Kurze Antwort
KI-gestütztes Lead-Scoring gilt rechtlich fast immer als Profiling nach Art. 4 Nr. 4 DSGVO, bleibt aber in der Regel zulässig, wenn eine tragfähige Rechtsgrundlage (meist berechtigtes Interesse oder Einwilligung), die Informationspflichten nach Art. 13/14 DSGVO und saubere Datenquellen eingehalten werden. Die automatisierte Entscheidungsfindung nach Art. 22 DSGVO greift bei reiner Kontaktpriorisierung meist nicht, weil das Scoring keine rechtliche oder ähnlich erhebliche Wirkung entfaltet; ein bloß formales Abzeichnen durch einen Menschen ändert daran nichts. Kaltakquise per Telefon oder E-Mail unterliegt zusätzlich dem UWG: Ohne die jeweils passende Einwilligung (bei E-Mail allenfalls das eng gefasste Bestandskundenprivileg) drohen Abmahnungen, unabhängig davon, wie gut das KI-Scoring arbeitet.
Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.
Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.
Praxisregel-Box ✅ Lead-Scoring mit nachvollziehbarer Logik, dokumentierter Interessenabwägung und erfüllter Informationspflicht ✅ E-Mail-Werbung an Bestandskunden nur, wenn alle vier Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind (Adresse beim Verkauf erhalten, eigene ähnliche Angebote, kein Widerspruch, klarer Widerspruchshinweis bei Erhebung und bei jeder Verwendung) ✅ Telefonwerbung: gegenüber Verbrauchern nur mit vorheriger ausdrücklicher Einwilligung, gegenüber sonstigen Marktteilnehmern zumindest mit mutmaßlicher Einwilligung (§ 7 Abs. 2 Nr. 1 UWG) ⚠️ Zukauf von Intent- oder Kontaktdaten bei Drittanbietern: Rolle des Anbieters klären (AVV, Vereinbarung nach Art. 26 DSGVO oder eigenständiger Verantwortlicher), Datenherkunft und Informationspflicht gegenüber Betroffenen prüfen ⚠️ Kaltakquise per Telefon/E-Mail an Privatpersonen ohne Einwilligung: Abmahnrisiko nach § 7 UWG ⚠️ Scoring-Ergebnis fließt automatisiert in eine Ablehnungs- oder Vertragsentscheidung ohne menschliche Prüfung: automatisierte Entscheidungsfindung nach Art. 22 DSGVO prüfen
Zeitersparnis durch KI im Vertriebsalltag (Rechenbeispiel)
Tabelle seitlich scrollen →
| Aufgabe | Manuell | Mit KI | Einsparung |
|---|---|---|---|
| Lead-Priorisierung aus CRM-Daten | 2-3 Std./Woche | 15-30 Min./Woche | ca. 80-90 % |
| Cold-Email-Sequenzen aufsetzen | 3-4 Std./Kampagne | 30-45 Min./Kampagne | ca. 70-80 % |
| Anrufprotokolle nachbearbeiten | 1 Std./Tag | 10-15 Min./Tag | ca. 75-85 % |
Rechenbeispiel mit angenommenen Zeiten, keine gemessenen Werte. Tatsächliche Zeiten hängen von Teamgröße und Datenqualität ab.
Relevante Vertriebstools im Überblick
Tabelle seitlich scrollen →
| Tool | Eignet sich vor allem für | DSGVO-Score | Preis ab |
|---|---|---|---|
| Instantly | Kaltakquise per E-Mail-Sequenzen (Cold-Email-Outreach) | 7,0/10 | 47 $/Monat |
| HubSpot | All-in-One-CRM mit Lead-Scoring für wachsende Vertriebsteams | 7,0/10 | 20 €/Nutzer/Monat |
| Aircall | Cloud-Telefonie und Anrufdokumentation für telefonstarke Teams | 6,5/10 | 40 €/Nutzer/Monat |
| Close | Schlankes CRM mit integriertem Calling für kleine, schnelle Teams | 6,5/10 | 9 $/Nutzer/Monat |
Warum diese Tools?
Wer Kaltakquise per E-Mail noch händisch aus Excel-Listen versendet, verliert Zeit und tappt schnell ins UWG-Risiko, weil Nachfass-Mails ohne Opt-out-Hinweis oder Bestandskundenbezug schnell zu unzulässiger Werbung werden. Instantly automatisiert Sequenzen und Postfach-Rotation für E-Mail-Outreach, kostet ab 47 $/Monat (Stand: 2026-09) und erreicht in unserer Methodik einen DSGVO-Score von 7,0/10. Instantly ist ein US-Unternehmen; bei diesem Drittlandtransfer lohnt sich vor dem Einsatz ein Blick in die aktuelle Datenschutzerklärung, etwa ob eine Teilnahme am EU-US Data Privacy Framework oder Standardvertragsklauseln als Grundlage dokumentiert sind.
