Herkunft der Daten: Warum Unternehmen wissen müssen, woher personenbezogene Daten stammen

Ein Vertriebsmitarbeiter erhält eine Excel-Datei mit mehreren hundert geschäftlichen Kontakten. Ein Teil stammt von einer Messe, ein Teil aus einem öffentlichen Ausstellerverzeichnis, einige Adressen wurden auf LinkedIn recherchiert, weitere von einem Adresshändler gekauft. Die Datei wandert ins CRM-System. Wenige Tage später fragt eine der eingetragenen Personen: „Woher haben Sie meine Daten?“ Im System findet sich nur der Vermerk „Import Vertrieb April“ – mehr nicht.

Genau an diesem Punkt zeigt sich, dass die Herkunft personenbezogener Daten weit mehr ist als eine Formalie für besonders ordnungsliebende Unternehmen. Ohne Kenntnis der Datenquelle lässt sich oft nicht mehr zuverlässig beurteilen, welche Informationspflicht gilt, wann eine betroffene Person informiert werden muss, was bei einer Auskunft mitzuteilen ist, ob die Daten für den vorgesehenen Zweck überhaupt genutzt werden dürfen und wie verlässlich sie sind. Die Herkunft ist damit ein Bindeglied zwischen mehreren zentralen Pflichten der DSGVO und wer sie nicht dokumentiert, muss im Zweifel mühsam rekonstruieren, was zu Beginn der Verarbeitung leicht hätte festgehalten werden können.

Was „Herkunft der Daten“ eigentlich bedeutet

Mit der Herkunft ist gemeint, aus welcher Quelle personenbezogene Daten in den Verantwortungsbereich eines Unternehmens gelangt sind oder auf welche Weise sie dort entstanden sind. In der Praxis lassen sich dabei mehrere Herkunftsarten unterscheiden: Daten können unmittelbar von der betroffenen Person mitgeteilt oder im direkten Kontakt mit ihr erhoben worden sein, sie können von einem Dritten übermittelt oder aus einer öffentlich zugänglichen Quelle übernommen worden sein, sie können vom Unternehmen selbst erzeugt oder aus bereits vorhandenen Informationen abgeleitet worden sein, und schließlich können sie innerhalb des Unternehmens von einer Abteilung an eine andere weitergegeben worden sein.

Diese Unterscheidung ist keine akademische Spielerei, sondern entscheidet unmittelbar über die anwendbare Informationspflicht: Wurden die Daten bei der betroffenen Person erhoben, gilt Art. 13 DSGVO. Wurden sie nicht bei ihr erhoben, ist Art. 14 DSGVO maßgeblich – und dann müssen zusätzlich die Kategorien der verarbeiteten Daten, die Quelle und gegebenenfalls deren öffentliche Zugänglichkeit mitgeteilt werden. In der betrieblichen Praxis spricht man hier oft von „Dritterhebung“, auch wenn die DSGVO selbst nur formuliert, dass die Daten „nicht bei der betroffenen Person erhoben“ wurden. Dieser Begriff ist bewusst weiter gefasst als die reine Übermittlung durch einen externen Dritten – er erfasst, wie sich zeigen wird, auch Daten, die ein Unternehmen selbst erzeugt.

Warum die Herkunft datenschutzrechtlich so viel bewirkt

Die Bedeutung der Herkunft zeigt sich an mehreren Stellen der DSGVO gleichzeitig. Sie entscheidet, wie beschrieben, über die Weichenstellung zwischen Art. 13 und Art. 14 DSGVO und damit über Inhalt und Zeitpunkt der Datenschutzinformation. Sie ist außerdem Bestandteil des Auskunftsrechts: Verlangt eine betroffene Person nach Art. 15 DSGVO Auskunft und wurden ihre Daten nicht bei ihr erhoben, muss das Unternehmen alle verfügbaren Informationen zur Herkunft mitteilen. Eine pauschale Formulierung wie „aus öffentlich zugänglichen Quellen“ reicht dabei regelmäßig nicht aus, wenn die konkrete Quelle bekannt ist oder mit vertretbarem Aufwand ermittelt werden kann.

