SPF, DKIM und DMARC gehören heute zur technischen Grundausstattung eines professionellen E-Mail-Versands. Sie helfen dabei, Absender zu authentifizieren, Manipulationen zu erkennen und Domain-Spoofing zu erschweren.
Doch eine technisch einwandfreie E-Mail kann trotzdem rechtlich problematisch sein. Gerade im B2B-Vertrieb hält sich eine Annahme hartnäckig: Wenn eine geschäftliche E-Mail-Adresse öffentlich auf einer Website steht, das beworbene Produkt zum Unternehmen passt und der Empfänger jederzeit widersprechen kann, dürfe man eine einzelne Akquise-E-Mail versenden.
So einfach ist es in Deutschland nicht.
Die Kurzantwort: Werbung per E-Mail setzt nach § 7 Abs. 2 Nr. 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung des Adressaten voraus. Das gilt nicht nur gegenüber Verbrauchern, sondern grundsätzlich auch im B2B-Bereich. Eine wichtige Ausnahme besteht für bestimmte Bestandskunden nach § 7 Abs. 3 UWG. Damit treffen beim E-Mail-Outreach zwei Ebenen aufeinander: die technische Sicherheit des Versands und seine rechtliche Zulässigkeit.
Technisch legitim ist nicht automatisch rechtlich zulässig
SPF beantwortet vereinfacht die Frage, welche Server für eine Domain E-Mails versenden dürfen. DKIM versieht Nachrichten mit einer kryptografischen Signatur. DMARC verbindet beide Verfahren und legt fest, wie Empfängersysteme mit nicht authentifizierten Nachrichten umgehen sollen. Wer die technische Seite vertiefen möchte, findet sie im bestehenden Burwitz-IT-Beitrag zu SPF, DKIM und DMARC ausführlich erklärt.
Diese Technologien können jedoch nicht beantworten, ob der Empfänger überhaupt werblich angeschrieben werden durfte. Eine perfekt authentifizierte Nachricht kann deshalb gleichzeitig einen SPF-Pass, eine gültige DKIM-Signatur und ein rechtliches Problem enthalten.
Das wird besonders relevant, seit immer mehr Unternehmen ihre Neukundenakquise automatisieren. CRM-Systeme, Lead-Datenbanken, Scraper und Outreach-Plattformen ermöglichen es, tausende Geschäftskontakte zu recherchieren, anzureichern und automatisiert anzuschreiben. Die technische Hürde sinkt – die rechtlichen Anforderungen verschwinden dadurch nicht.
Sind Cold E-Mails im B2B in Deutschland erlaubt?
Für Werbung mit elektronischer Post ist zunächst § 7 UWG entscheidend. Das Gesetz unterscheidet an dieser Stelle gerade nicht danach, ob die Werbe-E-Mail an einen Verbraucher oder an ein Unternehmen geschickt wird. § 7 Abs. 2 Nr. 2 UWG verlangt bei Werbung mittels elektronischer Post grundsätzlich eine vorherige ausdrückliche Einwilligung des Adressaten.
Das ist ein wichtiger Unterschied zur Telefonakquise: Bei Werbeanrufen unterscheidet das UWG zwischen Verbrauchern und sonstigen Marktteilnehmern. Gegenüber Unternehmen kann bei Telefonwerbung unter bestimmten Voraussetzungen eine sogenannte mutmaßliche Einwilligung ausreichen. Eine entsprechende allgemeine B2B-Ausnahme enthält die Regelung für E-Mail-Werbung nicht.
Für die Praxis bedeutet das: Die Aussage „Das Angebot passt offensichtlich zu diesem Unternehmen" ist bei einer Cold E-Mail nicht dasselbe wie eine vorherige ausdrückliche Einwilligung.
| Situation | Reicht grundsätzlich für eine Werbe-E-Mail? |
|---|---|
| E-Mail-Adresse steht öffentlich im Impressum | Nein |
| Empfänger ist ein Unternehmen | Nein |
| Produkt ist für die Branche relevant | Nein |
| E-Mail ist individuell formuliert | Nein |
| Es wird nur eine einzige E-Mail versendet | Nein |
| Abmeldelink bzw. Opt-out ist enthalten | Nein |
| Vorherige ausdrückliche Einwilligung liegt vor | Grundsätzlich ja |
| Voraussetzungen des § 7 Abs. 3 UWG sind vollständig erfüllt | Kann ohne separate Einwilligung zulässig sein |
Gerade der letzte Punkt ist relevant: Das Gesetz kennt eine konkrete Ausnahme für bestimmte Bestandskunden.
Wann greift die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG?
