Rechtliches bei Leads: Einwilligung und DSGVO-Grundlagen für Betriebe

Warum das Thema für Handwerksbetriebe praktisch ist

Datenschutz wirkt im Tagesgeschäft schnell wie Bürokratie. Er ist aber zugleich Vertrauensarbeit: Wer Interessenten klar sagt, woher er ihre Daten hat und was damit passiert, wirkt seriös. Und wer seine Abläufe dokumentiert hat, kann bei einer Nachfrage von Kunden oder Behörden schnell antworten, statt in Hektik zu geraten.

Besonders relevant ist das bei Anfragen, die Sie nicht selbst über Ihre Website erhalten haben, sondern über ein Portal. Dann haben Sie die Daten nicht direkt vom Interessenten erhoben, sondern über Dritte erhalten. Das beeinflusst, wie Sie informieren müssen und worauf Sie sich bei der Rechtmäßigkeit stützen.

Einwilligung: Wer hat wem was erlaubt?

Bei Lichtwatt füllen Interessenten einen Projektassistenten auf lichtwatt.de aus und willigen ausdrücklich in die Weitergabe ihrer Daten an passende Fachbetriebe ein. Die Anfragen sind regional über die Postleitzahl zugeordnet. Für Sie als Betrieb ist die Einwilligung die Grundlage dafür, dass Sie die Daten erhalten und für die Projektanfrage nutzen dürfen.

Prüfen Sie dennoch, wofür genau die Einwilligung erteilt wurde. Eine Einwilligung gilt für den Zweck, der ihr zugrunde liegt. Sie deckt nicht automatisch alles ab, was Sie mit den Daten tun möchten. Informieren Sie sich im Partnerbereich über den Umfang, und klären Sie offene Fragen mit Ihrer Rechtsberatung, bevor Sie Prozesse darauf aufbauen. Allgemein gilt für Einwilligungen:

• Sie muss freiwillig, für einen bestimmten Zweck und in Kenntnis der Sachlage erteilt werden.
• Sie muss nachweisbar sein; wer sie braucht, sollte wissen, wo der Nachweis liegt.
• Sie kann in der Regel widerrufen werden. Ihr Betrieb sollte wissen, was in diesem Fall mit den Daten geschieht.
• Eine Einwilligung gilt nur für den Zweck, für den sie erteilt wurde, und für die Empfänger, auf die sie sich bezieht.

Informationspflichten beim Erstkontakt

Die DSGVO verpflichtet Verantwortliche, betroffene Personen über die Verarbeitung ihrer Daten zu informieren. Die Regeln unterscheiden, ob die Daten direkt bei der Person erhoben werden oder aus anderer Quelle stammen. Bei Portalanfragen erhalten Sie die Daten typischerweise aus einer anderen Quelle. Dann sollten Sie dem Interessenten spätestens beim ersten Kontakt mitteilen, wer Sie sind, zu welchem Zweck Sie die Daten verarbeiten, woher Sie sie haben und welche Rechte ihm zustehen.

Ob und wie umfangreich Sie im Einzelfall informieren müssen, lassen Sie mit Ihrer Beratung klären. In der Praxis hat sich bewährt, ein kurzes, standardisiertes Informationsschreiben oder einen Absatz im Erstkontakt vorzuhalten. Dazu kann ein Link zur vollständigen Datenschutzerklärung Ihres Betriebs gehören.

• Wer ist verantwortlich? Name und Kontaktdaten Ihres Betriebs, gegebenenfalls Datenschutzbeauftragter.
• Zu welchem Zweck verarbeiten Sie die Daten? Beispiel: Beantwortung der Projektanfrage, Angebotserstellung.
• Aus welcher Quelle stammen die Daten? Beispiel: Anfrage über das Portal.
• Wie lange werden sie gespeichert, und welche Rechte haben Betroffene, etwa Auskunft, Berichtigung, Löschung, Widerspruch?
• Auf welche Rechtsgrundlage stützen Sie die Verarbeitung?

Zweckbindung und Löschkonzept

Daten dürfen grundsätzlich nur für den Zweck verwendet werden, für den sie erhoben wurden. Eine Anfrage für ein Photovoltaikangebot ist ein klarer Zweck. Daraus folgt nicht, dass Sie die Adresse beliebig in Newsletter-Verteiler übernehmen oder an Dritte weitergeben dürfen. Wollen Sie die Daten für weitere Zwecke nutzen, brauchen Sie dafür eine eigene tragfähige Grundlage, die Sie vorher prüfen lassen sollten.

Ein Löschkonzept legt fest, wann Daten gelöscht werden. Es muss nicht kompliziert sein, aber es muss existieren und gelebt werden. Hilfreich ist die Unterscheidung nach Fällen:

• Anfrage ohne Angebot oder ohne Rückmeldung: nach einer von Ihnen definierten Frist löschen oder sperren.
• Angebot ohne Auftrag: Aufbewahrung nur so lange, wie sie für den Zweck erforderlich ist.
• Auftrag: Daten unterliegen oft Aufbewahrungspflichten, etwa aus dem Steuer- und Handelsrecht. Die Fristen klären Sie mit Ihrer Steuerberatung.
• Widerruf oder Löschverlangen: ein Ablauf, der Eingänge erfasst, bearbeitet und die Erledigung dokumentiert.

