DSGVO-konforme Leadgenerierung: Warum der Serverstandort Deutschland nur ein Teil der Antwort ist
Viele Teams suchen eine DSGVO-konforme Leadgenerierungsplattform mit Serverstandort in Deutschland. Der Standort hilft, entscheidet aber weniger, als die meisten denken. Hier sind die acht wichtigen Fragen, je Werkzeugtyp, und das eine, was keine Plattform löst.
Kenneth Kather · Gründer & CEO, KNK Outbound
Die wichtigsten Punkte
- Keine Plattform ist für sich allein DSGVO-konform. Das ergibt sich aus Werkzeug, Daten und dem, was Ihr Team damit macht, und für die letzten beiden bleiben Sie verantwortlich.
- Der Serverstandort ist eine von acht Fragen. Ein deutscher Server hilft nicht, wenn ein US-Unterauftragnehmer die Daten liest, und auch ein US-Tool lässt sich mit den richtigen Verträgen rechtmäßig nutzen.
- Fragen Sie zuerst nach der Datenquelle. Woher der Anbieter die Kontaktdaten hat, entscheidet, wie Sie Personen informieren können und ob Ihre Rechtsgrundlage trägt.
- DSGVO und die Regeln für Werbemails sind zwei getrennte Prüfungen. Eine DSGVO-saubere Datenbank macht Cold E-Mails an deutsche Firmen nicht zulässig.
Die kurze Antwort
Eine DSGVO-konforme Leadgenerierungsplattform bietet Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28, nennt Unterauftragnehmer und Verarbeitungsorte, kann die Herkunft ihrer Kontaktdaten erklären und ermöglicht Ihnen den Umgang mit Widersprüchen und Löschungen. Ein Serverstandort in Deutschland ist ein Pluspunkt, aber nicht ausreichend und nicht zwingend nötig. Stellen Sie jedem Anbieter die acht Fragen unten. Die Plattform kann Ihre Ansprache allerdings nicht rechtmäßig machen: In Deutschland gelten Werbemails ohne vorherige Einwilligung nach dem UWG als unzumutbare Belästigung, ganz gleich, wo die Server stehen. Das ist keine Rechtsberatung.
Warum "Server in Deutschland" die Frage nicht klärt
Die Frage ist verständlich, und der Serverstandort zählt durchaus: Daten, die in der EU bleiben, fallen nicht unter die Regeln für Übermittlungen in Drittländer. Er deckt aber weniger ab, als es scheint.
- Es zählt auch der Zugriff, nicht nur die Speicherung. Wenn ein Support-Team oder Unterauftragnehmer in einem Drittland auf die Daten zugreifen kann, kann das eine Übermittlung sein, selbst bei Servern in Frankfurt.
- Drittländer sind nicht ausgeschlossen. Übermittlungen sind möglich mit einem Angemessenheitsbeschluss, etwa dem EU-US Data Privacy Framework für zertifizierte Firmen, oder mit Standardvertragsklauseln. Viele gängige Vertriebstools arbeiten so.
- Ein deutscher Server sagt nichts über die Daten. Auch eine in Deutschland gehostete Datenbank kann Kontaktdaten enthalten, die auf eine Weise erhoben wurden, die Sie nicht vertreten könnten.
Nehmen Sie den Serverstandort also als eine Antwort und stellen Sie die übrigen Fragen ebenfalls.
Die acht Fragen an jeden Anbieter
| Frage | Warum sie zählt | Eine gute Antwort |
|---|---|---|
| Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? | Pflicht, wenn der Anbieter personenbezogene Daten für Sie verarbeitet | Ja, ohne Verhandlung verfügbar |
| Wer sind Ihre Unterauftragnehmer? | Ihre Daten gehen dorthin, wo diese sitzen | Eine öffentliche, aktuelle Liste |
| Wo werden Daten verarbeitet und abgerufen? | Entscheidet, ob Übermittlungsregeln greifen | Benannte Orte, auch für den Support-Zugriff |
| Worauf stützen sich Übermittlungen außerhalb der EU? | Nötig bei jedem Zugriff aus Drittländern | Angemessenheitsbeschluss oder Standardvertragsklauseln, konkret benannt |
| Woher stammen Ihre Kontaktdaten? | Sie müssen Personen nach Art. 14 die Quelle nennen | Benannte Quellenarten, möglichst je Datensatz dokumentiert |
| Wie laufen Widersprüche und Löschungen? | Personen können jederzeit widersprechen | Eine Sperrliste, die erneute Importe übersteht |
| Werden unsere Daten zum KI-Training genutzt? | Kundendaten gehören dort nicht hin | Standardmäßig aus, im Vertrag festgehalten |
