DSGVO im Lead-Quiz: was Sie fragen dürfen und was nicht
Nach DSGVO braucht Endkunden-Leadgenerierung eine freiwillige, für den bestimmten Fall erteilte, informierte und unmissverständliche Einwilligung — keine vorangekreuzten Kästchen, keine Bündelung mit den AGB — plus Datenminimierung: nur erheben, was der angegebene Zweck erfordert. Gesundheitsdaten sind besondere Kategorie nach Artikel 9 und verlangen ausdrückliche Einwilligung; das Quiz einer Klinik fragt daher nach Behandlungsinteresse, Dringlichkeit und Budget, nie nach Anamnese. Praxisleitfaden, keine Rechtsberatung.
Ein Lead-Quiz erhebt personenbezogene Daten und fällt damit vollständig unter die DSGVO. Erfreulich ist: die Regeln, die den Alltag betreffen, sind wenige und recht eindeutig. Wichtiger Hinweis vorab — das hier ist ein Praxisleitfaden auf Basis des Verordnungstexts, keine Rechtsberatung; für Ihren konkreten Fall fragen Sie eine Fachperson.
Einwilligung, wie die Verordnung sie definiert
Bei Endkunden-Leadgenerierung ist die Einwilligung die übliche Grundlage, und die DSGVO verlangt, dass sie freiwillig, für den bestimmten Fall, informiert und unmissverständlich erfolgt. Damit fallen drei verbreitete Muster aus:
- Vorangekreuzte Kästchen — unzulässig, es braucht eine bestätigende Handlung.
- Einwilligung, die mit der Zustimmung zu den AGB gebündelt ist — sie muss getrennt erteilbar sein.
- Schwammige Formulierungen wie «ich stimme dem Erhalt von Mitteilungen zu» — es muss klar sein, wer verarbeitet und zu welchem Zweck.
Datenminimierung: jedes Zusatzfeld ist Risiko
Der Grundsatz der Datenminimierung verlangt, nur zu erheben, was der angegebene Zweck erfordert. Genügen Name und Telefonnummer für den Rückruf, dann sind Adresse, E-Mail und Geburtsdatum «für alle Fälle» keine Umsicht, sondern zusätzliche Haftung ohne Nutzen.
Hier ziehen DSGVO und Conversion in dieselbe Richtung: ein kürzeres Formular konvertiert besser und hinterlässt weniger schützenswerte Daten.
Besondere Kategorien: der am häufigsten übersehene Punkt
Artikel 9 DSGVO untersagt die Verarbeitung bestimmter Kategorien — darunter Gesundheitsdaten —, sofern keine spezifische Bedingung erfüllt ist; der übliche Weg ist die ausdrückliche Einwilligung, ein höherer Maßstab als die normale Einwilligung. Und «Gesundheitsdaten» ist weiter gefasst als vermutet: jede Information über den körperlichen oder geistigen Zustand einer Person, vergangen, gegenwärtig oder künftig.
Praktische Folge für Kliniken und Gesundheitsdienstleister: Das Quiz sollte weder Anamnese noch Diagnosen abfragen. Qualifizieren lässt sich hervorragend über Interesse an einer Behandlung, Dringlichkeit, Zeitraum und Budget — klinische Details bleiben der Beratung überlassen. Die Sanktionen zu Artikel 9 liegen im oberen Rahmen der Verordnung, das ist also keine Kleinigkeit.
Was geregelt sein muss
- Datenschutzhinweis direkt aus dem Quiz erreichbar, nicht im Website-Footer versteckt.
- Angegebener Zweck, der auch eingehalten wird: für ein Angebot erhobene Daten nicht ohne neue Einwilligung für einen Newsletter verwenden.
- Definierte Speicherdauer — und eine Löschung, die tatsächlich stattfindet.
- Einfacher Weg für Auskunft und Löschung, fristgerecht beantwortet.
- Auftragsverarbeiter benannt: das Tool, mit dem Sie das Quiz bauen, verarbeitet Daten in Ihrem Auftrag — Sie brauchen den entsprechenden Vertrag und müssen wissen, wo die Daten liegen.
Quizanta hostet Daten in der EU, und die Vorlagen sind darauf ausgelegt, über Absicht zu qualifizieren statt über sensible Angaben. Der Rest — Ihr Datenschutzhinweis, Ihre Fristen, Ihre Rechtsgrundlage — bleibt Sache Ihres Unternehmens und ist eine einmalige, saubere Prüfung mit einer Fachperson wert.