DSGVO-konforme KI im Vertrieb: Was erlaubt ist, und was nicht.
KI im Vertrieb und DSGVO, für viele deutsche Unternehmen klingt das nach einem Widerspruch. Es ist keiner. Aber die Umsetzung erfordert Klarheit über was erlaubt ist, was nicht, und was die häufigsten Fallstricke sind. Dieser Leitfaden gibt eine rechtlich fundierte, praxisnahe Einordnung.
Inhalt dieses Artikels
DSGVO-Grundlagen für den B2B-Vertrieb
Die DSGVO gilt seit Mai 2018. Viele Unternehmen haben sie entweder komplett ignoriert oder so konservativ interpretiert, dass sie effektiv keinen Outbound mehr betreiben. Beides ist falsch.
Die DSGVO verbietet nicht den B2B-Vertrieb. Sie regelt wie personenbezogene Daten verarbeitet werden dürfen. Im B2B-Kontext gibt es klare Rechtsgrundlagen die eine rechtmäßige Verarbeitung ermöglichen.
Die sechs Rechtsgrundlagen der DSGVO (Art. 6 DSGVO)
Die relevante Rechtsgrundlage für B2B-Vertrieb ist fast immer das "berechtigte Interesse" nach Art. 6 Abs. 1 lit. f DSGVO. Das erlaubt die Verarbeitung personenbezogener Daten wenn:
- ein berechtigtes Interesse des Verantwortlichen vorliegt
- das Interesse der betroffenen Person nicht überwiegt
- die betroffene Person die Verarbeitung vernünftigerweise erwarten kann
Was ist erlaubt: der rechtliche Rahmen
Die Verwendung von beruflichen Kontaktdaten (Name, berufliche Email, Berufsbezeichnung) für B2B-Kaltakquise ist unter dem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) zulässig wenn die Daten aus öffentlich zugänglichen Quellen stammen (LinkedIn, Unternehmenswebsite), der Bezug zur beruflichen Tätigkeit klar ist, die Email einen Opt-out enthält und die Daten auf EU-Servern verarbeitet werden.
§ 7 Abs. 2 Nr. 1 UWG verlangt bei Werbung mit einem Telefonanruf gegenüber sonstigen Marktteilnehmern zumindest eine mutmaßliche Einwilligung. Gegenüber Verbrauchern verlangt die Vorschrift eine vorherige ausdrückliche Einwilligung. Keine Rechtsberatung. Im Einzelfall Anwalt fragen.
KI Voice Agents sind rechtlich zulässig für B2B-Kaltakquise unter denselben Voraussetzungen wie menschliche Anrufe. Zusätzlich gilt: Wenn direkt gefragt, muss der Agent offenbaren dass er ein KI-System ist. Gesprächsaufzeichnungen müssen DSGVO-konform gespeichert werden. Datenverarbeitung auf EU-Servern.
Die Nutzung öffentlicher LinkedIn-Profile für professionellen Outreach ist zulässig. LinkedIn-Nutzer haben durch ihre Profilpflege eine gewisse Erwartung an beruflichen Kontakt. Automatisierte LinkedIn-Nachrichten bewegen sich eher gegen LinkedIn-AGBs als gegen DSGVO.
Die automatisierte Auswertung von öffentlich verfügbaren Unternehmens- und Personendaten für Lead-Scoring ist unter dem berechtigten Interesse zulässig wenn keine sensiblen Datenkategorien verarbeitet werden, Transparenz über die Verarbeitung besteht und Opt-out möglich ist.
Wie DSGVO-konformer Kaltakquise-Outreach automatisiert wird, inklusive rechtssicherem Setup für Email, LinkedIn und Voice Agent.
Was nicht erlaubt ist, klare Grenzen
Im B2C-Bereich (Kontakt zu Privatpersonen) ist Cold Email ohne vorherige Einwilligung verboten. Keine Ausnahmen. Das gilt auch wenn die Privatperson zufällig Geschäftsführerin ist, wenn ihr sie auf ihrer privaten Email kontaktiert.
Art. 9 DSGVO verbietet die Verarbeitung von Gesundheitsdaten, politischen Ansichten, religiösen Überzeugungen, sexueller Orientierung etc. im Vertrieb. Das klingt offensichtlich, wird aber verletzt wenn man z.B. Krankendaten für zielgerichtetes Marketing nutzt.
