Produktempfehlungen im B2B-Katalog: Regeln statt Zufall

Im B2B-Katalog bestellt der Einkäufer bekannte Artikel nach und ergänzt, was dazu passt. Die Auswertung dafür braucht keine neue Datensammlung; sie kommt aus dem Auftragsbestand. Ein gelerntes Modell ist die zweite Stufe; trainieren Sie es zusätzlich auf Ereignissen aus dem Sitzungsverlauf, sind das Daten, die Sie gesondert erheben und begründen müssen.

Worauf es im Geschäftskundenkatalog ankommt

Im Kundenkonto bestellt eine Person für ein Unternehmen. Das Konto trägt eigene Preise, Mindestmengen, Vertragsartikel und Sperren. Eine Empfehlung, die einen Artikel zu einem Preis zeigt, den dieser Kunde nicht erhält, oder unter seiner Mindestbestellmenge, erzeugt Rückfragen statt Bestellungen. Prüfen Sie jeden Vorschlag gegen die Preisliste des Kontos (Kundenspezifische Preise und Staffeln) und gegen die Bestellbedingungen.

Zwei Aufgaben tragen den Nutzen: Nachbestellung und Ergänzung. Für die Nachbestellung werten Sie aus, in welchem Abstand ein Konto denselben Artikel bestellt und welche Menge es dafür braucht. Für die Ergänzung verknüpfen Sie Artikel im Katalog, etwa Gerät und Verbrauchsmaterial oder Ersatzteil und Zubehör. Beides wirkt auch im Kundenportal und in einer Punchout-Sitzung (Punchout und E-Procurement).

Regelbasiert oder gelernt: Was die Variante braucht

Beide Wege liefern Vorschläge; sie unterscheiden sich im Datenbedarf und in der Pflege.

Merkmal	Regelbasiert	Gelernt (Variante mit Sitzungsereignissen)
Datenbasis	Artikelstammdaten, Bestellpositionen, Bestellabstände je Konto	dieselben Bestelldaten; zusätzlich Ereignisse im Konto, wenn das Modell darauf trainiert wird: Aufrufe, Suchen, Warenkörbe, Abbrüche
Erhebung	wertet den Auftragsbestand aus, den Sie für die Abwicklung führen	nutzt ebenfalls vorhandene Daten; die Ereignisprotokolle erheben Sie zusätzlich
Neues Konto oder neuer Artikel	Regel greift ab der ersten Bestellung; die Ergänzung kommt aus dem Katalog	die Ausgabe stützt sich auf das, womit das Modell trainiert ist; Merkmale zu neuen Artikeln kommen aus dem Katalog
Erklärbarkeit	in einem Satz beschreibbar und damit prüfbar	folgt aus Modellparametern; für Auskunft und Fehlersuche zu dokumentieren
Pflege	Nachfolgeartikel, Auslauf und Mindestmenge pflegen Sie am Artikel	Modell nachtrainieren; Ausgabe laufend gegen Stichproben prüfen
Prüfung	eine falsche Regel ist im Regelwerk benannt und dort zu korrigieren	prüfen Sie die Ausgabe in Stichproben und halten Sie Ergebnis und Kennzahl schriftlich fest

Die Spalte „Gelernt“ beschreibt die im Weiteren betrachtete Variante, die Ereignisse aus dem Kundenkonto verarbeitet; ein Modell, das nur mit Bestelldaten arbeitet, kommt mit denselben Daten aus wie das Regelwerk.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hält in ihrer Orientierungshilfe zu KI-Systemen (Version 1.0, Stand Juni 2025, Abschnitt 2.1.2) fest: Erreicht ein System dieselbe Funktion mit weniger personenbezogenen Daten, sollte es bevorzugt werden; die Zahl der Datenpunkte muss mit Zielsetzung und Verfahren begründet und die für ein Training nötige Menge vorab abgeschätzt werden. Zur Datenbasis gehört dort die ausdrückliche Frage, ob sich die Daten aus bereits vorhandenen Quellen beziehen lassen oder für den geplanten Zweck neu erhoben werden müssen. Die Orientierungshilfe ist Verwaltungshinweis, kein Gesetz. Für den Katalog folgt daraus: Beginnen Sie mit Regeln aus Bestelldaten und erweitern Sie erst dann auf Ereignisdaten, wenn Zweck und Menge das tragen.

Ein Rechenbeispiel

Die Zahlen sind erfundene Annahmen einer Beispielrechnung.

Angabe	Rechnung	Wert
Bestellungen im Jahr	Annahme	300
Positionen je Bestellung	Annahme	6
Positionen im Jahr	300 × 6	1.800
Positionen mit Wiederholung (Artikel, den dasselbe Konto schon zweimal bestellt hat)	23 Prozent	414
Ereignisse je Position (nur Variante mit Sitzungsereignissen)	Annahme	30
Ereignisse im Jahr	1.800 × 30	54.000
Ereignisse je Konto bei 40 Konten	54.000 ÷ 40	1.350

Eine Nachbestellregel braucht nur die Auftragsdaten: 414 der 1.800 Positionen tragen einen Vorschlag. Die Variante mit Sitzungsereignissen müsste 54.000 Ereignisse im Jahr verbinden, speichern und begründen können; trainieren Sie das Modell nur mit den Bestelldaten, fällt diese Menge weg. Prüfen Sie vor der Entscheidung, ob so viele Ereignisse im Betrieb überhaupt entstehen und ob sie gegenüber den vorhandenen Bestelldaten erforderlich sind.

