Startseite › Kundendatenbank aufbauen

Kundendatenbank aufbauen: Was ist erlaubt?

Q: Darf ich E-Mail-Adressen von Firmenwebsites sammeln?

Das Sammeln allein ist noch keine Werbung, aber es ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage sowie eine Information an die Betroffenen. Für Werbe-E-Mails an diese Adressen fehlt jedenfalls die Zustimmung: Eine im Impressum veröffentlichte Adresse ist keine Einwilligung nach § 174 TKG 2021, auch nicht im B2B-Bereich.

Q: Darf ich Adressen kaufen?

Adressen zu kaufen ist nicht generell verboten, für elektronische Werbung nützt es aber wenig: Die erforderliche vorherige Zustimmung lässt sich damit nicht nachweisen, und die Beweislast liegt beim Versender. Dazu kommt die Informationspflicht nach Art. 14 DSGVO, wenn Daten nicht bei der betroffenen Person erhoben wurden.

Q: Wie baue ich rechtssicher eine Kundendatenbank auf?

Aus eigenen Geschäftsbeziehungen, aus Anfragen über Formulare mit klarer Information, aus Visitenkarten mit erkennbarem Kontext und aus Einwilligungen, die dokumentiert sind. Diese Wege sind langsamer als ein Adresskauf, halten aber im Anlassfall.

Stand: August 2026 · Allgemeine Information, keine Rechtsberatung

Kurz gefasst: Daten sammeln und Daten bewerben sind zwei verschiedene Fragen. Für das Sammeln brauchen Sie eine Rechtsgrundlage und müssen die Betroffenen informieren. Für Werbe-E-Mails brauchen Sie in Österreich zusätzlich die vorherige Zustimmung nach § 174 TKG 2021 — und die steckt weder in einer Adresse aus dem Impressum noch in einer gekauften Liste. Deshalb ist der langsame Weg über eigene Kontakte am Ende der schnellere.

Die vier zulässigen Quellen

Woher Kundendaten kommen können — und was dabei zu beachten ist
Quelle	Für die Datenbank	Für Werbe-Mails	Zu beachten
Bestehende Geschäftsbeziehung	ja	eingeschränkt	Für Werbung an Bestandskunden gelten enge Ausnahmen; Abmeldemöglichkeit bei jeder Aussendung.
Anfrage über ein Formular	ja	bei ausdrücklicher Einwilligung	Information nach Art. 13 DSGVO direkt am Formular, nicht nur im Impressum.
Visitenkarte auf einer Messe	ja	nur mit dokumentierter Zustimmung	Kontext festhalten: wann, wo, worüber gesprochen wurde.
Recherche im Web oder Firmenbuch	eingeschränkt	nein	Informationspflicht nach Art. 14 DSGVO; für E-Mail-Werbung fehlt die Zustimmung.
Gekaufte Adressliste	eingeschränkt	nein	Herkunft und Einwilligung sind nachträglich praktisch nicht belegbar.

Der teuerste Irrtum

„Das ist doch B2B, da gilt das nicht." Doch — § 174 TKG 2021 unterscheidet nicht danach, ob der Empfänger privat oder geschäftlich handelt. Eine allgemeine Adresse im Impressum stellt nach Auffassung der Wirtschaftskammer keine Einwilligung dar. Verstöße sind verwaltungsstrafbewehrt, und angezeigt wird meist von einem Mitbewerber, nicht vom Empfänger.

Die Informationspflicht, an die niemand denkt

Wenn Sie Daten nicht bei der betroffenen Person selbst erheben — also aus dem Web, aus einem Verzeichnis oder aus einer gekauften Liste — verlangt Art. 14 DSGVO, dass Sie die Person darüber informieren: wer Sie sind, wozu Sie die Daten verwenden, woher Sie sie haben, wie lange Sie sie speichern und welche Rechte bestehen. In der Regel innerhalb eines Monats.

Das ist der Punkt, an dem Recherche-Datenbanken praktisch scheitern: Die Information wäre zu senden, bevor der erste Kontakt stattfindet — und ist damit ohnehin ein Anschreiben, für das die Zustimmung fehlt.

So bauen Sie den Bestand auf, der hält

Bestehende Kontakte zusammenführen Kunden aus der Buchhaltung, Kontakte aus Outlook, Anfragen aus dem Postfach. Das ist der Bestand, den Sie ohne Diskussion haben — und er ist meist größer als gedacht.
Herkunft je Datensatz festhalten Ein Feld genügt: Kunde, Anfrage über Website, Messe, Empfehlung. Ohne diese Angabe wissen Sie später nicht, wen Sie anschreiben dürfen — und müssen im Zweifel alle ausnehmen.
Formulare zur Hauptquelle machen Jede Anfrage über die Website ist ein Kontakt mit Kontext und Zeitstempel. Mit einer klaren Information nach Art. 13 DSGVO an der Eingabestelle ist das die sauberste Quelle, die es gibt.
Einwilligungen dokumentieren, nicht nur einholen Zeitpunkt, Herkunft und der damals gültige Formulartext gehören an den Datensatz. Ein Häkchen ohne diese drei Angaben ist im Streitfall kein Nachweis.
Löschfristen gleich mitdenken Interessent ohne Abschluss, Bewerber, ehemaliger Kunde: Für jede Kategorie eine Frist mit Auslöser. Sonst wächst der Bestand, aber seine Qualität sinkt.

Datenqualität ist auch eine Rechtsfrage

Art. 5 DSGVO verlangt sachliche Richtigkeit. Eine Datenbank mit Dubletten, veralteten Ansprechpartnern und Rückläufern erfüllt das nicht — und nebenbei kostet sie Geld: Jeder falsche Datensatz erzeugt Aufwand bei jedem Kontakt. Was das im Jahr ausmacht, zeigt der Aufwandsrechner.

Häufige Fragen

Darf ich E-Mail-Adressen von Firmenwebsites sammeln?

Das Sammeln ist eine Verarbeitung und braucht Rechtsgrundlage und Information nach Art. 14 DSGVO. Für Werbe-E-Mails fehlt jedenfalls die Zustimmung — eine Adresse im Impressum ist keine Einwilligung nach § 174 TKG 2021, auch nicht im B2B.

Darf ich Adressen kaufen?

Für elektronische Werbung nützt es wenig: Die erforderliche vorherige Zustimmung lässt sich damit nicht nachweisen, und die Beweislast liegt beim Versender. Dazu kommt die Informationspflicht nach Art. 14 DSGVO.

Wie baue ich rechtssicher eine Kundendatenbank auf?

Aus eigenen Geschäftsbeziehungen, Formularanfragen mit klarer Information, Visitenkarten mit festgehaltenem Kontext und dokumentierten Einwilligungen.

Halten Ihre Nachweise stand?

Verarbeitungsverzeichnis, Einwilligungen, Löschfristen, Auskunftsfähigkeit: Der Pflichten-Check geht die Punkte durch, nach denen im Anlassfall zuerst gefragt wird.

Pflichten-Check starten Neun Fragen, rund drei Minuten, Ergebnis sofort am Bildschirm.