Recht
Empfehlungen und DSGVO: was du mit fremden Daten darfst
Warum die Zustimmung deines Kunden nicht ausreicht und ab wann du einen Empfohlenen informieren musst.
Kurz gesagt
- Sobald du den Namen eines Empfohlenen notierst, verarbeitest du personenbezogene Daten und brauchst dafür eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.
- Die Zustimmung deines Kunden hilft dir nicht: Eine Einwilligung ist höchstpersönlich, und er ist nicht die betroffene Person.
- Bekommst du die Daten von einem Dritten, musst du den Empfohlenen nach Art. 14 DSGVO informieren – innerhalb eines Monats oder spätestens bei der ersten Ansprache.
- Meldet sich der Empfohlene dagegen selbst, greift Art. 6 Abs. 1 lit. b DSGVO und du informierst nach Art. 13. Das ist der deutlich ruhigere Weg.
- DSGVO und UWG sind zwei getrennte Prüfungen. Beide müssen passen, und die eine ersetzt die andere nie.
Empfehlungen und DSGVO: wo die Verordnung greift
Bei Empfehlungen greift die DSGVO früher, als die meisten Berater vermuten. Nicht erst beim ersten Anruf, sondern in dem Moment, in dem du dir den Namen aufschreibst.
Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Angaben, die sich auf eine identifizierte oder identifizierbare Person beziehen; ein Vorname mit Wohnort genügt oft schon. Verarbeitung ist nach Art. 4 Nr. 2 DSGVO fast alles: erheben, speichern, verwenden, weitergeben, löschen. Der Zettel im Ordner zählt genauso wie das Feld im CRM.
Verantwortlicher bist dabei du, nicht dein Kunde und nicht dein Softwareanbieter. Du entscheidest über Zweck und Mittel, also trägst du die Pflichten.
Die Rechtsgrundlage: drei Wege durch Art. 6 DSGVO
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Für Empfehlungen kommen praktisch drei in Betracht.
Von den dreien ist das berechtigte Interesse der beliebteste und der wackeligste Weg. Es verlangt eine echte Abwägung, die du dokumentieren musst – und in diese Abwägung strahlt das Wettbewerbsrecht hinein. Wenn die geplante Ansprache nach § 7 UWG unzulässig wäre, wird es schwer, ausgerechnet die Speicherung für genau diese Ansprache als überwiegendes Interesse zu begründen.
- Art. 6 Abs. 1 lit. a: Einwilligung des Empfohlenen selbst. Sauber, aber praktisch schwierig – du müsstest ihn dafür erst kontaktieren.
- Art. 6 Abs. 1 lit. b: Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Greift, sobald der Empfohlene selbst auf dich zukommt.
- Art. 6 Abs. 1 lit. f: Berechtigtes Interesse. Verlangt eine Abwägung gegen die Interessen des Empfohlenen, die du im Zweifel begründen musst.
Warum die Zustimmung deines Kunden nichts nützt
Der häufigste Irrtum lautet: Mein Kunde hat mir die Nummer gegeben, also darf ich sie haben. Das trägt nicht.
Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung der betroffenen Person. Betroffene Person ist der Empfohlene. Dein Kunde kann für ihn keine Erklärung abgeben, so gut er es auch meint.
Dasselbe gilt im Wettbewerbsrecht: § 7 Abs. 2 Nr. 1 UWG fragt nach der Einwilligung des Angerufenen. Wer eine fremde Nummer entgegennimmt, hat damit nichts gewonnen, sondern eine Pflicht ausgelöst.
Die Informationspflicht, die fast alle übersehen
Hast du die Daten nicht bei der betroffenen Person erhoben, sondern von deinem Kunden, greift Art. 14 DSGVO. Du musst den Empfohlenen aktiv informieren, ohne dass er fragt. Die Frist ist eng: innerhalb einer angemessenen Frist, längstens aber innerhalb eines Monats – und wenn du ihn vorher ansprichst, spätestens bei dieser ersten Mitteilung.
Der unangenehme Teil steht in Art. 14 Abs. 2 lit. f DSGVO: Du musst auch die Quelle nennen. Der Empfohlene erfährt damit schwarz auf weiß, dass sein Bekannter seinen Namen weitergegeben hat. Genau dieses Gespräch will dein Kunde nicht führen – einer der Gründe, warum klassische Empfehlungsprogramme einschlafen.
- Wer du bist, mit Kontaktdaten und gegebenenfalls dem Datenschutzbeauftragten.
- Zweck der Verarbeitung und die Rechtsgrundlage, auf die du dich stützt.
- Die Kategorien der Daten, die du über ihn hast.
- Aus welcher Quelle die Daten stammen.
- Wie lange du speicherst und an wen du die Daten weitergibst.
- Seine Rechte: Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde.
Der Weg, der die Frage auflöst
Es gibt eine Variante, in der der ganze Art.-14-Block gar nicht erst entsteht: Der Empfohlene meldet sich selbst. Dann sind die Daten bei ihm erhoben, es gilt Art. 13 DSGVO mit der Information im Moment der Erhebung, und die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf seine eigene Anfrage.
Bestandsgold ist genau darauf gebaut. Dein Kunde verschenkt eine Erstberatung, wählt zuerst seine Belohnung und verschickt den Link über seinen eigenen Messenger. Du erfährst nichts über den Empfohlenen, solange dieser nichts tut.