Wann Empfehlungen unter das Datenschutzrecht fallen

Daten einer juristischen Person sind für sich genommen keine personenbezogenen Daten. Personenbezogen wird ein Datensatz, sobald er sich auf eine bestimmte oder bestimmbare natürliche Person bezieht (Art. 4 Nr. 1 DSGVO) — die bestellende Person, ein benannter Ansprechpartner. Bewerten Sie mit solchen Daten Vorlieben, Interessen oder Verhalten automatisiert, ist das Profiling (Art. 4 Nr. 4 DSGVO). In Deutschland und Österreich gilt die Verordnung unmittelbar ab dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).

Die Auftragsabwicklung trägt die Auswertung nur, wenn die betroffene Person selbst Vertragspartei ist (Art. 6 Abs. 1 Buchst. b DSGVO); bei einem angestellten Einkäufer ist sie das nicht. Dann kommt ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO in Betracht, dessen Erforderlichkeit und Abwägung Sie dokumentieren; daneben bleiben die übrigen Bedingungen des Art. 6 Abs. 1 DSGVO möglich, insbesondere eine Einwilligung nach Buchst. a. Zweck, Rechtsgrundlage und bei Buchst. f die verfolgten berechtigten Interessen teilen Sie bei der Erhebung mit (Art. 13 Abs. 1 Buchst. c und d DSGVO). Erheben Sie nur, was der Zweck trägt, und löschen Sie die Daten, wenn er sie nicht mehr trägt (Art. 5 Abs. 1 Buchst. c und e DSGVO). Wollen Sie sie für einen neuen Zweck nutzen, etwa für Werbung, prüfen Sie die Vereinbarkeit mit dem Erhebungszweck (Art. 5 Abs. 1 Buchst. b und Art. 6 Abs. 4 DSGVO).

Was zusätzlich gilt: Werbung, Endgerät, Schweiz

Verschicken Sie Empfehlungen per E-Mail, ist das Direktwerbung. In Deutschland ist sie ohne vorherige ausdrückliche Einwilligung des Adressaten unzulässig (§ 7 Abs. 2 Nr. 2 UWG); die Einwilligung entfällt nur, wenn alle vier Voraussetzungen des § 7 Abs. 3 UWG zusammen vorliegen: die Adresse stammt aus dem Verkauf einer Ware oder Dienstleistung, die Werbung betrifft eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen, und er wird bei der Erhebung und bei jeder Verwendung klar und deutlich auf sein jederzeitiges Widerspruchsrecht hingewiesen. In Österreich gilt § 174 Abs. 3 TKG 2021; die Ausnahme nach Abs. 4 verlangt zusätzlich zur Kontaktinformation aus einem Verkauf oder einer Dienstleistung die Werbung für eigene ähnliche Produkte oder Dienstleistungen, eine kostenfreie und problemlose Ablehnungsmöglichkeit bei der Erhebung und bei jeder Übertragung sowie eine Ablehnung nicht von vornherein, insbesondere nicht durch Eintragung in die Liste nach § 7 Abs. 2 E-Commerce-Gesetz. Unabhängig davon erfasst der Widerspruch nach Art. 21 Abs. 2 DSGVO das mit der Werbung verbundene Profiling und wirkt sofort (Abs. 3); auf dieses Recht weisen Sie spätestens bei der ersten Kommunikation in verständlicher und von anderen Informationen getrennter Form hin (Abs. 4). Gegen eine Auswertung, die auf berechtigtem Interesse beruht, kann die Person ausserdem nach Art. 21 Abs. 1 DSGVO aus Gründen ihrer besonderen Situation widersprechen. Entscheidet das System selbst mit rechtlicher Wirkung, etwa über eine Sperre oder ein Kreditlimit, greift Art. 22 Abs. 1 DSGVO mit den Ausnahmen des Abs. 2 und der Information nach Art. 13 Abs. 2 Buchst. f DSGVO. Speichert Ihr System dafür Informationen im Endgerät des Kunden oder liest es sie dort, brauchen Sie in Deutschland und Österreich eine Einwilligung (§ 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021); ohne Einwilligung zulässig sind nur die Speicherung oder der Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht über ein Kommunikationsnetz ist, und der unbedingt erforderliche Zugriff für einen vom Kunden ausdrücklich gewünschten Dienst (§ 25 Abs. 2 TDDDG; § 165 Abs. 3 Satz 3 TKG 2021).

