E-Mails an Unternehmen und GDPR: Der umfassende Leitfaden für 2026

Einleitung: Die Spielregeln, die Sie kennen müssen

Wenn Sie E-Mails an Unternehmen senden – sei es Cold E-Mails, Angebote oder Follow-ups – arbeiten Sie mit personenbezogenen Daten. Und das bedeutet, dass Sie unter das GDPR fallen.

Der erste Artikel dieser Serie erklärte das grundlegende Prinzip: B2B Cold E-Mails sind nicht verboten, aber sie haben Regeln. Dieser Artikel geht tiefer. Er zeigt Ihnen, wie ein vollständiger GDPR-konformer Outreach-Prozess aussieht – von der Datensammlung über das Versenden von E-Mails bis hin zur Bearbeitung von Antworten und der Datenlöschung.

Hinweis: Dieser Artikel ist eine informative Übersicht, kein rechtlicher Rat. Bei spezifischen rechtlichen Fragen konsultieren Sie bitte einen Experten.

1. Woher Sie Kontaktdaten von Unternehmen beziehen können

Nicht alle Datenquellen sind aus Sicht des GDPR gleichwertig. Es kommt darauf an, woher die Kontakte stammen.

Öffentlich zugängliche Quellen – geringes Risiko:

Handelsregister (Handelsregister, KRS, CEIDG, Firmenbuch, FinStat). Unternehmenswebsites (Kontaktseite, Impressum). Professionelle Profile (LinkedIn – öffentlich angezeigte Daten). Datenbanken von Handelskammern (WKO, IHK). Auszüge aus öffentlichen Registern.

Diese Quellen sind definitionsgemäß öffentlich – Unternehmen veröffentlichen sie freiwillig oder aufgrund gesetzlicher Verpflichtungen. Die Verarbeitung dieser Daten auf Grundlage berechtigter Interessen ist in den meisten Fällen gerechtfertigt.

Aggregierte Datenbanken – mittleres Risiko:

Plattformen, die Daten aus mehreren öffentlichen Quellen sammeln und überprüfen. DataSend.ai beispielsweise bezieht Daten aus Handelsregistern, öffentlichen Quellen und Unternehmenswebsites in 7 Ländern. Die Daten werden auf Zustellbarkeit und Aktualität überprüft.

Bei der Auswahl einer Datenbank stellen Sie sicher, dass der Anbieter die legitime Herkunft der Daten nachweisen kann und eine transparente Datenschutzrichtlinie hat.

Zweifelhafte Quellen – hohes Risiko:

Gekaufte Listen aus unbekannten Quellen. Scrapierte persönliche Profile ohne öffentlichen Kontext. Datenbanken, die aus Datenlecks stammen. Kontakte aus Quellen, bei denen der Anbieter die Herkunft nicht nachweisen kann.

Diese Quellen sollten Sie nicht verwenden – nicht nur wegen des GDPR, sondern auch wegen der Datenqualität (hohe Bounce-Rate, geringe Relevanz).

2. Welche Daten Sie verarbeiten dürfen und wofür

Das GDPR verlangt, dass Sie nur die Daten verarbeiten, die Sie tatsächlich für den jeweiligen Zweck benötigen (Datenminimierungsprinzip).

Für B2B-Outreach benötigen Sie typischerweise:

Name der Kontaktperson. Position/Rolle im Unternehmen. Firmen-E-Mail. Unternehmensname. Branche und Region (zur Personalisierung).

Sie benötigen nicht (und sollten nicht sammeln):

Private Telefonnummern (privat, nicht geschäftlich). Private E-Mail-Adressen. Daten über das Privatleben der Person. Jegliche Daten, die nicht im beruflichen Kontext stehen.

Der Zweck der Verarbeitung muss klar sein: Sie kontaktieren die Person, um eine relevante B2B-Dienstleistung in ihrer beruflichen Funktion anzubieten. Nicht zu Marketingzwecken für Konsumgüter, nicht zur Profilierung und nicht zum Verkauf von Daten an Dritte.

3. Wie man berechtigtes Interesse dokumentiert

Das GDPR verlangt nicht, dass Sie das berechtigte Interesse irgendwo melden oder registrieren. Es verlangt, dass Sie es nachweisen können – falls jemand fragt.

