Compliance & Recht
Ist Wettbewerbsanalyse legal? Leitfaden zu DSGVO und Recht
Ist Wettbewerbsanalyse nach DSGVO erlaubt? Was Sie erheben dürfen, was nicht, wie EU-Unternehmen konform bleiben und worauf Sie bei einem CI-Tool achten sollten.
Wettbewerbsanalyse wirft berechtigte Rechtsfragen auf, gerade für Unternehmen, die in der EU unter der DSGVO tätig sind. Die Sorge ist nachvollziehbar: CI bedeutet, systematisch Informationen über andere Organisationen zu sammeln — und manchmal berühren diese Informationen einzelne Personen. Die gute Nachricht: Gut aufgesetzte Wettbewerbsanalyse ist vollständig legal und DSGVO-konform. Entscheidend ist zu verstehen, was die DSGVO tatsächlich regelt — und was nicht.
Was die DSGVO tatsächlich regelt
Die DSGVO (Datenschutz-Grundverordnung) regelt die Erhebung, Verarbeitung und Speicherung personenbezogener Daten — also von Informationen, die eine natürliche Person identifizieren oder identifizierbar machen. Sie greift, wenn Sie Daten über Einzelpersonen verarbeiten: Namen, E-Mail-Adressen, IP-Adressen, Verhaltensdaten und Ähnliches.
Was die DSGVO nicht regelt: Informationen über Organisationen, Unternehmen, Produkte, Preise und Geschäftsstrategien. Die öffentlich publizierte Preisseite eines Wettbewerbers ist kein personenbezogenes Datum. Die Pressemitteilung eines Unternehmens zu einem neuen Produkt ist kein personenbezogenes Datum. Die Stellenanzeigen eines Unternehmens auf seiner Karriereseite sind keine personenbezogenen Daten.
Diese Unterscheidung ist der Schlüssel zu der Frage, warum seriöse Wettbewerbsanalyse legal ist. Der weit überwiegende Teil von Competitive Intelligence — die Beobachtung von Preisseiten, Produkt-Changelogs, Unternehmensnews und Geschäftsinformationen — betrifft Unternehmensdaten, nicht personenbezogene Daten. Die DSGVO ist darauf schlicht nicht anwendbar.
Was für CI erhoben werden darf
Die folgenden Quellen sind für Wettbewerbsanalyse in der EU und unter der DSGVO rechtlich zulässig:
- Preis- und Produktseiten von Wettbewerbern — öffentlich zugänglich, keine personenbezogenen Daten
- Produkt-Changelogs und Release Notes — vom Unternehmen bewusst veröffentlicht
- Stellenanzeigen auf Karriereseiten und LinkedIn — öffentliche Geschäftsinformationen
- Bewertungen auf Unternehmensebene bei G2, Capterra, Trustpilot — öffentlich eingereichtes Feedback
- Offizielle Social-Media-Accounts des Unternehmens (LinkedIn-Unternehmensseite, Twitter/X usw.) — öffentlich publiziert
- Pressemitteilungen, Nachrichtenartikel und Medienberichte über das Unternehmen — öffentlich dokumentiert
- Werbemittel in öffentlichen Ad-Bibliotheken (Google, Meta, LinkedIn) — zur öffentlichen Wahrnehmung veröffentlicht
- Öffentliche GitHub-Repositories und Open-Source-Aktivität — bewusst öffentlich gemacht
- Konferenzvorträge, Webinare und öffentliche Präsentationen — freiwillig veröffentlicht
- Finanzinformationen des Unternehmens, sofern öffentlich hinterlegt — regulatorische Offenlegung
Was nicht erlaubt ist
Die folgenden Praktiken überschreiten rechtliche oder ethische Grenzen und haben in keinem seriösen CI-Programm etwas zu suchen:
- Personenbezogene Daten über Mitarbeitende von Wettbewerbern ohne Rechtsgrundlage erheben — einzelne Beschäftigte über ihr öffentliches Berufsprofil hinaus beobachten