In der Schweiz gilt das DSG (SR 235.1, Konsolidierung Stand 7. Juli 2025). Profiling ist in Art. 5 lit. f DSG definiert; Daten juristischer Personen sind keine Personendaten (Art. 5 lit. a DSG). Die Bearbeitung muss verhältnismässig und für die Person erkennbar zweckgebunden sein (Art. 6 Abs. 2 und 3 DSG), die Person ist über Zweck und Empfänger zu informieren (Art. 19 Abs. 2 DSG), und eine Persönlichkeitsverletzung ist nur durch Einwilligung, überwiegendes Interesse oder Gesetz gerechtfertigt (Art. 31 Abs. 1 DSG). Für ein Profiling mit hohem Risiko muss die Einwilligung ausdrücklich erfolgen (Art. 6 Abs. 7 lit. b DSG); entscheidet das System selbst mit Rechtsfolge oder erheblicher Beeinträchtigung, ist das eine automatisierte Einzelentscheidung, über die Sie informieren müssen (Art. 21 Abs. 1 DSG). Diese Pflichten entfallen nach Art. 21 Abs. 3 DSG, wenn die Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags mit der betroffenen Person steht und ihrem Begehren stattgegeben wird oder wenn sie ausdrücklich in die automatisierte Entscheidung eingewilligt hat. Ein Schweizer Shop, der Kunden in der Union anspricht oder ihr Verhalten dort beobachtet, kann zusätzlich nach Art. 3 Abs. 2 DSGVO erfasst sein.

Typische Fehler

1. Preis und Bedingung nicht geprüft: Der Vorschlag zeigt einen Artikel, den das Konto so nicht oder erst ab höherer Menge bestellen kann.
2. Auslauf nicht gepflegt: Nachfolgeartikel und Auslauf stehen nur im Sortiment, nicht in der Vorschlagsregel, und der Vorschlag führt ins Leere.
3. Profiling ohne Rechtsgrundlage und ohne Information: Die Empfehlung bewertet Vorlieben einer Person, und die Datenschutzerklärung nennt den Zweck nicht (Deutschland und Österreich Art. 13 DSGVO, Schweiz Art. 19 Abs. 2 DSG) (Datenschutzerklärung im Onlineshop).
4. Ereignisse ohne Einwilligung im Endgerät des Kunden gespeichert: In Deutschland und Österreich fehlt dafür die Einwilligung (§ 25 Abs. 1 TDDDG; § 165 Abs. 3 TKG 2021), ausser in den Ausnahmefällen der Nachrichtenübertragung und des unbedingt erforderlichen Zugriffs für einen ausdrücklich gewünschten Dienst (§ 25 Abs. 2 TDDDG; § 165 Abs. 3 Satz 3 TKG 2021).
5. Werbe-E-Mail ohne Einwilligung verschickt: In Deutschland und Österreich ist die vorherige Einwilligung erforderlich (§ 7 Abs. 2 Nr. 2 UWG; § 174 Abs. 3 TKG 2021); die Bestandskundenausnahme trägt nur, wenn alle vier Voraussetzungen des § 7 Abs. 3 UWG beziehungsweise des § 174 Abs. 4 TKG 2021 zusammen erfüllt sind.
6. Erfolg nicht definiert: Ohne festgelegte Kennzahl lässt sich ein Modell nicht beurteilen; legen Sie vor dem Start fest, woran Sie es messen (redaktionelle Empfehlung).

So gehen Sie vor

1. Legen Sie das Ziel fest: Nachbestellung oder Ergänzung. Je Ziel brauchen Sie eine andere Datenbasis.
2. Bauen Sie die Regeln aus Bestelldaten: Bestellabstand und Menge je Konto und Artikel für die Nachbestellung, Zubehör und Verbrauchsmaterial aus dem Katalog für die Ergänzung.
3. Filtern Sie jeden Vorschlag gegen Kundenpreisliste, Mindestmenge, Verfügbarkeit und Sperren, bevor er erscheint.
4. Schreiben Sie den Datenbedarf auf: welche Felder und Ereignisse, wie lange gespeichert, wann gelöscht; das gehört in die Ausschreibung an das Shopsystem (KI-Funktionen im Shopsystem bewerten).
5. Halten Sie Rechtsgrundlage und Information fest: Deutschland und Österreich Art. 6 und Art. 13 DSGVO, Schweiz Art. 19 Abs. 2 DSG und für die Rechtfertigung Art. 30 und Art. 31 DSG. Für den Zugriff auf das Endgerät die Einwilligung nach § 25 Abs. 1 TDDDG oder § 165 Abs. 3 TKG 2021, ausgenommen die Fälle des § 25 Abs. 2 TDDDG und des § 165 Abs. 3 Satz 3 TKG 2021; für Empfehlungen per E-Mail prüfen Sie Einwilligung und Bestandskundenausnahme (§ 7 Abs. 2 Nr. 2 und Abs. 3 UWG; § 174 Abs. 3 und Abs. 4 TKG 2021).
6. Wechseln Sie erst auf ein gelerntes Modell, wenn Menge und Zweck die Ereignisdaten tragen, und prüfen Sie die Ausgabe danach in Stichproben.