B2B-acquisitie per e-mail: wat is toegestaan in Frankrijk, Duitsland, Spanje en Italië?

In Frankrijk mag een acquisitiemail zonder voorafgaande toestemming naar een professional worden verstuurd, mits het bericht betrekking heeft op diens werkzaamheden, de ontvanger informeert en hem in staat stelt eenvoudig bezwaar te maken. Duitsland en Italië eisen daarentegen voorafgaande toestemming, ook tussen bedrijven; Spanje eveneens, volgens de eigen gegevensbeschermingsautoriteit, al wordt die lezing voor generieke adressen betwist. Buiten de EU zijn het Verenigd Koninkrijk en de Verenigde Staten ruimer, Canada strenger.

Dit artikel bevat algemene informatie, bijgewerkt tot 13 oktober 2026. Het vormt geen juridisch advies.

Welk recht is van toepassing wanneer u een buitenlands bedrijf aanschrijft?

De reflex "ik verstuur vanuit Frankrijk, dus geldt het Franse recht" is riskant. De Europese richtlijn inzake elektronische handel sluit de toelaatbaarheid van ongevraagde commerciële communicatie per e-mail uit van het land-van-oorsprongbeginsel (richtlijn 2000/31/EG, bijlage). De voorzichtige aanname is daarom dat de regel van het land van de ontvanger geldt. Canada bepaalt dit uitdrukkelijk: de Canadese wet is van toepassing op berichten die vanuit Canada worden geopend (Mystrika).

Twee begrippen keren steeds terug. Het opt-outregime staat verzending toe zolang de ontvanger geen bezwaar heeft gemaakt. Het toestemmingsregime (opt-in) vereist voorafgaande, vrije en aantoonbare instemming.

Wat is toegestaan in Frankrijk?

De CNIL aanvaardt B2B-acquisitie op grond van het gerechtvaardigd belang wanneer het bericht verband houdt met het beroep van de ontvanger, deze is geïnformeerd en bezwaar kan maken; elk bericht moet de afzender vermelden en een eenvoudige manier bieden om verdere berichten te weigeren. Generieke adressen van rechtspersonen, zoals contact@ of info@, vallen niet onder deze regels (CNIL, 10 juni 2026).

Wanneer de adressen uit openbare bronnen afkomstig zijn, moet de bron uiterlijk bij de eerste communicatie worden vermeld (CNIL, 30 april 2020). Ook het verzamelen zelf wordt gecontroleerd: op 5 december 2024 legde de CNIL een boete van € 240.000 op aan KASPR, dat contactgegevens verzamelde van LinkedIn-leden die hun zichtbaarheid hadden beperkt en deze vijf jaar bewaarde, in een database van ongeveer 160 miljoen contacten (CNIL, 19 december 2024). Voor het scrapen van webpagina's vraagt de CNIL onder meer robots.txt-bestanden en CAPTCHA's te respecteren (CNIL, 19 juni 2025).

Waarom is Duitsland het strengst?

Artikel 7 van de wet tegen oneerlijke concurrentie (UWG) merkt elke reclame per e-mail die zonder voorafgaande, uitdrukkelijke en aantoonbare toestemming wordt verstuurd aan als ongewenste reclame, zowel tussen bedrijven als richting consumenten; veronderstelde toestemming volstaat niet (IHK). De enige uitzondering betreft bestaande klanten, voor vergelijkbare producten (IT-Recht Kanzlei).

Twee kanalen blijven open. Een B2B-telefoongesprek is toegestaan op basis van veronderstelde toestemming als er een concreet verband is met de activiteit van het gebelde bedrijf; een vermelding in een bedrijvengids alleen volstaat niet. Geadresseerde post op naam is in beginsel toegestaan (IHK). Het voornaamste risico is civielrechtelijk: concurrenten of verenigingen kunnen een verbodsvordering instellen (IT-Recht Kanzlei).

Wat zeggen Italië en Spanje?

In Italië vereist artikel 130 van de privacycode de voorafgaande toestemming van de ontvanger. De Garante heeft verduidelijkt dat deze verplichting geldt ongeacht diens rechtsvorm, natuurlijke persoon of rechtspersoon (Garante, 7 mei 2015): een info@-adres vormt geen uitzondering.

