Rémi Kokabi12. Oktober 20268 Min. Lesezeit
DSGVO-konforme Cold Email: Praxis-Checkliste für B2B-Teams (2026)
Ist Cold Email unter der DSGVO legal?
B2B-Cold-Email ist unter der DSGVO legal, wenn Sie sich auf berechtigtes Interesse stützen, Personen anschreiben, deren berufliche Rolle zu Ihrem Angebot passt, und in jeder Nachricht eine klare Abmeldemöglichkeit bieten. Das häufigste Missverständnis: Die DSGVO verbiete jede unaufgeforderte E-Mail-Kommunikation. Das stimmt nicht.
Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden und welche Rechtsgrundlage dafür bestehen muss. Cold Email an geschäftliche E-Mail-Adressen kann DSGVO-konform sein, wenn die richtige Rechtsgrundlage vorliegt und bestimmte Bedingungen erfüllt sind.
Welche Rechtsgrundlage ist das? Artikel 6 Absatz 1 Buchstabe f der DSGVO: das berechtigte Interesse. Damit dürfen personenbezogene Daten verarbeitet werden (einschließlich des Versands einer E-Mail an einen geschäftlichen Kontakt), wenn der Verantwortliche (der Absender) ein berechtigtes Interesse hat und dieses nicht durch die Rechte und Freiheiten der betroffenen Person (der Empfängerin oder des Empfängers) überwiegt.
Die Legalität ist allerdings an Bedingungen geknüpft. Sie haben Pflichten bei der Datenerhebung, beim Inhalt Ihrer E-Mails und beim Umgang mit Abmeldungen. Der Rest dieses Artikels geht jede dieser Pflichten im Detail durch.
Wie die DSGVO auf B2B-Cold-Outreach anwendbar ist
Auch wenn Sie ein Unternehmen kontaktieren, greift die DSGVO, denn Ihre E-Mail geht an eine Person. Die DSGVO gilt für die Verarbeitung personenbezogener Daten von natürlichen Personen („betroffene Personen") in der Europäischen Union, unabhängig davon, wo sich der Verantwortliche oder Auftragsverarbeiter befindet.
Eine namentliche Arbeits-E-Mail wie jane.smith@company.com gilt nach der DSGVO als personenbezogenes Datum. Das Erheben, Speichern und Anschreiben dieser Adresse ist „Verarbeitung". Eine generische Adresse wie info@company.com hingegen gilt in der Regel nicht als personenbezogenes Datum, da sie keine Einzelperson identifiziert.
Wenn Sie als US-Unternehmen Cold Emails an Interessierte in Deutschland senden, gilt die DSGVO für Ihre Verarbeitung deren personenbezogener Daten. Wenn Sie als britisches Unternehmen französische Interessierte anschreiben, gilt die DSGVO. Wo Ihr Unternehmen seinen Sitz hat, spielt keine Rolle. Wo die empfangende Person sitzt, schon.
Berechtigtes Interesse vs. Einwilligung im B2B-Prospecting
Die DSGVO verlangt nicht für jede Verarbeitung eine Einwilligung. Berechtigtes Interesse ist eine eigenständige, gleichwertige Rechtsgrundlage, die deutlich besser zu Cold Outreach passt als Einwilligung, denn eine Einwilligung muss vor dem Erstkontakt vorliegen, was bei Cold Email per Definition nicht möglich ist.
Wann greift berechtigtes Interesse konkret? Eine Cold Email an einen CFO eines Unternehmens zum Thema Finanzsoftware, gesendet an die geschäftliche E-Mail-Adresse, ist eine professionelle Kommunikation an eine Person in ihrer beruflichen Funktion. Ihr Angebot ist relevant für das, was diese Person tut. Genau das ist das Szenario, in dem berechtigtes Interesse standhält.
In diesen Fällen brauchen Sie eine Einwilligung:
Sie schreiben eine private E-Mail-Adresse an. Wenn Ihre Liste private E-Mail-Adressen enthält (Gmail, Yahoo, Hotmail) oder Sie Personen kontaktieren, die nicht in einer geschäftlichen Rolle handeln, benötigen Sie in der Regel eine ausdrückliche Einwilligung nach der DSGVO.
Ihr Outreach hat keinen Bezug zur Rolle der empfangenden Person. Gabelstapler-Ersatzteile an einen CMO zu pitchen, verletzt den Relevanzstandard, den berechtigtes Interesse voraussetzt.