Die konkreten Fristen legen Sie mit Ihrer Beratung fest; wir nennen hier bewusst keine Zahlen. Wichtig ist, dass jede Datenkategorie eine Regel hat und dass sie auch angewendet wird, zum Beispiel durch eine regelmäßige Bereinigung im CRM.

Telefon- und E-Mail-Kontakt: Was § 7 UWG regelt

Neben dem Datenschutz regelt das Gesetz gegen den unlauteren Wettbewerb, wann Werbekontakt eine unzumutbare Belästigung ist. Nach § 7 Abs. 2 UWG gilt das unter anderem für Telefonwerbung gegenüber Verbrauchern ohne vorherige ausdrückliche Einwilligung sowie für Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Adressaten. Für Telefonwerbung gegenüber sonstigen Marktteilnehmern genügt zumindest eine mutmaßliche Einwilligung.

Bei E-Mails gibt es in § 7 Abs. 3 UWG eine Ausnahme für Bestandskunden. Sie setzt unter anderem voraus, dass die Adresse im Zusammenhang mit einem Verkauf erhoben wurde, für ähnliche eigene Waren oder Dienstleistungen geworben wird, der Kunde nicht widersprochen hat und er bei Erhebung und jeder Verwendung klar auf sein Widerspruchsrecht hingewiesen wird. Außerdem müssen Absender erkennbar und eine gültige Abbestelladresse angegeben sein.

Praktisch bedeutet das: Halten Sie fest, über welchen Weg Sie den Interessenten kontaktieren, worauf sich Ihr Kontakt stützt und was Sie anschließend tun. Wie Sie die Reaktionszeit organisieren, beschreibt der Beitrag Anfragen schnell bearbeiten; die rechtlichen Fragen sollten dabei immer mitgedacht werden.

Verzeichnis, Auftragsverarbeitung und Dokumentation

Verzeichnis von Verarbeitungstätigkeiten

Verantwortliche müssen in der Regel ein Verzeichnis ihrer Verarbeitungstätigkeiten führen. Ob und in welchem Umfang das für Ihren Betrieb gilt, klären Sie mit Ihrer Beratung. Eine Verarbeitungstätigkeit „Bearbeitung von Kundenanfragen“ gehört in der Regel hinein: mit Zweck, Datenkategorien, Empfängern, Löschfristen und Schutzmaßnahmen.

Auftragsverarbeitung abgrenzen

Setzen Sie externe Dienstleister ein, etwa CRM-Anbieter, Telefonservice oder Cloud-Speicher, die in Ihrem Auftrag Daten verarbeiten, ist dafür regelmäßig ein Vertrag zur Auftragsverarbeitung nötig. Davon zu unterscheiden ist die Weitergabe von Daten an einen anderen Verantwortlichen, der sie für eigene Zwecke nutzt. Wie die Rollen bei einem Portal und seinen Partnern genau einzuordnen sind, sollten Sie anhand der Vertragsunterlagen im Onboarding und mit Ihrer Rechtsberatung klären, statt es anzunehmen.

Dokumentation

• Eingang der Anfrage: Datum, Quelle, Umfang der erhaltenen Daten.
• Kontakt: Wann, auf welchem Weg, mit welchem Inhalt?
• Informationen an den Interessenten: Wann und wie erfolgt?
• Widersprüche, Auskunfts- und Löschverlangen mit Datum und Erledigung.
• Berechtigungen: Wer im Betrieb hat Zugriff, und wird das regelmäßig geprüft?

Eine Checkliste für den Alltag

1. Prüfen Sie, wofür die Einwilligung bei Portalanfragen erteilt wurde, und stimmen Sie Ihre Abläufe darauf ab.
2. Legen Sie einen standardisierten Informationstext für den Erstkontakt fest.
3. Definieren Sie, welche Kontaktwege Sie für welche Zwecke nutzen, und lassen Sie die UWG-Fragen klären.
4. Erstellen Sie ein Löschkonzept mit Fristen für jede Datenkategorie.
5. Führen Sie das Verzeichnis von Verarbeitungstätigkeiten, falls für Sie erforderlich.
6. Prüfen Sie Verträge mit Dienstleistern auf Auftragsverarbeitung.
7. Schulen Sie Mitarbeiter, die Anfragen bearbeiten, und dokumentieren Sie die Abläufe.

Fazit: Klare Abläufe statt Einzelfall-Improvisation

Der Umgang mit Anfragen ist rechtlich beherrschbar, wenn Einwilligung, Information, Zweckbindung und Löschung als feste Abläufe organisiert sind. Das senkt Risiken und stärkt den ersten Eindruck beim Kunden. Lassen Sie Ihre konkreten Texte und Prozesse juristisch prüfen, bevor Sie sie einsetzen.

Wie der Ablauf bei Lichtwatt von der Bewerbung bis zu den Anfragen im Partnerbereich aussieht, steht unter So funktioniert es. Wenn Sie Anfragen für Photovoltaik oder andere Gewerke erhalten möchten: Jetzt als Partner bewerben.

Häufige Fragen