In Spanje verbiedt artikel 21 van de LSSI commerciële e-mails die niet door de ontvangers zijn gevraagd of uitdrukkelijk toegestaan, behalve bij een eerdere contractuele relatie over vergelijkbare producten (BOE). De AEPD past deze regel toe op rechtspersonen (AEPD, E/01415/2017). Een gids van een softwareleverancier, gepubliceerd in mei 2026, verdedigt het tegendeel voor generieke of functiegebonden adressen (Overloop): dat standpunt bindt de autoriteit niet. Een niet-conforme verzending is een lichte overtreding, tot € 30.000; een massale verzending, of meer dan drie berichten aan dezelfde ontvanger binnen een jaar, wordt een ernstige overtreding, van € 30.001 tot € 150.000 (LSSI, art. 38 en 39).

En buiten de EU: Verenigd Koninkrijk, Verenigde Staten, Canada?

In het Verenigd Koninkrijk staat de PECR-regeling toe zonder toestemming te schrijven aan "abonnees die rechtspersonen zijn": vennootschappen, Schotse personenvennootschappen, LLP's en overheidsinstanties. Eenmanszaken en bepaalde personenvennootschappen worden behandeld als particulieren. De afzender moet zich identificeren en een geldig adres verstrekken om zich af te melden (ICO). Sinds de Data (Use and Access) Act 2025, waarvan het grootste deel op 5 februari 2026 in werking is getreden, kunnen PECR-boetes oplopen tot £ 17,5 miljoen of 4% van de wereldwijde omzet (Harper James, maart 2026).

In de Verenigde Staten kent de CAN-SPAM Act geen B2B-uitzondering. De wet verplicht tot een correcte header, een vermelding dat het om reclame gaat, een geldig postadres en de verwerking van afmeldingen binnen 10 werkdagen, met een boete die kan oplopen tot $ 53.088 per niet-conforme e-mail (FTC).

In Canada vereist de antispamwet (CASL) uitdrukkelijke of stilzwijgende toestemming. Stilzwijgende toestemming kan voortvloeien uit een duidelijk zichtbaar gepubliceerd adres zonder weigeringsvermelding, als het bericht betrekking heeft op de functie van de ontvanger (CRTC). Administratieve sancties lopen voor een onderneming op tot 10 miljoen Canadese dollar per overtreding (Mystrika).

Welk regime geldt per land?

Welke deliverability-regels komen bovenop het recht?

Een rechtmatige verzending kan toch onzichtbaar blijven. Google vraagt alle afzenders een spampercentage onder 0,3% aan te houden in Postmaster Tools en beveelt aan onder 0,1% te blijven. Boven 5.000 berichten per dag naar Gmail eist Google bovendien SPF, DKIM, DMARC en afmelden met één klik (Google).

Microsoft verplicht sinds 5 mei 2025 domeinen die meer dan 5.000 berichten per dag naar Outlook.com, Hotmail en Live versturen om SPF, DKIM en DMARC te publiceren; niet-conforme berichten belanden eerst in de map ongewenste e-mail (Microsoft, 2 april 2025). Een gericht, kort en nuttig bericht beperkt het aantal meldingen, die op het hele verzenddomein drukken.

Hoe stelt u een acquisitiebestand zonder risico samen?

Bedrijfsgegevens (handelsnaam, activiteit, website) zijn geen persoonsgegevens; namen en persoonsgebonden adressen zijn dat wel. Drie regels beperken het risico:

1. Kies herbruikbare bronnen. De gebruiksvoorwaarden van een website kunnen extractie verbieden, zelfs van een niet-beschermde database (HvJ EU, 15 januari 2015). LinkedIn verbiedt geautomatiseerde tools voor extractie en verzending (LinkedIn).
2. Informeer en beperk de bewaartermijn. In Spanje legde de AEPD in 2025 een boete van € 1,8 miljoen op aan Informa D&B voor het zonder rechtsgrond en zonder informatie verwerken van de gegevens van 1,6 miljoen eenmanszaken uit een openbare registratie (PPC Land).
3. Houd één gemeenschappelijke bezwaarlijst bij voor alle campagnes, toegepast in elk land.

Frankrijk blijft het enige van de vier landen waar B2B-verzending zonder voorafgaande toestemming duidelijk is toegestaan. In Duitsland, Italië en Spanje verloopt het eerste contact via andere kanalen: beurzen, post en content die de prospect ertoe brengt zijn toestemming te geven.