Ist Kaltakquise per E-Mail legal? § 7 UWG und DSGVO

Dieser Artikel ist allgemeine Information und keine Rechtsberatung. Werbe- und Datenschutzrecht unterscheiden sich von Land zu Land, ändern sich laufend und hängen von den Besonderheiten Ihres Unternehmens, Ihrer Kontaktliste und Ihrer Nachricht ab. Lassen Sie Ihr Vorhaben vor jeder Kaltakquise-Kampagne von einer qualifizierten Anwältin oder einem Anwalt in jedem Zielmarkt prüfen.

„Ist Kaltakquise per E-Mail legal?" ist die falsche Frage, denn die Antwort hängt vollständig davon ab, wo die Empfängerin oder der Empfänger sitzt. In Deutschland ist dieselbe E-Mail ohne vorherige Einwilligung mit hoher Wahrscheinlichkeit unzulässig. In den USA ist sie standardmäßig zulässig, solange Sie ehrlich auftreten und eine funktionierende Abmeldung anbieten. In Frankreich ist die Ansprache einer beruflichen Adresse zu beruflichen Themen in der Regel mit Widerspruchsmöglichkeit akzeptabel. Eine E-Mail, drei sehr unterschiedliche Rechtslagen.

Dieser Leitfaden geht die wichtigsten Regime in verständlicher Sprache durch: was im B2B tatsächlich gilt, wo Ausnahmen bestehen, welche Abmeldepflichten Sie treffen und welche Praktiken wirklich in einer Grauzone liegen statt eindeutig sicher zu sein.

Deutschland: § 7 UWG ist die entscheidende Norm

Deutschland ist der strengste große Markt Europas für Werbe-E-Mails, und der Grund liegt nicht im Datenschutzrecht, sondern im Wettbewerbsrecht. § 7 UWG behandelt Werbung, die gegen den erkennbaren Willen des Adressaten erfolgt, als unzumutbare Belästigung. Für Werbung per elektronischer Post gilt dabei ein besonders strenger Maßstab: Sie ist grundsätzlich nur mit vorheriger ausdrücklicher Einwilligung des Adressaten zulässig.

Entscheidend und international oft missverstanden: Diese Anforderung gilt in der deutschen Praxis auch gegenüber gewerblichen Empfängern. Anders als in Frankreich oder den Niederlanden gibt es keine allgemeine B2B-Ausnahme, die Kaltakquise per E-Mail an Unternehmen freistellen würde. Die verbreitete Annahme, „B2B ist in Deutschland erlaubt", ist so nicht haltbar.

Es gibt eine enge Ausnahme für Bestandskunden. Sie greift nur, wenn alle Voraussetzungen zusammen erfüllt sind: Sie haben die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden selbst erhalten, Sie bewerben eigene ähnliche Waren oder Dienstleistungen, die Kundin hat nicht widersprochen, und sie wird bei Erhebung und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass sie der Nutzung jederzeit widersprechen kann, ohne dass dafür andere als Übermittlungskosten entstehen. Fällt eine dieser Voraussetzungen weg, greift die Ausnahme nicht.

Praktisch bedeutet das: Kalte Werbe-E-Mails nach Deutschland ohne Einwilligung sind rechtlich riskant. Verstöße können nicht nur behördlich, sondern vor allem wettbewerbsrechtlich durch Mitbewerber und Verbände abgemahnt werden, was das eigentliche wirtschaftliche Risiko darstellt. Hinzu kommt die DSGVO als zweite Ebene für die Verarbeitung der personenbezogenen Daten selbst.

Was in Deutschland realistisch bleibt: Einwilligungsbasierte Listen, eingehende Anfragen, Telefonakquise gegenüber Unternehmen unter den Voraussetzungen des § 7 UWG (mutmaßliche Einwilligung – ein eigener, ebenfalls enger Maßstab), Postwerbung, Messekontakte, Empfehlungen und Inbound-Marketing. Und die Ansprache über allgemeine Unternehmenskanäle wie ein Kontaktformular ist rechtlich nicht automatisch unproblematisch, wird in der Praxis aber anders bewertet als Massenversand an personalisierte Postfächer. Genau hier lohnt anwaltlicher Rat statt eines Blogbeitrags.

Zwei Familien von Regelungen

Fast jede Rechtsordnung gehört zu einem von zwei Lagern, und die Zuordnung erklärt schon den größten Teil.

