LinkedIn Matched Audiences: Schwellen und Rechtslage
Die 300er-Schwellen von LinkedIn Matched Audiences, warum 300 Zeilen nie reichen — und die DSGVO-Schwelle davor: gemeinsame Verantwortung nach EDPB 8/2020.
Eine LinkedIn-Kontaktliste scheitert selten daran, dass jemand die Mechanik nicht verstanden hat. Sie scheitert an Schwellen — und davon gibt es zwei Sorten, die selten zusammen betrachtet werden. Die eine steht in der Produktdokumentation und entscheidet, ob die Kampagne ausliefert. Die andere steht in den Leitlinien des Europäischen Datenschutzausschusses und entscheidet, ob die Liste überhaupt hochgeladen werden durfte.
Die zweite kommt zuerst. Wer sie übergeht, hat im besten Fall eine Kampagne, die läuft, und im schlechteren eine, die läuft und nicht hätte laufen dürfen.
Die technischen Schwellen
LinkedIn nennt die Grenzwerte in der eigenen Hilfe zum Contact List Targeting. Sie sind unspektakulär, bis man bemerkt, dass zwei davon verschiedene Dinge messen.
| Schwelle | Wert | Was sie wirklich prüft |
|---|---|---|
| Zeilen für den Upload | mindestens 300 | Ob die Datei angenommen wird |
| Gematchte Mitgliedskonten | mindestens 300 | Ob die Kampagne ausliefert |
| Empfohlene Listengröße | mindestens 10.000 Adressen | Ob die 300 Matches zuverlässig erreicht werden |
| Maximale Listengröße | 20 MB oder 300.000 Datensätze | Harte Obergrenze je Upload |
| Verarbeitungsdauer | bis zu 48 Stunden, selten länger | Wann die Zielgruppe verfügbar ist |
| Format | E-Mail im Klartext oder als SHA-256-Hash | Unhashed wird lokal im Browser gehasht |
Die ersten beiden Zeilen tragen dieselbe Zahl und bedeuten Verschiedenes. 300 Zeilen ist eine Datei-Anforderung. 300 gematchte Mitgliedskonten ist eine Auslieferungs-Anforderung, und LinkedIn formuliert sie ausdrücklich unabhängig davon, wie viele Adressen in der Liste stehen.
Eine Liste mit exakt 300 Zeilen wird also sauber hochgeladen, bekommt keine Fehlermeldung — und liefert nie aus. Sie müsste dafür eine Match-Rate von 100 Prozent haben.
Die Drei-Prozent-Annahme, die in der Empfehlung steckt
Interessant wird es, wenn man die Untergrenze und die Empfehlung nebeneinanderlegt. LinkedIn verlangt 300 Matches und empfiehlt, mindestens 10.000 Adressen hochzuladen, um sie zu erreichen.
300 von 10.000 sind drei Prozent.
Das ist keine gemessene Match-Rate, und es wäre falsch, sie als eine zu zitieren. Es ist die Planungsannahme, mit der der Anbieter selbst rechnet, wenn er eine Empfehlung aussprechen muss, die für alle Listen trägt — also auch für die schlechtesten. Der praktische Wert liegt genau darin: Wer mit dieser Untergrenze plant statt mit einer optimistischen Schätzung, baut eine Liste, die auch dann ausliefert, wenn die eigene Datenqualität schlechter ist als gedacht.
Die eigene Rate liegt in aller Regel deutlich höher. Aber sie ist eine Zahl, die man misst — Liste hochladen, gematchte Konten ablesen, ins Verhältnis setzen — und nicht eine, die man aus einem Blogartikel übernimmt. Die Spannweite der veröffentlichten Match-Raten ist so groß, dass jede einzelne davon als Planungsgrundlage unbrauchbar ist.
