Sind geschäftliche Kontaktdaten personenbezogene Daten?

Ob geschäftliche Kontaktdaten personenbezogene Daten sind, entscheidet nicht das Etikett „B2B“. Prüfen Sie, auf wen sich jedes Feld im konkreten Kontext bezieht. Reine Angaben zu einer juristischen Person können außerhalb der Definition liegen; Name, Direktnummer oder namentliche E-Mail einer natürlichen Person bleiben dagegen personenbezogen. Zulässigkeit und elektronische Werbung sind weitere, getrennte Fragen ¹.

Kurzantwort: Geschäftliche Kontaktdaten sind personenbezogene Daten, sobald ein Feld eine natürliche Person identifiziert oder identifizierbar macht. Eine Firmen-Domain ändert das nicht; ein allgemeines Postfach ist meist organisationsbezogen. Prüfen Sie zusätzlich Rechtsgrundlage, Transparenz und Aufbewahrung. Für elektronische Werbung gilt daneben der je Mitgliedstaat umgesetzte ePrivacy-Rahmen, ohne allgemeine B2B-Ausnahme.

Zuletzt aktualisiert: 26. August 2026

Ein B2B-Etikett klassifiziert keine Kontaktzeile

Die DSGVO schützt Informationen über identifizierte oder identifizierbare natürliche Personen, während Angaben, die ausschließlich eine juristische Person beschreiben, als solche nicht personenbezogen sind. Eine Geschäftskontaktzeile kann beides gleichzeitig enthalten: Die Firma und ihre Registernummer betreffen möglicherweise die Organisation, während der Name der Ansprechpartnerin und ihre direkte Durchwahl eine natürliche Person identifizieren ².

Darum ist die Aussage „B2B-Daten sind von der DSGVO ausgenommen“ falsch: B2B beschreibt einen geschäftlichen Zusammenhang, keine Datenkategorie. Ein Firmenkunde kann eine juristische Person sein, doch die Beschäftigten, Organmitglieder oder sonstigen natürlichen Personen in seinem Datensatz verlieren ihren Schutz nicht, nur weil sie bei der Arbeit erreichbar sind; auch öffentliche Verfügbarkeit und eine Unternehmensdomain beseitigen den Personenbezug nicht.

Die Gegenrichtung ist ebenso wichtig, denn nicht jedes Feld in einer geschäftlichen Liste ist personenbezogen. Eine allgemeine Telefonnummer oder ein nicht personenbezogenes Organisationspostfach kann außerhalb der Definition liegen; das bedeutet aber nicht automatisch, dass jede Nutzung erlaubt ist, weil Vertragsregeln, Vertraulichkeit, Wettbewerbsrecht und die besondere Ebene elektronischer Werbung weiterhin relevant sein können.

Klassifizieren Sie deshalb nicht die gesamte Liste in einem Schritt, sondern zerlegen Sie jede Zeile in Felder, benennen das jeweilige Subjekt und halten den Nutzungskontext fest. Erst danach folgen Zweck, Rechtsgrundlage, Information, Aufbewahrung und Marketingprüfung; diese Reihenfolge verhindert, dass eine einzige Firmenangabe den personenbezogenen Rest der Zeile verdeckt.

Erst das Subjekt, dann Feld und Kontext

Die Ausgangsfrage lautet: Beschreibt das Feld eine juristische Person, eine natürliche Person oder lässt sich das noch nicht entscheiden? Danach wird geprüft, ob der vorhandene Kontext eine Person identifiziert. Eine Zeichenfolge kann allein allgemein wirken und zusammen mit Kontonotiz, Signatur oder Routing eindeutig werden.

Die Spalte „typischer Kontext“ ist kein endgültiges Urteil. Bei einer allgemeinen Adresse kann eine CRM-Notiz wie „nur Frau M. liest dieses Postfach“ den Personenbezug herstellen. Umgekehrt kann ein Name im Firmennamen ausschließlich die juristische Person bezeichnen, wenn der Datensatz keine Information über den namensgleichen Menschen enthält. Entscheidend ist der Informationsgehalt des Datensatzes, nicht eine mechanische Suche nach Namen.

