KI im Vertrieb und DSGVO: Was KI-Werkzeuge im B2B dürfen

Wann verarbeitet KI im Vertrieb personenbezogene Daten?

KI im Vertrieb verarbeitet personenbezogene Daten, sobald ein Werkzeug Informationen sieht, die sich auf eine bestimmte Person beziehen. Dazu zählen Namen, E-Mail-Adressen mit Personenbezug, Stimmen und Gesprächsnotizen, nicht aber reine Angaben über eine Firma.

Die DSGVO fasst unter personenbezogenen Daten alle Informationen über eine identifizierte oder identifizierbare Person (Amtsblatt der Europäischen Union, Stand 04/2016). Die Adresse max.mustermann@firma.de gehört dazu, die Adresse info@firma.de meist nicht. Eine Stellenbezeichnung allein, etwa „Einkaufsleitung“, bezieht sich auf eine Funktion. Mit Firma und Ort lässt sie sich oft einer Person zuordnen, und dann gilt sie als personenbezogen.

Diese Seite behandelt KI-Werkzeuge im Vertrieb: Recherche, Entwürfe, Transkription, Scoring und Anreicherung. Die Frage, ob ein KI-Agent selbst Unternehmen anrufen darf, behandelt die Seite Sind KI-Anrufe im B2B erlaubt?. Hier geht es um das, was vor und nach dem Anruf geschieht, und um das, was das Team in ein Werkzeug eingibt.

Die Tabelle gibt eine Faustregel: Je näher ein Werkzeug an Namen, Stimmen und Verhalten kommt, desto mehr Pflichten greifen. Beginnen Sie die Prüfung deshalb bei den drei Werkzeugen in der Mitte der Tabelle: Transkription, Anreicherung und Scoring.

Welche Rechtsgrundlage trägt KI-Werkzeuge im Vertrieb?

Für KI-Werkzeuge im B2B-Vertrieb trägt meist das berechtigte Interesse nach Art. 6 Abs. 1 Buchstabe f DSGVO, für Aufzeichnungen und Cookies die Einwilligung. Das berechtigte Interesse verlangt eine Abwägung, die Sie dokumentieren.

Die Prüfung hat drei Stufen. Erstens muss ein berechtigtes Interesse bestehen, zum Beispiel die Gewinnung von Kunden. Zweitens muss die Verarbeitung dafür erforderlich sein, also nicht mehr Daten umfassen als nötig. Drittens dürfen die Interessen der Betroffenen nicht überwiegen. Die Verordnung nennt in ihren Erwägungsgründen die Direktwerbung als möglichen Fall des berechtigten Interesses (Amtsblatt der Europäischen Union, Stand 04/2016). Ein Freibrief ist das nicht: Je mehr Daten ein Werkzeug sammelt und je weniger der Betroffene damit rechnet, desto eher überwiegt sein Interesse.

Aus der Rechtsgrundlage folgen drei Pflichten, die in der Praxis am häufigsten fehlen.

1. Information. Haben Sie Daten nicht bei der betroffenen Person erhoben, etwa aus einem Verzeichnis oder von einem Anreicherungsdienst, informieren Sie spätestens innerhalb eines Monats (Amt für Veröffentlichungen der Europäischen Union, Stand 05/2018). Im ersten Telefonat reicht die Information im Gespräch mit Verweis auf Ihre Datenschutzhinweise.
2. Widerspruch. Gegen die Verarbeitung für Direktwerbung können Betroffene jederzeit widersprechen, danach darf der Verantwortliche die Daten dafür nicht mehr verarbeiten (Amt für Veröffentlichungen der Europäischen Union, Stand 05/2018). Das Kundensystem braucht eine Sperrliste, die jedes KI-Werkzeug einhält.
3. Zweckbindung. Daten, die Sie für einen Zweck erhoben haben, dürfen Sie nicht ohne Prüfung für einen anderen verwenden. Notizen aus dem Kundenservice gehören nicht ungefragt in ein Werkzeug für Akquise-Entwürfe.

Der Anruf selbst folgt zusätzlich dem Wettbewerbsrecht. Ein Werbeanruf bei einem sonstigen Marktteilnehmer braucht zumindest dessen mutmaßliche Einwilligung (gesetze-im-internet.de, Stand 10/2026). Datenschutz und Wettbewerbsrecht laufen nebeneinander, und die strengere Prüfung entscheidet über die Zulässigkeit. Die Grundlagen zur mutmaßlichen Einwilligung erklärt das Glossar.