Wer Leads aus Formularen, Newsletter-Anmeldungen und Website-Besuchen manuell priorisiert, verpasst oft die heißesten Kontakte, weil Scoring-Regeln im Kopf oder in Excel nicht skalieren. HubSpot bündelt CRM, Marketing-Automatisierung und ein KI-gestütztes Lead-Scoring, kostet ab 20 €/Nutzer/Monat (Stand: 2026-09) und erreicht in unserer Methodik einen DSGVO-Score von 7,0/10. Dabei lassen sich personenbezogene Daten je Verarbeitungszweck granular konfigurieren, wichtig bleibt trotzdem eine eigene Dokumentation der Scoring-Logik für die Informationspflichten nach Art. 13/14 DSGVO.
Vertriebsteams, die viel telefonisch nachfassen, kennen das Problem: Ohne Anrufprotokoll und Score-Kontext wirkt jeder Kaltanruf wie der erste Kontakt. Aircall verbindet Cloud-Telefonie mit CRM-Integration und automatischer Gesprächsdokumentation, kostet ab 40 €/Nutzer/Monat (Stand: 2026-09) und liegt in unserer Methodik bei einem DSGVO-Score von 6,5/10. Für viel Outbound-Telefonie ist das ein Werkzeug für die operative Seite, die rechtliche Einordnung der jeweiligen Anruf-Einwilligung bleibt davon unabhängig und muss individuell geprüft werden.
Kleine Vertriebsteams ohne eigene Admin-Ressource kennen das Dilemma: Große CRM-Suiten sind überdimensioniert, eine Exceltabelle reicht aber nicht mehr für systematisches Lead-Scoring. Close kombiniert ein schlankes CRM mit integriertem Calling und Scoring-Funktionen, kostet ab 9 $/Nutzer/Monat (Stand: 2026-09) und erreicht in unserer Methodik einen DSGVO-Score von 6,5/10. Auch Close ist ein US-Unternehmen, der oben verlinkte Hinweis zum Drittlandtransfer gilt sinngemäß.
Was andere Tools problematisch macht
Besonders bei Drittanbietern für Intent- oder Kontaktdaten (etwa Anreicherungsdienste, die E-Mail-Adressen und Firmenprofile aus öffentlichen Quellen zusammenführen) entsteht ein erheblicher zusätzlicher Prüfaufwand: Zuerst ist die Rolle des Anbieters zu klären: Bei einer Auftragsverarbeitung braucht es einen AVV nach Art. 28 DSGVO, bei gemeinsamer Verantwortlichkeit eine Vereinbarung nach Art. 26 DSGVO. Verkauft ein Anbieter Kontaktdaten als eigenständiger Verantwortlicher, liegt gar keine Auftragsverarbeitung vor; dann zählen die Herkunft der Daten, die Befugnis zur Übermittlung und eine eigene Rechtsgrundlage. Zusätzlich ist zu prüfen, ob die Informationspflicht nach Art. 14 DSGVO gegenüber den betroffenen Personen erfüllt wird, deren Daten ohne deren Wissen in eine Datenbank gelangt sein können. Wer solche Datenquellen einkauft, bleibt für die eigene Verarbeitung verantwortlich, auch wenn die Herkunft der Daten nicht dokumentiert ist. Reines Crawling öffentlich zugänglicher Profile (etwa Firmenwebseiten oder Business-Netzwerke) ist dagegen grundsätzlich über Art. 6 Abs. 1 lit. f DSGVO denkbar, erfordert aber eine dokumentierte Interessenabwägung statt einer pauschalen Annahme der Zulässigkeit.
Darf ich KI für Lead-Scoring und Kaltakquise nutzen?