Wenn ihr Kundendaten in US-Tools verarbeitet ohne angemessene Schutzmaßnahmen (Standard Contractual Clauses, Binding Corporate Rules), verletzt ihr die DSGVO. Das betrifft: CRMs die auf US-Servern laufen, KI-Tools ohne EU-Hosting, Marketing-Plattformen ohne SCC.
Umfangreiches Profiling von Personen, das über die für den Vertriebszweck notwendigen Daten hinausgeht, ist ohne Rechtsgrundlage verboten. Wer für jeden Lead 50 Datenpunkte aus verschiedenen Quellen zusammenführt ohne klare Rechtsgrundlage, bewegt sich in gefährliches Terrain.
Jede Marketing-Email muss einen klaren, einfachen Opt-out enthalten. Wer den Opt-out versteckt, ihn nicht umsetzt oder nach Opt-out weiter kontaktiert, verletzt DSGVO und UWG gleichzeitig.
KI-spezifische DSGVO-Anforderungen
KI im Vertrieb bringt spezifische DSGVO-Anforderungen mit sich die über klassischen Datenschutz hinausgehen:
Art. 22 DSGVO regelt automatisierte Einzelentscheidungen. Im Vertrieb, reine Lead-Priorisierung ohne rechtliche Konsequenzen für die betroffene Person, greift Art. 22 typischerweise nicht. Aber Transparenz über KI-Nutzung ist trotzdem empfehlenswert.
Wenn ihr KI-Tools oder -Dienstleister nutzt die Zugriff auf personenbezogene Daten haben, braucht ihr einen AVV nach Art. 28 DSGVO. Das gilt für: CRM-Anbieter, Email-Sequencing-Tools, KI-Voice-Agent-Anbieter, Lead-Datenanbieter. Ohne AVV: DSGVO-Verstoß.
Jedes Unternehmen mit mehr als 250 Mitarbeitern (und viele kleinere) müssen ein Verzeichnis führen in dem alle Datenverarbeitungen dokumentiert sind. KI-gestützte Vertriebsprozesse müssen dort aufgenommen werden.
Die DSGVO schreibt vor, nur die für den Zweck notwendigen Daten zu verarbeiten. Ein KI-System das 100 Datenpunkte pro Lead verarbeitet, muss jeden dieser Punkte durch den Vertriebszweck rechtfertigen können.
Wie KI Voice Agents konkret DSGVO-konform eingesetzt werden, mit Anbietervergleich und rechtlichem Setup: Voice Agent Anbieter Deutschland im Vergleich. Was durch den EU AI Act zusätzlich gilt: Transparenzpflicht, Kennzeichnungspflicht und was das für Voice Agents bedeutet: EU AI Act im Vertrieb 2026.
DSGVO und KI-Verordnung (EU AI Act): was zusätzlich gilt
Neben der DSGVO gilt für KI-Systeme die europäische KI-Verordnung, die Verordnung (EU) 2024/1689, auch EU AI Act genannt. Sie ersetzt die DSGVO nicht, beide Regelwerke gelten nebeneinander: Die DSGVO regelt, ob und wie ihr personenbezogene Daten verarbeiten dürft. Die KI-Verordnung regelt Pflichten, die sich aus dem Einsatz von KI-Systemen selbst ergeben. Ihre Pflichten gelten gestaffelt, und die EU passt einzelne Fristen an. Für DSGVO-konforme KI im Vertrieb müsst ihr deshalb beide Seiten und den jeweils aktuellen Stand im Blick haben.
Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Für den Vertrieb heißt das: Wer KI-Tools einsetzt, sollte wissen, was sie können, wo sie Fehler machen und wann ein Mensch prüfen muss.
KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Person erfährt, dass sie mit einer KI kommuniziert, sofern das nicht offensichtlich ist. Ein KI Voice Agent muss sich am Telefon also als KI zu erkennen geben, am besten gleich zu Beginn des Gesprächs. Für den Zeitpunkt, ab dem diese Pflicht greift, gelten die gestaffelten Fristen der Verordnung. Achtet auf aktuelle Anpassungen durch die EU.
Seit Februar 2025 verboten sind unter anderem KI-Techniken, die Menschen unterschwellig oder gezielt manipulativ beeinflussen und ihnen dadurch erheblichen Schaden zufügen können. Manipulative Gesprächsführung durch KI ist damit nicht nur unseriös, sondern kann unzulässig sein.