• Opt-out-Regime. Die erste Werbenachricht darf ohne vorherige Erlaubnis versendet werden, sofern Sie sich ehrlich identifizieren, die Nachricht nicht tarnen und einen funktionierenden Abmeldeweg anbieten. Die USA sind das klarste Beispiel.
• Einwilligungsregime. Sie brauchen eine Rechtsgrundlage vor der ersten Nachricht: ausdrückliche Einwilligung, eine bestehende Geschäftsbeziehung oder – in der EU – berechtigte Interessen nach DSGVO in Kombination mit der nationalen Werberegel. Deutschland, Kanada und Russland liegen am strengen Ende.

Quer dazu verläuft eine zweite Unterscheidung: die Art der Adresse. Ein allgemeines Firmenpostfach (info@, einkauf@) wird vielerorts milder behandelt als eine personalisierte Adresse wie vorname.nachname@firma.de, weil letztere in fast allen Datenschutzgesetzen personenbezogene Daten einer identifizierbaren Person sind. In mehreren Ländern wiegt diese Unterscheidung schwerer als das Etikett B2B oder B2C.

Die übrige EU: DSGVO plus ePrivacy

Der häufigste Fehler ist die Annahme, „DSGVO-Konformität" beantworte die Frage für Europa. Sie ist nur die Hälfte. Zwei Ebenen greifen ineinander.

Ebene eins: die DSGVO

Die DSGVO regelt, ob Sie personenbezogene Daten überhaupt verarbeiten dürfen – Erheben einer personalisierten Arbeitsadresse, Speichern im CRM und Nutzung zur Ansprache sind allesamt Verarbeitung. Im B2B ist die übliche Rechtsgrundlage das berechtigte Interesse nach Art. 6 Abs. 1 lit. f; Direktwerbung wird in den Erwägungsgründen ausdrücklich als möglicherweise berechtigtes Interesse genannt. Das ist kein Freibrief: Erforderlich ist eine dokumentierte Interessenabwägung, in der Ihr Interesse konkret ist, die Verarbeitung erforderlich und verhältnismäßig, und die Rechte und vernünftigen Erwartungen der betroffenen Person nicht überwiegen.

Hinzu kommen Pflichten, die Sie nicht überspringen können: Transparenz (Art. 14 verlangt, über die Herkunft der Daten zu informieren, wenn sie nicht bei der Person selbst erhoben wurden), das absolute Widerspruchsrecht gegen Direktwerbung sowie Auskunfts- und Löschrechte. Wichtig für den deutschen Kontext: Selbst wenn Ihre DSGVO-Abwägung sauber ist, ersetzt sie die Einwilligung nach § 7 UWG nicht. Beide Ebenen müssen erfüllt sein.

Ebene zwei: ePrivacy, national unterschiedlich umgesetzt

Die ePrivacy-Richtlinie regelt unerbetene elektronische Kommunikation und ist eine Richtlinie, weshalb jeder Mitgliedstaat eigenes Recht geschaffen hat. Grundregel ist vorherige Einwilligung für Werbe-E-Mails an natürliche Personen, mit einer Bestandskundenausnahme. Der Umgang mit juristischen Personen blieb den Staaten überlassen – mit sehr unterschiedlichen Ergebnissen:

• Frankreich ist deutlich praktikabler für B2B. Die veröffentlichte Position der CNIL: Eine berufstätige Person darf an ihrer beruflichen Adresse zu Themen ihrer beruflichen Funktion ohne vorherige Einwilligung angesprochen werden, sofern sie informiert wird und einen einfachen Weg zum Widerspruch erhält.
• Spanien ergänzt die DSGVO um das LSSI-CE: Werbe-E-Mails setzen grundsätzlich Einwilligung oder eine bestehende Vertragsbeziehung über ähnliche Produkte voraus, müssen als Werbung erkennbar sein und eine Abmeldung enthalten. Es existiert das nationale Ausschlussregister Lista Robinson.
• Niederlande, Irland und Belgien erlauben B2B-E-Mails an Firmenadressen mit Widerspruchsmöglichkeit unter lokalen Bedingungen. Italien wendet die DSGVO streng an und liegt näher an einem Einwilligungsmodell.

Fazit: Eine einheitliche EU-Regel für Kaltakquise gibt es nicht. Deckt Ihre Liste acht Länder ab, arbeiten Sie unter acht nationalen Umsetzungen. Nach Ländern segmentieren und je Segment die strengste geltende Regel anwenden ist der einzige verlässlich verteidigbare Ansatz.

Vereinigtes Königreich

Das UK behielt einen fast identischen Rahmen: UK GDPR plus PECR. Das Einwilligungserfordernis der PECR gilt für „individual subscribers" – Verbraucher, Einzelunternehmer und die meisten Personengesellschaften. E-Mails an Corporate Subscribers (Kapitalgesellschaften, Behörden) erfordern keine vorherige Einwilligung, doch die UK GDPR gilt weiterhin für Daten identifizierter Personen, sodass Transparenz und Widerspruchsbearbeitung Pflicht bleiben.