Dokumentieren Sie Unsicherheit als Unsicherheit. Eine Zeile mit ungeklärter Rechtsform oder unklarem Postfach-Routing gehört in eine Klärungsroute und sollte bis dahin nicht wie ein sicher freigegebener Kontakt genutzt werden. Für eine gewöhnliche private Organisation ist bei konkreten Datenschutzfragen grundsätzlich die nach ihrem Sitz zuständige Landesdatenschutzaufsichtsbehörde zuständig; der verlinkte BfDI-Finder führt zur richtigen Landesstelle und macht den BfDI nicht zur allgemeinen Unternehmensaufsicht.

Namentliche Arbeitsdaten identifizieren meist einen Menschen

Eine Adresse wie [email protected] bezeichnet eine natürliche Person, obwohl sie ausschließlich für die Arbeit verwendet wird. Dass die Domain einem Unternehmen gehört, ändert das Bezugsobjekt nicht. Dasselbe gilt für eine direkt zugeordnete Telefonnummer, einen personalisierten Nutzerzugang oder einen Kontaktdatensatz mit Name und Funktion. Die Kommission nennt namentliche berufliche E-Mail-Adressen als Beispiel personenbezogener Daten ².

Öffentliche Verfügbarkeit ist ebenfalls keine Freigabe. Eine Adresse auf einer Unternehmenswebseite bleibt personenbezogen, wenn sie einen Menschen identifiziert. Die Veröffentlichung kann bei der Prüfung von Erwartungen, Transparenz und gegebenenfalls Rechtsgrundlage eine Rolle spielen; sie hebt die Anforderungen nicht auf. Auch ein Datenhändler kann den Status nicht durch das Etikett „business compliant“ verändern.

Trennen Sie die Einstufung von der Nutzungserlaubnis. „Personenbezogen“ heißt zunächst nur, dass die DSGVO auf die Verarbeitung dieses Feldes anwendbar ist. Danach braucht der konkrete Zweck eine Rechtsgrundlage. Die Person muss grundsätzlich angemessen informiert werden, die Daten müssen erforderlich, richtig und zeitlich begrenzt sein, und Rechte oder Widersprüche müssen praktisch bearbeitet werden können.

Ein Funktions- oder Rollenname neben der Adresse kann den Kontext verdichten. „Leitung Einkauf“ ist nicht automatisch unpersönlich, wenn im Datensatz zugleich eine bestimmte Person dahintersteht. Prüfen Sie deshalb den vollständigen Datensatz, einschließlich Notizen und früherer Kommunikation. Ein Feldexport ohne Kontext kann eine bestehende Personenbeziehung unsichtbar machen, beseitigt sie aber nicht.

Allgemeine Postfächer hängen vom umgebenden Datensatz ab

Eine Adresse wie [email protected] ist auf ihrer Oberfläche meist eine Organisations- oder Funktionsangabe. Sie nennt keinen Menschen und kann von wechselnden Personen oder einem Team bearbeitet werden. In diesem typischen Fall ist die Adresse selbst nicht personenbezogen. Die gleiche Einordnung gilt häufig für eine zentrale Rufnummer ohne persönliche Zuordnung.

Der Kontext kann das Ergebnis verändern. Wenn bekannt ist, dass nur eine bestimmte Person das Postfach nutzt, wenn eine Signatur dauerhaft diese Person ausweist oder wenn CRM-Notizen die Adresse unmittelbar mit ihr verbinden, kann die Kombination personenbezogene Information sein. Maßgeblich ist, was der Verantwortliche vernünftigerweise zur Identifizierung nutzen kann, nicht nur der sichtbare Teil vor dem @-Zeichen.

Die Klassifizierung kann sich im Zeitverlauf ändern. Ein zunächst allgemeines Postfach kann später einer Person fest zugeordnet werden; ein persönliches Postfach kann in eine echte Teamfunktion übergehen. Erfassen Sie solche Änderungen, wenn sie Zweck, Rechtebearbeitung oder Marketingroute beeinflussen. Eine einmalige Importklassifizierung genügt für eine lebende Kontaktliste nicht.