Unternehmen dürfen eine E-Mail-Adresse unter bestimmten Voraussetzungen für eigene Werbung verwenden, obwohl keine gesonderte Werbeeinwilligung eingeholt wurde. Dafür müssen nach § 7 Abs. 3 UWG mehrere Voraussetzungen gleichzeitig erfüllt sein:
Die Ausnahme ist damit deutlich enger, als der Begriff „Bestandskunde" zunächst vermuten lässt. Eine alte Adresse im CRM genügt beispielsweise nicht automatisch. Ebenso wenig reicht es aus, dass irgendwann irgendeine geschäftliche Beziehung bestanden hat. Entscheidend sind die konkreten Voraussetzungen des § 7 Abs. 3 UWG.
Auch die Datenschutzkonferenz weist darauf hin, dass ohne die Voraussetzungen dieser Bestandskundenregelung für die werbliche Nutzung von E-Mail-Adressen grundsätzlich eine Einwilligung erforderlich ist.
Bedeutet eine öffentliche E-Mail-Adresse eine Einwilligung?
Nein.
Dass ein Unternehmen eine Adresse wie einkauf@unternehmen.de, info@unternehmen.de oder die persönliche Adresse eines Mitarbeiters öffentlich nennt, bedeutet zunächst nur, dass diese Adresse für Kontaktaufnahmen veröffentlicht wurde. Daraus folgt nicht automatisch die Einwilligung in beliebige Werbung.
Das ist eine der häufigsten Fehlannahmen im automatisierten B2B-Outreach. Lead-Tools suchen öffentlich erreichbare Webseiten nach Ansprechpartnern und E-Mail-Adressen ab. Aus technischer Sicht ist danach ein erreichbarer Kontakt vorhanden. Das sagt aber noch nichts darüber aus, ob dieser Kontakt werblich genutzt werden darf.
„Öffentlich verfügbar" und „für Werbung freigegeben" sind zwei unterschiedliche Dinge.
Und was ist mit dem berechtigten Interesse nach der DSGVO?
Hier entsteht häufig die nächste Verwechslung. Erwägungsgrund 47 der DSGVO stellt klar, dass die Verarbeitung personenbezogener Daten für Direktwerbung grundsätzlich als einem berechtigten Interesse dienend betrachtet werden kann. Art. 6 Abs. 1 lit. f DSGVO erlaubt Datenverarbeitungen auf Grundlage berechtigter Interessen, wenn die erforderliche Interessenabwägung zugunsten des Verantwortlichen ausfällt.
Daraus wird gelegentlich die verkürzte Aussage abgeleitet: „B2B-Cold-E-Mail ist aufgrund berechtigten Interesses erlaubt." Das vermischt jedoch zwei verschiedene Prüfungen. Die DSGVO beschäftigt sich mit der Verarbeitung personenbezogener Daten. Das UWG regelt unter anderem, unter welchen Voraussetzungen bestimmte Werbekanäle eingesetzt werden dürfen.
Die Datenschutzkonferenz formuliert diesen Zusammenhang sehr deutlich: Ist ein bestimmter Kontaktweg nach den wettbewerbsrechtlichen Vorgaben nicht erlaubt, kann dies bereits einem berechtigten Interesse an genau dieser Verarbeitung entgegenstehen. Für E-Mail-Werbung verweist sie deshalb ausdrücklich auf die Anforderungen des § 7 UWG.
Ein berechtigtes wirtschaftliches Interesse an Neukundengewinnung ist also kein Generalschlüssel für sämtliche Kommunikationskanäle.
Gilt die DSGVO auch für allgemeine Firmenadressen?
Die DSGVO schützt personenbezogene Daten natürlicher Personen. Nach Art. 4 DSGVO sind personenbezogene Daten Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Bei einer persönlichen Adresse wie max.mustermann@unternehmen.de liegt der Personenbezug regelmäßig nahe. Bei einer rein funktionalen Adresse wie info@unternehmen.de kann die konkrete Adresse dagegen keinen unmittelbaren Bezug zu einer bestimmten natürlichen Person aufweisen.
Für die Zulässigkeit der Werbe-E-Mail löst das das Problem jedoch nicht. Die wettbewerbsrechtlichen Anforderungen des § 7 UWG bestehen unabhängig davon, ob die verwendete Adresse zugleich personenbezogen im Sinne der DSGVO ist.
Das ist in der Praxis wichtig: „Die DSGVO gilt hier möglicherweise nicht für die Adresse" bedeutet nicht automatisch „Die Werbe-E-Mail ist erlaubt".
Reicht ein Opt-out in der ersten E-Mail?
