Wann Registerdaten der DSGVO unterliegen
Nicht jeder Registereintrag ist ein personenbezogenes Datum. Die Rechtsform, die Firma oder eine allgemeine Kontaktadresse eines Unternehmens fallen für sich genommen nicht unter die DSGVO. Sobald sich ein Eintrag aber einer natürlichen Person zuordnen lässt, etwa dem namentlich benannten Geschäftsführer, ist der Anwendungsbereich eröffnet.
Die Unterscheidung ist im Handelsregister besonders greifbar. Der Name, das Geburtsdatum und der Wohnort eines Geschäftsführers oder einer Prokuristin sind personenbezogen, die Angabe des Stammkapitals oder des Unternehmensgegenstands ist es nicht. Für den personenbezogenen Teil gelten Rechtsgrundlage, Zweckbindung und die Informationspflicht aus Art. 14 DSGVO uneingeschränkt.
Als Rechtsgrundlage kommt im Vertrieb regelmäßig das berechtigte Interesse nach Art. 6 Absatz 1 Buchstabe f DSGVO in Betracht. Es verlangt einen konkreten Zweck und eine Abwägung mit den Interessen der betroffenen Person. Die bloße Tatsache, dass die Daten öffentlich abrufbar sind, ersetzt diese Abwägung nicht.
Wer diese Grenze kennt, verarbeitet den öffentlichen und den personenbezogenen Teil eines Eintrags bewusst getrennt. Das ist der Ausgangspunkt für jede rechtssichere Nutzung von Registerdaten im CRM.
Was § 9 HGB tatsächlich sagt
§ 9 Absatz 1 Satz 1 HGB gestattet in der seit dem 1. August 2022 geltenden Fassung die Einsicht in das Handelsregister jedem zu Informationszwecken durch einzelne Abrufe. Der Wortlaut enthält zwei Einschränkungen, die in der Praxis regelmäßig übersehen werden: den Informationszweck und die Beschränkung auf einzelne Abrufe.
Das erste Merkmal ist der Zweck. Die Norm öffnet das Register zu Informationszwecken, also damit sich der Geschäftsverkehr über die Verhältnisse eines Unternehmens vergewissern kann. Der systematische Abzug sämtlicher Neueintragungen zum Aufbau eines Vertriebsbestands ist von diesem Zweck nicht ohne Weiteres getragen.
Das zweite Merkmal ist die Form des Abrufs. Der Gesetzgeber spricht ausdrücklich von einzelnen Abrufen, nicht vom fortlaufenden oder automatisierten Massenabzug. Wer eine kommerzielle Datenbank aufbaut, indem er Registerinhalte in großer Zahl und ohne konkreten Anlass ausliest, bewegt sich außerhalb dessen, was der Wortlaut deckt.
Beide Merkmale wirken zusammen. Ein Abruf mit klarem Anlass zu einem bestimmten Unternehmen entspricht dem gesetzlichen Bild, der anlasslose Massenabzug entfernt sich davon mit jeder weiteren Datenzeile.
Damit ist nicht gesagt, dass jeder Abruf über den Einzelfall hinaus verboten wäre. Gesagt ist nur, dass § 9 HGB kein Freibrief für die Massenverarbeitung ist. Wer sich auf die Öffentlichkeit des Registers beruft, sollte prüfen, ob sein Vorgehen den Informationszweck und den Einzelabruf noch trägt.
Öffentlich heißt nicht zweckfrei
Öffentlich zugänglich bedeutet nicht, dass Daten zu jedem beliebigen Zweck weiterverarbeitet werden dürfen. Sobald ein Registereintrag Personenbezug hat, etwa den Namen eines Geschäftsführers, greift die DSGVO, und die Frage nach dem berechtigten Interesse stellt sich unabhängig von der Öffentlichkeit der Quelle.
Einen Anhaltspunkt liefert das Bundesverwaltungsgericht. Im Urteil vom 29. Januar 2025, Aktenzeichen 6 C 3.23, ging es um Telefonnummern, die Zahnarztpraxen zur Erreichbarkeit für Patienten veröffentlicht hatten. Das Gericht entschied, dass der Zweck, zu dem eine Angabe veröffentlicht wurde, das berechtigte Interesse an ihrer Weiterverwendung begrenzt. Eine zur Patientenerreichbarkeit veröffentlichte Nummer trägt keine Geschäftsanbahnung.
Dieser Gedanke lässt sich auf Registerdaten übertragen: Das Handelsregister wird geführt, damit sich der Rechtsverkehr über Vertretungsverhältnisse und Haftung informieren kann, nicht damit Dritte einen Vertriebsbestand aufbauen. Diese Übertragung ist ausdrücklich als Argumentation zu verstehen und nicht als entschiedene Rechtslage.
Das Bundesverwaltungsgericht hat über Telefonnummern aus Praxisverzeichnissen entschieden, nicht über das Handelsregister. Ob ein Gericht den Veröffentlichungszweck des Registers ebenso eng auslegt, ist offen. Der Veröffentlichungszweck ist damit ein Abwägungskriterium, das man kennen und dokumentieren sollte, kein feststehendes Verbot.
