Rechtsstand: 16. August 2026
Wann Art. 14 gilt
Art. 14 DSGVO greift, wenn ein Verantwortlicher personenbezogene Daten nicht bei der betroffenen Person selbst erhebt, sondern aus einer anderen Quelle bezieht, etwa den Namen eines Ansprechpartners aus einem öffentlichen Verzeichnis. Bei der Anreicherung von Firmendaten ist das der Regelfall, und damit ist Art. 14 die einschlägige Informationsnorm.
Die Anreicherung selbst stützt sich in der Vertriebspraxis meist auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Rechtsgrundlage der Verarbeitung und Informationspflicht sind zwei getrennte Prüfungen: Auch wer sich zulässig auf ein berechtigtes Interesse stützt, muss die betroffene Person nach Art. 14 gesondert informieren.
Ab wann Firmendaten personenbezogen sind
Nicht jeder Datensatz über ein Unternehmen ist personenbezogen. Entscheidend ist, ob sich die Angabe auf eine identifizierte oder identifizierbare natürliche Person bezieht. Eine funktionsbezogene Sammeladresse wie info@firma.de trägt in der Regel keinen Personenbezug, ein namentlich benannter Geschäftsführer dagegen sehr wohl.
Die Grenze verläuft also nicht zwischen Firma und Person, sondern innerhalb des Datensatzes. Rechtsform, Handelsregisternummer, Umsatzklasse oder eine zentrale Rufnummer betreffen das Unternehmen. Sobald aber ein Name, eine personengebundene Durchwahl, eine persönliche Adresse wie vorname.nachname@firma.de oder das Profil einer konkreten Ansprechpartnerin hinzukommt, liegt ein Personenbezug vor.
Für die Praxis heißt das: Wer nur juristische Personen und funktionsbezogene Kontakte führt, löst Art. 14 nicht aus. Wer Personen benennt, um sie gezielt anzusprechen, verarbeitet personenbezogene Daten und schuldet die Information. Der Zweck der Anreicherung, nämlich die persönliche Ansprache, führt fast zwangsläufig in den Anwendungsbereich.
Fristen
Die Information ist nach Art. 14 Abs. 3 lit. a DSGVO innerhalb einer angemessenen Frist nach Erlangung der Daten zu erteilen, längstens jedoch innerhalb eines Monats. Diese Monatsfrist ist die absolute Obergrenze, nicht der Normalfall, und sie läuft ab dem Zeitpunkt der Erlangung.
Zwei weitere Zeitpunkte verkürzen die Frist. Werden die Daten zur Kommunikation mit der betroffenen Person verwendet, ist spätestens bei der ersten Mitteilung zu informieren. Ist eine Offenlegung an Dritte vorgesehen, spätestens dann. Es gilt der jeweils früheste dieser Zeitpunkte.
Praktisch bedeutet das für die Akquise: Der erste Anruf oder die erste E-Mail an eine angereicherte Kontaktperson darf nicht ohne vorherige oder gleichzeitige Information erfolgen. Die Monatsfrist wird in diesem Fall gegenstandslos, weil der Erstkontakt regelmäßig vor Ablauf des Monats liegt. Wer erst nach dem ersten Werbekontakt informiert, hat die Frist bereits versäumt.
Ausnahmen nach Absatz 5
Art. 14 Abs. 5 lit. b DSGVO lässt die Informationspflicht entfallen, wenn sich die Information als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Auf diese Ausnahme stützen sich viele Anbieter angereicherter Daten. Ob sie trägt, ist die zentrale und oft zu optimistisch beantwortete Frage.
Die Ausnahme ist eng auszulegen. Sie verlangt eine echte Abwägung zwischen dem Aufwand des Verantwortlichen und den Interessen der betroffenen Person, und sie ist zu dokumentieren. Wer sie pauschal für jede Anreicherung in Anspruch nimmt, verkennt ihren Ausnahmecharakter. Die Beweislast dafür, dass die Voraussetzungen der Ausnahme vorliegen, trägt der Verantwortliche, nicht die betroffene Person.
Was der Aufwand konkret bedeutet
Was als unverhältnismäßiger Aufwand gilt, konkretisieren Erwägungsgrund 62 DSGVO und die Transparenz-Leitlinien der Art.-29-Gruppe, WP260 rev.01 vom 11. April 2018, in den Randnummern 61 bis 64. Beide verlangen eine Abwägung und lassen keine pauschale Befreiung zu.
Erwägungsgrund 62 nennt als Kriterien die Zahl der betroffenen Personen, das Alter der Daten und geeignete Garantien. WP260 stellt in Rn. 61 bis 64 klar, dass die Ausnahme nicht routinemäßig von Verantwortlichen herangezogen werden darf, die nicht zu Archivzwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken verarbeiten.
Für die Anreicherung im Vertrieb folgt daraus eine unbequeme Konsequenz. Der kommerzielle Gewinn, den ein Verantwortlicher aus der Verarbeitung zieht, spricht gegen die Ausnahme, nicht für sie. Je größer der wirtschaftliche Nutzen aus den Daten, desto eher ist der Aufwand einer Benachrichtigung zumutbar. Wer Datensätze verkauft oder für die eigene Akquise nutzt, kann sich schwerer auf Unverhältnismäßigkeit berufen als eine Forschungseinrichtung.