Dasselbe gilt für die Alterung von Kontaktdaten. Dass B2B-Listen verfallen, ist unstrittig; die kursierenden Jahresraten reichen von gut 22 Prozent bis über 70 Prozent, je nach Erhebung, Branche und Definition. Aus einer Spanne dieser Breite lässt sich keine Planung ableiten. Die belastbare Größe ist die eigene: dieselbe Liste in einem definierten Abstand erneut hochladen und die gematchten Konten vergleichen. Das misst die eigene Alterung, statt eine fremde zu unterstellen.
Die Schwelle, die vor allen technischen liegt
Der Upload einer Kontaktliste ist datenschutzrechtlich kein Konfigurationsschritt. Er ist eine Übermittlung personenbezogener Daten an einen Dritten — und der Europäische Datenschutzausschuss hat genau diesen Vorgang in den Leitlinien 8/2020 zum Targeting von Social-Media-Nutzern (Version 2.1 vom 7. Juli 2021) ausdrücklich behandelt. Abschnitt 5.2.2 beschreibt ihn als „list-based targeting”: Der Targeter lädt bestehende Listen personenbezogener Daten hoch, die Plattform gleicht sie gegen ihren Bestand ab.
Drei Feststellungen daraus sind für die Praxis entscheidend.
Erstens: Sie sind gemeinsam verantwortlich, nicht Auftraggeber
Der Ausschuss stellt fest, dass gemeinsame Verantwortlichkeit zwischen Plattform und Targeter besteht — und zwar für einen klar benannten Abschnitt der Verarbeitung: das Hochladen der Identifikatoren, den Abgleich, die Auswahl der Targeting-Kriterien, die anschließende Anzeige der Werbung sowie jedes Reporting zur Kampagne. Die Formulierung in den Leitlinien ist unmissverständlich: gemeinsame Verantwortlichkeit besteht „as regards the use of list-based targeting”.
Das ist kein theoretischer Befund. Er folgt der Linie, die der Europäische Gerichtshof mit den Urteilen zur Facebook-Fanpage (Rechtssache C-210/16, Wirtschaftsakademie Schleswig-Holstein, Urteil vom 5. Juni 2018) und zum Like-Button (Rechtssache C-40/17, Fashion ID, Urteil vom 29. Juli 2019) gezogen hat: Wer an der Bestimmung von Zwecken und Mitteln mitwirkt, ist verantwortlich — auch ohne selbst Zugriff auf die Daten zu haben.
Praktische Folge: Es braucht eine Vereinbarung nach Art. 26 DSGVO, und die Rollenverteilung darin sollte abbilden, wer was tatsächlich steuert.
Wichtig ist die Abgrenzung, die der Ausschuss gleich mitzieht: Für die ursprüngliche Erhebung der Adressen bleiben Sie allein verantwortlich. Die Plattform wirkt daran nicht mit. Die gemeinsame Verantwortung beginnt mit der Übermittlung und endet in der Regel mit dem Reporting.
Zweitens: Das berechtigte Interesse trägt nicht automatisch
Die Leitlinien arbeiten mit zwei Beispielen, die sich fast wörtlich als Prüfschema lesen lassen — und die in der Praxis genau die zwei Fälle abbilden, um die es streitig wird.
Im ersten Fall nimmt eine Person einmalig Kontakt zu einer Bank auf, um einen Termin zu vereinbaren, entscheidet sich danach gegen die Leistung — und ihre Adresse wird trotzdem für das gesamte Leistungsspektrum bespielt. Der Ausschuss verneint hier Art. 6 Abs. 1 lit. f DSGVO als tragfähige Grundlage: Es gebe keine vernünftige Erwartung der Betroffenen, dass ihre Daten für Targeting genutzt werden, und eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO würde die Verarbeitung voraussichtlich als unvereinbar mit dem Erhebungszweck ausweisen.