Der Europäische Gerichtshof hat im Urteil vom 4. Oktober 2024, C-621/22, entschieden, dass auch ein rein kommerzielles Interesse ein berechtigtes Interesse sein kann. Er verlangt aber einen dreistufigen Test: ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und eine Abwägung, die die vernünftigen Erwartungen der betroffenen Person berücksichtigt. Der Veröffentlichungszweck der Quelle wirkt in diese Erwartungen hinein.
Praktisch heißt das: Wer Registerdaten mit Personenbezug im Vertrieb nutzt, sollte den Veröffentlichungszweck der Quelle in seine Abwägung nach Art. 6 Absatz 1 Buchstabe f DSGVO einbeziehen. Je weiter sich die geplante Nutzung vom ursprünglichen Informationszweck entfernt, desto schwerer wiegt das Interesse der betroffenen Person.
Was ungeklärt ist
An diesem Punkt endet die gesicherte Rechtslage, und Ehrlichkeit ist glaubwürdiger als eine vorgetäuschte Klarheit. Zu der Frage, ob und in welchem Umfang Handelsregisterdaten kommerziell weiterverwendet werden dürfen, gibt es keine deutsche Entscheidung, die den Streit für angereicherte Firmendaten abschließend klärt.
Eine deutsche Gerichtsentscheidung, die diese Frage für Firmendaten aus öffentlichen Registern abschließend klärt, liegt bislang nicht vor. Die Argumentation stützt sich deshalb auf den Wortlaut der Norm, auf die Transparenz-Leitlinien der Art.-29-Gruppe und auf den polnischen Bisnode-Fall, der denselben Sachverhalt betrifft und in dem die Aufsichtsbehörde die Ausnahme verneint hat.
Der Bisnode-Fall betrifft den Bescheid der polnischen Datenschutzbehörde UODO vom 29. März 2019. Ein Datenbroker hatte rund sechs Millionen Datensätze aus einem öffentlichen Unternehmensregister erhoben und nur einen Bruchteil der Betroffenen informiert. Die Behörde verneinte die Ausnahme von der Informationspflicht und verhängte ein Bußgeld.
Übertragbar ist der Fall, weil er denselben Vorgang betrifft: die Erhebung öffentlicher Registerdaten zu kommerziellen Zwecken. Verbindlich für deutsche Gerichte ist er nicht. Diese Lücke offen zu benennen, ist redlicher, als sie mit scheinbarer Sicherheit zu überspielen. Wer heute handelt, handelt in einem ungeklärten Feld und sollte das in seiner Dokumentation abbilden.
Praktische Empfehlung
Solange die Rechtslage ungeklärt ist, entscheidet die Dokumentation über die Verteidigungsfähigkeit. Ein vorsichtiger Anwender kann Handelsregisterdaten nutzen, sollte aber festhalten, warum er welche Angabe zu welchem Zeitpunkt abgerufen hat und welchen konkreten Anlass die Verarbeitung im Einzelfall trägt.
Der Einzelabruf mit Anlass steht rechtlich deutlich besser da als der Massenabruf auf Vorrat. Wer die Daten eines bestimmten Unternehmens abruft, weil ein konkreter Geschäftskontakt ansteht oder geprüft werden soll, bleibt nah am gesetzlichen Informationszweck. Wer Neueintragungen pauschal und anlasslos abzieht, entfernt sich davon.
Dokumentieren sollten Sie mindestens die folgenden Punkte, damit der Nachweis im Streitfall vollständig ist:
- die Quelle jedes Datenpunkts, also das konkrete Register und den Eintrag,
- den Zeitpunkt des Abrufs,
- den konkreten Anlass, aus dem die Verarbeitung erfolgt ist,
- die Abwägung nach Art. 6 Absatz 1 Buchstabe f DSGVO mit ihrem Ergebnis,
- jeden eingegangenen Widerspruch und den Zeitpunkt seiner Umsetzung.
Diese Angaben stützen zugleich die Informationspflicht nach Art. 14 DSGVO, für die der Herkunftsnachweis ohnehin geführt werden muss. Die Abwägung nach Art. 6 Absatz 1 Buchstabe f DSGVO umfasst Interesse, Erforderlichkeit, die vernünftige Erwartung der betroffenen Person, mildere Mittel und das Ergebnis. Wer diese Prüfung einmal sauber niederlegt, kann sie bei einer Beschwerde vorlegen, statt sie im Nachhinein zu rekonstruieren.
Für den laufenden Betrieb bewährt sich eine einfache Regel: kein Abruf ohne dokumentierten Anlass. Wer diese Regel in seine Prozesse einzieht, verhindert den anlasslosen Massenabzug schon an der Quelle und hält den Aufwand für den Einzelfall gering. Das ist zugleich die Haltung, die im ungeklärten Feld am ehesten Bestand hat.
Wolfstrail CRM legt Herkunft und Abrufzeitpunkt je Feld automatisch ab, sodass der Nachweis ohne zusätzlichen Aufwand entsteht. Das ersetzt keine rechtliche Prüfung, erleichtert aber die Dokumentation, auf die es im ungeklärten Feld ankommt.
Dieser Beitrag gibt den Rechtsstand vom 16. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall. Für die Beurteilung Ihrer konkreten Vorgehensweise ziehen Sie bitte eine Rechtsanwältin oder einen Rechtsanwalt hinzu.
Rechtsstand: 16. August 2026 · Zuletzt aktualisiert: 16. August 2026 · Autor: Alexander Wolfshohl, Inhaber, Wolfswerk