Bei Geschäftsformen entscheidet zuerst das nationale Recht

Begriffe wie „Partnerschaft“, „Einzelunternehmen“ oder „Gesellschaft“ haben in der Union keine einheitliche rechtliche Wirkung. Das nationale Recht entscheidet, welchen Status die konkrete Form hat und ob die geschäftliche Angabe eine natürliche Person, eine juristische Person oder eine andere rechtlich behandelte Einheit betrifft. Diese Abhängigkeit ist die Antwort, nicht ein Vorbehalt am Rand ¹.

Verlassen Sie sich nicht auf die Übersetzung einer Rechtsform. Gleich klingende Begriffe können in zwei Mitgliedstaaten unterschiedliche Rechtsfolgen haben. Halten Sie Land, genaue Bezeichnung und Quelle der Statuseinordnung fest. Bei grenzüberschreitenden Listen kann dieselbe Oberkategorie deshalb verschiedene Ergebnisse enthalten.

Nach der Statusfrage bleibt der natürliche-Person-Test unverändert: Identifiziert die konkrete Information einen Menschen direkt oder indirekt? Selbst bei einer eindeutig juristischen Person können Namen, persönliche geschäftliche Adressen, Direktnummern und Verhaltensnotizen personenbezogen sein. Umgekehrt ist eine bloße Firmenregisterangabe nicht automatisch Information über einen Menschen, nur weil Menschen für die Gesellschaft handeln.

Auch bei einer natürlichen Person im Geschäftsverkehr ist nicht jedes Firmenfeld zwangsläufig personenbezogen; der Bezug muss aus Inhalt und Kontext folgen. In der Praxis werden Geschäftsbezeichnung, Anschrift, Kontaktweg und Kontodaten jedoch häufig zugleich Informationen über diese Person sein. Dokumentieren Sie die Begründung je Feld, statt die gesamte Zeile anhand einer Rechtsform pauschal zu behandeln.

Personenbezug ist noch keine Nutzungserlaubnis

Die Klassifizierung beantwortet, ob die DSGVO greift. Sie beantwortet nicht, ob Sie das Feld für Ihren konkreten Zweck verwenden dürfen. Für personenbezogene Kontaktdaten müssen Sie den Zweck festlegen, eine passende Rechtsgrundlage bestimmen und die betroffene Person transparent informieren. Außerdem gelten Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit und durchsetzbare Rechte ¹.

Ein bestehender Vertragskontakt kann für die Leistungserbringung anders zu beurteilen sein als die spätere Nutzung für Werbung. Eine rechtmäßig gespeicherte E-Mail-Adresse darf nicht allein deshalb für jeden neuen Zweck eingesetzt werden. Prüfen Sie Vereinbarkeit oder eine eigene Rechtsgrundlage und halten Sie Zweckwechsel sichtbar fest. Bei Direktwerbung kann insbesondere ein Widerspruch die weitere Ansprache beenden.

Auch ein nicht personenbezogenes Organisationspostfach ist nicht „frei verwendbar“. Die DSGVO mag auf dieses isolierte Feld nicht anwendbar sein, doch die Regeln für elektronische Kommunikation können den Kanal trotzdem erfassen. Hinzu kommen andere rechtliche und vertragliche Grenzen. Der richtige Vermerk lautet daher „nicht personenbezogen für diesen Datensatz und Kontext“, nicht „unreguliert“.

Pflegen Sie Aktualität und Sperren getrennt von der Kontaktzeile. Wird ein Mensch ersetzt, kann die frühere Direktadresse falsch sein, während die Firma unverändert bleibt. Eine Sperrinformation sollte nicht einfach gelöscht werden, wenn dadurch ein späterer Neuimport dieselbe unerwünschte Ansprache auslösen würde. Bewahren Sie nur die minimale Information auf, die zur Beachtung des Widerspruchs erforderlich ist.