USA: CAN-SPAM

Der permissivste große Markt und der am häufigsten missverstandene. CAN-SPAM verlangt keine vorherige Einwilligung, weder im B2C noch im B2B, sondern Ehrlichkeit:

• Keine falschen oder irreführenden Kopfzeilen. Absender, Empfänger, Antwortadresse und Routing müssen den Versender korrekt ausweisen.
• Keine irreführenden Betreffzeilen.
• Kennzeichnung als Werbung, wenn es sich um Werbung handelt.
• Gültige physische Postanschrift des Unternehmens in der Nachricht.
• Klarer, funktionierender Abmeldemechanismus, mindestens 30 Tage nach Versand nutzbar, ohne Login, Gebühr oder zusätzliche Datenabfrage.
• Bearbeitung der Abmeldung binnen 10 Werktagen; kein Verkauf und keine Weitergabe der Adresse abgemeldeter Personen.

Zwei oft übersehene Punkte: Die Haftung trifft das Unternehmen, dessen Produkt beworben wird, nicht nur die versendende Agentur. Und einzelne Bundesstaaten haben eigene Regeln; Kaliforniens CCPA/CPRA regelt die zugrunde liegenden personenbezogenen Daten auch dann, wenn der Versand CAN-SPAM-konform ist.

Kanada: CASL

CASL erfasst kommerzielle elektronische Nachrichten, die nach Kanada gesendet oder dort abgerufen werden, und beruht auf Einwilligung. Erforderlich ist entweder ausdrückliche Einwilligung (dokumentiertes Opt-in) oder konkludente Einwilligung. Letztere entsteht nur in engen Fällen: eine bestehende Geschäftsbeziehung mit typischerweise zweijährigem Fenster ab dem Geschäft beziehungsweise sechs Monaten ab einer Anfrage; oder offensichtliche Veröffentlichung der Adresse ohne Hinweis, dass unerbetene Nachrichten unerwünscht sind, und inhaltliche Relevanz für die berufliche Rolle. Beide Bedingungen müssen vorliegen.

Jede Nachricht muss den Absender identifizieren, 60 Tage gültige Kontaktdaten enthalten und eine funktionierende Abmeldung bieten, die binnen 10 Werktagen umgesetzt wird. Die Beweislast für die Einwilligung liegt beim Versender.

Außerhalb Europas und Nordamerikas

Brasilien — LGPD

Die LGPD orientiert sich eng an der DSGVO, einschließlich berechtigter Interessen und strenger Transparenzpflichten. Ein eigenes Anti-Spam-Gesetz nach US-Vorbild existiert nicht; daneben stehen Verbraucherschutzrecht und Selbstregulierung. B2B auf Basis berechtigter Interessen ist grundsätzlich machbar, verlangt aber eine erklärbare Datenherkunft, klare Abmeldung und Bearbeitung von Betroffenenanfragen. Die Aufsicht ANPD wird zunehmend aktiver.

Indien — DPDP Act

Der Digital Personal Data Protection Act 2023 ist in einem Punkt strenger aufgebaut als die DSGVO: Er beruht auf Einwilligung plus einer engen Liste „legitimer Nutzungen" und kennt keine breite Rechtsgrundlage berechtigter Interessen europäischer Prägung. Berufliche Kontaktdaten einer identifizierten Person bleiben personenbezogene Daten. Ausführungsregeln und Durchsetzung werden schrittweise wirksam, die genauen Pflichten für B2B-Marketing sind noch in Bewegung. Konservativ gelesen: Einwilligung oder dokumentierte Vorbeziehung.

VAE und Saudi-Arabien

Das VAE-Bundesdatenschutzgesetz und das saudische PDPL sind einwilligungsorientiert und behandeln Direktwerbung ausdrücklich, in der Regel mit Einwilligungserfordernis und Abmeldemechanismus. In den VAE kommen die Freizonenregime DIFC und ADGM mit eigenen Gesetzen hinzu, sodass das anwendbare Recht vom Sitz des Empfängers abhängt. Die Regulierung wird eher strenger.

Russland

Zwei Gesetze greifen zusammen. Das Föderale Gesetz 152-FZ regelt personenbezogene Daten und verlangt eine Grundlage – praktisch Einwilligung – samt Lokalisierungspflichten. Daneben verbietet Art. 18 des Werbegesetzes die Verbreitung von Werbung über Telekommunikationsnetze ohne vorherige Einwilligung des Teilnehmers oder Adressaten und legt die Beweislast dem Werbenden auf.

Australien

Der Spam Act beruht auf Einwilligung, erkennt aber abgeleitete Einwilligung an, wenn eine Arbeitsadresse offensichtlich veröffentlicht und die Nachricht für die Rolle der Person relevant ist – strukturell ähnlich der kanadischen Regel.