Typische Vertriebs-KI wie Leadqualifizierung, KI Voice Agents oder die Personalisierung von Nachrichten ist in der Regel kein Hochrisiko-System nach Anhang III der Verordnung. Die strengen Hochrisiko-Pflichten betreffen andere Bereiche, etwa die Bewertung der Kreditwürdigkeit natürlicher Personen oder Entscheidungen im Personalwesen. Nur wenn eure KI in solche Bereiche hineinreicht, ist eine genauere Prüfung nötig.
Was die Transparenzpflicht konkret für KI-Telefonie bedeutet, wie sie mit DSGVO und UWG zusammenspielt und eine Checkliste dazu findet ihr im Artikel EU AI Act im Vertrieb. Diese Einordnung ist keine Rechtsberatung. Die Fristen der KI-Verordnung gelten gestaffelt, beachtet vor dem Einsatz die aktuellen Anpassungen durch die EU.
Die häufigsten DSGVO-Fehler im Vertrieb
Viele beliebte Sales-Tools verarbeiten Daten auf US-Servern ohne adäquate SCCs. Das ist ein häufiger, oft unwissentlicher DSGVO-Verstoß.
Tools wie Outreach-Plattformen, CRMs, KI-Dienste haben Zugriff auf personenbezogene Daten. Ohne AVV ist die Nutzung rechtswidrig.
Wenn ihr Kaltakquise betreibt, müsst ihr Betroffene über die Datenverarbeitung informieren. Das kann über einen Link zur Datenschutzerklärung in der Email erfolgen, aber der Link muss vorhanden sein.
Wenn jemand Opt-out erklärt, muss dies in allen Systemen sofort umgesetzt werden. Wer jemanden nach Opt-out erneut kontaktiert, begeht einen klaren Verstoß.
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Wer Kontaktdaten ohne Löschkonzept jahrelang im CRM behält, verstößt gegen das Prinzip der Speicherbegrenzung.
Checkliste: DSGVO-konformer KI-Vertrieb
Diese Checkliste deckt die wichtigsten Punkte ab, kein Ersatz für rechtliche Beratung, aber ein solider Ausgangspunkt:
FAQ
Öffentlich sichtbare LinkedIn-Profildaten (Name, Berufsbezeichnung, Unternehmen) dürfen unter dem berechtigten Interesse für B2B-Outreach genutzt werden, wenn die Nutzung dem beruflichen Kontext entspricht. LinkedIn-Daten über automatisiertes Scraping zu erheben verstößt allerdings gegen LinkedIns AGBs. Legitime Datenanbieter wie Generect aggregieren diese Daten rechtlich einwandfrei.
Nein, für B2B-Adressen in beruflichem Kontext reicht das berechtigte Interesse als Rechtsgrundlage. Eine Einwilligung ist nicht nötig. Opt-out muss aber möglich sein und umgesetzt werden.
Bußgelder bis zu 20 Millionen € oder 4% des weltweiten Jahresumsatzes. In der Praxis: Die meisten Bußgelder für KMUs liegen im vier- bis fünfstelligen Bereich, aber Reputationsschäden können größer sein. Wichtiger: Abmahnungen von Wettbewerbern sind häufiger als Behördenverfahren und können teuer werden.
Das lässt sich nicht pauschal beantworten. Prüf vor dem Einsatz: Wo werden Daten und Gesprächsaufzeichnungen verarbeitet (Serverstandort)? Gibt es einen AVV mit dem Anbieter? Welche Löschfristen gelten? Gibt sich der Agent als KI zu erkennen? Auf welcher Rechtsgrundlage rufst du an (§ 7 UWG)? Keine Rechtsberatung. Im Einzelfall Anwalt fragen.
DSGVO regelt den Datenschutz, wie personenbezogene Daten verarbeitet werden dürfen. UWG (Gesetz gegen unlauteren Wettbewerb) regelt Werbepraktiken, ob und wie ihr werben dürft. Beide gelten parallel. Eine Email kann DSGVO-konform aber UWG-widrig sein (z.B. ohne Opt-out), oder umgekehrt. Für rechtssicheren Outbound müssen beide Regelwerke beachtet werden.
Wie KI konkret im B2B-Vertrieb eingesetzt wird, von der Lead-Qualifizierung bis zum vollautomatischen Pipeline-Aufbau: KI im Vertrieb: der vollständige Leitfaden.
Bereit für AI Sales?
In 30 Minuten zeigen wir dir konkret was AI Sales für dein Unternehmen bedeutet, mit echten Zahlen aus deinem Markt.