Ja, mit Einschränkungen. Lead-Scoring ist Profiling, löst aber in aller Regel keine automatisierte Entscheidungsfindung nach Art. 22 DSGVO aus, wenn es nur der Priorisierung von Kontakten dient und keine rechtliche oder ähnlich erhebliche Wirkung entfaltet. Kritisch wird es, wenn das Scoring-Ergebnis ohne echte menschliche Prüfung direkt zu einer Ablehnung oder einem ähnlich erheblichen Nachteil führt, etwa bei automatisierter Zugangsverweigerung zu einem Angebot. Parallel gilt das UWG, getrennt nach Kanal: Telefonwerbung gegenüber Verbrauchern braucht eine vorherige ausdrückliche Einwilligung, gegenüber sonstigen Marktteilnehmern reicht nach § 7 Abs. 2 Nr. 1 UWG zumindest eine mutmaßliche Einwilligung. E-Mail-Werbung erfordert nach § 7 Abs. 2 Nr. 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Das Bestandskundenprivileg nach § 7 Abs. 3 UWG gilt nur, wenn alle vier Voraussetzungen zusammen erfüllt sind: Die Adresse stammt aus einem Verkauf, die Werbung betrifft eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen und wurde bei der Erhebung und bei jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen. Für Telefonwerbung gibt es dieses Privileg nicht.
Kurz gesagt: Wenn du Lead-Daten automatisiert bewertest und anschließend aktiv Kontakt aufnimmst, brauchst du fast immer: eine dokumentierte Rechtsgrundlage für das Scoring, je Anbieter das zur Rolle passende Vertragsinstrument (AVV, Vereinbarung nach Art. 26 DSGVO oder Prüfung der Datenherkunft), einen Opt-out-Hinweis in jeder Werbe-Mail und eine begründete Einschätzung, ob Art. 22 DSGVO greift.
Wann wird eine Datenschutzfolgenabschätzung Pflicht?
Eine DSFA nach Art. 35 DSGVO wird relevant, wenn mindestens zwei der von der DSK und EDPB genannten Risikokriterien zusammenkommen, etwa umfangreiches Profiling, systematische Überwachung öffentlich zugänglicher Bereiche oder die Verarbeitung von Daten in großem Umfang aus mehreren Drittquellen. Für ein kleines Vertriebsteam, das nur CRM-eigene Formulardaten scort, ist das selten der Fall. Sobald aber zugekaufte Intent-Daten, umfangreiches Website-Tracking und automatisierte Score-Updates zusammenkommen, kippt die Einschätzung schnell in Richtung DSFA-Pflicht, insbesondere wenn die Scoring-Logik über reine Kontaktdaten hinausgeht und Verhaltensprofile über Zeit aufbaut.
Was sagt der AI Act zu Lead-Scoring?
Anhang III des AI Act listet bestimmte Hochrisiko-Anwendungsfälle auf, etwa bei Kreditwürdigkeit oder Zugang zu wesentlichen Dienstleistungen, keine ganzen Branchen oder Funktionen pauschal. Lead-Scoring im Vertrieb fällt für sich genommen in aller Regel nicht darunter, solange es nicht über Umwege den Zugang zu einer Leistung automatisiert verweigert. Unabhängig davon gilt Art. 50 AI Act zu Transparenzpflichten bereits, wenn Personen mit einem KI-System interagieren, etwa einem Chatbot in der Akquise. Nach dem Digital Omnibus, VO (EU) 2026/1744 (in Kraft seit 27.07.2026), wurden die vollständigen Hochrisiko-Pflichten aus Anhang III zudem vom 02.08.2026 auf den 02.12.2027 verschoben, was für reine Lead-Scoring-Anwendungen keinen eigenen Vorteil bringt, weil sie ohnehin nicht darunter fallen. Der Digital Omnibus wurde von der EU-Kommission im Sommer 2026 vorgelegt, um Unternehmen nach wiederholter Kritik an zu engen Übergangsfristen mehr Vorbereitungszeit für die technischen und organisatorischen Pflichten aus Anhang III einzuräumen. Für Vertriebsteams bedeutet das vor allem: Wer aktuell kein Hochrisiko-System betreibt, muss die Verschiebung nicht zwingend operativ berücksichtigen, sollte die weitere Entwicklung aber im Blick behalten, weil sich der Zeitplan erneut ändern kann.
