Recht und Datenschutz

Empfehlungen und DSGVO: was du mit fremden Daten darfst

Warum die Zustimmung deines Kunden nicht ausreicht und ab wann du einen Empfohlenen informieren musst.¹

Bestandsgold · Zuletzt geprüft am 9. September 2026 · 7 Min. Lesezeit

Kurz gesagt

Sobald du den Namen eines Empfohlenen notierst, verarbeitest du personenbezogene Daten. Dafür brauchst du eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.
Die Zustimmung deines Kunden hilft dir nicht: Eine Einwilligung ist höchstpersönlich, und er ist nicht die betroffene Person.
Meldet sich der Empfohlene selbst, greift Art. 6 Abs. 1 lit. b DSGVO und du informierst nach Art. 13. Das ist der deutlich ruhigere Weg.

Inhalt dieses Beitrags

Empfehlungen und DSGVO: wo die Verordnung greift

Bei Empfehlungen greift die DSGVO früher, als die meisten Berater vermuten: schon in dem Moment, in dem du dir den Namen aufschreibst.

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Angaben, die sich auf eine identifizierte oder identifizierbare Person beziehen. Ein Vorname mit Wohnort genügt oft schon. Verarbeitung ist nach Art. 4 Nr. 2 DSGVO fast alles: erheben, speichern, verwenden, weitergeben, löschen. Der Zettel im Ordner zählt genauso wie das Feld im CRM.

Verantwortlicher bist dabei du, nicht dein Kunde und nicht dein Softwareanbieter. Du entscheidest über Zweck und Mittel, also trägst du die Pflichten.

Die Rechtsgrundlage: drei Wege durch Art. 6 DSGVO

Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Für Empfehlungen kommen praktisch drei in Betracht.

Von den dreien ist das berechtigte Interesse der beliebteste und der wackeligste Weg. Es verlangt eine Abwägung, die du dokumentieren musst. In diese Abwägung strahlt das Wettbewerbsrecht hinein. Wenn die geplante Ansprache nach § 7 UWG unzulässig wäre, wird es schwer, ausgerechnet die Speicherung für genau diese Ansprache als überwiegendes Interesse zu begründen.

Art. 6 Abs. 1 lit. a: Einwilligung des Empfohlenen selbst. Sauber, aber praktisch schwierig: Du müsstest ihn dafür erst kontaktieren.
Art. 6 Abs. 1 lit. b: Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Greift, sobald der Empfohlene selbst auf dich zukommt.
Art. 6 Abs. 1 lit. f: Berechtigtes Interesse. Verlangt eine Abwägung gegen die Interessen des Empfohlenen, die du im Zweifel begründen musst.

Warum die Zustimmung deines Kunden nichts nützt

Ein verbreiteter Irrtum lautet: „Mein Kunde hat mir die Nummer gegeben, also darf ich sie haben.“ Das trägt nicht.

Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person. Betroffene Person ist der Empfohlene. Dein Kunde kann für ihn keine Erklärung abgeben, so gut er es auch meint.

Dasselbe gilt im Wettbewerbsrecht: § 7 Abs. 2 Nr. 1 UWG fragt nach der Einwilligung des Angerufenen. Wer eine fremde Nummer entgegennimmt, hat damit nur eine Pflicht ausgelöst.

Die Informationspflicht nach Art. 14 DSGVO

Hast du die Daten von deinem Kunden und nicht von der betroffenen Person, greift Art. 14 DSGVO. Du musst den Empfohlenen aktiv informieren, ohne dass er fragt. Die Frist ist eng: innerhalb einer angemessenen Frist, längstens aber innerhalb eines Monats. Sprichst du ihn vorher an, spätestens bei dieser ersten Mitteilung.

Der unangenehme Teil steht in Art. 14 Abs. 2 lit. f DSGVO: Du musst auch die Quelle nennen. Der Empfohlene erfährt damit schwarz auf weiß, dass sein Bekannter seinen Namen weitergegeben hat. Genau dieses Gespräch will dein Kunde nicht führen. Das ist einer der Gründe, warum klassische Empfehlungsprogramme einschlafen.

Wer du bist, mit Kontaktdaten und gegebenenfalls dem Datenschutzbeauftragten.
Zweck der Verarbeitung und die Rechtsgrundlage, auf die du dich stützt.
Die Kategorien der Daten, die du über ihn hast.
Aus welcher Quelle die Daten stammen.
Wie lange du speicherst und an wen du die Daten weitergibst.
Seine Rechte: Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde.

Der Weg, der die Frage auflöst

Es gibt eine Variante, in der die Pflicht aus Art. 14 DSGVO gar nicht erst entsteht: Der Empfohlene meldet sich selbst. Dann sind die Daten bei ihm erhoben, und es gilt Art. 13 DSGVO mit der Information im Moment der Erhebung. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: vorvertragliche Maßnahmen auf seine eigene Anfrage.

Bestandsgold ist genau darauf gebaut. Dein Kunde verschenkt eine Erstberatung, wählt zuerst seine Belohnung und verschickt den Link über seinen eigenen Messenger. Du erfährst nichts über den Empfohlenen, solange dieser nichts tut.

Sichtbar wird er erst, wenn er selbst einen Termin in deinem Kalender bucht oder einen Rückruf wünscht und diesen ein zweites Mal bestätigt. Erst ab da hast du Daten: von ihm, mit seinem Wissen, zu einem Zweck, den er selbst gesetzt hat.