- Ohne Berechtigung auf Daten hinter Logins zugreifen — sich mit unbefugten Zugangsdaten in die Plattform eines Wettbewerbers einloggen
- Daten von Datenhändlern kaufen, die Informationen aus nicht öffentlichen Quellen enthalten
- Daten aus Sicherheitsvorfällen, Leaks oder vertraulichen Quellen verwenden
- Sich falsch ausgeben, um an Informationen zu kommen — als Kunde, Analyst oder Journalist auftreten
- Vertriebs- oder Discovery-Gespräche von Wettbewerbern ohne Einwilligung aufzeichnen
- Sich technisch Zugang zu Systemen von Wettbewerbern verschaffen — unbefugter Zugriff ist unabhängig von der DSGVO illegal
Die Grauzone der personenbezogenen Daten
Die Grauzone zwischen CI und DSGVO betrifft einzelne Personen des öffentlichen Lebens — konkret die LinkedIn-Profile von Führungskräften und deren öffentliche Aussagen. Die DSGVO erkennt durchaus an, dass Personen des öffentlichen Lebens eine geringere Privatsphäreerwartung haben, wenn ihre öffentlichen Aktivitäten dokumentiert werden. Wer als CEO auf einer Konferenz öffentlich über Produktstrategie spricht, tritt als öffentliche Person in einer geschäftlichen Rolle auf — darüber zu berichten ist kein DSGVO-Verstoß.
Komplizierter wird es hier: Wenn Sie systematisch Informationen über namentlich benannte Einzelpersonen sammeln und verarbeiten — nicht nur ihre öffentlichen Aussagen, sondern ihre Jobwechsel, ihre persönlichen Ansichten, ihre Aufenthaltsmuster —, verarbeiten Sie sehr wahrscheinlich personenbezogene Daten und brauchen dafür eine Rechtsgrundlage. Die meisten CI-Programme müssen gar nicht so tief gehen. Wissen auf Unternehmensebene ist ohnehin weit nützlicher als die Überwachung Einzelner.
Der sicherste Weg: Konzentrieren Sie CI auf organisatorische Signale (Unternehmenspreise, Produktreleases, Einstellungsvolumen nach Rollentyp, Bewertungen auf Unternehmensebene) und erheben Sie über namentlich benannte Personen nichts, was diese nicht selbst in beruflicher Funktion veröffentlicht haben.
DSGVO-Konformität für EU-Unternehmen mit CI
Datenminimierung
Erheben Sie nur, was Sie für Ihre CI-Zwecke tatsächlich brauchen. Wenn Sie die Preise von Wettbewerbern beobachten, müssen Sie nicht zusätzlich die LinkedIn-Profile sämtlicher Mitarbeitenden dieser Wettbewerber sammeln. Weniger Datenerhebung senkt zugleich das rechtliche Risiko und die operative Komplexität.
Speicherung und Datenhaltung
Für EU-Unternehmen kann die Speicherung von Wettbewerbsdaten außerhalb der EU Compliance-Fragen aufwerfen. Speichert Ihr CI-Tool Daten auf US-Servern, müssen Sie unter Umständen prüfen, ob ein Angemessenheitsbeschluss oder geeignete Garantien (Standardvertragsklauseln) greifen. Der einfachste Weg: ein CI-Tool nutzen, das Daten innerhalb der EU speichert.
Speicherfristen
Die DSGVO verlangt, dass personenbezogene Daten nicht länger als nötig aufbewahrt werden. Für CI-Zwecke ist das vor allem dann relevant, wenn Ihre Beobachtung unbeabsichtigt personenbezogene Daten erfasst (etwa eine Bewertung, die einen vollständigen Namen enthält). Legen Sie Löschfristen fest, damit Wettbewerbsdaten nicht unbegrenzt über ihren Nutzen hinaus gespeichert bleiben.
