Lead

Nur mit vorheriger ausdrücklicher Einwilligung, sofern der Kontakt Verbraucher ist. § 7 Absatz 2 Nummer 1 UWG verlangt sie ausdrücklich und vorher; gegenüber Unternehmen genügt eine mutmaßliche Einwilligung. Ein Formular, das um Rückruf bittet, trägt die Einwilligung in sich – der Download eines Merkblatts trägt sie nicht. § 7a UWG verlangt zusätzlich, die Einwilligung zum Zeitpunkt der Erteilung zu dokumentieren und fünf Jahre aufzubewahren. § 20 UWG droht bis zu 300.000 Euro.

Innerhalb von fünf Minuten, soweit eine Einwilligung für den Anruf vorliegt. Eine Untersuchung zum Umgang mit Anfragen wertete über 15.000 Leads und mehr als 100.000 Anrufversuche aus sechs Unternehmen über drei Jahre aus: Zwischen der fünften und der dreißigsten Minute fällt die Qualifizierungswahrscheinlichkeit um den Faktor 21, allein zwischen Minute fünf und zehn um den Faktor vier. Schwäche der Zahl: Datenbasis eines Anbieters von Vertriebssoftware, kein unabhängiges Messverfahren.

Der Käufer, nicht der Händler. Artikel 5 Absatz 2 und Artikel 7 Absatz 1 DSGVO verlangen, dass der Verantwortliche die Einwilligung nachweisen kann – eine Zusicherung im Kaufvertrag ist kein Nachweis, solange Einwilligungstext, Zeitpunkt und Herkunft fehlen. Dazu tritt Artikel 14 Absatz 3: Wer Daten nicht bei der betroffenen Person erhebt, muss sie längstens innerhalb eines Monats unterrichten. Der Bußgeldrahmen reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

In der Regel nicht. Ein Lead-Scoring ist Profiling nach Artikel 4 Nummer 4 DSGVO und lässt sich auf das berechtigte Interesse nach Artikel 6 Absatz 1 stützen, solange ein Mensch über die Ansprache entscheidet. Erst wenn die Entscheidung ausschließlich automatisiert ergeht und rechtliche Wirkung hat, greift Artikel 22 Absatz 1 – dann braucht es eine ausdrückliche Einwilligung. Der Zweck gehört in jedem Fall in die Datenschutzerklärung: Ein dort fehlendes Scoring ist nicht zulässig, sondern unentdeckt.

So lange, wie der Zweck der Erhebung es erfordert – eine feste Frist nennt die DSGVO nicht. Artikel 5 Absatz 1 verlangt Speicherbegrenzung, Artikel 17 Absatz 1 die Löschung, sobald die Daten für ihren Zweck nicht mehr nötig sind. Wer keine eigene Frist festlegt, hat deshalb keine unbegrenzte, sondern eine unbelegbare Aufbewahrung. Tragfähig ist eine im Löschkonzept dokumentierte Frist ab dem letzten Kontakt.