Wann brauchen Sie einen Vertrag mit dem Anbieter, und worauf kommt es an?

Einen Vertrag zur Auftragsverarbeitung brauchen Sie, sobald ein Anbieter Personendaten in Ihrem Auftrag verarbeitet. Art. 28 DSGVO verlangt, dass ein Vertrag den Auftragsverarbeiter bindet (Amtsblatt der Europäischen Union, Stand 04/2016).

Für KI-Werkzeuge ist der Vertrag der Punkt, an dem sich gute von unklaren Anbietern trennen. Ein Anbieter, der seinen Vertrag auf Anfrage nicht liefert, ist für Personendaten die falsche Wahl. Dieselbe Prüfung gilt für den Dienstleister, der Anrufe für Sie führt. Die Anforderungen an diesen Vertrag zeigt die Seite Auftragsverarbeitung bei Telefonakquise.

Vier Punkte machen den Unterschied, und alle vier sollten im Vertrag oder in den Anlagen stehen:

• Verarbeitungsort. Verarbeitet der Anbieter in der EU, oder übermittelt er Daten in ein Drittland? Für Drittländer gelten zusätzliche Voraussetzungen der DSGVO.
• Unterauftragnehmer. Ein KI-Anbieter nutzt meist das Modell eines anderen Anbieters. Dieser gehört in die Liste der Unterauftragnehmer.
• Training. Nutzt der Anbieter Ihre Eingaben, um eigene Modelle zu verbessern? Dafür brauchen Sie eine Antwort, die im Vertrag steht, nicht im Prospekt.
• Löschung. Wie lange speichert der Anbieter Eingaben und Ergebnisse, und wie belegt er die Löschung?

Wer keinen Vertrag hat, trifft eine einfache Regel: In das Werkzeug gehören keine Personendaten. Die Regel gilt für jeden Mitarbeiter, auch für den, der „nur kurz“ etwas nachschlagen will.

Was verlangt das Recht bei der Aufzeichnung und Transkription von Gesprächen?

Die Aufzeichnung eines Verkaufsgesprächs braucht die Einwilligung des Gesprächspartners. Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt aufnimmt, macht sich nach § 201 StGB strafbar, die Strafe reicht bis zu drei Jahren Freiheitsstrafe oder Geldstrafe (gesetze-im-internet.de, Stand 10/2026).

Transkriptionswerkzeuge, die Gespräche live mitschreiben und zusammenfassen, fallen unter diese Regel, auch wenn niemand eine Tondatei speichert. Die Verarbeitung der Stimme und des Inhalts ist zusätzlich eine Verarbeitung personenbezogener Daten nach der DSGVO. Ob eine Aufnahme ohne Einwilligung je auf ein berechtigtes Interesse stützen lässt, spielt für die Strafbarkeit keine Rolle. Verlassen Sie sich im Zweifel auf die ausdrückliche Einwilligung.

Ein Satz zu Beginn des Gesprächs genügt als Einstieg: „Ich möchte das Gespräch für meine Notizen von einer Software mitschreiben lassen. Sind Sie damit einverstanden?“ Bei einem Nein schalten Sie das Werkzeug aus und führen Notizen von Hand. Notieren Sie die Antwort im Kundensystem. Die Einwilligung muss freiwillig sein, ein Gesprächspartner, der sich dazu gedrängt fühlt, hat nicht wirksam eingewilligt.

Für Mitarbeitende kommen zwei weitere Regeln hinzu. Technische Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, unterliegen der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG (gesetze-im-internet.de, Stand 10/2026). Und die Verarbeitung von Beschäftigtendaten regelt zusätzlich § 26 BDSG (gesetze-im-internet.de, Stand 10/2026). Ein Coaching-Werkzeug, das Anrufe von Verkäufern auswertet, braucht deshalb Absprache mit dem Betriebsrat, wo es einen gibt, und Information der Mitarbeitenden vor dem Start.

Was verlangt die KI-Verordnung von Vertriebsteams?

Die KI-Verordnung verlangt von Vertriebsteams als Betreibern vor allem KI-Kompetenz, den Verzicht auf verbotene Praktiken und die Kennzeichnung bei direkter Interaktion mit Menschen. Hochrisiko-Pflichten treffen den Vertrieb nur in einzelnen Anwendungen.