Compliance-Checkliste vor dem Go-Live
- Rechtsgrundlage für das Scoring schriftlich festhalten (berechtigtes Interesse oder Einwilligung)
- Informationspflichten nach Art. 13/14 DSGVO in Datenschutzhinweisen und bei Datenzukauf abdecken
- Für jeden externen Datenanbieter und jedes CRM-/Scoring-Tool die Rolle klären und das passende Instrument wählen: AVV nach Art. 28 DSGVO bei Auftragsverarbeitung, Vereinbarung nach Art. 26 DSGVO bei gemeinsamer Verantwortlichkeit, bei eigenständigen Verantwortlichen Datenherkunft, Übermittlungsbefugnis und eigene Rechtsgrundlage prüfen
- Wirkung und Automatisierungsgrad prüfen: Hat das Scoring-Ergebnis rechtliche oder ähnlich erhebliche Wirkung (etwa bei Zugangs- oder Vertragsentscheidungen)? Wenn ein Mensch prüft, dokumentieren, dass er Entscheidungsspielraum hat, die relevanten Informationen kennt und vom Score abweichen kann (Art. 22 DSGVO)
- Opt-out-Mechanismus in jeder Werbe-Mail und im Scoring-Tool selbst verankern
- DSFA-Schwelle bei jedem neuen Datenzukauf oder Tracking-Feature neu bewerten
So entsteht keine pauschale Freigabe, sondern eine dokumentierbare, nachvollziehbare Governance-Struktur, die im Zweifel gegenüber einer Aufsichtsbehörde belastbar ist.
Methodik
Der DSGVO-Score setzt sich aus sieben gewichteten Kategorien zusammen: KI-Training (20 %), AVV (18 %), Rechtsgrundlage/Drittlandtransfer (17 %), Datenspeicherung (13 %), Betroffenenrechte (12 %), Transparenz (11 %) und Technische Sicherheit (9 %). Details zur Berechnung und zu den K.O.-Kriterien stehen in unserer Methodik. Jeder Score-Wert in diesem Artikel ist eine Risikoeinschätzung und muss für den konkreten Einsatzfall individuell geprüft werden.
Fazit & Empfehlung
Für kleine Teams, die mit wenig Aufwand starten wollen, sind Instantly für E-Mail-Outreach und Close als schlankes CRM ein praktikabler Einstieg, sofern der Drittlandtransfer vorab geprüft wird. Wachsende Vertriebsteams mit mehreren Kampagnen profitieren eher von HubSpot, telefonstarke Teams von Aircall. In allen Fällen gilt: Lead-Scoring selbst ist in den meisten Konstellationen zulässig, die eigentlichen Risiken liegen bei zugekauften Datenquellen, ungeklärten Anbieterrollen und Verträgen sowie UWG-widriger Kaltakquise ohne Einwilligung oder Bestandskundenbezug.
Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.
Häufige Fragen
Ist KI-gestütztes Lead-Scoring überhaupt mit der DSGVO vereinbar?
Lead-Scoring gilt als Profiling nach Art. 4 Nr. 4 DSGVO und ist in der Regel möglich, wenn eine Rechtsgrundlage (meist berechtigtes Interesse oder Einwilligung) vorliegt, die Informationspflichten erfüllt sind und keine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung getroffen wird. Der konkrete Einsatz muss individuell geprüft werden.
Fällt automatisches Lead-Scoring unter Art. 22 DSGVO?
Meist nicht, weil Art. 22 DSGVO eine ausschließlich automatisierte Entscheidung mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung voraussetzt. Dient das Scoring nur der Priorisierung von Kontakten und hat keine rechtliche oder ähnlich erhebliche Wirkung, greift die Vorschrift in der Regel nicht. Eine rein formale menschliche Freigabe ändert daran nichts, wenn der Score faktisch entscheidet.
Darf ich zugekaufte Kontaktdaten für Kaltakquise per E-Mail nutzen?
Nur mit vorheriger ausdrücklicher Einwilligung oder, bei Bestandskunden, wenn alle Voraussetzungen des Privilegs nach § 7 Abs. 3 UWG erfüllt sind. Bei zugekauften Daten muss zusätzlich geprüft werden, welche Rolle der Anbieter hat (AVV, Vereinbarung nach Art. 26 DSGVO oder eigenständiger Verantwortlicher), woher die Daten stammen und ob die Informationspflicht nach Art. 14 DSGVO gegenüber den Betroffenen erfüllt wurde.
Wann brauche ich für Lead-Scoring eine Datenschutzfolgenabschätzung?
Eine DSFA wird relevant, wenn mehrere Risikokriterien zusammenkommen, etwa umfangreiches Profiling, Datenzukauf aus mehreren Drittquellen und systematisches Tracking. Reines CRM-internes Scoring aus eigenen Formulardaten erreicht diese Schwelle meist nicht.
Gilt der AI Act für KI-Tools beim Lead-Scoring?
Lead-Scoring fällt für sich genommen in der Regel nicht unter die Hochrisiko-Fälle aus Anhang III des AI Act. Transparenzpflichten nach Art. 50 AI Act können trotzdem greifen, etwa wenn Interessenten mit einem KI-Chatbot interagieren.