Anfrage-Daten DSGVO-konform speichern: Was erlaubt ist und wie lange

Team BOTrento7. 11. 20267 Min. Lesezeit

Auf welcher Grundlage dürfen Sie Anfrage-Daten verarbeiten?

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Bei Anfragen sind im Vertriebsalltag vor allem zwei relevant:

• Vorvertragliche Maßnahmen: Jemand fragt ein Angebot an. Name, Kontaktdaten und Angaben zum Auftrag zu verarbeiten, ist nötig, um darauf zu antworten.
• Berechtigtes Interesse: Sie dürfen Daten behalten, um Ihr Angebot nachzuverfolgen oder Rückfragen später einzuordnen. Das gilt, sofern die Interessen der Person nicht überwiegen und Sie das Interesse nachvollziehbar abgewogen haben.

Dazu kommt die Informationspflicht: Betroffene müssen erfahren, wer Daten wofür verarbeitet. Das gelingt über eine Datenschutzerklärung, auf die Sie im Anfrageformular und in Ihrer ersten Antwort verweisen.

Bei Anfragen von Unternehmen sind Ansprechpartner trotzdem natürliche Personen. „B2B“ heißt also nicht „DSGVO gilt nicht“. In Österreich und der Schweiz gelten vergleichbare Grundsätze (Datenschutzgesetz bzw. revidiertes DSG); Details im Einzelfall klären Sie mit einer Fachperson.

Datenminimierung: Was gehört in die Anfrage-Erfassung?

Die Faustregel: Erfassen Sie, was Sie für Antwort und Angebot brauchen, nicht, was später „vielleicht nützlich“ wäre. Die folgende Übersicht hilft bei der Einordnung für eine Eventagentur, einen Technikverleih oder einen B2B-Dienstleister.

Gerade bei Events tauchen sensible Angaben schnell auf, etwa Allergien von Gästen in einer Freitextnachricht. Solche Details gehören nicht ungefiltert in jedes Tool. Besprechen Sie sie erst, wenn der Auftrag steht, und halten Sie sie getrennt.

Wann brauchen Sie eine Einwilligung?

Für die reine Bearbeitung einer Anfrage nicht. Eine Einwilligung wird relevant, wenn Sie die Daten für etwas anderes nutzen wollen als für die Anfrage selbst:

• Newsletter oder Werbemailings an Personen, die nur ein Angebot wollten
• Aufnahme in einen Verteiler für Aktionen oder Einladungen
• Weitergabe an Dritte, die nicht für die Leistung nötig sind
• Optionale Formularfelder, die für die Anfrage nicht erforderlich sind (z. B. Bewertung oder Interessen)

Wichtig: Eine Einwilligung muss freiwillig und getrennt einholbar sein. Ein vorangekreuztes Kästchen oder ein „Mit dem Absenden stimmen Sie allem zu“ genügt nicht. Wie weit Bestätigungen und Angebote ohne Einwilligung zulässig sind, erklärt unser Beitrag zu transaktionalen Mails im Vertrieb. Kaltakquise und Werbung unterliegen zusätzlich dem Wettbewerbsrecht, das je nach Land abweicht.

Löschfristen: Wie lange dürfen Sie Anfrage-Daten halten?

Eine einheitliche gesetzliche Frist für „Anfragen“ gibt es nicht. Entscheidend ist der Zweck: Sobald er entfällt, müssen Daten gelöscht oder eingeschränkt werden, es sei denn, eine Aufbewahrungspflicht greift. Praktisch hilft eine Unterscheidung in drei Fälle:

1. Anfrage ohne Auftrag

Wenn das Angebot abgelehnt wurde oder keine Antwort kam, ist der Zweck nach einer angemessenen Nachfasszeit erledigt. Legen Sie intern einen festen Zeitraum fest, nach dem solche Fälle gelöscht oder anonymisiert werden, und halten Sie ihn schriftlich fest. Welcher Zeitraum angemessen ist, hängt von Ihrem Geschäft ab: Ein Event mit langem Vorlauf braucht mehr Zeit als ein Mietauftrag für nächste Woche.