CI-Tools von Drittanbietern
Wenn Sie eine CI-Plattform einsetzen, verlassen Sie sich darauf, dass diese Plattform Daten DSGVO-konform erhebt. Prüfen Sie vor der Auswahl eines CI-Tools: Beobachtet es ausschließlich öffentlich zugängliche Quellen? Wo werden die Daten gespeichert? Welche Löschfristen gelten? Unterliegt es europäischem Datenschutzrecht? Gibt es einen Auftragsverarbeitungsvertrag (AVV)?
Worauf Sie bei einem DSGVO-konformen CI-Tool achten sollten
- Beobachtet ausschließlich öffentlich zugängliche Quellen — kein Zugriff hinter Logins, keine zugekauften personenbezogenen Daten
- EU-Datenhaltung — Speicherung in EU-Rechenzentren (Frankfurt, Dublin oder vergleichbar)
- Auftragsverarbeitungsvertrag (AVV) auf Anfrage verfügbar
- Klare Löschfristen
- Keine Anreicherung mit personenbezogenen Daten — Fokus auf Signale der Unternehmensebene statt auf die Überwachung einzelner Mitarbeitender
- Transparent darüber, was aus welchen Quellen erhoben wird
- Datenschutzerklärung und Sicherheitsdokumentation öffentlich verfügbar
Weitere Rechtsrahmen, die Sie kennen sollten
Computer Fraud and Abuse Act (USA)
Der CFAA verbietet in den USA den unbefugten Zugriff auf Computersysteme. Er wurde in Verfahren gegen Web-Scraping herangezogen, das gegen die Nutzungsbedingungen einer Website verstößt. In der Praxis steht CI, die sich auf öffentlich zugängliche Seiten stützt (ohne Login), rechtlich sicherer da als programmatisches Scraping, das Nutzungsbedingungen verletzt.
Geschäftsgeheimnisrecht
CI muss sich auf öffentliche Informationen stützen, nicht auf geschützte oder vertrauliche Daten. Wettbewerbsinformationen über eine Person zu beschaffen, die vertrauliche Unterlagen weitergegeben hat, über Wirtschaftsspionage oder über andere unbefugte Wege begründet in den meisten Rechtsordnungen erhebliche Haftungsrisiken nach dem Geschäftsgeheimnisrecht — unabhängig von der DSGVO.
Nutzungsbedingungen
Viele Websites untersagen in ihren Nutzungsbedingungen automatisiertes Scraping. Ob ein Verstoß dagegen rechtliche Folgen hat, hängt von der Rechtsordnung ab und ist vor US-Gerichten umstritten. Für CI-Zwecke ist der einfachste Weg, ein CI-Tool zu nutzen, das Daten so erhebt, wie es eine vernünftige Auslegung der Nutzungsbedingungen zulässt — typischerweise durch den Zugriff auf öffentliche Seiten in derselben Weise, wie es ein menschlicher Browser täte.
Das Fazit
Seriöse Wettbewerbsanalyse — also die Beobachtung öffentlich verfügbarer Geschäftsinformationen über Wettbewerbsunternehmen — ist legal, DSGVO-konform und ethisch unbedenklich. Die DSGVO regelt personenbezogene Daten, und der weit überwiegende Teil von CI arbeitet mit organisatorischen, geschäftlichen Informationen, die ausdrücklich zur öffentlichen Wahrnehmung veröffentlicht wurden.
Rechtliches Risiko entsteht durch die Praktiken, die über öffentliche Quellen hinausgehen: unbefugter Systemzugriff, Verarbeitung personenbezogener Daten ohne Rechtsgrundlage, Täuschung und der Zukauf von Daten aus fragwürdigen Quellen. Nichts davon ist für wirksame CI nötig.
Wenn Sie in der EU tätig sind oder Daten von EU-Kunden verarbeiten, wählen Sie ein CI-Tool, das Daten in der EU speichert, einen AVV anbietet und transparent über seine Datenquellen informiert. Bauen Sie Ihr CI-Programm auf öffentlichen Geschäftsinformationen auf, nicht auf der Überwachung einzelner Mitarbeitender. So gestaltet ist Wettbewerbsanalyse vollständig legal — und weit nützlicher als jede Abkürzung, die verlockend erscheinen mag.