Dürfen Sie an die auf der Messe gesammelten Visitenkarten Marketing senden? Ein DSGVO-Leitfaden zur Lead-Erfassung
Die Übergabe einer Visitenkarte ist keine Einwilligung in Ihren Newsletter. Ein praktischer DSGVO-Leitfaden zum Erheben, Speichern, Nutzen und Löschen von Messebesucherdaten — mit Checkliste für jede Phase.
Nach jeder Messe passiert in Marketingabteilungen überall dasselbe: Der Stapel Visitenkarten und gescannter Badges wandert direkt in die Newsletter-Liste. Hier die kurze Antwort vorab — eine Visitenkarte zu erhalten ist nicht dasselbe wie eine Marketing-Einwilligung zu erhalten. Eine Karte signalisiert „Sie dürfen mich zu dem kontaktieren, worüber wir gesprochen haben," nicht „nehmen Sie mich in jede Ihrer Kampagnen auf." Nach der DSGVO sind die Kontaktdaten auf einer Visitenkarte personenbezogene Daten, und jede Nutzung braucht eine Rechtsgrundlage. Dieser Leitfaden führt Aussteller und Veranstalter durch das, was das in der Praxis bedeutet — vom Moment der Lead-Erfassung am Stand bis zum Tag, an dem der Datensatz gelöscht wird.
Dieser Artikel ist eine allgemeine Information, kein Rechtsrat. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an eine Datenschutzfachkraft oder Ihre Aufsichtsbehörde.
Warum dürfen wir die überreichten Karten nicht einfach nutzen?
Eine Visitenkarte trägt Name, Arbeitgeber, Position, Telefonnummer und E-Mail-Adresse — alles personenbezogene Daten, auch im B2B-Kontext. Die Kernlogik der DSGVO ist geradlinig: Sie dürfen personenbezogene Daten nur für die benannten Zwecke, auf einer Rechtsgrundlage und mit Information der betroffenen Person verarbeiten.
Der Kontext zählt. Übergibt ein Besucher seine Karte während eines Standgesprächs, ist die berechtigte Erwartung ein Follow-up zu genau diesem Gespräch — das zugesagte Angebot, der vereinbarte Termin. Ein solches Follow-up kann sich oft auf das berechtigte Interesse stützen, sofern Sie die Abwägung sauber vorgenommen und dokumentiert haben. Wiederkehrende Marketing-E-Mails sind eine andere Sache. Die sicherere und weithin empfohlene Grundlage für Newsletter und Werbekampagnen ist die Einwilligung — freiwillig, spezifisch, informiert und dokumentiert. Und unabhängig von der gewählten Grundlage legen die Regeln zur elektronischen Direktwerbung in vielen Rechtsordnungen zusätzlich zur DSGVO eigene Opt-in- oder Opt-out-Anforderungen obendrauf.
Drei riskante Muster tauchen auf Messeflächen immer wieder auf:
- Eine Karte als Pauschal-Einwilligung behandeln. Eine Einwilligung nach DSGVO muss spezifisch und nachweisbar sein. Eine Karte im Goldfischglas belegt weder das eine noch das andere.
- Einwilligung einholen, aber nicht dokumentieren. Wenn ein Standmitarbeiter fragte „Dürfen wir Ihnen mailen?" und der Besucher Ja sagte, aber nichts festgehalten wurde — wer eingewilligt hat, wann, wozu —, können Sie es später nicht nachweisen. Eine undokumentierte Einwilligung ist faktisch keine Einwilligung.
- Lead-Listen für immer aufbewahren. Tabellen von Veranstaltungen vor drei Ausgaben liegen unbegrenzt in geteilten Laufwerken. Speicherbegrenzung ist ein Kernprinzip: Ist der Zweck erfüllt oder die Aufbewahrungsfrist abgelaufen, müssen die Daten weg.
Welche Prinzipien sollten für Messe-Lead-Daten gelten?
Sie müssen die Verordnung nicht auswendig lernen. Sie müssen fünf Gewohnheiten in Ihren Event-Workflow einbauen.
Erstens: Transparenz am Erhebungspunkt. Sagen Sie Besuchern, was Sie erheben (Kontaktdaten, Gesprächsnotizen), warum (Follow-up, Marketing — getrennt benannt) und wie lange Sie es aufbewahren. Ein kurzer Datenschutzhinweis am Stand oder auf dem Erfassungsformular erfüllt den Zweck. Wollen Sie eine Marketing-Einwilligung, fragen Sie explizit danach und getrennt vom Gesprächs-Follow-up — eine standardmäßig nicht angehakte Checkbox, mit einem Zeitstempel, der zusammen mit dem Datensatz gespeichert wird.