Im zweiten Fall ist die Person seit fast einem Jahr Kundin, wurde bei der Erhebung darüber informiert, dass ihre Adresse für Werbung zu bereits genutzten Leistungen verwendet werden kann, und konnte von Anfang an widersprechen. Hier hält der Ausschuss ein berechtigtes Interesse für möglich — ausdrücklich gestützt auf drei Merkmale: die Information zum Zeitpunkt der Erhebung, die Ähnlichkeit der beworbenen zu den genutzten Leistungen und die vorherige Widerspruchsmöglichkeit.
Der Unterschied zwischen beiden Fällen liegt nicht in der Technik. Er liegt darin, was der Person bei der Erhebung gesagt wurde.
Drittens: Die Datenschutzerklärung zu ergänzen genügt nicht
Dieser Punkt wird regelmäßig übersehen, und er ist der schärfste der drei. Der Ausschuss stellt klar, dass die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO und die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zwei verschiedene Pflichtenkreise sind. Und weiter: Die bloße Erfüllung der Informationspflichten sei keine Transparenzmaßnahme, die in der Abwägung zugunsten des Verantwortlichen zu berücksichtigen ist.
Wer also die Datenschutzerklärung um einen Absatz zu Social-Media-Targeting ergänzt, hat eine Informationspflicht erfüllt. Er hat damit nicht die Abwägung verbessert. Beides muss getrennt begründet und dokumentiert werden.
Und was Hashing nicht leistet
LinkedIn akzeptiert E-Mail-Adressen im Klartext oder als SHA-256-Hash; unhashed wird lokal im Browser gehasht. Das ist eine sinnvolle technische Schutzmaßnahme und darf in der Abwägung positiv zu Buche schlagen.
Es ändert aber nichts am Kern: Ein Hash, der gebaut wird, um eine Person auf einer Plattform wiederzuerkennen, ist ein pseudonymer Identifikator, kein anonymer. Wiedererkennbarkeit ist sein Zweck. Die Verarbeitung bleibt eine Verarbeitung personenbezogener Daten, und die Rechtsgrundlage wird dadurch nicht entbehrlich.
Entscheidungshilfe: Darf diese Liste hoch?
Sechs Fragen, vor dem Upload, in dieser Reihenfolge. Die ersten vier sind rechtlich, die letzten beiden technisch — weil eine Liste, die rechtlich nicht darf, auch dann nicht darf, wenn sie 50.000 Zeilen hat.
- Woher stammen die Adressen, und was wurde bei der Erhebung gesagt? Wenn die Antwort „aus dem CRM” lautet und niemand mehr weiß, was beim Eintrag kommuniziert wurde, ist das die Antwort auf Frage 2 gleich mit.
- Wurde die Person bei der Erhebung über eine Nutzung für Social-Media-Werbung informiert und konnte sie widersprechen? Zwei der drei Merkmale, auf die der Ausschuss ein mögliches berechtigtes Interesse stützt, entstehen bei der Erhebung — nicht später.
- Bezieht sich die geplante Werbung auf Leistungen, die diese Person bereits nutzt oder angefragt hat? Das dritte Merkmal. Je weiter die beworbene Leistung vom bisherigen Bezug entfernt ist, desto schwächer trägt die Abwägung.
- Gibt es eine Vereinbarung nach Art. 26 DSGVO, und ist die Abwägung dokumentiert? Beides sind eigenständige Pflichten. Die Abwägung wird nicht dadurch erfüllt, dass die Datenschutzerklärung den Vorgang erwähnt.
- Rechnet die Liste bei drei Prozent Match noch auf über 300 Konten? Bei der Untergrenze des Anbieters heißt das rund 10.000 Adressen. Wer darunter bleibt, sollte wissen, dass er auf eine überdurchschnittliche Match-Rate setzt.
- Ist Zeit für bis zu 48 Stunden Verarbeitung eingeplant? Die Zielgruppe ist nicht sofort verfügbar. Für Kampagnen mit festem Starttermin gehört das in die Rückwärtsplanung.