Wo es tatsächlich Grauzonen gibt

Hier zählt Ehrlichkeit mehr als Selbstsicherheit. Mehrere gängige Praktiken sind ungeklärt statt eindeutig erlaubt:

• Massenhaftes Scraping personalisierter Arbeitsadressen für EU-Empfänger. Berechtigte Interessen tragen gezielte Ansprache, Massensammlung deutlich schlechter – „war öffentlich zugänglich" ist für sich genommen keine Rechtsgrundlage.
• Raten von Adressmustern (Ableiten von vorname.nachname@ aus einer Konvention). Sie erzeugen personenbezogene Daten durch Schlussfolgerung und können sich nicht auf Veröffentlichung berufen.
• Ob die Art.-14-Information in die erste E-Mail passt. Üblich ist ein kurzer Hinweis zur Datenherkunft plus Link zur Datenschutzerklärung; ob das die Pflicht in jedem Fall erfüllt, ist nicht abschließend geklärt.
• Nachrichten über LinkedIn und ähnliche Plattformen. Datenschutzrecht gilt für die Daten, die Plattform-AGB für Ihr Konto – und Kontosperren erfolgen unabhängig von der Rechtslage.
• Automatisches Anreichern gescrapter Kontakte. Das Zusammenführen von Quellen zu einem Personenprofil erhöht die Eingriffsintensität und wirkt in der Abwägung gegen Sie.

Wenn ein Anbieter behauptet, eines davon sei überall unstreitig zulässig, ist das ein Verkaufsargument, keine rechtliche Bewertung.

Praktische Compliance-Checkliste

All das macht Kaltakquise nicht unmöglich, sondern nachlässige Kaltakquise teuer. Das Folgende trägt über die meisten Regime hinweg:

1. Liste nach Ländern segmentieren und je Segment die strengste geltende Regel anwenden. Eine globale Policy nach dem permissivsten Markt ist der typische Fehlerfall.
2. Allgemeine Firmenadressen bevorzugen (info@, einkauf@) statt personalisierter Adressen in Einwilligungsregimen.
3. Vollständig identifizieren: echter Absendername, echtes Unternehmen, echte Anschrift, ehrliche Betreffzeile.
4. Funktionierende Abmeldung in jeder Nachricht – ein Klick oder eine Antwort, ohne Login, Gebühr oder Begründungsformular.
5. Abmeldungen schnell umsetzen. Gesetzliches Maximum oft 10 Werktage; Ziel ist sofort und automatisch.
6. Dauerhafte Sperrliste führen, die CRM-Wechsel, Tool-Migrationen und Re-Importe überlebt.
7. Herkunft jedes Kontakts dokumentieren – woher, wann, und warum Sie ihn für relevant hielten. Unter CASL, DSGVO und UWG müssen Sie erklären, nicht die Gegenseite.
8. Datenherkunft in der ersten Nachricht nennen und auf eine Datenschutzinformation verlinken.
9. Keine gescrapten personenbezogenen Adressen in Einwilligungsregimen – Deutschland, Kanada, Indien, Golfstaaten, Russland.
10. Volumen menschlich halten. Kleine, relevante, gut recherchierte Aussendungen sind rechtlich besser verteidigbar und wirtschaftlich wirksamer.

Ein Großteil davon ist schlicht gute Praxis: Eine saubere Liste relevanter Unternehmen mit dokumentierter Herkunft je Kontakt lässt sich leichter verteidigen und erhält mehr Antworten als ein Haufen gescrapter Adressen. Wer Listen aus Kartendaten, Handelsregistern und öffentlichen Unternehmenswebsites aufbaut, dem halten Werkzeuge wie JustLeadIt die Quelle jedes Datensatzes sichtbar – genau das, was Sie brauchen, wenn jemand nachfragt, woher Sie seine Daten haben.

Kurzfassung

In Deutschland ist Werbe-E-Mail ohne vorherige ausdrückliche Einwilligung nach § 7 UWG auch im B2B rechtlich riskant, mit nur enger Bestandskundenausnahme. In den USA ist sie bei Ehrlichkeit und echter Abmeldung zulässig. In Frankreich und den Niederlanden ist professionelle B2B-Ansprache mit Widerspruchsrecht praktikabel. Kanada, Indien, die Golfstaaten und Russland behandeln Sie als Einwilligungsmärkte. Überall gilt als Minimum: Transparenz, funktionierende Abmeldung, schnelle Sperrung und dokumentierte Datenherkunft – und überall ist anwaltlicher Rat für Ihren Zielmarkt mehr wert als ein Artikel, auch als dieser.