Messe-Leads DSGVO-konform sammeln

Messe-Leads DSGVO-konform zu sammeln ist keine Aufgabe, die man aufschieben sollte. Am Stand geht alle zwei Minuten ein personenbezogenes Datum durch, und der DPO und der Head of Sales sprechen selten dieselbe Sprache. Das ist die operative Version: was Sie wirklich brauchen, was Theater ist.

Kurz gesagt:

• Die meistgenutzte Rechtsgrundlage für einen am Stand gesammelten B2B-Lead ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), nicht die Einwilligung. Die ausdrückliche Einwilligung gilt für Newsletter/Massen-Marketing.
• Der Datenschutzhinweis (Art. 13) muss am Stand zugänglich sein: Ein QR-Code, der auf eine Seite führt, genügt. Keine von jedem Kontakt unterschriebenen Papierformulare.
• Die Aufbewahrung folgt dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Legen Sie einen angemessenen Zeitraum fest (viele B2B-Unternehmen: 12-24 Monate), schreiben Sie ihn auf und halten Sie sich daran.
• Die Anreicherung aus öffentlichen Quellen ist vereinbar, wenn sie demselben angegebenen Zweck dient und Sie die betroffene Person informieren.
• Bewahren Sie die Daten im CRM auf, nicht in der Messe-App: ein Verantwortlicher, eine Aufbewahrungsfrist, ein sauberer Export.

Die falsche Frage: „Braucht es eine Einwilligung?“

Das Erste, was jemand fragt, der noch nie an einem Stand gearbeitet hat: „Lassen wir eine Einwilligung unterschreiben?“. Die Antwort ist fast immer nein. Wenn ein Besucher Ihnen seine Visitenkarte überlässt oder seinen Badge scannen lässt, um zu einem B2B-Angebot kontaktiert zu werden, besteht eine vernünftige Erwartung einer geschäftlichen Kontaktaufnahme. Die korrekte Rechtsgrundlage ist oft das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Die ausdrückliche Einwilligung ist in genau bestimmten Fällen nötig: Newsletter-Anmeldung, automatisiertes Massen-Marketing, weitreichendes Profiling. Die beiden Ebenen zu verwechseln, führt zu zwei entgegengesetzten Fehlern: eine Einwilligung einzuholen, wo sie nicht nötig ist (und Leads durch Reibung zu verlieren), oder E-Mail-Marketing ohne Einwilligung zu betreiben, wo sie doch nötig wäre.

Die praktische Regel: Für das kommerzielle 1:1-Follow-up nach der Messe, berechtigtes Interesse. Um den Kontakt in automatisierte Marketing-Flows aufzunehmen, prüfen Sie die Einwilligung. Dokumentieren Sie die Entscheidung mit einer minimalen Interessenabwägung.

Der Datenschutzhinweis am Stand, ohne Theater

Art. 13 DSGVO verlangt, dass die betroffene Person zum Zeitpunkt der Erhebung weiß: wer der Verantwortliche ist, warum Sie das Datum verarbeiten, auf welcher Grundlage, wie lange Sie es aufbewahren, wie sie ihre Rechte ausübt.

In der Messepraxis löst sich das mit:

• einem QR-Code am Stand, der auf eine Informationsseite führt, oder
• einer Zeile im digitalen Qualifizierungsformular mit Link zum vollständigen Datenschutzhinweis.

Es ist nicht nötig, jeden Kontakt ein Papierformular unterschreiben zu lassen: Das verlangsamt das Gespräch und produziert Papier, das niemand ablegt. Was es braucht, ist der Nachweis, dass die Information verfügbar war zum Zeitpunkt der Erhebung. Wenn Sie ein digitales System zur Lead-Erfassung auf der Messe nutzen, ist der Zeitstempel des Scans bereits Ihr Nachweis.

Aufbewahrung: die Zahl, die Sie selbst festlegen müssen

Die DSGVO sagt nicht „24 Monate“. Sie sagt Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Bewahren Sie das Datum nur so lange auf, wie es für den Zweck nötig ist. Den Zweck definieren Sie.

Aus unserer Erfahrung setzen viele B2B-Unternehmen auf:

• in Kunden konvertierte Leads → Aufbewahrung an das Vertragsverhältnis gebunden;
• qualifizierte, nicht konvertierte Leads → 12-24 Monate, dann Überprüfung, Löschung oder Anonymisierung;
• in Masse gesammelte Kaltkontakte → kürzeres Fenster.

Was bei einem Audit den Unterschied macht, ist nicht die gewählte Zahl, sondern die Konsistenz: sie in den Datenschutzhinweis geschrieben und im CRM eingehalten zu haben. Ein in einem Excel auf dem Desktop eines Vertrieblers „vergessenes“ Datum ist das eigentliche Risiko, nicht die Aufbewahrungsfrist.

Automatische Anreicherung und DSGVO

Die Anreicherung aus öffentlichen Quellen ist nur dann eine Grauzone, wenn Sie sie leichtfertig behandeln. Wenn Sie für denselben Zweck anreichern, der bereits angegeben ist (einen B2B-Geschäftskontakt zu qualifizieren), und aus öffentlichen Quellen, ist es vereinbar. Es bleibt die Pflicht, die betroffene Person darüber zu informieren, dass Sie Daten aus öffentlichen Quellen ergänzen.

Hier zählt, wo das System läuft. Linkly reichert aus 30+ öffentlichen Datenquellen an und läuft auf DSGVO-konformer EU-Infrastruktur: Das Datum verlässt die Union nicht. Das ist das Detail, das der DPO als Erstes prüft.

Das eigentliche Risiko: die Fragmentierung

Non-Compliance auf der Messe entsteht selten aus einer falschen Rechtsgrundlage. Sie entsteht aus der Fragmentierung: mit dem privaten Handy fotografierte Badges, Visitenkarten in der Tasche, Messe-App, ein Google Sheet „das wir am Montag aufräumen“. Je mehr Orte es gibt, an denen das personenbezogene Datum lebt, desto weniger Kontrolle haben Sie über Aufbewahrung, Zugriff und Löschung.

Operative Sauberkeit ist auch DSGVO-Sauberkeit: Jeder gesammelte Kontakt landet sofort im Firmen-CRM, mit konsistentem Event-Tag, Rechtsgrundlage und Aufbewahrungsfrist. Ein Verantwortlicher, ein System, ein Export. Das ist der Punkt, an dem Compliance und vertriebliche Produktivität zusammenfallen.

Wann der Do-it-yourself-Ansatz reicht

Wenn Sie eine Messe im Jahr mit zehn Kontakten machen, können ein Datenschutzhinweis per QR-Code und ein nach 18 Monaten gelöschtes Tabellenblatt ausreichen, diszipliniert gehandhabt. Das Problem skaliert, wenn die Kontakte in die Hunderte gehen, die Personen wechseln und die Events sich vervielfachen: Dann braucht es einen Prozess, nicht den guten Willen des einzelnen Vertrieblers.

Der nächste Schritt

Wenn Sie verstehen möchten, wie sich Compliance und Follow-up-Geschwindigkeit zusammenbringen lassen, buchen Sie eine Demo: Wir zeigen Ihnen den Ablauf Badge → CRM mit konsistenter Rechtsgrundlage, Tags und Aufbewahrung, auf EU-Infrastruktur.