DSGVO-konforme Marktforschung im B2B-Mittelstand: Geht das überhaupt?
Die Frage kommt in jedem zweiten Akquisegespräch: Darf man im B2B-Bereich überhaupt noch Marktforschung betreiben? Die Antwort ist ja – unter klaren Bedingungen. Die DSGVO und das BDSG-neu verbieten Marktforschung nicht. Sie definieren die Rechtsgrundlagen, die Dokumentationspflichten und die Rechte der Betroffenen. Art. 6 DSGVO nennt die möglichen Rechtsgrundlagen: Einwilligung (lit. a), Vertragserfüllung (lit. b), rechtliche Verpflichtung (lit. c), berechtigtes Interesse (lit. f). Für die B2B-Marktforschung ist lit. f der relevanteste Hebel.
Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO greift, wenn der Verantwortliche ein legitimes Interesse an der Erhebung hat und die Interessen der betroffenen Person nicht überwiegen. Für die Marktforschung bei Geschäftskunden ist das in der Regel gegeben – sofern der Proband keine durchgreifenden Einwände hat. Der Haken: Die Interessenabwägung muss dokumentiert sein. Eine standardisierte Vorlage für die Abwägung ist Teil jedes ordentlichen Prozesses. Ohne diese Dokumentation steht die Rechtsgrundlage auf tönernen Füßen.
Erhöhte Anforderungen gelten für die Einwilligung nach Art. 7 DSGVO. Sie muss freiwillig, informiert, spezifisch und unmissverständlich sein – und jederzeit widerrufen werden können. Bei B2C-Panels ist die Einwilligung der Standard. Bei B2B-Befragungen kann auch lit. f ausreichen, wenn die Befragung im unternehmerischen Kontext stattfindet und die berufliche E-Mail-Adresse verwendet wird. Der ESOMAR International Code und die ADM-Richtlinien verlangen zusätzlich die Trennung von Forschung und Verkaufsansprache. Der Proband muss zu Beginn erfahren: Dies ist eine Marktforschungsstudie, kein Verkaufsgespräch.
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist Pflicht. Jede Erhebung muss dort dokumentiert sein: Zweck, Rechtsgrundlage, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Übermittlungen an Dritte, Löschfristen. Diese Dokumentation ist die erste Frage jedes externen Datenschutzbeauftragten oder der Aufsichtsbehörde. Fehlt sie, drohen Bußgelder nach Art. 83 DSGVO – bis zu 20 Mio. Euro oder 4 Prozent des Jahresumsatzes.
Praktische Hürde: Auftragsverarbeitungsvertrag (AVV) mit dem Panel-Anbieter. Wer ein Panel beauftragt, muss nach Art. 28 DSGVO einen AVV abschließen. Der Panel-Anbieter ist Auftragsverarbeiter, kein Verantwortlicher. Der AVV regelt: Weisungsbefugnis, Vertraulichkeit, Unterstützung bei Betroffenenrechten, Löschung nach Auftragsende. Mittelständische Panel-Anbieter haben oft keinen rechtskonformen AVV. Prüfen Sie vor Beauftragung. GoKanB stellt sicher, dass jeder Panel-Partner einen geprüften AVV vorlegt und dokumentiert.
Echte Schwierigkeit im B2B-Mittelstand: die Datenschutz-Folgenabschätzung (DSFA). Nach Art. 35 DSGVO ist eine DSFA erforderlich, wenn die Verarbeitung ein hohes Risiko für die Rechte natürlicher Personen zur Folge hat. Bei einem B2B-Panel zu Kundenzufriedenheit ist das Risiko in der Regel gering – die DSFA entfällt. Bei einer Studie mit sensiblen Daten (Gesundheitsdaten von Mitarbeitern, Betriebsratsdaten) ist die DSFA Pflicht. Der häufigste Fehler: Rechtsscheu führt zu übermäßiger Anonymisierung. Daten werden so stark aggregiert, dass keine verwertbaren Insights übrig bleiben. Die Balance ist: Daten so weit anonymisieren wie nötig, aber so granular lassen wie möglich – unter dokumentierter Abwägung.
Das UWG (Gesetz gegen unlauteren Wettbewerb) setzt weitere Grenzen. § 4 UWG verbietet die Beeinträchtigung der Entscheidungsfreiheit durch Täuschung. Für die Marktforschung: Sie dürfen sich nicht als Kunde ausgeben, um Wettbewerbsinformationen zu erheben. Mystery Research ist erlaubt, solange Sie keine Geschäftsschädigung betreiben und die Identität des Auftraggebers nicht verschleiern, sobald der Proband dies verlangt. § 5 UWG regelt die Irreführung – auch hier: Klare Kommunikation des Forschungszwecks.
Ein konkretes DSGVO-konformes Forschungsprojekt im B2B-Bereich läuft bei GoKanB so ab: Definition der Rechtsgrundlage (berechtigtes Interesse oder Einwilligung), Eintrag im Verarbeitungsverzeichnis nach Art. 30, Abschluss AVV mit Panel-Anbieter, Erstellung der Datenschutzerklärung für Probanden, Dokumentation der Interessenabwägung, Durchführung mit dokumentiertem Widerspruchsrecht, Löschung personenbezogener Daten nach Projektende (Frist: 3 Monate, es sei denn, gesetzliche Aufbewahrungspflichten greifen). Marktforschung ist kein rechtsfreier Raum. Aber sie ist auch nicht unmöglich. Der ADM-Richtlinien-Katalog bietet eine praxistaugliche Orientierung. Lassen Sie sich von Datenschutzbedenken nicht lähmen – aber holen Sie sich die Prozessarchitektur vorher.