Wer bei den Fragen 1 bis 3 bei einem gepflegten Bestandskundensegment landet, das bei der Erhebung sauber informiert wurde, hat den unkompliziertesten Fall. Wer bei einer zugekauften oder angereicherten Liste landet, hat den Fall, für den das erste EDPB-Beispiel geschrieben wurde.
Was das für die Listenpflege heißt
Aus den Schwellen folgt eine Arbeitsweise, die sich von der üblichen unterscheidet.
Die Liste wird nach Erhebungskontext segmentiert, nicht nach Firmengröße. Für die Abwägung ist entscheidend, was der Person gesagt wurde, als ihre Adresse erfasst wurde. Wer Segmente nach Erhebungsquelle führt — Bestandskunde mit Hinweis, Inbound-Anfrage, Messekontakt, angereichert — kann Frage 2 und 3 pro Segment beantworten statt pro Einzelfall. Das ist der einzige Schnitt, der die rechtliche Prüfung skalierbar macht.
Die Match-Rate wird gemessen und protokolliert, nicht geschätzt. Beim Upload sind beide Zahlen sichtbar: hochgeladene Zeilen und gematchte Konten. Wer sie je Segment notiert, hat nach drei Uploads eine belastbare eigene Kennzahl — und braucht keine fremde mehr.
Die Alterung wird am Wiederholungs-Upload gemessen. Dieselbe Liste nach einem definierten Abstand erneut hochladen und die gematchten Konten vergleichen. Das ist der einzige Weg zu einer Verfallsrate, die für den eigenen Bestand gilt.
Die 20-MB-Grenze wird zum Segmentierungsanlass, nicht zum Problem. 300.000 Datensätze je Upload sind für die meisten DACH-Zielgruppen ohnehin jenseits des relevanten Marktes. Wer dagegenläuft, hat in der Regel kein Größenproblem, sondern ein Zuschnittproblem.
Kein Rechtsrat. Dieser Text ordnet öffentlich zugängliche Leitlinien und Rechtsprechung ein und ersetzt keine rechtliche Beratung im Einzelfall. Die Bewertung hängt an Ihrem konkreten Erhebungskontext; für verbindliche Auskünfte ziehen Sie anwaltlichen Rat hinzu. Nutzung auf eigenes Risiko.
Welcher Kanal welche Einwilligung braucht — E-Mail, Telefon, LinkedIn, Post — steht gebündelt in unserer Kanalmatrix zur werblichen Ansprache. Wie sich ein Zielsegment aus gewonnenen Deals statt aus Vermutungen ableiten lässt, steht in ICP aus Closed-Won ableiten.
Wenn Sie Zielgruppen, Listenpflege und Kampagnensteuerung lieber an einem Ort führen als über vier Werkzeuge verteilt: GTM Goat lässt sich vier Wochen kostenlos testen.
Quellen
- Europäischer Datenschutzausschuss, Guidelines 8/2020 on the targeting of social media users, Version 2.1, 7. Juli 2021 — Abschnitt 5.2.2 (listenbasiertes Targeting), Rollen, Rechtsgrundlage und Verantwortungsverteilung
- EuGH, Rechtssache C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein gegen Wirtschaftsakademie Schleswig-Holstein GmbH, Urteil vom 5. Juni 2018 — gemeinsame Verantwortlichkeit bei Facebook-Fanpages
- EuGH, Rechtssache C-40/17, Fashion ID GmbH & Co. KG gegen Verbraucherzentrale NRW e.V., Urteil vom 29. Juli 2019 — gemeinsame Verantwortlichkeit bei eingebundenen Social-Plugins
- LinkedIn Marketing Solutions Help, Contact list targeting in Campaign Manager — Schwellenwerte, Formate und Verarbeitungsdauer
- LinkedIn Marketing Solutions Help, Requirements for company targeting lists — Schwellenwerte für Firmenlisten
Häufige Fragen
Wie viele Kontakte braucht eine LinkedIn-Kontaktliste mindestens?