Elektronische Werbung bringt eine zweite Rechtsebene hinzu

Bei E-Mail, SMS und ähnlichen Kanälen reicht die DSGVO-Prüfung nicht. Artikel 13 der ePrivacy-Richtlinie setzt einen Rahmen für unerbetene Nachrichten zu Zwecken der Direktwerbung. Richtlinien werden jedoch durch die Mitgliedstaaten umgesetzt. Deshalb hängen konkrete Regeln vom Zielmarkt, verwendeten Kanal und der rechtlich relevanten Teilnehmerkategorie ab ³. Es gibt keine einheitliche EU-weite B2B-Ausnahme.

Die Prüfungen bleiben getrennt.

Die oft erinnerte „B2B-Ausnahme“ vermischt zwei verschiedene Entscheidungen. Bei einer namentlichen Adresse kann die DSGVO greifen, während die nationale Marketingregel anschließend klärt, ob der gewählte Werbekanal genutzt werden darf. Bei einem wirklich allgemeinen Organisationspostfach kann der Personenbezug fehlen, obwohl die nationale Kanalregel die Nachricht dennoch erfasst. Eine besondere Regel eines Landes oder einer Teilnehmerkategorie ist deshalb weder eine generelle DSGVO-Ausnahme noch eine EU-weite Versandfreigabe.

Prüfen Sie den Markt aus Sicht des Empfängers und der geplanten Ansprache. Eine Kampagne in mehreren Mitgliedstaaten darf nicht mit der günstigsten nationalen Regel für alle Empfänger freigegeben werden. Hinterlegen Sie die jeweils geprüfte nationale Umsetzung, den Kanal, die Empfängerkategorie und den Nachweis, auf den die Versandentscheidung gestützt wird.

Die ePrivacy-Prüfung ersetzt auch keine DSGVO-Grundlage. Selbst wenn eine nationale Marketingregel eine Nachricht unter bestimmten Voraussetzungen zulässt, müssen personenbezogene Daten weiterhin rechtmäßig, transparent und zweckgebunden verarbeitet werden. Umgekehrt macht eine DSGVO-Rechtsgrundlage einen elektronischen Werbekanal nicht automatisch zulässig. Beide Ebenen brauchen ein positives Ergebnis.

Die Liste wird in Entscheidungen auf Feldebene zerlegt

Ein Audit soll aus einer gewachsenen Kontaktliste steuerbare Datensätze machen. Arbeiten Sie nicht nur mit einer Spalte „DSGVO ja/nein“. Diese Spalte vermischt Personenbezug, Rechtsgrundlage und Marketingfreigabe. Ein Feld kann personenbezogen und für einen Servicezweck rechtmäßig sein, während seine werbliche Nutzung gesperrt bleibt.

Ungeklärte Daten brauchen eine eigene Route. Sie dürfen nicht durch eine Standardfreigabe in die nächste Kampagne rutschen. Definieren Sie, wer Rechtsform, Quelle oder Routing prüft und bis wann. Ist eine Klärung nicht möglich und fehlt eine tragfähige Nutzung, wird das Feld gelöscht oder aus der aktiven Nutzung entfernt.

Sperr- und Unterdrückungsvermerke sind keine gewöhnlichen Marketingprofile. Sie dienen dazu, eine unerwünschte erneute Ansprache zu verhindern. Speichern Sie dafür nur das Notwendige, begrenzen Sie Zugriffe und verhindern Sie, dass ein späterer Listenimport den Vermerk überschreibt. Die Löschung des eigentlichen Kontakts darf nicht den dokumentierten Widerspruch wirkungslos machen.

Verknüpfen Sie die Endentscheidung mit dem Versandsystem, nicht nur mit einer Tabellenkalkulation. Ein korrektes Audit ohne technische Umsetzung schützt niemanden. Stichproben vor Kampagnen sollten zeigen, dass ungeklärte, veraltete und gesperrte Datensätze tatsächlich ausgeschlossen werden.