Zweitens: beim benannten Zweck bleiben. Ein Lead, der für „Follow-up zu Ihrer Anfrage" erfasst wurde, darf nicht stillschweigend in die globale Kampagnendatenbank überführt werden. Eine Zweckerweiterung erfordert eine erneute Einwilligung oder eine neue Rechtsgrundlage — und deren Dokumentation.
Drittens: eine Aufbewahrungsfrist festlegen und tatsächlich löschen. „Vielleicht brauchen wir es irgendwann" ist keine Aufbewahrungsrichtlinie. Definieren Sie, wie lange Event-Leads leben — etwa gekoppelt an Ihren Vertriebszyklus —, kommunizieren Sie das, und wenn die Frist abläuft, löschen Sie unwiderruflich: den CRM-Datensatz, die exportierten Tabellen und die gescannten Kartenbilder.
Viertens: Weitergabe an Dritte von Auftragsverarbeitung unterscheiden. Ihre Lead-Liste mit einem anderen Unternehmen zu teilen, das sie für eigene Zwecke nutzt, ist eine Weitergabe an Dritte und braucht eine eigene Grundlage und Transparenz. Ein SaaS-Tool zu nutzen, das Leads ausschließlich nach Ihren Weisungen verarbeitet, heißt einen Auftragsverarbeiter zu beauftragen — ein anderes Verhältnis mit anderen Pflichten, im Zentrum ein Auftragsverarbeitungsvertrag (AVV).
Fünftens: Ihre Auftragsverarbeiter managen. Jedes Tool, das Besucherdaten berührt — die Lead-Capture-App, die E-Mail-Plattform, der Cloud-Speicher —, ist ein Auftragsverarbeiter. Sie brauchen mit jedem einen AVV und sollten dessen Sicherheitsniveau prüfen: Zugriffskontrollen, Prüfprotokolle, Datenisolation. Verliert ein Auftragsverarbeiter Ihre Leads, bleibt die Verantwortung dennoch bei Ihnen.
Was sollten Sie in jeder Phase prüfen?
Hier der Lebenszyklus als Checkliste. Sie eignet sich gut als Tagesordnungspunkt für Ihr Planungsmeeting vor der Messe.
| Phase | Was zu prüfen ist |
|---|---|
| Bei der Erhebung | Datenschutzhinweis am Stand verfügbar / Marketing-Einwilligung getrennt vom Follow-up erfragt / Einwilligungsstatus und Zeitstempel pro Lead dokumentiert |
| Während der Speicherung | Zugriff auf Personen beschränkt, die ihn brauchen / Kartenbilder und Lead-Dateien in einem kontrollierten Speicher, nicht auf privaten Telefonen / ein Protokoll, wer wann worauf zugegriffen hat |
| Bei der Nutzung | Zweck und Rechtsgrundlage vor dem Versand geprüft / Marketing-E-Mails enthalten eine funktionierende Abmeldemöglichkeit / jede Weitergabe an Dritte durch eine eigene Grundlage gedeckt |
| Bei der Löschung | Aufbewahrungsfrist überprüft / Originale, Exporte und gescannte Bilder unwiderruflich gelöscht / die Löschung selbst dokumentiert |
Der am häufigsten übersehene Punkt ist die Dokumentation. Eine Einwilligung ohne Nachweis lässt sich nicht belegen; ein Zugriff ohne Protokoll lässt sich nicht erklären; eine Löschung ohne Dokumentation lässt sich nicht beweisen. Die Rechenschaftspflicht — das DSGVO-Prinzip, dass Sie die Einhaltung nachweisen können müssen, nicht nur erreichen — lebt von Aufzeichnungen.
Welche Verantwortung trägt der Veranstalter?
Wenn Sie die Veranstaltung betreiben statt eines Stands, muss Ihr Blick weiter sein. Der Veranstalter ist die Partei, die die gesamte Datenarchitektur der Messe gestalten und erklären kann: wer was erhebt, wo es liegt und wer es kontrolliert.
Drei Dinge gehören auf die Liste des Veranstalters. Die Rollen kartieren. Vorregistrierungsdaten, Badge-Scans und die Gesprächsaufzeichnungen, die Aussteller an ihren Ständen erfassen, können jeweils unterschiedliche Verantwortliche haben. Halten Sie schriftlich fest, wer wofür zuständig ist, damit es auf die Besucherfrage „Wohin gehen meine Daten?" eine Ein-Satz-Antwort gibt. Einen Mindeststandard für Aussteller setzen. Nehmen Sie datenschutzrechtliche Mindestanforderungen ins Ausstellerhandbuch auf — Datenschutzhinweis bereitstellen, Marketing-Einwilligung vom Follow-up trennen, nur das Nötige erheben. Das senkt das Risiko für die gesamte Veranstaltung, auch Ihres. Die Verträge richtig aufsetzen. Registrierungsplattformen und Lead-Capture-Tools sind Auftragsverarbeiter; schließen Sie AVVs mit ihnen und machen Sie die Eigentumsfrage im Vertragswerk explizit — auf der Veranstaltung erhobene Besucherdaten sollten den Ausstellern und dem Veranstalter gehören, nicht dem Anbieter.