Die Verordnung ordnet KI-Systeme nach Risiko. Verbotene Praktiken stehen in Art. 5, Hochrisiko-Systeme in Art. 6 und Anhang III, Transparenzpflichten in Art. 50. Alles andere unterliegt keinen besonderen Pflichten außer der KI-Kompetenz. Die Verbote und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025. Zu den Fristen der übrigen Teile liegen Änderungsvorschläge der EU-Kommission vor. Prüfen Sie den aktuellen Stand im Amtsblatt, die Redaktion hat ihn am 09.10.2026 nicht abschließend geprüft.

Aus der Tabelle folgen drei Regeln für den Alltag. Erstens schulen Sie das Team in den Grundlagen: Was ein Sprachmodell kann, wo es erfindet, was in ein Werkzeug gehört und was nicht. Halten Sie Teilnahme und Inhalt fest, denn Art. 4 verlangt Maßnahmen nach besten Kräften (Amt für Veröffentlichungen der Europäischen Union, Stand 07/2024). Zweitens führen Sie eine Liste der eingesetzten KI-Werkzeuge mit Zweck, Anbieter und Datenarten. Drittens trennen Sie KI-Hilfe für Verkäufer von KI-Bewertung der Verkäufer. Das erste ist ein Werkzeug, das zweite berührt Verbote und Hochrisiko-Pflichten.

Ein Chatbot auf Ihrer Webseite oder ein Sprachagent am Telefon spricht direkt mit Menschen. Dafür verlangt Art. 50 Abs. 1, dass Personen erkennen, dass sie mit einem KI-System interagieren (Amt für Veröffentlichungen der Europäischen Union, Stand 07/2024). Ein Mailentwurf, den ein Mensch prüft und unter eigenem Namen versendet, löst nach der Lesart der Redaktion diese Pflicht nicht aus. Klären Sie Grenzfälle mit Ihrer Beratung.

Wie prüfen Sie ein KI-Werkzeug vor dem Einsatz im Vertrieb?

Sie prüfen ein KI-Werkzeug mit acht Fragen an den Anbieter: Vertrag, Ort, Unterauftragnehmer, Training, Löschung, Protokolle, Rechte und Meldeweg. Wer sie nicht schriftlich beantwortet, kommt für Personendaten nicht in Frage.

Zwei Prüfungen betreffen Sie selbst, nicht den Anbieter. Sie tragen das Werkzeug in Ihr Verzeichnis der Verarbeitungstätigkeiten ein, und Sie prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist (Amtsblatt der Europäischen Union, Stand 04/2016). Sie ist bei hohem Risiko für die Betroffenen nötig, etwa bei umfangreicher Bewertung persönlicher Aspekte. Ein Lead-Scoring über B2B-Kontakte löst sie nach Einschätzung der Redaktion meist nicht aus. Entscheiden Sie das mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

Kleine Teams ohne eigene Rechtsabteilung gehen in vier Schritten vor: Liste der Werkzeuge anlegen, die acht Fragen schicken, Werkzeuge ohne Antwort für Personendaten sperren und das Team in einer Stunde schulen. Die Rechnung weiter unten zeigt, was das kostet.

Wie wirkt sich die DSGVO auf Scoring und Anreicherung aus?

Scoring und Anreicherung sind Profiling im Sinne der DSGVO, wenn sie persönliche Aspekte automatisiert bewerten. Das ist erlaubt, braucht aber Rechtsgrundlage, Transparenz und einen Weg für Auskunft und Widerspruch.

Beim Lead-Scoring ordnet eine Software Kontakte nach Merkmalen und Verhalten, bei der Anreicherung ergänzt sie Daten aus anderen Quellen. Beide Verfahren entscheiden im B2B meist nur darüber, wen der Vertrieb zuerst anspricht. Art. 22 DSGVO schützt vor Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder die Person erheblich beeinträchtigen (Amtsblatt der Europäischen Union, Stand 04/2016). Die Reihenfolge von Anrufen erreicht diese Schwelle in der Regel nicht.

Drei Dinge bleiben trotzdem zu tun. Dokumentieren Sie die Merkmale und Gewichte des Scorings, damit Sie Auskunft geben können. Prüfen Sie Stichproben, ob das Scoring Gruppen systematisch ausschließt, zum Beispiel kleine Betriebe, die in Wahrheit Ihre besten Kunden sind. Und führen Sie bei Anreicherung die Quelle je Datensatz mit, damit die Information nach Art. 14 und der Widerspruch ihren Weg finden. Wie ein Team Kontakte qualifiziert, ohne Blackbox, beschreibt das Glossar zur Leadqualifizierung.