Zwei Zweige einer gemischten Kontaktzeile bleiben getrennt

Nehmen Sie eine Kontaktzeile mit Firmenname, Registernummer, allgemeinem Postfach, Name und direkter E-Mail eines Ansprechpartners. Nach bestätigter nationaler Rechtsform können Firmenname und Registernummer reine Angaben zur juristischen Person sein. Name und direkte E-Mail identifizieren dagegen eine natürliche Person. Das allgemeine Postfach bleibt nur dann organisationsbezogen, wenn Kontext und Routing keine einzelne Person bestimmen.

Für die Bearbeitung einer laufenden Bestellung kann die direkte Kontaktaufnahme einem klar beschriebenen Servicezweck dienen. Prüfen und dokumentieren Sie dafür die Rechtsgrundlage, Information, erforderlichen Felder, Aktualität und Aufbewahrung. Die Firmenfelder und Personenfelder dürfen im gleichen System stehen, behalten aber ihre jeweilige Klassifizierung.

Eine spätere Werbekampagne ist ein neuer Prüfpunkt. Für die namentliche Adresse müssen DSGVO-Zweck, Rechtsgrundlage, Transparenz und Widerspruch stimmen. Für namentliche und allgemeine Adresse ist zusätzlich die im Zielstaat geltende Regel für den konkreten elektronischen Kanal und die Teilnehmerkategorie zu prüfen. Ein für Servicezwecke erlaubter Kontakt ist nicht automatisch ein freigegebener Werbekontakt.

Das System sollte deshalb mindestens zwei unabhängige Entscheidungen tragen: „für benannten Servicezweck verwendbar“ und „für diese Marketingmaßnahme über diesen Kanal in diesem Markt freigegeben“. Ein Widerspruch sperrt die entsprechende Ansprache, ohne notwendige Servicekommunikation blind zu löschen. Ändert sich die Person hinter dem allgemeinen Postfach oder die Rechtsform des Kunden, wird die Klassifizierung neu geprüft.

Dieses Beispiel zeigt, warum die Zeile nicht insgesamt „B2B“ oder „personenbezogen“ heißen sollte. Die relevante Einheit ist das Feld in seinem Zweck und Kontext. Nur so bleiben der Zweig zur juristischen Person, der Zweig zur natürlichen Person und die gesonderte Marketingentscheidung nachvollziehbar.

Eine britische Antwort braucht einen anderen Marketingzweig

Für die künftige britische Fassung ist der Test, ob ein Feld eine natürliche Person identifiziert, im Kern vergleichbar. Der Marketingzweig ist jedoch nicht übertragbar: UK PECR verwendet eigene Teilnehmerkategorien, während die EU-Route von der Umsetzung der ePrivacy-Richtlinie im jeweiligen Mitgliedstaat abhängt. Die Gemeinsamkeit beim Personenbezug darf daher nicht als Symmetrie der Versandregeln gelesen werden, weshalb für eine EU-Entscheidung weder britische Empfängerkategorien noch dortige Ausnahmen übernommen werden; dokumentiert wird ausschließlich die nationale Umsetzung des betroffenen Mitgliedstaats. Daraus folgt keine britische Erlaubnis für diese EU-Seite; der jeweils einschlägige Marktweg muss getrennt geprüft werden.

Häufig gestellte Fragen

Ist eine namentliche Arbeits-E-Mail personenbezogen?

Ja. Eine Adresse mit dem Namen eines Menschen identifiziert ihn regelmäßig auch dann, wenn sie eine Unternehmensdomain verwendet und nur beruflich eingesetzt wird. Ihre öffentliche Auffindbarkeit beseitigt den Personenbezug nicht. Für jede Nutzung müssen Zweck, Rechtsgrundlage, Transparenz, Erforderlichkeit, Aktualität und Aufbewahrung geklärt werden. Vor elektronischer Werbung kommt die nationale ePrivacy-Prüfung als eigener Schritt hinzu.

Ist info@ immer außerhalb der DSGVO?

