Was Sie VERKAUFEN DÜRFEN (DSGVO & Monetarisierung)

Bevor Sie Daten monetarisieren, stellt sich eine Frage über alle anderen: Haben Sie das Recht, sie zu verkaufen? (Dieser Leitfaden vereinfacht etablierte Regeln und stellt keine Rechtsberatung dar: Konsultieren Sie für Ihren spezifischen Fall Ihren DPO, die CNIL oder einen Anwalt.)

Alles beginnt mit einer Unterscheidung: Sind die Daten personenbezogen? Eine Information, die eine Person direkt oder indirekt identifizieren kann, ist personenbezogen und fällt unter die DSGVO (Art. 4(1)). Dann kommt eine entscheidende Nuance: Anonyme Daten – d.h. unwiderruflich nicht mehr identifizierbar gemachte Daten – fallen aus der DSGVO (Erwägungsgrund 26), während nur pseudonymisierte Daten persönlich bleiben (Art. 4(5)). Die CNIL verlangt drei Tests, um von Anonymisierung zu sprechen: Unmöglichkeit der Individualisierung, Korrelation und Schlussfolgerung.

Zur Weitergabe personenbezogener Daten ist eine Rechtsgrundlage erforderlich (Art. 6(1)): die Einwilligung oder das berechtigte Interesse, ergänzt durch einen Abwägungstest. Achtung, „Verkauf unter berechtigtem Interesse“ ist keine allgemeine Regel – es ist eine Einzelfallentscheidung. Eine weitere Falle: Der Weiterverkauf von Daten stellt einen neuen Zweck im Vergleich zur Erhebung dar (Art. 5(1)(b) und 6(4)); praktisch erfordert dies eine neue Einwilligung, und „blockweise“ akzeptierte AGB gelten nicht als Einwilligung (CNIL). Im Bereich der Prospektion erfordert der elektronische Kanal eine vorherige Einwilligung, während der Post- oder Telefonweg auf das berechtigte Interesse mit Widerspruchsrecht gestützt werden kann.

B2B entgeht der DSGVO nicht: Eine generische Adresse „kontakt@firma“ fällt nicht darunter (Erwägungsgrund 14), aber eine namentliche E-Mail „vorname.name@“ oder der Name eines Mitarbeiters bleiben personenbezogene Daten (EuGH, C-710/23); für einen Kleinunternehmer identifizieren die „Firmendaten“ oft die Person. Daher eine Checkliste mit fünf Fragen: Sind die Daten personenbezogen? Habe ich eine Rechtsgrundlage für die Weitergabe? Ist dies mit dem ursprünglichen Zweck vereinbar? Sind die Personen informiert und können sie widersprechen? Sind Widersprechende ausgeschlossen, mit Nachweis?

Das ist nicht theoretisch: Am 15. Mai 2025 hat die CNIL Solocal Marketing Services (900.000 €) und Caloga (80.000 €) wegen Nutzung und Weiterverkauf von Prospektionsdaten ohne gültige Rechtsgrundlage sanktioniert. Die Lektion: Konforme Daten verkaufen sich, nicht konforme Daten werden sanktioniert. Bevorzugen Sie aggregierte und anonymisierte Daten und lassen Sie Ihre Daten qualifizieren, bevor Sie sie auf den Markt bringen.