2. Anfrage mit Auftrag

Hier entstehen Verträge, Angebote und Rechnungen. Für Geschäftsbriefe und Buchungsbelege gelten gesetzliche Aufbewahrungspflichten, die in Deutschland, Österreich und der Schweiz unterschiedlich ausfallen. Fragen Sie Ihre Steuerberatung, welche Fristen für Ihre Unterlagen gelten, und prüfen Sie das auch für Daten in lexoffice, sevDesk oder DATEV.

3. Widerspruch oder Löschwunsch

Betroffene können Auskunft und Löschung verlangen. Dann müssen Sie wissen, wo die Daten liegen. Wer Anfragen in Postfach, Tabelle und CRM verteilt, tut sich damit schwer.

Schritt für Schritt: Anfrage-Erfassung aufräumen

1. Orte auflisten: Wo landen Anfragen? Outlook, Gmail, Formular, Telefonnotiz, Pipedrive oder HubSpot, Excel?
2. Ein führendes System festlegen: Ein Ort für den Anfragestatus, alle anderen nur als Eingang.
3. Felder reduzieren: Im Formular nur Pflichtfelder, die Sie wirklich brauchen. Alles andere als freiwillig kennzeichnen.
4. Datenschutzhinweis ergänzen: Link im Formular und in der ersten Antwort.
5. Löschregel definieren: Je Fall (ohne Auftrag, mit Auftrag) ein Zeitraum und eine verantwortliche Person.
6. Zugriff begrenzen: Nur Personen, die Anfragen bearbeiten, sehen die Daten.
7. Dienstleister prüfen: Mit Anbietern, die Daten in Ihrem Auftrag verarbeiten, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag.
8. Verzeichnis führen: Halten Sie die Verarbeitung in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest.

Ein kurzer Datenschutzhinweis in der ersten Antwort kann so aussehen:

Guten Tag Frau Muster,
vielen Dank für Ihre Anfrage. Wir verwenden Ihre Angaben ausschließlich, um Ihre Anfrage zu beantworten und Ihnen ein Angebot zu erstellen. Wenn kein Auftrag zustande kommt, löschen wir Ihre Daten nach unserer internen Löschfrist. Weitere Informationen finden Sie in unserer Datenschutzerklärung: [Link]. Bei Fragen oder Löschwünschen genügt eine kurze Nachricht an uns.
Freundliche Grüße
[Name]

Wie BOTrento mit Anfrage-Daten umgeht

BOTrento Chief of Staff ist ein gesteuerter Prozess für Anfragen, Angebote und Nachfassen. Es ersetzt weder Ihr CRM noch Ihre Buchhaltung. Es liest Anfragen in der Mail und in hochgeladenen Daten, zeigt jeden Arbeitstag morgens die Übersicht „Dnes 1+3“, bereitet Entwürfe für Antworten, Angebote und Nachfass-Mails vor und erinnert an Zusagen wie „Ich melde mich bis Freitag“. Nichts wird ohne Freigabe durch einen Menschen versendet.

Zum Datenschutz, bewusst ohne Übertreibung: Wir speichern Daten auf Servern in Deutschland (EU). Für einen Entwurf wird der dafür nötige Text über die API eines kommerziellen Anbieters verarbeitet, standardmäßig über unser Konto, optional über Ihren eigenen Anthropic-Schlüssel (Hilfe zu eigenen API-Schlüsseln). Kommerzielle API-Anbieter nutzen Daten nach eigener Angabe nicht zum Training. Ein EU-Server mit externem KI-Aufruf ist trotzdem keine geschlossene Verarbeitung; den Unterschied erklärt dieser Beitrag zu Speicherort und Modellaufruf. Anhänge liest BOTrento nicht, es arbeitet mit dem E-Mail-Text.

Die Testphase von 14 Tagen ist kostenlos, ohne Zahlungskarte und ohne eigenen API-Schlüssel. Die 14 Tage beginnen mit dem ersten erfolgreichen Datenupload; danach bleibt 30 Tage ein reiner Lese- und Exportzugang. Eine Checkliste speziell für KI-Tools finden Sie in der Antwort zur DSGVO-Konformität von KI-Vertriebstools. Weitere Einordnung bietet unsere Checkliste zu DSGVO und KI in der Geschäftskommunikation. Ob Ihr konkreter Einsatz zulässig ist, klären Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Anwalt.