| Wie lange werden Daten gespeichert, und wird wirklich gelöscht? | Es gilt die Speicherbegrenzung | Festgelegte Fristen, Löschung auf Anfrage |
- Warum sie zählt
- Pflicht, wenn der Anbieter personenbezogene Daten für Sie verarbeitet
- Eine gute Antwort
- Ja, ohne Verhandlung verfügbar
- Warum sie zählt
- Ihre Daten gehen dorthin, wo diese sitzen
- Eine gute Antwort
- Eine öffentliche, aktuelle Liste
- Warum sie zählt
- Entscheidet, ob Übermittlungsregeln greifen
- Eine gute Antwort
- Benannte Orte, auch für den Support-Zugriff
- Warum sie zählt
- Nötig bei jedem Zugriff aus Drittländern
- Eine gute Antwort
- Angemessenheitsbeschluss oder Standardvertragsklauseln, konkret benannt
- Warum sie zählt
- Sie müssen Personen nach Art. 14 die Quelle nennen
- Eine gute Antwort
- Benannte Quellenarten, möglichst je Datensatz dokumentiert
- Warum sie zählt
- Personen können jederzeit widersprechen
- Eine gute Antwort
- Eine Sperrliste, die erneute Importe übersteht
- Warum sie zählt
- Kundendaten gehören dort nicht hin
- Eine gute Antwort
- Standardmäßig aus, im Vertrag festgehalten
- Warum sie zählt
- Es gilt die Speicherbegrenzung
- Eine gute Antwort
- Festgelegte Fristen, Löschung auf Anfrage
Wer das innerhalb weniger Tage schriftlich beantwortet, hat in der Regel darüber nachgedacht. Vage Antworten und eine Marketingseite mit "DSGVO"-Siegel sind ein Warnzeichen. Ein allgemeines amtliches Siegel, das ein Vertriebstool "DSGVO-konform" macht, gibt es nicht. Behandeln Sie solche Siegel also als Behauptung und nicht als Beleg.
Worauf Sie je Werkzeugtyp achten sollten
| Werkzeugtyp | Besonderes Risiko | Was Sie prüfen sollten |
|---|---|---|
| Firmen- und Kontaktdatenbanken | Herkunft der Personendaten, oft ist der Anbieter selbst Verantwortlicher | Quelle, Art.-14-Information, Widerspruch beim Anbieter |
| Website-Besuchererkennung | Personen statt Firmen erkennen | Bei EU-Besuchern nur auf Firmenebene, Einwilligung mit dem Datenschutzbeauftragten klären |
| E-Mail-Versandtools | Kontaktlisten und Antworten liegen beim Anbieter | Auftragsverarbeitung, Unterauftragnehmer, Standort |
| LinkedIn-Automatisierung | Plattformregeln, Profildaten außerhalb von LinkedIn | Nutzungsbedingungen, was wohin exportiert wird |
| CRM | Die zentrale Akte aller Kontakte | Löschkonzept, Zugriffsrechte, Protokolle |
| KI-Assistenten und Agenten | Interessentendaten in Prompts, Training auf Eingaben | Geschäftstarif, kein Training, Auftragsverarbeitung |
- Besonderes Risiko
- Herkunft der Personendaten, oft ist der Anbieter selbst Verantwortlicher
- Was Sie prüfen sollten
- Quelle, Art.-14-Information, Widerspruch beim Anbieter
- Besonderes Risiko
- Personen statt Firmen erkennen
- Was Sie prüfen sollten
- Bei EU-Besuchern nur auf Firmenebene, Einwilligung mit dem Datenschutzbeauftragten klären
- Besonderes Risiko
- Kontaktlisten und Antworten liegen beim Anbieter
- Was Sie prüfen sollten
- Auftragsverarbeitung, Unterauftragnehmer, Standort
- Besonderes Risiko
- Plattformregeln, Profildaten außerhalb von LinkedIn
- Was Sie prüfen sollten
- Nutzungsbedingungen, was wohin exportiert wird
- Besonderes Risiko
- Die zentrale Akte aller Kontakte
- Was Sie prüfen sollten
- Löschkonzept, Zugriffsrechte, Protokolle
- Besonderes Risiko
- Interessentendaten in Prompts, Training auf Eingaben
- Was Sie prüfen sollten
- Geschäftstarif, kein Training, Auftragsverarbeitung
Deutsche Datenquellen wie das Handelsregister liefern Firmeninformationen statt einzelner Kontakte, das hilft auf der ersten Stufe einer Liste. Unsere Übersicht Firmendaten für den DACH-Raum ordnet die Anbieter je Schicht ein, und Datenanreicherung im B2B behandelt die Anreicherung. Zu KI-Werkzeugen steht mehr im Datenschutz-Abschnitt von KI im Vertrieb.
Prüfen Sie den aktuellen Stand vor der Unterschrift bei jedem Anbieter, denn Bedingungen, Unterauftragnehmer und Hosting-Regionen ändern sich. Eine Liste "konformer" Anbieter veröffentlichen wir hier bewusst nicht, das kann von außen niemand bescheinigen.