Die Prinzipien einzuhalten erfordert Werkzeuge, die Aufzeichnungen führen
Blicken Sie auf die Checkliste zurück, und ein Thema wiederholt sich: der Nachweis. Nachweis der Einwilligung, Nachweis, wer auf einen Datensatz zugegriffen hat, Nachweis der Löschung. Visitenkartenordner und Excel-Tabellen erzeugen nichts davon.
TagBooth ist eine QR- und NFC-Tag-basierte SaaS zur Aufzeichnung von Messegesprächen, gebaut um genau dieses Nachweisproblem. Jede Gesprächsaufzeichnung trägt ein Einwilligungsstatus-Feld mit Zeitstempel, sodass die am Stand eingeholte Einwilligung als Datum erhalten bleibt. Visitenkartenbilder liegen in einem privaten Speicher — nie unter einer öffentlichen URL — und sind nur über zeitlich begrenzte Links einsehbar, die für verifizierte, autorisierte Anfragen ausgestellt werden. Die Daten sind zwischen den ausstellenden Unternehmen vollständig isoliert, und die Anmeldung läuft über E-Mail-Bestätigungscodes ohne Passwörter, die geleakt werden könnten. Das markanteste Merkmal: Jeder Datenzugriff wird in ein Audit-Log geschrieben, das täglich in einer Hash-Kette versiegelt und über OpenTimestamps in Bitcoin verankert wird — Sie können also nachweisen, wer wann welchen Datensatz eingesehen hat, in einer Form, die sich nachträglich nicht verändern lässt. Unternehmen erhalten eine Zugriffshistorien-Ansicht, den Fernentzug von Sitzungen bei verlorenen Telefonen und einen AVV: Das Dateneigentum bleibt bei den Ausstellern und dem Veranstalter, während TagBooth strikt als Auftragsverarbeiter agiert. Um es klar zu sagen: Kein Werkzeug erfüllt Ihre rechtlichen Pflichten für Sie — aber das richtige Werkzeug erzeugt die Aufzeichnungen, von denen die Erfüllung dieser Pflichten abhängt. Sie können es ohne Installation auf der Demo-Seite ausprobieren; der komplette Workflow ist unter So funktioniert's erklärt.
FAQ
Ist eine am Stand überreichte Visitenkarte eine gültige Marketing-Einwilligung?
Nein. Der Kartentausch ist vernünftigerweise als Einladung zu verstehen, das Gespräch weiterzuverfolgen — nicht als spezifische, informierte Einwilligung in Marketingkampagnen. Holen Sie für Newsletter und Werbung eine ausdrückliche Einwilligung ein — getrennt erfragt, eindeutig und mit Zeitstempel dokumentiert.
Können wir uns bei Messe-Leads statt auf Einwilligung auf das berechtigte Interesse stützen?
Das berechtigte Interesse kann in manchen Situationen ein relevantes B2B-Follow-up tragen, erfordert aber eine dokumentierte Interessenabwägung — und die Regeln zur elektronischen Direktwerbung verlangen unabhängig von Ihrer DSGVO-Grundlage oft eine Opt-in-Einwilligung. Viele Organisationen nutzen für laufendes Marketing gerade deshalb die Einwilligung, weil sie sauberer nachweisbar ist. Im Zweifel: fragen — eine Checkbox am Stand kostet nichts.
Wie lange dürfen wir die gesammelten Leads aufbewahren?
Die DSGVO nennt keine feste Zahl; sie verlangt, dass die Aufbewahrung zum benannten Zweck passt. Definieren Sie eine Frist, die an Ihr Follow-up und Ihren Vertriebszyklus gekoppelt ist, kommunizieren Sie sie in Ihrem Datenschutzhinweis, und wenn sie abläuft, löschen Sie jede Kopie — einschließlich Exporten und gescannten Kartenbildern — und dokumentieren Sie die Löschung.
Zählt die Nutzung einer Lead-Capture-SaaS als Datenweitergabe an Dritte?
In der Regel nein — eine SaaS, die Leads nur nach Ihren Weisungen verarbeitet, ist ein Auftragsverarbeiter, kein Drittempfänger, sodass keine gesonderte Weitergabe-Einwilligung nötig ist. Nötig sind ein Auftragsverarbeitungsvertrag und Sorgfaltsprüfung: Bestätigen Sie, dass der Anbieter Zugriffskontrollen, Audit-Logging und Isolation zwischen Kunden bietet, bevor Sie ihm Besucherdaten anvertrauen.