Sind Lead-Daten Dritter mit der KVKK vereinbar? Risiken gekaufter Kundenlisten

Aktualisiert: 3. September 2026 · Kategorie: Werbung, Targeting und CRM-Compliance

Sind Lead-Daten Dritter mit der KVKK vereinbar? Risiken gekaufter Kundenlisten

Bei gekauften Lead-Listen ist nicht allein entscheidend, ob Daten vorhanden sind, sondern auf welcher Rechtsgrundlage sie erhoben wurden, für welche Zwecke sie übermittelt werden dürfen, was die Datenschutzhinweise sagen und ob ihre Nutzung den Regeln für kommerzielle elektronische Nachrichten entspricht.

Inhaltsverzeichnis

Kurzantwort
Warum spielt das eine Rolle?
Was sollten Unternehmen tun?
Wie sollte gemessen werden?
Quellen
Häufig gestellte Fragen

Kurzantwort

Die Lieferung einer gekauften oder von Dritten stammenden Lead-Liste bedeutet nicht automatisch, dass die enthaltenen personenbezogenen Daten KVKK-konform genutzt werden dürfen. Das empfangende Unternehmen muss die Rechtsgrundlage für seinen eigenen Verarbeitungszweck, die Datenquelle, die Übermittlungskette und die Informationspflichten gegenüber den Betroffenen gesondert prüfen. Bei Marketing per SMS, E-Mail oder Anruf sind außerdem die Regeln für kommerzielle elektronische Nachrichten und der İYS-Status separat zu prüfen.

Warum ist das wichtig?

Der häufigste Fehler beim Lead-Kauf ist, die Erklärung des Lieferanten „KVKK-konform“ als ausreichenden Nachweis anzusehen. Ob ein Datensatz kommerziell gekauft werden kann und ob der neue Verantwortliche seine personenbezogenen Daten zu einem bestimmten Marketingzweck verarbeiten darf, sind unterschiedliche Rechtsfragen.

Prüfen Sie zunächst Erhebungsmethode und ursprünglichen Zweck, eine gültige Rechtsgrundlage der Übermittlung und die Vereinbarkeit der eigenen Nutzung mit dieser Kette. Der Lieferantenvertrag gehört zur Prüfung, schafft aber für sich allein keine Rechtsgrundlage der Verarbeitung.

Was zeigt die Entscheidung 2026/1183?

Die KVKK-Entscheidung 2026/1183 vom 10. Juni 2026 betrifft nicht unmittelbar eine bei einem Datenbroker gekaufte Kundenliste. Untersucht wurde ein Unternehmen für Sparfinanzierung, das im Rahmen eines „Markenbotschafter“-Programms von seinen Kunden Telefonnummern Dritter erhielt und diese Personen zu Marketingzwecken kontaktierte.

Der Datenschutzrat erkannte die Fortsetzung des Werbegesprächs nicht als wirksame ausdrückliche Einwilligung an, nachdem die Telefonnummer der betroffenen Person durch einen Dritten an das Unternehmen übermittelt worden war. Er betonte, dass die Einwilligung spezifisch, informiert und freiwillig sein muss. Wegen der Verarbeitung ohne gültige Rechtsgrundlage verhängte er gegen den Verantwortlichen ein Bußgeld von 1.000.000 TRY.

Für gekaufte Lead-Listen ist dies wichtig: Die Weitergabe einer Nummer an Dritte, das Annehmen eines Anrufs, das Anhören einer Kampagne oder die Behauptung des Lieferanten, eine Erlaubnis liege vor, schafft allein keine gültige Rechtsgrundlage für die Verarbeitung durch das empfangende Unternehmen.

KVKK-Erlaubnis und Einwilligung in Werbenachrichten sind verschieden

Die Verarbeitung einer Telefonnummer nach der KVKK und ihre Nutzung für Marketing-SMS, E-Mails oder kommerzielle Anrufe bilden getrennte Kontrollebenen. Eine Rechtsgrundlage der Datenverarbeitung hebt die Einwilligungserfordernisse für kommerzielle elektronische Nachrichten nicht automatisch auf.

Auch ein in İYS als genehmigt geführter Kommunikationskanal beantwortet allein nicht alle Fragen zur ursprünglichen Datenquelle und zur Rechtsgrundlage nach der KVKK. CRM- und İYS-Datensätze sind gemeinsam, aber für getrennte rechtliche Zwecke zu bewerten.

Was sollten Unternehmen tun? 10 Schritte zur Annahme von Leads Dritter

Identifizieren Sie das Herkunftsunternehmen. Erfassen Sie die natürliche oder juristische Person, die die Liste sendet, und ihre Rolle in der Datenkette.
Erfragen Sie die Erhebungsmethode. Dokumentieren Sie, ob die Daten über Webformular, Veranstaltung, Empfehlung, Kampagne, Datenbroker oder einen anderen Prozess erhoben wurden.
Ermitteln Sie den ursprünglichen Erhebungszweck. Bestimmen Sie, für welchen Dienst oder Zweck die Daten ursprünglich erhoben wurden.
Prüfen Sie die Übermittlungsgrundlage. Prüfen Sie, auf welche Rechtsgrundlage die Übermittlung an ein anderes Unternehmen zu Marketingzwecken gestützt wird.
Bestimmen Sie Ihre eigene Verarbeitungsgrundlage. Bewerten Sie die Tätigkeit des Empfängers gesondert, statt die Rechtsgrundlage des Lieferanten zu übernehmen.
Planen Sie den Zeitpunkt der Datenschutzinformation. Wenn die Daten nicht direkt bei der betroffenen Person erhoben wurden, integrieren Sie die geltenden Regeln für die indirekte Erhebung in den Prozess.
Prüfen Sie den Status kommerzieller Nachrichten. Prüfen Sie İYS sowie Einwilligungs- und Widerspruchsstatus für SMS, E-Mail und Telefon.
Führen Sie einen Abgleich mit Sperrlisten durch. Schließen Sie vor dem Import Personen aus, die bereits widersprochen haben oder auf der internen Kontaktsperrliste stehen.
Übernehmen Sie nur die erforderlichen Daten. Importieren Sie Alter, Adresse, Beruf oder andere unnötige Felder nicht allein deshalb ins CRM, weil sie „auf der Liste“ stehen.
Stellen Sie die Liste bei fehlenden Nachweisen unter Quarantäne. Geben Sie die Liste erst nach Prüfung der Quelle und des Nutzungsrechts für Vertrieb oder Kampagnensystem frei.