Die signalbasierte Ansprache liegt in der Mitte: Sie nutzt öffentliche Meldungen einer Firma als Anlass. Das ist unkritischer, solange Sie Firmenereignisse nutzen und keine Profile von Personen anlegen. Die Prüfung der Quelle ersetzt hier die Prüfung des Scorings.

Was zeigt die Praxis?

In der Praxis scheitert der Datenschutz im Vertrieb selten an einem großen Verstoß, meist an vielen kleinen Gewohnheiten. Zwei Fälle zeigen, wo sie sitzen.

In einem Projekt für einen Anbieter von Software für Gebäudetechnik zählte der Vertriebsleiter die KI-Werkzeuge seines Teams. Er fand neun, von denen er sechs kannte. Für vier fehlte ein Vertrag zur Auftragsverarbeitung, zwei nutzten Eingaben zum Training. Das Team stellte vier Werkzeuge ab, ersetzte zwei durch Anbieter mit Vertrag und schrieb eine Eingaberegel von einer Seite. Nach sechs Wochen blieben fünf Werkzeuge, alle mit Vertrag.

In einem Projekt für einen Hersteller von Dosiertechnik führte das Team eine Transkription für Verkaufsgespräche ein. Bei der Stichprobe von 40 Gesprächen lag in 11 Fällen keine Einwilligung des Gesprächspartners vor, die Software lief einfach mit. Der Vertriebsleiter stellte um: Das Werkzeug startet nur nach einem Klick des Verkäufers, und ein Satz zu Beginn des Gesprächs holt die Einwilligung ein. Bei der nächsten Stichprobe lag sie in 38 von 40 Gesprächen vor, in den übrigen zwei stand die Ablehnung im Kundensystem.

Wie viel Aufwand kostet die erste Prüfung?

Die erste Prüfung kostet je Werkzeug einen halben Arbeitstag, danach genügen Nachprüfungen bei Änderungen. Die Rechnung nimmt acht Werkzeuge an.

Die Zahlen sind Annahmen. Zählen Sie Ihre Werkzeuge und fragen Sie bei jedem Anbieter einmal. Wer mit Kunden aus Industrie und Handel arbeitet, begegnet den Fragen ohnehin: Einkäufer großer Firmen fragen in Ausschreibungen nach Auftragsverarbeitung, Standort und KI-Einsatz. Die Antworten auf Vorrat zu haben, spart dann Tage.

Wann ist diese Prüfung nicht die richtige Antwort?

Diese Prüfung ist nicht die richtige Antwort, wenn Ihr Team keine Personendaten in KI-Werkzeuge gibt oder wenn Sie einen konkreten Rechtsfall klären müssen.

Dazu kommen vier Fehler, die in der Praxis am häufigsten auftreten.

Was bedeutet das für die Telefonakquise mit Menschen?

Für die Telefonakquise heißt das: Der Anruf eines Menschen mit konkretem Anlass folgt dem Maßstab von § 7 UWG, und KI kann die Vorbereitung unterstützen, ohne selbst zu telefonieren. Das senkt die offenen Fragen aus KI-Verordnung und Anrufmaschinen-Regel.

KRAUSS ruft mit Menschen an. KI hilft im Hintergrund bei der Recherche, aber das Gespräch mit dem Entscheider führt ein Mensch, der den Kaufcheck macht und jeden Termin doppelt bestätigt. Als Auftragsverarbeiter verarbeitet KRAUSS Ihre Daten nach Vertrag. Wer sich zwischen KI-Agent und Mensch entscheiden muss, findet die Kriterien im Vergleich KI-Telefonagent oder Mensch.

Den Outbound-Vertrieb rechtlich sauber aufzustellen, dauert bei klarer Aufgabenteilung Wochen, nicht Monate: Werkzeuge listen, Verträge einholen, Eingaberegel schreiben, Team schulen. Die Telefonakquise von KRAUSS beschreibt Ablauf und Leistung, die Methode den Weg vom Anruf zum Termin. Das Testprojekt prüft an echten Terminen, was Ihre Zielgruppe hergibt. Den Umfang legen Sie im 15-Minuten-Gespräch fest. Ihr Angebot konfigurieren Sie im Angebotskonfigurator, und ein Gespräch mit Jesse Klotz dauert 15 Minuten.

Stand 09.10.2026, keine Rechtsberatung: Diese Seite ordnet Fundstellen. Sie ersetzt nicht die Prüfung durch eine Anwältin oder einen Anwalt oder durch Ihre Datenschutzbeauftragte.