DSGVO-konforme Datenanreicherung: der Leitfaden

Bevor ein neues Anreicherungstool im Stack landet, stellt fast jeder DPO oder Compliance-Verantwortliche im DACH-Raum dieselbe Frage: Ist das eigentlich DSGVO-konform? Bei personenbezogenen B2B-Daten ist das keine Formalität, sondern eine berechtigte Frage — denn viele Anbieter beantworten sie nur ausweichend.

Der Grund dafür liegt oft im Geschäftsmodell selbst. Klassische Datenanbieter sammeln personenbezogene Daten europäischer Kontakte im Voraus und lagern sie in riesigen Datenbanken — unabhängig davon, ob ein konkreter Kunde diese Daten je abruft. Genau das wirft rechtliche Fragen auf: Auf welcher Rechtsgrundlage wurden diese Daten ursprünglich gesammelt? Wie lange werden sie gespeichert? Wurden die betroffenen Personen informiert?

Dieser Leitfaden erklärt, was DSGVO-konforme Datenanreicherung konkret bedeutet, welche Rechtsgrundlage im B2B-Vertrieb greift, worauf Sie bei der Anbieterwahl achten sollten — und warum das Funktionsprinzip eines Tools (gespeicherte Datenbank vs. Live-Abfrage) direkt mit der Compliance zusammenhängt. Eine allgemeine Einführung in das Thema finden Sie im Grundlagenartikel zur CRM-Datenanreicherung.

Was bedeutet DSGVO-konforme Datenanreicherung?

DSGVO-konforme Datenanreicherung bedeutet, dass ein Anbieter personenbezogene B2B-Daten (Name, Titel, geschäftliche E-Mail-Adresse) nur auf einer dokumentierten Rechtsgrundlage verarbeitet, einen Auftragsverarbeitungsvertrag (AVV) bereitstellt und transparent macht, wo und wie lange Daten gespeichert werden — idealerweise mit Verarbeitung innerhalb der EU.

Ist Datenanreicherung überhaupt DSGVO-konform?

Ja, grundsätzlich — aber die Konformität hängt vollständig vom Anbieter und Prozess ab, nicht vom Konzept "Datenanreicherung" an sich. Die DSGVO verbietet nicht, geschäftliche Kontaktdaten zu verarbeiten. Sie verlangt aber, dass diese Verarbeitung auf einer klaren Rechtsgrundlage beruht, zweckgebunden ist und die Rechte der betroffenen Personen (Auskunft, Löschung, Widerspruch) gewahrt bleiben. Ein Tool ist also nicht per se konform oder nicht-konform — entscheidend ist, wie es Daten sammelt, speichert und verarbeitet.

Welche Rechtsgrundlage gilt für Datenanreicherung im B2B-Vertrieb?

In der Praxis stützen sich die meisten B2B-Anreicherungs- und Prospecting-Prozesse auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Drei Punkte sind dabei wichtig:

• Dokumentierte Interessenabwägung: Berechtigtes Interesse ist keine pauschale Ausrede — es setzt voraus, dass Ihr Interesse (B2B-Prospektion) gegen die Interessen der betroffenen Person abgewogen wurde und diese Abwägung dokumentiert ist.
• Zweckbindung: Die angereicherten Daten dürfen nur für den ursprünglich vorgesehenen Zweck genutzt werden — B2B-Vertriebsansprache ist etwas anderes als z. B. Weiterverkauf der Daten an Dritte.
• Informationspflicht und Widerspruchsrecht: Betroffene Personen müssen die Möglichkeit haben, der Verarbeitung zu widersprechen (Art. 21 DSGVO). Ein konformer Prozess macht diesen Widerspruch praktisch nutzbar, nicht nur theoretisch möglich.

Diese Rechtsgrundlage gilt unabhängig davon, welches Tool Sie einsetzen — die Verantwortung dafür liegt letztlich bei Ihrem Unternehmen als datenverarbeitende Stelle, nicht allein beim Anbieter.