Wofür Sie verantwortlich bleiben
Auch mit einem perfekten Werkzeug bleiben vier Dinge bei Ihnen:
- Die Rechtsgrundlage. Meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f. Halten Sie die Abwägung schriftlich fest, eine Seite pro Kampagne reicht.
- Die Information der Kontakte. Art. 14 verlangt, dass Sie Personen die Herkunft ihrer Daten nennen, spätestens nach einem Monat oder beim ersten Kontakt.
- Widersprüche. Wer widerspricht, kommt auf Ihre Sperrliste, und zwar in allen Werkzeugen.
- Die Auswahl der Kontakte. Eine enge Zielgruppe lässt sich leichter vertreten als die Ansprache einer ganzen Branche.
Was keine Plattform löst
Datenschutz und Werberecht sind zwei getrennte Fragen. Die DSGVO fragt, ob Sie die Daten verarbeiten dürfen. Das UWG fragt, ob Sie die Nachricht senden dürfen.
In Deutschland fällt die zweite Antwort für E-Mail streng aus: Werbemails ohne vorherige Einwilligung gelten als unzumutbare Belästigung, auch zwischen Unternehmen. Telefonische Ansprache von Unternehmen kann sich auf eine mutmaßliche Einwilligung stützen, die im Einzelfall zu prüfen ist. Österreich und die Schweiz haben eigene Regeln, und auch die übrigen europäischen Länder unterscheiden sich stark, wie unsere B2B-Regeln je Land zeigen. Die Einzelheiten für den DACH-Raum stehen in Ist Kaltakquise erlaubt?.
Wenn ein Anbieter also mit "DSGVO-konformer Cold E-Mail" wirbt, lesen Sie das als Aussage über den Umgang mit Daten, nicht darüber, ob Sie senden dürfen.
Plattform oder Dienstleister?
Eine Plattform lohnt sich, wenn jemand in Ihrem Team Zeit hat, Listen aufzubauen, Nachrichten zu schreiben und Antworten zu bearbeiten, und die Fragen oben verantworten kann. Fehlt diese Person, bleibt das Werkzeug ungenutzt, so konform es auch ist. KNK Outbound ist ein Dienstleister und keine Plattform: Wir führen die Kampagnen durch, planen die Kanäle je Land entlang des rechtlichen Rahmens und übergeben gebuchte Termine. Die acht Fragen können Sie auch uns stellen. Mehr dazu auf unserer Seite zur Leadgenerierung-Agentur für den DACH-Raum.
Häufige Fragen
Gibt es eine DSGVO-konforme Leadgenerierungsplattform mit Serverstandort in Deutschland?
Mehrere Anbieter bieten Hosting in der EU oder in Deutschland an, das allein macht eine Plattform aber nicht konform. Fragen Sie nach Auftragsverarbeitungsvertrag, Unterauftragnehmern, Verarbeitungs- und Zugriffsorten, Datenquellen und dem Umgang mit Widersprüchen. Prüfen Sie den aktuellen Stand vor der Unterschrift beim Anbieter.
Welche Anbieter für B2B-Firmendaten sind DSGVO-konform?
Das kann von außen niemand bescheinigen, und ein allgemeines Siegel gibt es nicht. Prüfen Sie, woher der Anbieter Personendaten bezieht, ob er Personen informiert, wie Widersprüche laufen und ob er einen Auftragsverarbeitungsvertrag anbietet. Firmendaten aus Registern sind weniger sensibel als namentliche Kontaktdaten.
Gibt es DSGVO-konforme KI-Sales-Tools für europäische Unternehmen?
Ja, wenn der Aufbau stimmt: ein Geschäftstarif ohne Training auf Ihren Eingaben, ein Auftragsverarbeitungsvertrag, benannte Verarbeitungsorte und Regeln dazu, was Ihr Team eingeben darf. Kostenlose Privatkonten eignen sich nicht für Interessenten- oder Kundendaten.
Dürfen wir ein US-Tool für die Leadgenerierung unter der DSGVO nutzen?
Oft ja, mit Auftragsverarbeitungsvertrag und gültigem Übermittlungsmechanismus, etwa dem EU-US Data Privacy Framework für zertifizierte Firmen oder Standardvertragsklauseln. Ihr Datenschutzbeauftragter sollte das konkrete Werkzeug prüfen. Das ist keine Rechtsberatung.
Macht eine DSGVO-konforme Plattform Cold E-Mails zulässig?
Nein. Die DSGVO betrifft die Daten, nationale Regeln entscheiden, ob Sie senden dürfen. In Deutschland gelten Werbemails ohne vorherige Einwilligung nach dem UWG als unzumutbare Belästigung, auch zwischen Unternehmen, egal mit welchem Werkzeug.