DSGVO-konforme KI im Vertrieb: Was erlaubt ist — und was nicht.
KI im Vertrieb und DSGVO — für viele deutsche Unternehmen klingt das nach einem Widerspruch. Es ist keiner. Aber die Umsetzung erfordert Klarheit über was erlaubt ist, was nicht, und was die häufigsten Fallstricke sind. Dieser Leitfaden gibt eine rechtlich fundierte, praxisnahe Einordnung.
DSGVO-Grundlagen für den B2B-Vertrieb
Die DSGVO gilt seit Mai 2018. Viele Unternehmen haben sie entweder komplett ignoriert oder so konservativ interpretiert, dass sie effektiv keinen Outbound mehr betreiben. Beides ist falsch.
Die DSGVO verbietet nicht den B2B-Vertrieb. Sie regelt wie personenbezogene Daten verarbeitet werden dürfen. Im B2B-Kontext gibt es klare Rechtsgrundlagen die eine rechtmäßige Verarbeitung ermöglichen.
Die sechs Rechtsgrundlagen der DSGVO (Art. 6 DSGVO)
Die relevante Rechtsgrundlage für B2B-Vertrieb ist fast immer das "berechtigte Interesse" nach Art. 6 Abs. 1 lit. f DSGVO. Das erlaubt die Verarbeitung personenbezogener Daten wenn:
- ein berechtigtes Interesse des Verantwortlichen vorliegt
- das Interesse der betroffenen Person nicht überwiegt
- die betroffene Person die Verarbeitung vernünftigerweise erwarten kann
Was ist erlaubt — der rechtliche Rahmen
Die Verwendung von beruflichen Kontaktdaten (Name, berufliche Email, Berufsbezeichnung) für B2B-Kaltakquise ist unter dem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) zulässig wenn die Daten aus öffentlich zugänglichen Quellen stammen (LinkedIn, Unternehmenswebsite), der Bezug zur beruflichen Tätigkeit klar ist, die Email einen Opt-out enthält und die Daten auf EU-Servern verarbeitet werden.
§ 7 Abs. 2 Nr. 2 UWG erlaubt B2B-Telefonkontakt wenn ein sachliches Interesse des angerufenen Unternehmens vermutet werden kann. Ein IT-Dienstleister der IT-Entscheider anruft: zulässig. Ein Versicherungsvertreter der Bäckereibesitzer anruft und Unternehmensversicherungen bewirbt: zulässig.
KI Voice Agents sind rechtlich zulässig für B2B-Kaltakquise unter denselben Voraussetzungen wie menschliche Anrufe. Zusätzlich gilt: Wenn direkt gefragt, muss der Agent offenbaren dass er ein KI-System ist. Gesprächsaufzeichnungen müssen DSGVO-konform gespeichert werden. Datenverarbeitung auf EU-Servern.
Die Nutzung öffentlicher LinkedIn-Profile für professionellen Outreach ist zulässig. LinkedIn-Nutzer haben durch ihre Profilpflege eine gewisse Erwartung an beruflichen Kontakt. Automatisierte LinkedIn-Nachrichten bewegen sich eher gegen LinkedIn-AGBs als gegen DSGVO.
Die automatisierte Auswertung von öffentlich verfügbaren Unternehmens- und Personendaten für Lead-Scoring ist unter dem berechtigten Interesse zulässig wenn keine sensiblen Datenkategorien verarbeitet werden, Transparenz über die Verarbeitung besteht und Opt-out möglich ist.
Wie DSGVO-konformer Kaltakquise-Outreach automatisiert wird — inklusive rechtssicherem Setup für Email, LinkedIn und Voice Agent.
Was nicht erlaubt ist — klare Grenzen
Im B2C-Bereich (Kontakt zu Privatpersonen) ist Cold Email ohne vorherige Einwilligung verboten. Keine Ausnahmen. Das gilt auch wenn die Privatperson zufällig Geschäftsführerin ist — wenn ihr sie auf ihrer privaten Email kontaktiert.
Art. 9 DSGVO verbietet die Verarbeitung von Gesundheitsdaten, politischen Ansichten, religiösen Überzeugungen, sexueller Orientierung etc. im Vertrieb. Das klingt offensichtlich — wird aber verletzt wenn man z.B. Krankendaten für zielgerichtetes Marketing nutzt.
Wenn ihr Kundendaten in US-Tools verarbeitet ohne angemessene Schutzmaßnahmen (Standard Contractual Clauses, Binding Corporate Rules), verletzt ihr die DSGVO. Das betrifft: CRMs die auf US-Servern laufen, KI-Tools ohne EU-Hosting, Marketing-Plattformen ohne SCC.
Umfangreiches Profiling von Personen — das über die für den Vertriebszweck notwendigen Daten hinausgeht — ist ohne Rechtsgrundlage verboten. Wer für jeden Lead 50 Datenpunkte aus verschiedenen Quellen zusammenführt ohne klare Rechtsgrundlage, bewegt sich in gefährliches Terrain.
Jede Marketing-Email muss einen klaren, einfachen Opt-out enthalten. Wer den Opt-out versteckt, ihn nicht umsetzt oder nach Opt-out weiter kontaktiert, verletzt DSGVO und UWG gleichzeitig.