Nein. Ein echtes allgemeines Postfach ist meist eine Organisationsangabe, weil es keinen bestimmten Menschen bezeichnet. Der umgebende Datensatz kann die Einordnung verändern: feste persönliche Zuordnung, Signatur oder CRM-Notiz können eine Person identifizieren. Prüfen Sie daher tatsächliches Routing und Kontext. Die Einstufung kann sich ändern, wenn ein Teamkonto später dauerhaft einer einzelnen Person zugewiesen wird.

Sind reine Daten einer Kapitalgesellschaft personenbezogen?

Reine Angaben zur juristischen Person sind als solche keine personenbezogenen Daten. Das gilt nicht automatisch für die ganze Kontaktzeile. Namen, direkte Rufnummern, persönliche Arbeitsadressen und Notizen über natürliche Personen bleiben einzeln zu beurteilen. Bestätigen Sie zuerst die konkrete Rechtsform nach nationalem Recht und trennen Sie anschließend Entitätsangaben von den Feldern, die einen Menschen identifizieren.

Wie wird eine Partnerschaft eingeordnet?

Nicht anhand des Wortes „Partnerschaft“. Das nationale Recht bestimmt Status und Rechtspersönlichkeit der konkreten Form. Erst danach lässt sich prüfen, ob ein Feld eine natürliche Person betrifft oder identifizierbar macht. Gleich bezeichnete Formen können zwischen Mitgliedstaaten verschieden behandelt werden. Halten Sie daher Land, genaue Form und Begründung fest; die nationale Abhängigkeit ist hier die sachliche Antwort.

Was gilt bei einer natürlichen Person mit Geschäftsbezeichnung?

Zuerst ist nach nationalem Recht zu klären, ob der Datensatz tatsächlich eine natürliche Person oder eine gesonderte Einheit betrifft. Bezieht er sich auf den Menschen, können Geschäftsname, Anschrift und Kontaktwege personenbezogen sein. Der geschäftliche Zusammenhang entfernt diesen Bezug nicht. Anschließend sind Zweck, Rechtsgrundlage, Information, Aufbewahrung und die gesonderte Marketingroute für jedes Feld festzulegen.

Bedeutet B2B, dass Marketing ausgenommen ist?

Nein. B2B ist keine Ausnahme von der DSGVO. Personenbezogene Kontaktdaten bleiben geschützt, und elektronische Direktwerbung unterliegt zusätzlich dem ePrivacy-Rahmen in seiner nationalen Umsetzung. Prüfen Sie Zielmarkt, Kanal und relevante Teilnehmerkategorie. Eine im Alltag so genannte B2B-Ausnahme kann eine enge nationale Marketingregel meinen; sie darf weder verallgemeinert noch mit fehlendem Personenbezug verwechselt werden.

Was muss der Auditvermerk mindestens zeigen?

Er sollte Quelle und Datum, Feld samt Kontext, Subjektklassifizierung, Zweck und Rechtsgrundlage, Transparenz, Richtigkeit, Aufbewahrung, Rechte und Sperren, nationale Marketingprüfung sowie die technisch umgesetzte Endentscheidung enthalten. Unklare Werte werden bis zur Klärung nicht freigegeben. Ein minimaler Unterdrückungsvermerk bleibt geschützt erhalten, damit Löschung oder Neuimport nicht zu einer erneuten Ansprache gegen einen erklärten Widerspruch führt.

Warum ist für Großbritannien ein eigener Zweig nötig?

Der natürliche-Person-Test lässt sich im Kern vergleichen, die elektronischen Marketingregeln dürfen aber nicht zwischen Rechtsordnungen kopiert werden. Der EU-Weg hängt von der Umsetzung der ePrivacy-Richtlinie im jeweiligen Mitgliedstaat ab; die britische Fassung benötigt ihre eigene Markt- und Teilnehmerprüfung. Die Trennung verhindert, dass eine besondere Erlaubnis oder Ausnahme aus einer Rechtsordnung als allgemeine B2B-Regel erscheint.