Lokale Vorschriften verlangen es. Einige EU-Länder, insbesondere Deutschland, verlangen auch bei B2B-E-Mails ein Opt-in (Details weiter unten).
So führen Sie eine Interessenabwägung vor jeder Kampagne durch
Die DSGVO erwartet, dass Sie für jede Kampagne eine dokumentierte Interessenabwägung (Legitimate Interest Assessment, LIA) erstellen. Nicht als juristische Einreichung, sondern als interne schriftliche Aufzeichnung. Ein einmaliges Häkchen reicht nicht.
So funktioniert die Bewertung in der Praxis:
1. Definieren Sie das Ziel Ihres Outreach
Halten Sie das konkrete Geschäftsziel schriftlich fest. „Demos für unser Sales-Automation-Produkt bei VP Sales im SaaS-Bereich generieren" funktioniert. „Alle anschreiben, die wir finden können" nicht.
2. Bestätigen Sie, dass Cold Email für Ihr Ziel notwendig ist
Cold Email muss notwendig sein, um dieses Interesse zu verfolgen. Wenn Sie dasselbe Ergebnis ohne Verarbeitung personenbezogener Daten erreichen könnten, greift berechtigtes Interesse nicht. In den meisten B2B-Prospecting-Szenarien ist Cold Email eine praktische Notwendigkeit, weil Sie keine vorherige Einwilligung von jemandem einholen können, mit dem Sie noch nie gesprochen haben.
3. Wägen Sie Ihr Interesse gegen die Rechte der empfangenden Person ab
Ihre Interessen dürfen die Datenschutzrechte der betroffenen Person nicht überwiegen. Bei der Verarbeitung geschäftlicher Kontaktdaten ist der Spielraum in der Regel größer, weil beruflich genutzte E-Mail-Adressen geringere Datenschutzerwartungen mit sich bringen als private Daten. Wenn die E-Mail die empfangende Person überraschen oder beunruhigen würde, hält berechtigtes Interesse wahrscheinlich nicht stand.
4. Dokumentieren und archivieren Sie die Bewertung
Führen Sie für jede Kampagne eine schriftliche Aufzeichnung: Datum, ICP-Definition, Datenquelle und Ihre Begründung. Das ist Ihr Nachweis, falls jemals eine Beschwerde eingeht. Die teuerste Abkürzung, die B2B-Teams nehmen, ist das Überspringen der schriftlichen Interessenabwägung.
Was jede DSGVO-konforme Cold Email enthalten muss
Jede DSGVO-konforme Cold Email enthält einen Abmeldemechanismus, Ihre physische Adresse, die Absenderidentität und einen Link zu Ihrer Datenschutzerklärung. Hier die vollständige Liste:
Ihre echte Identität: Vollständiger Name und Firmenname, kein falsches Alias oder vager Absender
Warum Sie diese E-Mail senden: Ein kurzer, ehrlicher Grund mit Bezug zur Rolle oder zum Unternehmen der empfangenden Person
Woher Sie die Daten haben: Nennen Sie die Quelle (LinkedIn, ein Drittanbieter, Ihre Datenbank)
Ein funktionierender Abmeldelink: Ein-Klick-Abmeldung, die sofort wirksam ist
Ihre physische Geschäftsadresse: Vorgeschrieben durch die DSGVO und die meisten anderen E-Mail-Vorschriften
Ein Link zu Ihrer Datenschutzerklärung: Erläutert, wie Sie deren Daten verarbeiten und speichern
Tipp: lemlist fügt automatisch Abmeldelinks in jede Cold Email ein und synchronisiert Abmeldungen über alle Ihre Kampagnen und Absender hinweg, sodass niemand durch das Raster fällt.
Unterschiede auf Länderebene in der EU, die Cold Email betreffen
Die DSGVO ist die Basis, aber jeder EU-Mitgliedstaat setzt sie zusammen mit lokalen ePrivacy-Regeln um. Das führt zu echten Unterschieden, wie B2B-Cold-Email von Land zu Land aussieht.