KI-spezifische DSGVO-Anforderungen
KI im Vertrieb bringt spezifische DSGVO-Anforderungen mit sich die über klassischen Datenschutz hinausgehen:
Art. 22 DSGVO regelt automatisierte Einzelentscheidungen. Im Vertrieb — reine Lead-Priorisierung ohne rechtliche Konsequenzen für die betroffene Person — greift Art. 22 typischerweise nicht. Aber Transparenz über KI-Nutzung ist trotzdem empfehlenswert.
Wenn ihr KI-Tools oder -Dienstleister nutzt die Zugriff auf personenbezogene Daten haben, braucht ihr einen AVV nach Art. 28 DSGVO. Das gilt für: CRM-Anbieter, Email-Sequencing-Tools, KI-Voice-Agent-Anbieter, Lead-Datenanbieter. Ohne AVV: DSGVO-Verstoß.
Jedes Unternehmen mit mehr als 250 Mitarbeitern (und viele kleinere) müssen ein Verzeichnis führen in dem alle Datenverarbeitungen dokumentiert sind. KI-gestützte Vertriebsprozesse müssen dort aufgenommen werden.
Die DSGVO schreibt vor, nur die für den Zweck notwendigen Daten zu verarbeiten. Ein KI-System das 100 Datenpunkte pro Lead verarbeitet, muss jeden dieser Punkte durch den Vertriebszweck rechtfertigen können.
Wie KI Voice Agents konkret DSGVO-konform eingesetzt werden — mit Anbietervergleich und rechtlichem Setup: Voice Agent Anbieter Deutschland im Vergleich.
Die häufigsten DSGVO-Fehler im Vertrieb
Viele beliebte Sales-Tools verarbeiten Daten auf US-Servern ohne adäquate SCCs. Das ist ein häufiger, oft unwissentlicher DSGVO-Verstoß.
Tools wie Outreach-Plattformen, CRMs, KI-Dienste haben Zugriff auf personenbezogene Daten. Ohne AVV ist die Nutzung rechtswidrig.
Wenn ihr Kaltakquise betreibt, müsst ihr Betroffene über die Datenverarbeitung informieren. Das kann über einen Link zur Datenschutzerklärung in der Email erfolgen — aber der Link muss vorhanden sein.
Wenn jemand Opt-out erklärt, muss dies in allen Systemen sofort umgesetzt werden. Wer jemanden nach Opt-out erneut kontaktiert, begeht einen klaren Verstoß.
Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden. Wer Kontaktdaten ohne Löschkonzept jahrelang im CRM behält, verstößt gegen das Prinzip der Speicherbegrenzung.
Checkliste: DSGVO-konformer KI-Vertrieb
Diese Checkliste deckt die wichtigsten Punkte ab — kein Ersatz für rechtliche Beratung, aber ein solider Ausgangspunkt:
FAQ
Öffentlich sichtbare LinkedIn-Profildaten (Name, Berufsbezeichnung, Unternehmen) dürfen unter dem berechtigten Interesse für B2B-Outreach genutzt werden — wenn die Nutzung dem beruflichen Kontext entspricht. LinkedIn-Daten über automatisiertes Scraping zu erheben verstößt allerdings gegen LinkedIns AGBs. Legitime Datenanbieter wie Generect aggregieren diese Daten rechtlich einwandfrei.
Nein — für B2B-Adressen in beruflichem Kontext reicht das berechtigte Interesse als Rechtsgrundlage. Eine Einwilligung ist nicht nötig. Opt-out muss aber möglich sein und umgesetzt werden.
Bußgelder bis zu 20 Millionen € oder 4% des weltweiten Jahresumsatzes. In der Praxis: Die meisten Bußgelder für KMUs liegen im vier- bis fünfstelligen Bereich — aber Reputationsschäden können größer sein. Wichtiger: Abmahnungen von Wettbewerbern sind häufiger als Behördenverfahren und können teuer werden.
Ja — wenn DSGVO-konform implementiert. Konkret: EU-Server für Datenverarbeitung, AVV mit dem Anbieter, Gesprächsaufzeichnungen mit Löschfristen, Transparenz auf Nachfrage. close one betreibt alle Voice Agents auf Azure Germany (Frankfurt) mit standardmäßigem AVV.
DSGVO regelt den Datenschutz — wie personenbezogene Daten verarbeitet werden dürfen. UWG (Gesetz gegen unlauteren Wettbewerb) regelt Werbepraktiken — ob und wie ihr werben dürft. Beide gelten parallel. Eine Email kann DSGVO-konform aber UWG-widrig sein (z.B. ohne Opt-out) — oder umgekehrt. Für rechtssicheren Outbound müssen beide Regelwerke beachtet werden.
Wie KI konkret im B2B-Vertrieb eingesetzt wird — von der Lead-Qualifizierung bis zum vollautomatischen Pipeline-Aufbau: KI im Vertrieb — der vollständige Leitfaden.
Bereit für AI Sales?
In 30 Minuten zeigen wir dir konkret was AI Sales für dein Unternehmen bedeutet — mit echten Zahlen aus deinem Markt.