Live-Abfrage vs. gespeicherte Datenbank: der entscheidende DSGVO-Unterschied

Hier liegt der eigentliche strukturelle Unterschied zwischen Anbietertypen, der bei der DSGVO-Bewertung oft übersehen wird:

• Gespeicherte Datenbank: Der Anbieter sammelt personenbezogene Daten von Millionen europäischer Kontakte im Voraus und hält sie dauerhaft in einer eigenen Datenbank vor — unabhängig davon, ob ein Kunde diese Person je abfragt. Das bedeutet: Es existiert bereits ein Datensatz über eine Person, bevor überhaupt ein legitimer Anlass zur Verarbeitung besteht. Fragen zu Speicherdauer, ursprünglicher Rechtsgrundlage der Erstsammlung und Löschfristen werden dadurch komplexer.
• Echtzeit-Anreicherung (Live-Lookup): Die Suche läuft bei jeder Anfrage live gegen öffentlich zugängliche Quellen im Web — es wird keine eigene Vorrats-Datenbank mit personenbezogenen Daten aufgebaut. Daten werden nur dann verarbeitet, wenn ein Kunde konkret danach fragt, und der Zweck der Verarbeitung ist von Anfang an klar umrissen.

Der zweite Ansatz ist rechtlich einfacher zu begründen, weil keine Vorratsdatenspeicherung entsteht. Enrich-CRM arbeitet nach diesem Prinzip: Anreicherungsanfragen laufen als Live-Suche, die Verarbeitung findet auf Servern in der EU (Paris) statt — nicht in den USA, wie bei vielen der etablierten, großen Anbieter üblich.

Checkliste: Worauf Ihr DPO bei einem Anreicherungstool achten sollte

Bevor ein Tool freigegeben wird, lohnt sich diese Checkliste:

Prüfpunkt	Warum es wichtig ist
Serverstandort	EU-Verarbeitung vermeidet Drittlandtransfer-Prüfungen und Standardvertragsklauseln
Auftragsverarbeitungsvertrag (AVV)	Gesetzlich vorgeschrieben, sobald der Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet
Funktionsprinzip	Live-Abfrage vs. dauerhaft gespeicherte Vorratsdatenbank — beeinflusst Speicherdauer-Fragen direkt
Rechtsgrundlage transparent	Der Anbieter sollte klar benennen können, auf welcher Grundlage er selbst Daten verarbeitet
Widerspruchs- und Löschprozess	Betroffene Personen müssen der Verarbeitung praktisch widersprechen können

Diese Punkte lassen sich in der Regel innerhalb eines Erstgesprächs mit dem Anbieter klären — ein Anbieter, der hier ausweicht oder auf pauschale Aussagen zurückgreift, ist ein Warnsignal.

Wie lange dürfen angereicherte Kontaktdaten gespeichert werden?

Die DSGVO schreibt keine feste Frist vor, sondern verlangt den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den ursprünglichen Zweck erforderlich ist. Für angereicherte B2B-Kontaktdaten bedeutet das in der Praxis:

• Solange ein aktiver Vertriebsprozess (Ansprache, Nachverfolgung, laufende Kundenbeziehung) besteht, ist die Speicherung in der Regel gerechtfertigt.
• Verliert ein Datensatz seinen Zweck — etwa weil ein Lead nach mehreren erfolglosen Versuchen nicht mehr weiterverfolgt wird —, sollte er gelöscht oder anonymisiert werden.
• Veraltete Datensätze sind ohnehin ein doppeltes Problem: Sie sind rechtlich schwerer zu rechtfertigen und operativ nutzlos, weil sich Job-Titel, Firmenzugehörigkeit oder Kontaktdaten laufend ändern.

Genau hier zeigt sich ein praktischer Vorteil von Echtzeit-Anreicherung: Statt einen Datensatz unbegrenzt "auf Vorrat" zu halten und regelmäßig manuell zu prüfen, lässt sich ein CRM-Kontakt bei Bedarf erneut live abfragen und aktualisieren — die Datenhaltung bleibt schlank, und veraltete Felder werden ersetzt statt endlos mitgeschleppt.

