DSGVO-konforme Lead-Generierung: Der komplette Leitfaden 2026

Lead-Generierung in Deutschland ohne DSGVO-Risiko — das geht. Aber nur mit dem richtigen rechtlichen Setup. Dieser Guide zeigt dir, wie du B2B-Akquise rechtssicher betreibst, welche Fallstricke du kennen musst und wo aktuelle Gerichtsurteile die Spielregeln verschoben haben.

Die rechtlichen Grundlagen

Drei Regelwerke greifen ineinander:

• DSGVO (EU 2016/679): regelt die Verarbeitung personenbezogener Daten — auch berufliche Kontaktdaten gelten als personenbezogen.
• TDDDG (seit Mai 2024 statt TTDSG): regelt Cookies, Tracking und Speicherung auf Endgeräten — Einwilligung Pflicht für nicht-notwendige Zugriffe.
• UWG § 7: wettbewerbsrechtlicher Rahmen — verbietet unzumutbare Belästigung in der Werbung.

B2B-Cold-Email: erlaubt oder verboten?

Die kurze Antwort: Erlaubt — unter Bedingungen. Die rechtliche Basis ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) in Verbindung mit § 7 Abs. 3 UWG.

Damit dein Outreach trägt, musst du folgende Voraussetzungen erfüllen:

1. Berufsbezogener Kontext: Du sprichst Personen in ihrer Funktion an (Geschäftsführer, Marketing-Lead) — nicht privat.
2. Sachlicher Bezug: Dein Angebot muss zur Tätigkeit des Empfängers passen. Klempner-Leads für SaaS-Tools = keine Basis.
3. Transparenz: Du nennst, woher du die Daten hast und warum du schreibst.
4. Einfache Opt-out-Möglichkeit: Ein Klick — keine Login-Pflicht, kein Hindernislauf.
5. Begrenzte Frequenz: Drei Follow-ups maximal, danach gilt Schweigen als Ablehnung.

Datenquellen — was ist erlaubt?

Aktuelle Daten aus öffentlichen Quellen sind in Ordnung — Datenbank-Abos mit zusammengekauften E-Mail-Listen sind problematisch.

Rechtssichere Quellen:

• Unternehmensregister, Handelsregister, IHK-Verzeichnisse
• Branchenportale mit eigenständig hinterlegten Kontaktdaten
• Eigene Website-Recherche (Impressum, Kontaktseite)
• Google Maps Business-Listings

Heikel oder verboten:

• Gekaufte Listen unklarer Herkunft
• LinkedIn-Scraping gegen ToS — Risiko zivilrechtlicher Klagen
• Tools, die Mail-Adressen aus Mustern raten („john@firma.de" + Variations-Algorithmus)

BGH-Urteil 2025 — was sich geändert hat

Das BGH-Urteil I ZR 186/17 (März 2025) hat klargestellt: DSGVO-Verstöße sind wettbewerbsrechtlich abmahnbar. Konkret heißt das: Ein Konkurrent kann dich abmahnen, wenn du ohne saubere Rechtsgrundlage E-Mails verschickst — auch wenn der Empfänger selbst nichts unternommen hat.

Konsequenz: Setze auf Compliance, nicht auf Hoffnung.

Auftragsverarbeitungsvertrag (AVV)

Wenn du Tools nutzt, die personenbezogene Daten verarbeiten — Mail-Sender, CRM, Lead-Tools — brauchst du einen AVV nach Art. 28 DSGVO. Anbieter ohne AVV sind ein Dealbreaker.

Brivaro stellt allen Kunden einen vorformulierten AVV bereit, der die typischen Anforderungen abdeckt: dokumentierte technische Maßnahmen, Subunternehmer-Liste, Auskunftspflicht.

Praxis-Checkliste für deinen nächsten Versand

1. Datenherkunft pro Lead dokumentieren — automatisch oder per Notiz
2. Einleitungssatz mit konkretem Anlass („Ich habe Ihre Website angeschaut …")
3. Sichtbarer Opt-out im Footer („Antworten Sie mit STOP, um keine weiteren Mails zu erhalten")
4. Impressum mit USt-ID und ladungsfähiger Anschrift im Mail-Footer
5. Maximal drei Follow-ups, dann Funkstille
6. Suppression-Liste pflegen — wer sich abmeldet, bleibt abgemeldet (für immer)

Häufige Mythen

„B2B ist DSGVO-frei." Falsch — auch personenbezogene Daten in beruflichem Kontext sind geschützt.

„Ein Disclaimer reicht." Falsch — die rechtliche Grundlage muss vor dem Versand stehen, nicht erst im Mail-Footer.

„Cookie-Banner reicht für E-Mails." Falsch — Cookie-Consent betrifft TDDDG, nicht E-Mail-Werbung.

Fazit

DSGVO-konforme Lead-Generierung ist kein Hexenwerk — sie verlangt Disziplin in der Datenherkunft, Transparenz in der Kommunikation und ein einfaches Opt-out. Wer das macht, hat ein nachhaltiges System mit minimalem Abmahnrisiko.

Brivaro deckt all diese Punkte standardmäßig ab — von der Datenherkunft bis zur Opt-out-Logik. Buche dir ein Onboarding-Gespräch, wenn du dein Setup absichern willst.