Risikostufe | Länder | Zusammenfassung der Regeln |
|---|---|---|
Geringeres Risiko | UK, Irland, Schweden, Dänemark, Finnland | B2B-Opt-out-Modell bei Standardkonformität in der Regel akzeptiert |
Mittleres Risiko | Frankreich, Niederlande, Spanien, Italien | Berechtigtes Interesse akzeptiert mit dokumentierter Interessenabwägung und klarer Abmeldemöglichkeit |
Hohes Risiko | Deutschland, Österreich | Vorherige Einwilligung in der Regel auch bei B2B erforderlich |
Das deutsche UWG (Gesetz gegen den unlauteren Wettbewerb) verlangt für die meisten kommerziellen E-Mails eine vorherige Einwilligung, auch im B2B-Bereich. Kein Gesetz in Europa schreibt Double-Opt-in als Anforderung vor, auch die DSGVO nicht. Vorgeschrieben ist eine nachweisbare Einwilligung. Da die Beweislast beim Absender liegt, haben deutsche Gerichte Single-Opt-in als unzureichenden Nachweis eingestuft. Das macht Double-Opt-in dort zum De-facto-Standard.
Frankreich erlaubt B2B-Cold-Email unter berechtigtem Interesse grundsätzlich, wenn der Outreach klar mit der beruflichen Rolle der empfangenden Person zusammenhängt. Das macht es für Outbound-Teams praktikabler als in Deutschland, auch wenn dieselben Relevanz- und Transparenzregeln gelten.
Das UK steht außerhalb der EU, hat aber ein eng verwandtes Rahmenwerk. Die PECR enthält eine „Corporate Subscriber"-Ausnahme, die E-Mail-Adressen von Unternehmen (nicht von Einzelpersonen) flexibler behandelt. Das gibt B2B-Outreach mit UK-Zielgruppe etwas mehr Spielraum als in manchen EU-Ländern.
Die praktische Konsequenz: Wenn Ihr ICP (Ideal Customer Profile) deutsche oder österreichische Interessierte umfasst, planen Sie eine Opt-in-Erfassung über Content-Downloads, Webformulare oder Events ein, bevor Sie Cold Emails senden. Für den Großteil West- und Nordeuropas ist berechtigtes Interesse mit einer dokumentierten Interessenabwägung der Standardansatz.
DSGVO vs. CAN-SPAM vs. CASL bei Cold Email
Wenn Ihr Team regionsübergreifend Interessierte anschreibt, sollten Sie sich am strengsten geltenden Gesetz orientieren. So vergleichen sich die drei großen Rahmenwerke:
DSGVO (EU/EWR) | CAN-SPAM (USA) | CASL (Kanada) | |
|---|---|---|---|
Einwilligung erforderlich? | Berechtigtes Interesse oder Einwilligung | Keine vorherige Einwilligung | Ausdrückliche oder konkludente Einwilligung |
Abmeldung erforderlich? | Ja | Ja, innerhalb von 10 Werktagen | Ja |
Absenderidentifikation erforderlich? | Ja | Ja | Ja |
Offenlegung der Datenquelle? | Ja | Nein | Nein |
Höchststrafe | Bis zu 4 % des weltweiten Jahresumsatzes | Bis zu 51.744 $ pro E-Mail | Bis zu 10 Mio. CAD pro Verstoß |
Über die rechtliche Konformität hinaus setzen Inbox-Provider wie Google, Yahoo und Microsoft eigene Regeln durch. SPF-, DKIM- und DMARC-Authentifizierung, Beschwerdequoten-Schwellenwerte und One-Click-Unsubscribe-Header bestimmen mit, ob Ihre E-Mail im Posteingang oder im Spam-Ordner landet. Der Deliverability Hub von lemlist übernimmt diese Konfigurationen automatisch und überwacht die Mailbox-Gesundheit, damit Sie Probleme erkennen, bevor sie Ihre Öffnungsrate beeinträchtigen.
Häufige DSGVO-Fehler bei Cold Email im B2B
Die meisten DSGVO-Verstöße bei Cold Email entstehen durch operative Lücken, nicht durch böswilliges Verhalten. Diese Fehler treten am häufigsten auf:
Lücken in der Sperrliste: Eine Abmeldung von einer Domain führt trotzdem zu E-Mails von einer anderen Absenderdomain, die Sie betreiben. Zentralisieren Sie die Sperrliste über Ihren gesamten Outbound-Stack.
Berechtigtes Interesse als Freifahrtschein nutzen: Ohne eine dokumentierte Interessenabwägung pro Kampagne haben Sie bei einer Beschwerde keine Verteidigung.
Private E-Mail-Adressen anschreiben: E-Mails an gmail.com-, outlook.com- oder yahoo.com-Adressen deuten auf private Accounts hin, womit die B2B-Ausnahme in den meisten Rechtsordnungen entfällt.