Die Kenntnis der Quelle ersetzt keine Rechtsgrundlage – auch öffentlich zugängliche Daten dürfen nicht allein deshalb verarbeitet werden, weil sie auffindbar sind. Sie ist aber ein wichtiger Faktor bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO: Es macht einen Unterschied, ob eine geschäftliche Telefonnummer auf der Unternehmenswebseite steht oder ob eine private Mobilnummer zufällig in einem alten Vereinsprotokoll im Internet auftaucht. Darüber hinaus beeinflusst die Quelle, wie verlässlich und aktuell eine Information ist – ein aktueller Handelsregisterauszug hat einen anderen Aussagewert als ein fünf Jahre alter Branchenbucheintrag –, und sie unterstützt damit den Grundsatz der Datenrichtigkeit aus Art. 5 Abs. 1 lit. d) DSGVO. Nicht zuletzt gehört die Herkunft zur Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24 DSGVO: Auch wenn sie kein ausdrückliches Pflichtfeld des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist, lässt sie sich sinnvoll dort ergänzen, weil sich darüber Informationspflichten, Auskunftsanfragen und Qualitätsprüfungen deutlich leichter beherrschen lassen.

Direkterhebung und interne Weitergabe

Am unproblematischsten ist die Direkterhebung: Ein Kunde füllt ein Bestellformular aus, ein Bewerber übersendet seine Unterlagen, ein Interessent übergibt auf einer Messe seine Visitenkarte. Hier gilt Art. 13 DSGVO, und die Information muss grundsätzlich zum Zeitpunkt der Erhebung vorliegen.

Häufig missverstanden wird dabei die interne Weitergabe von Daten zwischen Abteilungen. Gibt die Personalabteilung den Namen eines Mitarbeiters an die Verwaltung weiter, damit dort eine Visitenkarte erstellt wird, entsteht dadurch keine neue Dritterhebung – solange beide Abteilungen für denselben Verantwortlichen tätig sind, bleibt die ursprüngliche Herkunft erhalten. Sinnvoll ist es trotzdem, rechtliche Herkunft und betrieblichen Übermittlungsweg getrennt zu dokumentieren, etwa: „Direkterhebung beim Mitarbeiter über den Personalfragebogen; interne Bereitstellung durch die Personalabteilung.“ Anders sieht es innerhalb von Unternehmensgruppen aus: Eine Mutter-, Tochter- oder Schwestergesellschaft ist regelmäßig ein eigenständiger Verantwortlicher. Erhält die A-GmbH Bewerberdaten von der B-GmbH, liegt deshalb in der Regel eine Erhebung aus einer anderen Quelle vor, die die Informationspflichten nach Art. 14 DSGVO auslöst.

Daten von Dritten, selbst erzeugte und abgeleitete Daten

Eine klassische Dritterhebung liegt vor, wenn ein Personalvermittler Bewerberdaten übersendet, ein Adresshändler Interessentendaten liefert oder eine Wirtschaftsauskunftei einen Bonitätswert übermittelt. Hier gilt grundsätzlich Art. 14 DSGVO, einschließlich der Pflicht, Datenkategorien, Quelle und gegebenenfalls deren öffentliche Zugänglichkeit zu benennen. Nicht jeder externe Dienstleister ist dabei automatisch die eigentliche Datenquelle: Erhebt ein Formular-Anbieter Daten ausschließlich im Auftrag des Unternehmens, bleibt die betroffene Person selbst die Quelle, und der Dienstleister handelt lediglich als Auftragsverarbeiter.