Der Bisnode-Fall
Der praktisch wichtigste Anwendungsfall stammt aus Polen. Die Aufsichtsbehörde UODO verhängte mit Bescheid vom 29. März 2019 gegen den Datenbroker Bisnode ein Bußgeld von rund 943.000 PLN, weil das Unternehmen seine Informationspflicht nach Art. 14 DSGVO verletzt hatte.
Bisnode hatte rund sechs Millionen Datensätze über Unternehmer aus dem öffentlichen Unternehmensregister erhoben und kommerziell weiterverarbeitet. Über die Verarbeitung informierte das Unternehmen nur rund 679.000 Personen, für die eine E-Mail-Adresse vorlag. Die übrigen Betroffenen erhielten keine individuelle Information; Bisnode veröffentlichte den Hinweis lediglich auf seiner Website und berief sich im Übrigen auf unverhältnismäßigen Aufwand.
Die Behörde folgte dieser Begründung nicht. Für die Personen, deren Postanschrift bekannt war, sei eine postalische Benachrichtigung weder unmöglich noch unverhältnismäßig gewesen, insbesondere angesichts des kommerziellen Gewinns aus der Verarbeitung. Der bloße Kostenaufwand rechtfertige das Unterlassen der Information nicht.
Die praktische Folge unterstreicht die Bedeutung der Pflicht: Von den rund 679.000 tatsächlich informierten Personen widersprachen anschließend über 12.000 der Verarbeitung. Die Information ist damit kein Formalismus, sondern der Punkt, an dem betroffene Personen ihre Rechte tatsächlich ausüben.
Eine deutsche Gerichtsentscheidung, die diese Frage für Firmendaten aus öffentlichen Registern abschließend klärt, liegt bislang nicht vor. Die Argumentation stützt sich deshalb auf den Wortlaut der Norm, auf die Transparenz-Leitlinien der Art.-29-Gruppe und auf den polnischen Bisnode-Fall, der denselben Sachverhalt betrifft und in dem die Aufsichtsbehörde die Ausnahme verneint hat.
Wie die Information praktisch erfolgt
Ist die Information geschuldet, muss sie inhaltlich vollständig sein. Art. 14 Abs. 1 und 2 DSGVO verlangen unter anderem Identität und Kontaktdaten des Verantwortlichen, die Zwecke und die Rechtsgrundlage der Verarbeitung, die Kategorien der Daten, etwaige Empfänger, die Speicherdauer und die Rechte der betroffenen Person.
Hinzu kommt die Angabe der Datenquelle nach Art. 14 Abs. 2 lit. f, also aus welcher Quelle die Daten stammen und ob sie aus öffentlich zugänglichen Quellen bezogen wurden. Genau hier scheitern viele Anreicherungen, weil die Herkunft nicht mehr rekonstruierbar ist.
Ein Textbaustein für die erste Kontaktaufnahme kann lauten: „Ihre Kontaktdaten (Name, geschäftliche E-Mail-Adresse) haben wir am [Datum] aus [Quelle, etwa dem Handelsregister] erhoben und verarbeiten sie auf Grundlage unseres berechtigten Interesses an der geschäftlichen Ansprache. Der Verarbeitung können Sie jederzeit widersprechen." Die Information muss längstens innerhalb der Monatsfrist des Art. 14 Abs. 3 lit. a erfolgen, bei früherem Erstkontakt schon mit diesem.
Warum der Herkunftsnachweis zählt
Um Art. 14 belegbar zu erfüllen, müssen Sie die Quelle jedes Datums benennen können. Ohne dokumentierte Herkunft lässt sich weder die Pflichtangabe nach Art. 14 Abs. 2 lit. f erfüllen noch im Streitfall nachweisen, dass rechtmäßig erhoben wurde. Der Herkunftsnachweis ist damit die technische Voraussetzung der rechtlichen Pflicht.
Wolfstrail CRM speichert je angereichertem Feld die Quelle und den Abrufzeitpunkt. Das liefert die Angaben, die Art. 14 Abs. 2 lit. f für die Datenquelle verlangt, und macht die Information auch nachträglich reproduzierbar.
Was ohne Herkunftsnachweis passiert
Ohne festgehaltene Herkunft bricht die Kette an ihrem schwächsten Glied. Sie können die Pflichtangabe zur Datenquelle nicht mehr korrekt machen, die Rechtsgrundlage nicht belegen und einem Auskunftsersuchen nach Art. 15 nur unvollständig nachkommen. Datensätze ohne nachweisbare Herkunft lassen sich weder sauber informieren noch im Streitfall verteidigen.
Wer Anreicherung mit lückenlosem Herkunftsnachweis je Feld führt, dreht dieses Risiko um. Wie Wolfstrail Quelle und Abrufzeitpunkt automatisch dokumentiert, zeigt die Seite zur Datenanreicherung.
Dieser Beitrag gibt den Rechtsstand vom 16. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall. Für die Beurteilung Ihrer konkreten Vorgehensweise ziehen Sie bitte eine Rechtsanwältin oder einen Rechtsanwalt hinzu.
Rechtsstand: 16. August 2026 · Zuletzt aktualisiert: 16. August 2026 · Autor: Alexander Wolfshohl, Inhaber, Wolfswerk