Welche Nachweise sollte die Lieferantenprüfung verlangen?

Verlangen Sie statt einer bloßen Zusicherung „KVKK-konform“ ein Beispiel der Erhebungsoberfläche oder des Prozesses, die verwendete Datenschutzhinweis-Version, gegebenenfalls den Einwilligungstext, Übermittlungsumfang, Erhebungsdatum und den Umgang mit Widerspruchsvermerken. Die Dokumente müssen nicht für jeden Datensatz gleich sein; bei gemischten Quellen können sie je Herkunftscharge geführt werden.

Vertragliche Garantien zur Datenherkunft, Meldepflichten bei rechtswidriger Datenlieferung, Lösch- und Rückrufverfahren sowie Prüfrechte bieten operative Sicherheit. Ein Vertrag macht einen tatsächlich rechtswidrig erhobenen Datensatz jedoch nicht rechtmäßig.

Eine Matrix für Listenannahme und -ablehnung erstellen

Statt Lead-Dateien nur als „angenommen“ oder „abgelehnt“ zu führen, können sie nach niedrigem, mittlerem oder hohem Risiko klassifiziert werden. Ein Datensatz mit vollständigen Herkunftsnachweisen und begrenztem Zweck kann kontrolliert aufgenommen werden; alte Dateien mit unklarer Herkunft, übermäßigen Feldern oder fehlenden Erlaubnisnachweisen können unter Quarantäne gestellt werden.

Vorgeschlagenes Messmodell für B10

Kontrollbereich	KPI	Risikosignal
Quelle	Anteil der Leads mit verifizierter Herkunft	Datensatz mit unbekannter Herkunft
Beweise	Anteil der Chargen mit vollständigen Nachweisen	Undokumentierter Datensatz
Rechtsgrundlage	Abdeckung der Rechtsgrundlagenprüfung	Pauschales Etikett „KVKK erlaubt“
İYS	Überprüfung der Kanal-Zustimmung	Nicht von der Einwilligung gedeckte Kampagne
Widerspruch	Trefferquote beim Sperrlistenabgleich	Kontakt zu einer Person trotz Widerspruch
Alter	Anteil veralteter Leads	Alte Liste mit unklarer Aktualität
Lieferant	Bewertung der Lieferantennachweise	Ein-Satz-Zusicherung zur Konformität

Dieses Modell misst die Verifizierbarkeit des Datennutzungsrechts statt der Listengröße. Eine große Liste mit geringer Nachweisabdeckung kann ein Compliance-Risiko erzeugen, das ihren kommerziellen Wert übersteigt.

Sachverständigenbewertung

Die Kernfrage bei Leads Dritter sollte lauten: „In welcher Phase der Verarbeitungskette wurde die Person über welchen Zweck informiert, und auf welcher Rechtsgrundlage verarbeitet das Unternehmen heute die Daten?“ und nicht nur „Wer hat die Daten verkauft?“.

Besonders bei Empfehlungsprogrammen erlaubt die Empfehlung durch Freunde oder bestehende Kunden nicht automatisch, die betroffene Person zu Marketingzwecken zu kontaktieren. Die Entscheidung 2026/1183 zeigt diese Unterscheidung anhand eines aktuellen konkreten Beispiels.

Die sicherste Architektur für gekaufte Listen nimmt die Datei zunächst in einen Compliance-Staging-Bereich auf. Erst nach Prüfung von Herkunft, Nachweisen, Rechtsgrundlage und Kommunikationseinwilligungen gelangen geeignete Datensätze in den aktiven Vertriebspool, statt die Datei direkt ins CRM zu importieren.

Digitale Risiko- und Compliance-Analyse

B10 kann mit einem Third-Party Lead Risk Audit Dateien nach Herkunft, Erhebungsmethode, Übermittlungskette, Rechtsgrundlage, İYS-/Einwilligungsstatus und Sperrlistenvermerken bewerten und risikoreiche Chargen vor der Weitergabe an den Vertrieb aussortieren.

Verwandte Inhalte

Offizielle und primäre Quellen

Häufig gestellte Fragen Warum ist das jetzt wichtig?

Was sollten Unternehmen zuerst überprüfen?

Erfassen Sie die bestehenden Praktiken und Daten- bzw. Geschäftsabläufe.

Reicht eine einmalige Prüfung aus?

Nein. Die Zusicherung des Lieferanten, die Liste sei „KVKK-konform“, entbindet das empfangende Unternehmen nicht davon, die Rechtsgrundlage seines eigenen Marketings und die Anforderungen an kommerzielle Nachrichten gesondert zu prüfen.

Was kann B10 dazu beitragen?

B10 kann Lead-Herkunft, Erhebungs- und Übermittlungsnachweise, İYS-/Einwilligungsstatus und CRM-Nutzung je Charge abgleichen und riskante Datensätze vor dem Einsatz in Vertrieb oder Kampagnen sichtbar machen.