B2B-Kaltakquise per E-Mail: Was in vier EU-Ländern erlaubt ist

In Frankreich darf eine Akquise-E-Mail ohne vorherige Einwilligung an einen gewerblichen Empfänger gesendet werden, sofern sie dessen Tätigkeit betrifft, ihn informiert und ihm einen einfachen Widerspruch ermöglicht. Deutschland und Italien verlangen dagegen auch zwischen Unternehmen eine vorherige Einwilligung; Spanien nach Auffassung seiner Datenschutzbehörde ebenfalls, auch wenn diese Auslegung für allgemeine Adressen umstritten ist. Außerhalb der EU sind das Vereinigte Königreich und die USA offener, Kanada ist strenger.

Dieser Artikel dient der allgemeinen Information, Stand 13. Oktober 2026. Er stellt keine Rechtsberatung dar.

Welches Recht gilt, wenn man ein ausländisches Unternehmen anschreibt?

Der Reflex „Ich versende aus Frankreich, also gilt französisches Recht“ ist riskant. Die europäische E-Commerce-Richtlinie nimmt die Zulässigkeit nicht angeforderter kommerzieller Kommunikation per E-Mail vom Herkunftslandprinzip aus (Richtlinie 2000/31/EG, Anhang). Die vorsichtige Annahme besteht daher darin, die Regel des Empfängerlandes anzuwenden. Kanada sieht dies ausdrücklich vor: Sein Gesetz gilt für Nachrichten, die von Kanada aus abgerufen werden (Mystrika).

Zwei Begriffe kehren wieder. Das Widerspruchsprinzip (Opt-out) erlaubt den Versand, solange der Empfänger nicht widersprochen hat. Das Einwilligungsprinzip (Opt-in) verlangt eine vorherige, freiwillige und nachweisbare Zustimmung.

Was erlaubt Frankreich?

Die CNIL lässt B2B-Akquise auf Grundlage des berechtigten Interesses zu, wenn die Nachricht mit dem Beruf des Empfängers zusammenhängt, dieser informiert wurde und widersprechen kann; jede Nachricht muss den Absender erkennen lassen und eine einfache Möglichkeit bieten, weitere Zusendungen abzulehnen. Allgemeine Adressen juristischer Personen wie contact@ oder info@ unterliegen diesen Regeln nicht (CNIL, 10. Juni 2026).

Stammen die Adressen aus öffentlichen Quellen, ist die Quelle spätestens bei der ersten Kontaktaufnahme anzugeben (CNIL, 30. April 2020). Auch die Erhebung selbst wird kontrolliert: Am 5. Dezember 2024 verhängte die CNIL ein Bußgeld von 240.000 € gegen KASPR, das die Kontaktdaten von LinkedIn-Mitgliedern mit eingeschränkter Sichtbarkeit erhob und fünf Jahre lang speicherte, in einer Datenbank mit rund 160 Millionen Kontakten (CNIL, 19. Dezember 2024). Beim automatisierten Auslesen von Webseiten verlangt die CNIL unter anderem, robots.txt-Dateien und CAPTCHAs zu respektieren (CNIL, 19. Juni 2025).

Warum ist Deutschland am strengsten?

§ 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG) stuft jede E-Mail-Werbung ohne vorherige ausdrückliche und nachweisbare Einwilligung als unzumutbare Belästigung ein, zwischen Unternehmen ebenso wie gegenüber Verbrauchern; eine mutmaßliche Einwilligung genügt nicht (IHK). Die einzige Ausnahme betrifft Bestandskunden bei ähnlichen Produkten (IT-Recht Kanzlei).

Zwei Kanäle bleiben offen. Der B2B-Telefonanruf ist bei mutmaßlicher Einwilligung zulässig, wenn ein konkreter Bezug zur Tätigkeit des angerufenen Unternehmens besteht; der bloße Eintrag in einem Verzeichnis reicht nicht aus. Personalisierte Briefpost ist grundsätzlich erlaubt (IHK). Das Hauptrisiko ist zivilrechtlicher Natur: Wettbewerber oder Verbände können auf Unterlassung klagen (IT-Recht Kanzlei).

Was gilt in Italien und Spanien?

In Italien verlangt Art. 130 des Datenschutzkodex die vorherige Einwilligung des Empfängers. Der Garante hat klargestellt, dass diese Pflicht unabhängig von dessen Rechtsform gilt, ob natürliche oder juristische Person (Garante, 7. Mai 2015): Eine info@-Adresse bildet keine Ausnahme.

