Empfehlungsmarketing und DSGVO: was beim Empfehlungsprogramm erlaubt ist

Erlaubt ist Empfehlungsmarketing dann, wenn der empfohlene Kontakt selbst entscheidet, ob er sich meldet. Kritisch wird es, sobald dein Empfehler dir fremde Kontaktdaten weitergibt und du diese Person ungefragt anrufst oder anschreibst – dafür fehlt dir in aller Regel jede Rechtsgrundlage. Der saubere Weg ist deshalb der umgekehrte: Dein Empfehler teilt einen Link, und der Kontakt kommt von sich aus auf dich zu.

Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung. Für den konkreten Einzelfall frag deinen Datenschutzbeauftragten oder einen Fachanwalt.

Der Unterschied, auf den es ankommt: Link statt Liste

Die klassische Empfehlung lief so: Der Kunde gibt dir die Handynummer seines Schwagers, du rufst an. Datenschutzrechtlich ist das die unangenehmste aller Varianten. Du verarbeitest personenbezogene Daten einer Person, die davon nichts weiß, zu Werbezwecken – und die Einwilligung, auf die du dich berufen würdest, hat dir jemand anderes gegeben. Das kann sie nicht.

Bei einem Empfehlungslink dreht sich die Richtung um. Dein Empfehler teilt eine Seite, der Interessent klickt selbst, liest selbst und trägt selbst seine Daten ein, wenn er will. Damit liegt eine eigene Handlung der betroffenen Person vor – und alles Weitere läuft über deine Datenschutzerklärung, die auf der Seite verlinkt ist. Aus einem Datenschutzproblem wird ein normaler Website-Kontakt.

Die vier Punkte, die du geregelt haben solltest

1. Transparenz auf der Empfehlungsseite. Impressum und Datenschutzerklärung müssen erreichbar sein, und zwar von jeder Seite aus. Wer Daten eingibt, muss vorher sehen können, wer sie erhält und wozu.

2. Zweckbindung bei den Daten deiner Empfehler. Wer bei dir Empfehler wird, hinterlässt Name und Kontaktdaten, damit er seine Prämie bekommt. Diese Daten sind für die Abwicklung des Programms da – nicht automatisch für den Newsletter. Für Werbung brauchst du eine eigene Einwilligung.

3. Auftragsverarbeitung mit deinem Anbieter. Wenn eine Software Kundendaten in deinem Auftrag speichert, brauchst du einen Auftragsverarbeitungsvertrag (AVV). Frag beim Anbieter danach – und frag im selben Atemzug, wo die Daten liegen. EmpfehlerWerk hostet in Deutschland und setzt ausschließlich technisch notwendige Cookies; das erspart dir die Diskussion über Drittlandtransfers.

4. Löschfristen. Ein Empfehler, der seit zwei Jahren nicht mehr aktiv ist, muss nicht ewig in deinem System stehen. Leg fest, wann Daten gelöscht werden, und halte dich daran.

Was in der Praxis am häufigsten schiefgeht

• Die Liste per WhatsApp. „Schick mir doch mal fünf Namen" ist gut gemeint und rechtlich der schlechteste Weg. Bitte stattdessen darum, den Link weiterzugeben.
• Kaltakquise mit Empfehlungs-Anstrich. „Ihr Kollege Herr M. meinte, ich soll mich melden" ist ein Werbeanruf. Bei Verbrauchern ist er ohne vorherige Einwilligung unzulässig – die Empfehlung ändert daran nichts.
• Prämien ohne Dokumentation. Wer wofür wann eine Prämie bekommen hat, solltest du nachvollziehen können – steuerlich wie datenschutzrechtlich.
• Der vergessene AVV. Fällt niemandem auf, bis es jemandem auffällt.

Steuerlich: die Prämie ist nicht nichts

Eine ausgezahlte Empfehlungsprämie ist für dich eine Betriebsausgabe und beim Empfänger je nach Konstellation steuerlich relevant – besonders, wenn es regelmäßig passiert oder größere Beträge zusammenkommen. Das ist kein Grund, es zu lassen, aber ein Grund, es mit deinem Steuerberater einmal durchzusprechen, bevor du das Programm startest. Fünf Minuten Gespräch am Anfang sind angenehmer als eine Nachfrage im Nachhinein.

Die kurze Fassung

Wenn dein Empfehlungsprogramm über einen geteilten Link läuft, der Interessent selbst aktiv wird, deine Datenschutzerklärung erreichbar ist und du mit deinem Anbieter einen AVV hast, bewegst du dich auf sicherem Boden. Wenn du fremde Kontaktdaten sammelst und ungefragt anrufst, hilft dir kein Tool der Welt.