Einfache Dokumentation des berechtigten Interesses:

Notieren Sie:

Wer Sie sind und was Sie anbieten. „Wir sind eine Marketingagentur, die sich auf Google Ads für Online-Shops spezialisiert hat."

Wen Sie kontaktieren und warum. „Wir kontaktieren Marketingmanager und Eigentümer von Online-Shops mit einem Umsatz von über 100.000 €, da unser Service für sie direkt relevant ist."

Woher Sie die Daten haben. „Die Kontaktdaten stammen von der Plattform DataSend.ai, die aus öffentlich zugänglichen Quellen und Handelsregistern schöpft."

Wie Sie die Rechte der Empfänger schützen. „Jede E-Mail enthält unsere Kontaktdaten und die Möglichkeit, weitere Kommunikation abzulehnen. Anfragen zur Löschung bearbeiten wir umgehend."

Dies muss kein juristisches Dokument sein. Ein interner Nachweis reicht aus, der zeigt, dass Sie über das berechtigte Interesse nachgedacht haben und die Regeln einhalten.

4. Regeln für E-Mail-Kampagnen

Sobald Sie Daten aus einer legitimen Quelle und dokumentiertes berechtigtes Interesse haben, muss die Kampagne mehrere Bedingungen erfüllen:

Personalisierung und Relevanz.

Die E-Mail muss für den Empfänger relevant sein. Keine gleiche Nachricht für alle, sondern eine Nachricht, die zeigt, dass Sie wissen, an wen Sie schreiben und warum. Die KI-Personalisierung in DataSend.ai – Variablen wie Branche, Stadt und Unternehmenswebsite – helfen sicherzustellen, dass jede E-Mail kontextbezogen und relevant ist.

Identifikation des Absenders.

Der Empfänger muss wissen, wer ihm schreibt. Ihr Name, Unternehmen und Kontaktdaten müssen in der E-Mail enthalten sein. Keine anonymen Ansprachen.

Option zum Ablehnen.

Der Empfänger muss eine einfache Möglichkeit haben, die Kommunikation zu stoppen. In einer Cold E-Mail bedeutet dies normalerweise die Möglichkeit, mit „Ich habe kein Interesse" zu antworten oder einen kurzen Satz am Ende der E-Mail: „Wenn Sie nicht möchten, dass ich Sie kontaktiere, lassen Sie es mich wissen, und ich respektiere das sofort."

Volumen und Frequenz.

Das GDPR regelt nicht direkt, wie viele E-Mails Sie senden dürfen. Aber ein übermäßiges Volumen (das Senden derselben E-Mail an dasselbe Unternehmen jede Woche, nachdem es nicht geantwortet hat) kann als Belästigung angesehen werden. Ein vernünftiger Ansatz: 3–5 E-Mails in einer Sequenz mit einigen Tagen Abstand. Wenn nach der gesamten Sequenz keine Antwort erfolgt, hören Sie auf.

5. Was mit Antworten (positiven und negativen) zu tun ist

Jede Antwort erfordert eine andere Reaktion aus Sicht des GDPR:

„Ja, senden Sie das Angebot." Sie haben Interesse – fahren Sie mit der Kommunikation fort. Das berechtigte Interesse ist durch die Antwort selbst bestätigt.

„Ich habe kein Interesse." Stoppen Sie die Kommunikation. Der Kontakt bleibt in der Datenbank, wird aber von zukünftigen Kampagnen ausgeschlossen.

„Ich habe kein Interesse, löschen Sie meine Daten." Stoppen Sie die Kommunikation und löschen Sie den Kontakt aus der Datenbank (oder anonymisieren Sie ihn). Bestätigen Sie die Löschung.

„Wie haben Sie meine Daten erhalten?" Antworten Sie transparent: „Ihre Kontaktdaten stammen aus öffentlich zugänglichen Quellen / aus einer Datenbank, die aus Handelsregistern und öffentlichen Quellen schöpft. Wenn Sie nicht kontaktiert werden möchten, respektiere ich das sofort."

In DataSend.ai kategorisiert Unibox automatisch Antworten – einschließlich „Nicht interessiert" und „Blacklist." Kontakte mit Ablehnungen werden automatisch von zukünftigen Kampagnen ausgeschlossen, sodass das Risiko, eine Person, die abgelehnt hat, erneut zu kontaktieren, minimiert wird.