In Spanien verbietet Art. 21 LSSI kommerzielle E-Mails, die von den Empfängern weder angefordert noch ausdrücklich genehmigt wurden, außer bei einer früheren Vertragsbeziehung über ähnliche Produkte (BOE). Die AEPD wendet diese Regel auf juristische Personen an (AEPD, E/01415/2017). Ein im Mai 2026 veröffentlichter Leitfaden eines Softwareanbieters vertritt für allgemeine oder funktionsbezogene Adressen die gegenteilige Auffassung (Overloop); diese Position bindet die Behörde nicht. Ein nicht konformer Versand gilt als leichter Verstoß mit bis zu 30.000 €; ein Massenversand oder mehr als drei Nachrichten an denselben Empfänger innerhalb eines Jahres wird zum schweren Verstoß mit 30.001 bis 150.000 € (LSSI, Art. 38 und 39).

Und außerhalb der EU: Vereinigtes Königreich, USA, Kanada?

Im Vereinigten Königreich erlaubt die PECR-Verordnung, „Corporate Subscribers“ ohne Einwilligung anzuschreiben: Kapitalgesellschaften, schottische Personengesellschaften, LLPs und Behörden. Einzelunternehmer und bestimmte Personengesellschaften werden wie Privatpersonen behandelt. Der Absender muss sich zu erkennen geben und eine gültige Adresse für die Abmeldung angeben (ICO). Seit dem Data (Use and Access) Act 2025, der im Wesentlichen am 5. Februar 2026 in Kraft getreten ist, können PECR-Bußgelder bis zu 17,5 Mio. £ oder 4 % des weltweiten Umsatzes erreichen (Harper James, März 2026).

In den USA sieht der CAN-SPAM Act keine B2B-Ausnahme vor. Er schreibt korrekte Kopfzeilen, die Kennzeichnung als Werbung, eine gültige Postanschrift und die Bearbeitung von Abmeldungen binnen 10 Werktagen vor; die Strafe kann bis zu 53.088 $ pro nicht konformer E-Mail betragen (FTC).

In Kanada verlangt das Anti-Spam-Gesetz (CASL) eine ausdrückliche oder stillschweigende Einwilligung. Eine stillschweigende Einwilligung kann sich aus einer gut sichtbar veröffentlichten Adresse ohne Ablehnungsvermerk ergeben, wenn die Nachricht die Funktion des Empfängers betrifft (CRTC). Die Verwaltungssanktionen reichen für ein Unternehmen bis zu 10 Mio. kanadische Dollar pro Verstoß (Mystrika).

Welche Regelung gilt in welchem Land?

Welche Zustellbarkeitsregeln kommen zum Recht hinzu?

Auch ein rechtmäßiger Versand kann unsichtbar bleiben. Google verlangt von allen Absendern, in den Postmaster Tools eine Spam-Rate unter 0,3 % einzuhalten, und empfiehlt, unter 0,1 % zu bleiben. Ab 5.000 Nachrichten pro Tag an Gmail verlangt Google zudem SPF, DKIM, DMARC und eine Abmeldung mit einem Klick (Google).

Microsoft schreibt seit dem 5. Mai 2025 Domains, die mehr als 5.000 Nachrichten pro Tag an Outlook.com, Hotmail und Live senden, die Veröffentlichung von SPF, DKIM und DMARC vor; nicht konforme Nachrichten landen zunächst im Junk-Ordner (Microsoft, 2. April 2025). Eine gezielte, kurze und nützliche Nachricht begrenzt Spam-Meldungen, die sich auf die gesamte Versanddomain auswirken.

Wie baut man eine Akquiseliste risikoarm auf?

Unternehmensdaten (Firmenname, Tätigkeit, Website) sind keine personenbezogenen Daten; Namen und personalisierte Adressen dagegen schon. Drei Regeln verringern das Risiko:

1. Weiterverwendbare Quellen wählen. Die Nutzungsbedingungen einer Website können das Auslesen untersagen, selbst bei einer nicht geschützten Datenbank (EuGH, 15. Januar 2015). LinkedIn verbietet automatisierte Tools zum Auslesen und Versenden (LinkedIn).
2. Informieren und die Speicherdauer begrenzen. In Spanien verhängte die AEPD 2025 ein Bußgeld von 1,8 Mio. € gegen Informa D&B, weil das Unternehmen ohne Rechtsgrundlage und ohne Information die Daten von 1,6 Millionen Einzelunternehmern aus einem öffentlichen Verzeichnis verarbeitet hatte (PPC Land).
3. Eine gemeinsame Sperrliste führen, die für alle Kampagnen gilt und in jedem Land angewendet wird.

Frankreich bleibt das einzige der vier Länder, in dem der B2B-Versand ohne vorherige Einwilligung eindeutig zulässig ist. In Deutschland, Italien und Spanien läuft der Erstkontakt über andere Kanäle: Messen, Briefpost, Inhalte, die den Interessenten dazu bewegen, seine Einwilligung zu geben.