DSGVO-konforme Datenanreicherung in der Praxis: ein Beispiel

Nehmen wir ein typisches Szenario: Ihr Vertriebsteam möchte eine Liste von 2.000 Zielunternehmen mit Ansprechpartnern, Titeln und geschäftlichen E-Mail-Adressen anreichern, bevor eine Kampagne startet. Bei einem Anbieter mit gespeicherter Datenbank greifen Sie auf bereits vorab gesammelte Datensätze zu — mit allen offenen Fragen zu deren Herkunft und Aktualität. Bei einem Live-Lookup-Ansatz löst jede Anfrage in der Liste eine aktuelle, zweckgebundene Suche aus: Die Daten werden zum Zeitpunkt Ihrer konkreten Anfrage verarbeitet, nicht Monate vorher auf Vorrat gesammelt.

Für die technische Umsetzung bedeutet das konkret: Enrich-CRM liefert dabei über 250 firmografische und über 50 kontaktbezogene Datenpunkte pro Anfrage, inklusive Job-Wechsel-Erkennung und Kaufsignalen, mit nativen Integrationen für HubSpot, Clay, Zapier, Make, n8n sowie REST-API und CSV-Import — die Verarbeitung läuft auf EU-Servern in Paris. Ein genereller Überblick über die abrufbaren Firmendatenpunkte findet sich im Datenabdeckungs-Hub. Preise starten bei 29€/Monat, mit einem kostenlosen Einstiegsplan (100 Credits/Monat, keine Kreditkarte nötig).

Wie sich Anreicherung im Detail technisch abspielt — welche Felder ergänzt werden und nach welchem Prinzip —, erklärt der allgemeine Leitfaden zur Datenanreicherung. Für Teams, die konkret von einem US-Anbieter wie Apollo migrieren und dabei DSGVO-Fragen klären müssen, lohnt sich zusätzlich der Vergleich zu europäischen Alternativen.

FAQ

Ist Datenanreicherung mit der DSGVO vereinbar? Ja, wenn der Anbieter eine dokumentierte Rechtsgrundlage (meist berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO), einen Auftragsverarbeitungsvertrag und einen funktionierenden Widerspruchsprozess bietet. Die Konformität hängt am konkreten Prozess, nicht am Konzept.

Welche Rechtsgrundlage gilt für B2B-Prospecting-Daten? In der Praxis meist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), gestützt auf eine dokumentierte Interessenabwägung. Eine Einwilligung ist im B2B-Kontext für reine Anreicherung in der Regel nicht die primäre Grundlage.

Was ist der Unterschied zwischen einer gespeicherten Datenbank und Echtzeit-Anreicherung aus DSGVO-Sicht? Eine gespeicherte Datenbank hält personenbezogene Daten dauerhaft vor, unabhängig von einer konkreten Anfrage — das wirft zusätzliche Fragen zu Speicherdauer und ursprünglicher Rechtsgrundlage auf. Echtzeit-Anreicherung verarbeitet Daten nur zweckgebunden bei einer konkreten Anfrage, ohne eigene Vorratsdatenbank aufzubauen.

Braucht mein Unternehmen einen AVV mit dem Anreicherungstool? Ja. Sobald ein Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) gesetzlich vorgeschrieben. Ein DSGVO-konformer Anbieter stellt diesen standardmäßig zur Verfügung.

Wo sollten die Daten verarbeitet werden, um DSGVO-Risiken zu minimieren? Innerhalb der EU verarbeitete Daten vermeiden zusätzliche Prüfpflichten für Drittlandtransfers (z. B. Standardvertragsklauseln bei US-Verarbeitung). Enrich-CRM verarbeitet Anfragen beispielsweise auf Servern in Paris.

---

Testen Sie es selbst: Starten Sie kostenlos mit 100 Credits/Monat, ohne Kreditkarte — jetzt registrieren.