Was du in deiner eigenen Ablage brauchst

Die Rechtsgrundlage ist nur die halbe Miete. Der Rest sind Nachweise, und die verlangt eine Aufsichtsbehörde im Zweifel kurzfristig.

Bestandsgold läuft in Frankfurt, die Verbindung ist verschlüsselt, die Mandanten sind auf Datenbankebene getrennt. Die Datenbank steht bei einem US-Anbieter, aber in dessen Region Frankfurt. Dazu kommen Dienstleister mit US-Bezug für Versand, Zahlung und Textvorschläge. Das steht so im Auftragsverarbeitungsvertrag, damit du es vorher weißt.

Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, in dem die Empfehlungsverarbeitung als eigener Zweck steht.
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Dienstleister, der die Daten für dich verarbeitet.
Festgelegte Speicherfristen nach Art. 5 Abs. 1 lit. e DSGVO, gerade für Empfohlene, aus denen nie ein Kunde wird.
Ein Ablauf für Auskunft (Art. 15) und Löschung (Art. 17), den du nach Art. 12 Abs. 3 DSGVO in einem Monat beantworten kannst.
Einen Weg, einen Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO) sofort umzusetzen: Danach ist die Verarbeitung zu Werbezwecken beendet (Art. 21 Abs. 3 DSGVO), ohne Abwägung und ohne Rückfrage.

Wo es auf deinen Einzelfall ankommt

Die Artikel der DSGVO sind knapp formuliert, ihre Anwendung ist es nicht. Ob ein berechtigtes Interesse im konkreten Fall überwiegt oder ob eine Ausnahme von der Informationspflicht nach Art. 14 Abs. 5 DSGVO greift, hängt an Details deines Ablaufs und wird von Aufsichtsbehörden nicht überall gleich beurteilt.

Setzt du einen Empfehlungsablauf auf, der fremde Kontaktdaten berührt, lass ihn einmal von einem Anwalt für Datenschutzrecht oder deinem Datenschutzbeauftragten ansehen. Am günstigsten ist das vor dem ersten Versand.

Mehr zum Thema

Fundstellen

Die Gesetzestexte stehen beim Bundesministerium der Justiz, die Artikel der Datenschutz-Grundverordnung bei dsgvo-gesetz.de.

Dieser Beitrag ist keine Rechtsberatung. Für deinen Einzelfall frag deinen Anwalt. ↩

Häufige Fragen

Darf ich den Namen eines Empfohlenen einfach in mein CRM eintragen?

Nur mit einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Praktisch bleibt dafür das berechtigte Interesse nach lit. f, und das verlangt eine dokumentierte Abwägung gegen die Interessen des Empfohlenen. Dazu kommt Art. 14 DSGVO: Du musst ihn innerhalb eines Monats informieren, dass du seine Daten hast, und nennen, woher sie stammen. Wer das nicht leisten will, sollte den Namen gar nicht erst aufnehmen.

Reicht die Einwilligung meines Kunden für den Empfohlenen?

Nein. Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine Willensbekundung der betroffenen Person, und betroffene Person ist der Empfohlene selbst. Dein Kunde kann sie nicht stellvertretend abgeben. Dasselbe gilt im Wettbewerbsrecht: § 7 Abs. 2 Nr. 1 UWG fragt nach der Einwilligung dessen, der angerufen wird. Die Zustimmung deines Kunden ändert an beidem nichts.

Muss ich den Empfohlenen informieren, dass ich seine Daten habe?

Ja, wenn du sie von einem Dritten bekommen hast. Art. 14 DSGVO verlangt die Information innerhalb einer angemessenen Frist, längstens innerhalb eines Monats, und spätestens bei der ersten Kontaktaufnahme mit ihm. Dazu gehören dein Name, der Zweck, die Rechtsgrundlage, die Kategorien der Daten, die Speicherdauer, seine Rechte und nach Art. 14 Abs. 2 lit. f DSGVO auch die Quelle. Meldet sich der Empfohlene dagegen selbst bei dir, gilt stattdessen die kürzere Information nach Art. 13 DSGVO.

Wie lange darf ich die Daten eines Empfohlenen speichern, der nie Kunde wird?

So lange, wie es für deinen Zweck erforderlich ist. Art. 5 Abs. 1 lit. e DSGVO nennt keine Zahl. Verlangt ist eine von dir festgelegte, begründete Frist. Ohne Vertrag und ohne Kontakt entfällt der Zweck schnell, dann ist zu löschen. Handels- und steuerrechtliche Aufbewahrungspflichten greifen hier nicht, weil kein Geschäftsvorfall entstanden ist.

Brauche ich einen Auftragsverarbeitungsvertrag für meine Empfehlungssoftware?

Ja. Sobald ein Anbieter Kundendaten in deinem Auftrag verarbeitet, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag mit festgelegten Inhalten. Das gilt für die Software und ebenso für Dienstleister, die im Hintergrund Nachrichten versenden oder Zahlungen abwickeln. Sieh dabei nach, wo die Daten liegen: Bei Bestandsgold steht die Datenbank in Frankfurt, betrieben von einem Anbieter mit Sitz in den USA.

Weiterlesen

Freigabe vor jedem Versand

Keine Anfrage an deine Kunden geht raus, bevor du sie freigegeben hast. Den Link an den Empfohlenen schickt dein Kunde selbst.

Zugang anfragen So funktioniert es

Wir melden uns persönlich bei dir. Alle Kosten siehst du vorab.