Auch das ist ein verbreiteter Irrtum. Formulierungen wie „Wenn Sie keine weiteren Nachrichten wünschen, antworten Sie einfach mit Nein" oder ein Abmeldelink können sinnvoll und in bestimmten Konstellationen sogar erforderlich sein. Sie ersetzen aber nicht rückwirkend die Voraussetzung, die bereits vor dem Versand der ersten Werbe-E-Mail erfüllt sein musste.
§ 7 UWG spricht ausdrücklich von einer vorherigen Einwilligung. Ein Opt-out ist dagegen eine nachgelagerte Widerspruchsmöglichkeit. Bei personenbezogenen Daten kommt zusätzlich Art. 21 DSGVO ins Spiel: Betroffene haben bei Direktwerbung ein jederzeitiges Widerspruchsrecht. Nach einem Widerspruch dürfen die personenbezogenen Daten nicht mehr für diese Direktwerbung verarbeitet werden. Auf dieses Recht muss spätestens bei der ersten Kommunikation ausdrücklich hingewiesen werden.
Der Widerspruch ist deshalb operativ enorm wichtig – er macht eine zuvor unzulässige Kontaktaufnahme aber nicht zulässig.
Was ändert sich durch automatisierte Outreach-Tools?
An den grundlegenden Anforderungen zunächst nichts. Ob eine E-Mail manuell in Outlook geschrieben, über ein CRM ausgelöst oder durch eine Outreach-Plattform automatisch personalisiert und versendet wird, ändert nicht die Ausgangsfrage: Durfte der Empfänger über diesen Kanal werblich angesprochen werden?
Automatisierung bringt jedoch zusätzliche praktische Risiken. Viele Systeme kombinieren Daten aus Firmenwebseiten, LinkedIn-Profilen, Datenbanken und anderen öffentlichen Quellen. Daraus entstehen detaillierte Datensätze mit Namen, Position, Unternehmen, geschäftlicher E-Mail-Adresse und teilweise zusätzlichen Informationen.
Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, können die Informationspflichten aus Art. 14 DSGVO relevant werden. Werden die Daten zur Kommunikation mit der Person genutzt, müssen die erforderlichen Informationen grundsätzlich spätestens bei der ersten Kommunikation bereitgestellt werden. Je stärker Systeme Kontakte außerdem automatisch bewerten, kategorisieren oder mit externen Informationen anreichern, desto wichtiger wird eine saubere datenschutzrechtliche Prüfung. Die Datenschutzkonferenz weist insbesondere bei umfangreicheren automatisierten Profilbildungen auf erhöhte Anforderungen hin.
Automatisierung skaliert damit nicht nur Vertrieb, sondern gegebenenfalls auch Fehler.
„Aber es ist doch nur eine E-Mail"
Auch eine einzelne Nachricht sollte nicht unterschätzt werden. Der Bundesgerichtshof hat bereits in seiner Entscheidung „E-Mail-Werbung II" ausgeführt, dass schon die einmalige unverlangte Zusendung einer Werbe-E-Mail einen rechtswidrigen Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb darstellen kann.
Dahinter steht ein nachvollziehbarer Gedanke: Eine einzelne E-Mail beansprucht nur wenig Zeit. Würde jedoch jedes Unternehmen dieselbe Logik anwenden und beliebig viele Anbieter jeweils „nur eine" Nachricht senden, entstünde insgesamt eine erhebliche Belastung. Genau deshalb sollte ein skalierbares Outreach-System rechtlich nicht anhand der Frage beurteilt werden, ob eine einzelne Nachricht harmlos wirkt. Entscheidend ist, ob das zugrunde liegende Verfahren zulässig ist.
Was Unternehmen vor einer B2B-E-Mail-Kampagne prüfen sollten
Ist die Nachricht überhaupt Werbung? Der Werbebegriff ist weit und beschränkt sich nicht auf klassische Newsletter.
Warum darf genau diese Adresse werblich angeschrieben werden? Die Herkunft der Adresse allein beantwortet diese Frage nicht.
Liegt eine dokumentierbare Einwilligung vor? Bei E-Mail-Werbung ist dies der Regelfall außerhalb der gesetzlichen Ausnahme.
Greift § 7 Abs. 3 UWG tatsächlich vollständig? Alle Voraussetzungen der Bestandskunden-Ausnahme müssen erfüllt sein.
Werden personenbezogene Daten verarbeitet? Dann sind zusätzlich DSGVO-Rechtsgrundlage, Transparenz und Informationspflichten zu prüfen.
Werden Widersprüche zentral gespeichert und technisch zuverlässig berücksichtigt? Ein Opt-out darf nicht nur im jeweiligen Versandtool verschwinden.
Wie arbeitet das verwendete Outreach-System? Datenquellen, Anreicherung, Profiling, Auftragsverarbeitung und Löschkonzept sollten bekannt sein.