Keine Aufbewahrungsrichtlinie: Interessentendaten unbefristet ohne Rechtsgrundlage oder dokumentierte Aufbewahrungsfrist zu speichern, schafft Haftungsrisiken. Bei Cold Email unter berechtigtem Interesse liegt die praktische Aufbewahrungsfrist bei 24 Monaten ohne jegliche Interaktion, bevor eine Sperrung erfolgt.
Fehlende Absenderidentifikation: Jede E-Mail sollte Ihren echten Namen, Ihr Unternehmen und eine Kontaktmöglichkeit enthalten. Vage Absenderzeilen laden zu Beschwerden ein.
So gehen Sie mit Abmeldungen und Löschanfragen um
Die DSGVO gibt Empfangenden zwei eigenständige Rechte: das Recht, keine E-Mails mehr zu erhalten (Abmeldung), und das Recht auf vollständige Löschung ihrer Daten nach Artikel 17.
Bei Abmeldungen sollten Sie innerhalb von 48 Stunden handeln. Die DSGVO nennt zwar keine exakte Frist, aber 48 Stunden sind der praktische Standard, um Beschwerden zu vermeiden. Die Abmeldung muss über jedes Tool und jede Person im Team hinweg greifen. Wenn eine Person die Abmeldung verarbeitet, aber eine andere denselben Kontakt aus einer anderen Sequenz anschreibt, liegt ein Verstoß vor.
Für Löschanfragen (auch „Recht auf Vergessenwerden") gibt die DSGVO Ihnen einen Monat zur Antwort. Löschung bedeutet: den Kontakt aus Ihrem CRM, Ihren Sequenzen, Enrichment-Tools und gespeicherten Listen entfernen und die Löschung dokumentieren.
Tipp: In lemlist synchronisieren sich Sperrlisten automatisch über alle Kampagnen und Absender. Wenn sich jemand aus einer Sequenz abmeldet, wird diese Person in jeder Sequenz blockiert, egal welche Mailbox oder Domain die ursprüngliche E-Mail gesendet hat.
Compliance-Checkliste vor dem Versand für B2B-Sales-Teams
Bevor Sie eine Cold-Email-Kampagne an EU-Interessierte starten, gehen Sie diese Liste durch:
☐ Interessenabwägung für diese Kampagne dokumentiert
☐ Datenquelle für jeden Kontakt bekannt und erfasst
☐ E-Mail enthält Absendername, Unternehmen und physische Adresse
☐ E-Mail erklärt, warum Sie sich melden
☐ Funktionierender Ein-Klick-Abmeldelink enthalten
☐ Link zur Datenschutzerklärung enthalten
☐ Sperrliste synchronisiert und aktuell
☐ Länderregeln der Empfangenden geprüft (Opt-in vs. Opt-out)
☐ E-Mail-Authentifizierung (SPF, DKIM, DMARC) konfiguriert
☐ Aufbewahrungsrichtlinie definiert und dokumentiert
DSGVO-konforme Cold Email skalierbar versenden
Compliance wird mit steigendem Volumen schwieriger, weil manuelle Prüfungen nicht mithalten. Die entscheidende Frage: Wie halten Sie all das oben Genannte ein, wenn Sie Dutzende Kampagnen mit Tausenden von Kontakten fahren?
Starten Sie mit verifizierten Daten. Eine Datenbank mit verifizierten E-Mails reduziert Bounces und schützt Ihre Absender-Reputation, was wiederum die Beschwerdequote niedrig hält. Die 600 Mio.+ Lead-Datenbank von lemlist liefert verifizierte E-Mail-Adressen durch Waterfall-Enrichment über mehr als 14 Datenanbieter, sodass Sie von Anfang an mit sauberen Daten arbeiten.
Dann automatisieren Sie die Compliance-Kontrollen. Integrierte Abmeldeverwaltung, zentrale Sperrlisten über alle Absender und Kampagnen, automatisches Authentifizierungs-Setup und Deliverability-Monitoring beseitigen die manuellen Schritte, an denen Compliance typischerweise scheitert.
Kostenlos starten und konformes Outbound von einer Plattform aus betreiben, mit einer 14-tägigen Testphase, keine Kreditkarte erforderlich.
Convert strategy into pipeline
Launch your first outbound campaign with verified leads, AI sequences, and multichannel outreach from one platform.