Besondere Aufmerksamkeit verdienen Daten, die ein Unternehmen selbst erzeugt – etwa eine Personalnummer, eine betriebliche E-Mail-Adresse oder ein Score im CRM-System – sowie Daten, die aus vorhandenen Informationen abgeleitet oder berechnet werden, etwa ein vermutetes Kaufinteresse oder eine Risikoklasse. Lange Zeit wurden solche Daten in der Praxis oft wie direkt erhobene Daten behandelt, weil sie „im eigenen Haus“ entstanden sind. Der Europäische Gerichtshof hat dieser Sichtweise mit seinem Urteil in der Rechtssache Másdi (28. November 2024, C-169/23) eine klare Absage erteilt: Art. 14 DSGVO erfasst grundsätzlich auch personenbezogene Daten, die der Verantwortliche selbst erzeugt hat, wenn diese Daten nicht bei der betroffenen Person erhoben wurden. Das bloße Wissen der betroffenen Person von der Existenz solcher Daten macht daraus keine Direkterhebung – es kann aber dazu führen, dass eine erneute Information nach der Ausnahme des Art. 14 Abs. 5 lit. a) DSGVO entbehrlich ist, wenn die Person bereits vollständig informiert wurde, etwa im Rahmen des Onboardings. Bei abgeleiteten Daten reicht für die Dokumentation zudem ein bloßer Verweis wie „vom Kunden“ nicht aus; sinnvoller ist eine mehrstufige Angabe, etwa „abgeleitet durch das CRM-System aus Bestellhistorie, Reaktionsdaten auf Angebote und Angaben des Vertriebs“.

Öffentlich zugänglich heißt nicht frei verwendbar

Eine Quelle ist in der Regel öffentlich zugänglich, wenn ein unbestimmter Personenkreis ohne besondere Voraussetzungen darauf zugreifen kann – etwa frei aufrufbare Unternehmenswebseiten, öffentliche Register oder allgemein einsehbare Social-Media-Profile. Ein verbreiteter Irrtum lautet jedoch: „Die Daten stehen im Internet, also dürfen sie verwendet werden.“ Die Veröffentlichung beseitigt weder den Personenbezug noch die übrigen Anforderungen der DSGVO. Auch hier braucht es einen festgelegten Zweck und eine Rechtsgrundlage, und es gelten Datenminimierung, Richtigkeit und Transparenz. Der Europäische Datenschutzausschuss hat diese Linie im Juli 2026 mit dem Entwurf seiner Leitlinien 03/2026 zum Web Scraping im Kontext generativer KI bekräftigt und ausdrücklich klargestellt, dass öffentliche Verfügbarkeit nicht mit einer Einwilligung in jede denkbare Weiterverarbeitung gleichzusetzen ist. Die Leitlinien befinden sich noch bis Ende Oktober 2026 in der öffentlichen Konsultation, geben aber schon jetzt eine klare Richtung vor, an der sich Aufsichtsbehörden voraussichtlich orientieren werden.

Wie ernst Aufsichtsbehörden unzureichende Herkunftsangaben nehmen, zeigt der Fall des Unternehmens KASPR: Die französische Aufsichtsbehörde CNIL verhängte am 5. Dezember 2024 ein Bußgeld von 240.000 Euro gegen den Anbieter einer Browser-Erweiterung, der eine Datenbank mit rund 160 Millionen beruflichen Kontakten unter anderem aus LinkedIn aufgebaut hatte. Beanstandet wurden unter anderem unzureichende Information der Betroffenen sowie Auskunftsantworten, die sich pauschal auf „öffentlich zugängliche Quellen“ beschränkten, obwohl konkretere Angaben zur Herkunft vorlagen. Der Fall macht deutlich: Berufliche Kontaktdaten bleiben personenbezogene Daten, und öffentlich sichtbare Profile sind kein frei nutzbarer Datenbestand.

Wie konkret die Quelle benannt werden muss

Art. 14 Abs. 2 lit. f) DSGVO verlangt, dass die betroffene Person nachvollziehen kann, wie ihre Daten zum Unternehmen gelangt sind. Pauschale Formulierungen wie „aus öffentlichen Quellen“, „aus dem Internet“ oder „von Geschäftspartnern“ genügen dafür in der Regel nicht. Deutlich tragfähiger sind konkrete Angaben, etwa: „Die Kontaktdaten wurden am 12. Mai 2026 aus dem öffentlich zugänglichen Ausstellerverzeichnis der Muster-Messe GmbH übernommen.“ Während eine allgemeine Datenschutzinformation vorab durchaus mehrere mögliche Quellen benennen darf, wenn zum Zeitpunkt der Erstellung noch nicht feststeht, welche im Einzelfall genutzt wird, muss eine spätere Auskunft nach Art. 15 DSGVO die tatsächlich verwendete Quelle erkennen lassen.