Es sind zwei verschiedene Schwellen, und das ist die häufigste Verwechslung. Für den Upload selbst verlangt LinkedIn mindestens 300 Zeilen. Damit eine Kampagne tatsächlich ausgeliefert wird, müssen davon mindestens 300 Mitgliedskonten gematcht werden — unabhängig davon, wie viele E-Mail-Adressen in der Liste stehen. Eine Liste mit exakt 300 Zeilen kann also erfolgreich hochgeladen werden und trotzdem nie ausliefern, weil nie alle 300 matchen.
Wie groß sollte die Liste realistisch sein?
LinkedIn empfiehlt in der eigenen Dokumentation mindestens 10.000 E-Mail-Adressen, um die 300 gematchten Konten zuverlässig zu erreichen. Legt man beide Zahlen nebeneinander, ist das die Planungsannahme des Anbieters selbst: 300 von 10.000 sind drei Prozent. Das ist keine gemessene Match-Rate, sondern die konservative Untergrenze, mit der LinkedIn plant — die eigene Rate liegt in der Regel darüber, aber sie ist der Wert, den man messen und nicht schätzen sollte.
Ändert das Hashing der E-Mail-Adressen etwas an der DSGVO-Pflicht?
An der Rechtsgrundlage nichts. Ein SHA-256-Hash einer E-Mail-Adresse ist ein pseudonymer Identifikator, kein anonymer: Er ist genau dafür gebaut, wiedererkannt und einer Person zugeordnet zu werden — das ist der Zweck des Abgleichs. Die Verarbeitung bleibt damit eine Verarbeitung personenbezogener Daten. Hashing ist eine technische Schutzmaßnahme, die in die Abwägung einfließen kann; eine fehlende Rechtsgrundlage ersetzt es nicht.
Wer ist datenschutzrechtlich verantwortlich, wenn ich eine Liste hochlade?
Beide — Sie und LinkedIn, als gemeinsam Verantwortliche. Der Europäische Datenschutzausschuss stellt in den Leitlinien 8/2020 ausdrücklich fest, dass beim listenbasierten Targeting gemeinsame Verantwortlichkeit zwischen Targeter und Plattform besteht, und zwar für das Hochladen der Identifikatoren, den Abgleich, die Auswahl der Targeting-Kriterien, die Auslieferung und das Reporting. Daraus folgt die Pflicht zu einer Vereinbarung nach Art. 26 DSGVO. Die ursprüngliche Erhebung der Adressen bleibt dagegen Ihre alleinige Verantwortung.
Trägt ein berechtigtes Interesse den Upload einer Kundenliste?
Manchmal — und die EDPB-Leitlinien liefern dafür zwei Beispiele, die sich gut als Test lesen lassen. Gegen ein berechtigtes Interesse spricht der Fall, in dem jemand nur einmal Kontakt aufgenommen und danach ausdrücklich abgesagt hat und dessen Adresse trotzdem für das gesamte Leistungsspektrum bespielt wird: Dafür fehlt die vernünftige Erwartung. Dafür spricht der Fall, in dem die Person bereits Kundin ist, bei der Erhebung über genau diese Nutzung informiert wurde, die Werbung sich auf ähnliche Leistungen bezieht und ein Widerspruch von Anfang an möglich war.
Reicht es, die Datenschutzerklärung entsprechend zu ergänzen?
Nein, und das ist ein feiner, aber folgenreicher Punkt der Leitlinien: Die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO und die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO sind zwei verschiedene Pflichten. Der Ausschuss stellt ausdrücklich klar, dass die bloße Erfüllung der Informationspflichten keine Transparenzmaßnahme ist, die in der Abwägung zugunsten des Verantwortlichen zählt. Wer nur die Datenschutzerklärung ergänzt, hat eine Pflicht erfüllt, nicht die Abwägung gewonnen.