6. Datenspeicherung: Wie lange Sie Kontakte aufbewahren dürfen

Das GDPR verlangt, dass Sie personenbezogene Daten nur so lange aufbewahren, wie es für den jeweiligen Zweck erforderlich ist (Prinzip der begrenzten Speicherung).

Für B2B-Outreach bedeutet dies:

Wenn Sie ein Unternehmen kontaktiert haben und keine Antwort erhalten haben – die Aufbewahrung des Kontakts für zukünftige Ansprache ist für einen angemessenen Zeitraum gerechtfertigt. Was ist „angemessen"? Es gibt kein genaues gesetzliches Limit, aber eine gängige Praxis ist 6–12 Monate nach dem letzten Kontakt.

Wenn das Unternehmen ausdrücklich die Kommunikation abgelehnt hat – müssen Sie die Daten sofort löschen oder anonymisieren (oder sie ausschließlich zu Blacklist-Zwecken aufbewahren – um es nicht erneut zu kontaktieren).

Wenn das Unternehmen in aktiver Kommunikation oder in der Pipeline ist – ist die Aufbewahrung während der gesamten Dauer der Geschäftsbeziehung gerechtfertigt.

7. Was, wenn Sie in mehreren Ländern tätig sind

Wenn Sie Unternehmen in Deutschland, Österreich, Polen, der Schweiz, Tschechien, der Slowakei oder Ungarn ansprechen, müssen Sie damit rechnen, dass jedes Land seine eigene Umsetzung der ePrivacy-Richtlinie hat.

Praktischer Ansatz:

Halten Sie sich an den strengsten Standard (das deutsche UWG ist in der Regel der strengste). Personalisieren Sie E-Mails – eine relevante, personalisierte Nachricht entspricht den Regeln in allen Ländern. Identifizieren Sie sich in jeder E-Mail. Respektieren Sie Ablehnungen sofort. Dokumentieren Sie das berechtigte Interesse.

Wenn Sie dies einhalten, sind Sie in der sicheren Zone in ganz Mitteleuropa. DataSend.ai erleichtert Ihnen die Einhaltung dieser Regeln – KI-Personalisierung gewährleistet Relevanz, KI-Grammatikvariablen sorgen für die richtige Grammatik in 6 Sprachen, automatisches Blacklisting stellt sicher, dass abgelehnte Kontakte nicht erneut kontaktiert werden, und die transparente Herkunft der Daten aus öffentlichen Quellen erfüllt die Anforderungen an eine legitime Quelle.

8. Zusammenfassung: GDPR-konformer Outreach in 10 Punkten

1. Verwenden Sie Daten aus öffentlich zugänglichen und legitimen Quellen.

2. Verarbeiten Sie nur die Daten, die Sie wirklich benötigen.

3. Dokumentieren Sie Ihr berechtigtes Interesse.

4. Personalisieren Sie E-Mails – generischer Spam ist kein berechtigtes Interesse.

5. Identifizieren Sie sich in jeder E-Mail.

6. Stellen Sie eine einfache Möglichkeit zum Ablehnen bereit.

7. Respektieren Sie Ablehnungen sofort.

8. Löschen Sie Daten, wenn jemand darum bittet.

9. Bewahren Sie Daten nicht länger auf, als nötig.

10. Halten Sie sich an den strengsten Standard, wenn Sie in mehreren Ländern tätig sind.

Fazit: GDPR ist kein Problem – es ist ein Qualitätsstandard

Unternehmen, die das GDPR einhalten, senden keinen Spam. Sie senden relevante, personalisierte Nachrichten an Personen, die von ihrem Service profitieren könnten. Sie respektieren Ablehnungen. Und sie schützen Daten.

Das ist keine Einschränkung – das ist genau das, was guten Outreach ausmacht.

Wollen Sie Unternehmen GDPR-konform ansprechen? DataSend.ai – Daten aus öffentlichen Quellen, KI-Personalisierung, automatisches Blacklisting, transparente Herkunft der Daten. Datenbank, Kampagnen und Pipeline an einem Ort.

Jetzt kostenlos testen →