Für die Frist gilt: Wurden Daten nicht bei der betroffenen Person erhoben, muss die Information grundsätzlich spätestens innerhalb eines Monats erfolgen – bei einer beabsichtigten Kontaktaufnahme spätestens bei deren erstem Zeitpunkt, bei einer beabsichtigten Offenlegung an einen anderen Empfänger spätestens bei der ersten Offenlegung. Maßgeblich ist jeweils der früheste dieser Zeitpunkte. Erwirbt ein Unternehmen etwa am 1. September eine Adressliste und plant die erste Kontaktaufnahme erst im November, darf die Information nicht bis zur ersten Werbemail aufgeschoben werden, sondern muss spätestens innerhalb der Monatsfrist erfolgen.

Ausnahmen von der Informationspflicht nach Art. 14 Abs. 5 DSGVO – etwa weil die betroffene Person bereits informiert ist oder die Information einen unverhältnismäßigen Aufwand bedeuten würde – dürfen nicht pauschal unterstellt werden. Jede Ausnahme muss im konkreten Fall geprüft und nachvollziehbar dokumentiert werden. Insbesondere die Aufwands-Ausnahme ist eng auszulegen und verlangt zusätzliche Schutzmaßnahmen wie eine öffentlich zugängliche Information.

Herkunft praktisch dokumentieren

Für die praktische Umsetzung hat sich ein zweistufiges Modell bewährt: Zunächst wird die Herkunft einer überschaubaren rechtlichen Kategorie zugeordnet – etwa Direkterhebung, Erhebung von einem Dritten, öffentliche Quelle, selbst erzeugt oder abgeleitet. Anschließend wird die konkrete betriebliche Quelle so genau wie möglich benannt, etwa „Importdatei des Adressanbieters B, Lieferung 2026-04“ oder „Bonitätsauskunft der Auskunftei A vom 17. April 2026“. Diese Übersicht kann Teil des Verzeichnisses von Verarbeitungstätigkeiten sein oder in einem ergänzenden Herkunftsregister geführt werden.

Am einfachsten lässt sich prüfen, ob eine solche Dokumentation im Alltag trägt, mit einer einfachen Testfrage: Könnte das Unternehmen einer betroffenen Person heute erklären, woher jede wesentliche Information über sie stammt? Lässt sich das nicht innerhalb kurzer Zeit beantworten, ist die Herkunftsdokumentation noch nicht praxistauglich – und genau dort lohnt es sich anzusetzen, bevor die nächste Anfrage kommt.

Zusammenfassung

Die Herkunft personenbezogener Daten wirkt auf den ersten Blick wie ein kleines Dokumentationsfeld. Tatsächlich entscheidet sie aber darüber, welche Informationspflichten gelten, wie eine Auskunft beantwortet werden kann und ob eine Verarbeitung transparent organisiert ist. Drei Grundgedanken sind dabei besonders wichtig: Erstens bleibt die ursprüngliche Datenquelle auch dann maßgeblich, wenn Daten innerhalb desselben Unternehmens zwischen Abteilungen weitergegeben werden. Zweitens sind selbst erzeugte und abgeleitete Daten seit der Másdi-Entscheidung des EuGH nicht mehr automatisch wie direkt erhobene Daten zu behandeln. Und drittens sind öffentlich zugängliche Daten kein frei nutzbarer Rohstoff – auch ihre Verarbeitung braucht einen rechtmäßigen Zweck, eine Rechtsgrundlage und eine transparente Information über die konkrete Quelle. Ein zusätzliches Herkunftsfeld im Verzeichnis von Verarbeitungstätigkeiten, eine klare Zuordnung zu Art. 13 oder Art. 14 DSGVO und ein verlässlicher Informationsprozess reichen in vielen kleinen und mittleren Unternehmen bereits aus, um diese Anforderungen dauerhaft zu beherrschen.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.