurzen Hinweis und einen Link zu einer Datenschutzseite, die die Quelle nennt („öffentliche Zuschlagsbekanntmachungen“, „Ihre Unternehmenswebsite“). Öffentliche Verfügbarkeit hebt die Pflicht nicht auf; sie ändert nur, was Sie sagen müssen.

Regel 3: Die ePrivacy-E-Mail-Regel und warum sie die EU spaltet

Art. 13 Abs. 1 der ePrivacy-Richtlinie verbietet E-Mail (sowie Fax und automatische Anrufe) zur Direktwerbung ohne vorherige Einwilligung des Teilnehmers oder Nutzers. Art. 13 Abs. 5 bestimmt dann, dass dieser Absatz für Teilnehmer gilt, die natürliche Personen sind, und dass die Mitgliedstaaten „außerdem“ sicherstellen müssen, dass die berechtigten Interessen anderer Teilnehmer, also von Unternehmen, „ausreichend geschützt“ werden. Wie das geschieht, bleibt dem nationalen Recht überlassen.

Dieser eine Satz erklärt, warum die Landkarte so aussieht, wie sie aussieht:

• Einige Länder haben entschieden, dass Unternehmen durch ein Opt-out geschützt sind: Sie dürfen eine Unternehmensadresse anschreiben, bis das Unternehmen Nein sagt. Das Vereinigte Königreich (das die Regel nach dem EU-Austritt beibehalten hat), Irland und Schweden gehören unter Bedingungen zu dieser Gruppe.
• Frankreich liegt dazwischen: Die Aufsichtsbehörde CNIL akzeptiert die Akquise von Berufstätigen auf Grundlage des berechtigten Interesses, wenn die Nachricht mit der Funktion der Person zusammenhängt, mit Information und Widerspruchsrecht; allgemeine Unternehmensadressen fallen gar nicht unter die Regeln für personenbezogene Daten.
• Andere haben das Einwilligungserfordernis auf Unternehmen ausgedehnt. Deutschland, die Niederlande, Italien und Dänemark verlangen für Werbe-E-Mails eine vorherige Einwilligung, unabhängig davon, wer der Empfänger ist.

Zwei Teile von Art. 13 gelten überall ohne Ausnahme. Sie dürfen die Identität des Absenders niemals verschleiern oder verheimlichen, und jede Nachricht muss eine gültige Adresse enthalten, an die der Empfänger die Aufforderung richten kann, die Zusendungen einzustellen (Art. 13 Abs. 4). Der Gerichtshof hat zudem bestätigt, dass „elektronische Post“ weit auszulegen ist: In der Rechtssache C-102/20 entschied er, dass Werbung, die im Posteingang eines E-Mail-Kontos angezeigt wird, als elektronische Post für die Zwecke der Direktwerbung gilt. Behandeln Sie Messaging-Plattformen und Kontaktformulare auf Websites mit derselben Vorsicht. Die Bestandskundenausnahme in Art. 13 Abs. 2 hilft bei einem Distributor, an den Sie noch nie verkauft haben, nicht weiter.

Regel 4: Das Widerspruchsrecht ist absolut

Art. 21 Abs. 2 DSGVO gibt jeder Person das Recht, jederzeit gegen die Verarbeitung zum Zwecke der Direktwerbung Widerspruch einzulegen, und Art. 21 Abs. 3 bestimmt, dass die Daten nach einem Widerspruch „nicht mehr für diese Zwecke verarbeitet“ werden. Es gibt keine Abwägung und keine Ausnahme. Art. 21 Abs. 4 verlangt, dass die Person spätestens bei der ersten Mitteilung ausdrücklich, in verständlicher Form und getrennt von anderen Informationen auf dieses Recht hingewiesen wird.

Bei Unternehmen erfüllt das nationale ePrivacy-Opt-out dieselbe Funktion. In beiden Fällen ist die praktische Folge eine Sperrliste: Jeder Widerspruch wird protokolliert, und keine Adresse darauf wird je wieder kontaktiert, auch nicht von einer Kollegin mit einem anderen Werkzeug.

Regel 5: Führen Sie Aufzeichnungen, die Sie einer Aufsichtsbehörde vorlegen könnten

Art. 5 Abs. 2 DSGVO macht Sie rechenschaftspflichtig: Sie müssen die Einhaltung nachweisen können, nicht nur behaupten. Art. 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten; die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, und ein Akquiseprogramm ist selten nur gelegentlich.

Ein praktikables Minimum für einen Hersteller:

• für jeden Kontakt: Quelle, Erhebungsdatum, Rechtsgrundlage, angewandte Länderregel;
• für jede Nachricht: Datum, Kanal, die verwendete Absenderangabe und der Abmeldetext;
• für jeden Widerspruch: Eingangsdatum, Datum der Umsetzung;
• die datierte Begründung des berechtigten Interesses für die Kampagne.

Wo Daten aus Zuschlagsbekanntmachungen hingehören

Öffentliche Zuschlagsbekanntmachungen, etwa die auf TED veröffentlichten, sind eine offene Quelle für Nachweise darüber, welche Unternehmen eine bestimmte Kategorie in einem bestimmten Land verkaufen. Der Firmenname, der Auftrag und der Auftraggeber sind keine personenbezogenen Daten, außer wenn der Gewinner ein Einzelunternehmer ist, dessen Geschäftsname eine Person erkennen lässt. Eine in einer Bekanntmachung namentlich genannte Kontaktperson ist ein personenbezogenes Datum. Cresques behält die Nachweise auf Unternehmensebene und entfernt personenbezogene Angaben aus den Bekanntmachungen, bevor sie gespeichert werden – was Sie sehen, ist also die Spur, wer was verkauft, keine Adressliste.

Was das für einen Hersteller bedeutet

• Legen Sie die Rechtsgrundlage fest und halten Sie sie schriftlich fest, bevor Sie eine Liste aufbauen. Das berechtigte Interesse deckt relevante B2B-Akquise ab; fachfremde Funktionen deckt es nicht.
• Gestalten Sie Ihre erste Nachricht so, dass sie Ihre Identität, die Herkunft der Daten und eine Möglichkeit enthält, mit einem Schritt „Stopp“ zu sagen. Damit erfüllen Sie Art. 13 Abs. 4 ePrivacy-Richtlinie sowie Art. 14 und 21 DSGVO in einer einzigen Fußzeile.
• Prüfen Sie die nationale E-Mail-Regel, bevor Sie irgendetwas versenden. In Deutschland, den Niederlanden, Italien und Dänemark lautet die Antwort für eine Kalt-E-Mail Nein; nutzen Sie einen Brief, einen Anruf, wo er erlaubt ist, eine Messe oder einen eingehenden Kanal.
• Führen Sie eine einzige Sperrliste für das ganze Unternehmen.
• Bewahren Sie die Aufzeichnungen auf. Sie zu führen kostet wenig, sie zu rekonstruieren viel.