Sichtbar wird er erst, wenn er selbst einen Termin in deinem Kalender bucht oder einen Rückruf wünscht und diesen ein zweites Mal bestätigt. Erst ab da hast du Daten – von ihm, mit seinem Wissen, zu einem Zweck, den er selbst gesetzt hat.
Was du in deiner eigenen Ablage brauchst
Die Rechtsgrundlage ist nur die halbe Miete. Der Rest sind Nachweise, und die verlangt eine Aufsichtsbehörde im Zweifel kurzfristig.
Ein Punkt gehört offen gesagt: Die Anwendung von Bestandsgold läuft in Frankfurt, die Verbindung ist verschlüsselt, die Mandanten sind auf Datenbankebene getrennt. Die Datenbank selbst steht derzeit bei einem US-Anbieter in Virginia, dazu kommen Dienstleister mit US-Bezug für Versand, Zahlung und Textvorschläge. Das steht so im Auftragsverarbeitungsvertrag – du sollst es vorher wissen, nicht hinterher.
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, in dem die Empfehlungsverarbeitung als eigener Zweck steht.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Dienstleister, der die Daten für dich verarbeitet.
- Festgelegte Speicherfristen nach Art. 5 Abs. 1 lit. e DSGVO, gerade für Empfohlene, aus denen nie ein Kunde wird.
- Ein Ablauf für Auskunft (Art. 15) und Löschung (Art. 17), den du nach Art. 12 Abs. 3 DSGVO in einem Monat beantworten kannst.
- Einen Weg, einen Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO) sofort umzusetzen: Danach ist die Verarbeitung zu Werbezwecken beendet (Art. 21 Abs. 3 DSGVO) – ohne Abwägung, ohne Rückfrage.
Was dieser Text nicht leisten kann
Die Artikel der DSGVO sind knapp formuliert, ihre Anwendung ist es nicht. Ob ein berechtigtes Interesse im konkreten Fall überwiegt oder ob eine Ausnahme von der Informationspflicht nach Art. 14 Abs. 5 DSGVO greift, hängt an Details deines Ablaufs und wird von Aufsichtsbehörden nicht überall gleich beurteilt.
Dieser Text ordnet ein und ersetzt keine Prüfung deines Einzelfalls. Wenn du einen Empfehlungsablauf aufsetzt, der fremde Kontaktdaten berührt, lass ihn einmal von einem Anwalt für Datenschutzrecht oder deinem Datenschutzbeauftragten ansehen. Am günstigsten ist das vor dem ersten Versand.
Zuletzt geprüft am 09. September 2026.
Häufige Fragen
Was Berater dazu meistens fragen
Häufige Fragen
Darf ich den Namen eines Empfohlenen einfach in mein CRM eintragen?
Nur mit einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Praktisch bleibt dafür das berechtigte Interesse nach lit. f, und das verlangt eine dokumentierte Abwägung gegen die Interessen des Empfohlenen. Dazu kommt Art. 14 DSGVO: Du musst ihn innerhalb eines Monats informieren, dass du seine Daten hast, und nennen, woher sie stammen. Wer das nicht leisten will, sollte den Namen gar nicht erst aufnehmen.
Reicht die Einwilligung meines Kunden für den Empfohlenen?
Nein. Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine Willensbekundung der betroffenen Person, und betroffene Person ist der Empfohlene selbst. Dein Kunde kann sie nicht stellvertretend abgeben. Dasselbe gilt im Wettbewerbsrecht: § 7 Abs. 2 Nr. 1 UWG fragt nach der Einwilligung dessen, der angerufen wird. Die Zustimmung deines Kunden ändert an beidem nichts.
Muss ich den Empfohlenen informieren, dass ich seine Daten habe?
Ja, wenn du sie von einem Dritten bekommen hast. Art. 14 DSGVO verlangt die Information innerhalb einer angemessenen Frist, längstens innerhalb eines Monats, und spätestens bei der ersten Kontaktaufnahme mit ihm. Dazu gehören dein Name, der Zweck, die Rechtsgrundlage, die Kategorien der Daten, die Speicherdauer, seine Rechte und nach Art. 14 Abs. 2 lit. f DSGVO auch die Quelle. Meldet sich der Empfohlene dagegen selbst bei dir, gilt stattdessen die kürzere Information nach Art. 13 DSGVO.
Wie lange darf ich die Daten eines Empfohlenen speichern, der nie Kunde wird?
So lange, wie es für deinen Zweck erforderlich ist – Art. 5 Abs. 1 lit. e DSGVO nennt keine Zahl, sondern verlangt eine von dir festgelegte, begründete Frist. Ohne Vertrag und ohne Kontakt entfällt der Zweck schnell, dann ist zu löschen. Handels- und steuerrechtliche Aufbewahrungspflichten greifen hier nicht, weil kein Geschäftsvorfall entstanden ist.
Brauche ich einen Auftragsverarbeitungsvertrag für meine Empfehlungssoftware?
Ja. Sobald ein Anbieter Kundendaten in deinem Auftrag verarbeitet, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag mit festgelegten Inhalten. Das gilt für die Software und ebenso für Dienstleister, die im Hintergrund Nachrichten versenden oder Zahlungen abwickeln. Sieh dabei nach, wo die Daten liegen: Bei Bestandsgold steht die Datenbank derzeit bei einem US-Anbieter in Virginia.
Weiterlesen
Empfehlungen sind kein Zufall, sondern ein Ablauf.
Bestandsgold schlägt dir täglich die Kunden vor, bei denen es sich gerade lohnt. Du gibst frei, den Rest macht das System.