Gerade bei größeren Kampagnen sollte diese Prüfung erfolgen, bevor die erste Sequenz aktiviert wird – nicht erst nachdem Beschwerden eingehen.
SPF, DKIM und DMARC bleiben trotzdem wichtig
Aus der rechtlichen Ebene folgt nicht, dass technische E-Mail-Sicherheit weniger wichtig wäre. Im Gegenteil: Unternehmen brauchen beides. SPF, DKIM und DMARC helfen dabei, die Identität des Absenders technisch abzusichern und Domainmissbrauch zu reduzieren. Rechtliche Prozesse sorgen dafür, dass dieselbe Infrastruktur nicht für unzulässige Werbekontakte eingesetzt wird.
Eine professionelle E-Mail-Strategie beantwortet deshalb zwei getrennte Fragen:
Ist diese Nachricht technisch authentisch und sicher?
Authentifizierung via SPF, DKIM, DMARC
Dürfen wir diese Nachricht diesem Empfänger zu diesem Zweck senden?
UWG, DSGVO, Einwilligung, Widerspruch
Erst wenn beide Antworten positiv ausfallen, ist der Prozess wirklich sauber aufgebaut.
Häufige Fragen zu B2B-Cold-E-Mails
Darf ich Unternehmen ohne Einwilligung per E-Mail anschreiben?
Bei werblichen E-Mails verlangt § 7 Abs. 2 Nr. 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Das Gesetz enthält für E-Mail-Werbung keine allgemeine Ausnahme, nur weil der Empfänger ein Unternehmen ist. Eine relevante Ausnahme kann insbesondere § 7 Abs. 3 UWG für bestimmte Bestandskunden darstellen.
Darf ich eine im Impressum veröffentlichte E-Mail-Adresse für Akquise verwenden?
Die bloße Veröffentlichung einer Adresse bedeutet grundsätzlich keine ausdrückliche Einwilligung in den Erhalt von Werbe-E-Mails.
Darf ich eine einzige personalisierte Cold E-Mail senden?
Eine individuelle Formulierung oder die Beschränkung auf eine Nachricht beseitigt das Einwilligungserfordernis nicht. Der BGH hat zudem bereits bei einer einmaligen unverlangten Werbe-E-Mail einen möglichen rechtswidrigen Eingriff in den Gewerbebetrieb bejaht.
Macht ein Abmeldelink die erste Cold E-Mail zulässig?
Nein. Eine Widerspruchsmöglichkeit ersetzt keine erforderliche vorherige Einwilligung. Bei Direktwerbung mit personenbezogenen Daten ist das Widerspruchsrecht nach Art. 21 DSGVO zusätzlich zu beachten.
Ist B2B-Cold-E-Mail aufgrund eines berechtigten Interesses nach Art. 6 DSGVO erlaubt?
Ein berechtigtes Interesse kann bei Direktwerbung datenschutzrechtlich eine Rolle spielen. Es ersetzt jedoch nicht die Anforderungen des § 7 UWG an den verwendeten Werbekanal. Die beiden Ebenen müssen gemeinsam geprüft werden.
Ist automatisierter E-Mail-Outreach generell verboten?
Nein. Automatisierung ist nicht das entscheidende Kriterium. Entscheidend sind unter anderem die Zulässigkeit des Kontakts, die verwendeten Daten, Informationspflichten, Widersprüche und die konkrete technische Ausgestaltung.
Fazit: E-Mail-Sicherheit endet nicht beim DNS
SPF, DKIM und DMARC lösen ein wichtiges Problem: Sie helfen zu erkennen, ob eine Nachricht technisch tatsächlich von der behaupteten Domain stammt. Sie beantworten aber nicht die Frage, ob diese Nachricht versendet werden durfte.
Gerade für Unternehmen, die B2B-Outreach automatisieren, sollte deshalb neben der technischen E-Mail-Infrastruktur ein klarer rechtlicher Prozess existieren: Woher stammen Kontaktdaten? Welche Rechtsgrundlage wird verwendet? Liegt eine Einwilligung vor? Greift eine gesetzliche Ausnahme? Wie werden Widersprüche verarbeitet?
Bei Legalano beschäftigen wir uns mit wiederkehrenden Rechtsvorgängen rund um unerwünschte Werbe-E-Mails. Dabei zeigt sich immer wieder, dass die größten Probleme nicht an komplizierten technischen Sonderfällen entstehen, sondern an einigen wenigen grundlegenden Fehlannahmen über öffentliche E-Mail-Adressen, B2B-Ausnahmen und vermeintliche Opt-out-Lösungen. Wer diese Ebenen sauber trennt, reduziert nicht nur rechtliche Risiken. Er baut auch den besseren E-Mail-Prozess.
Stand: September 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.
Deniss Danilciks
Gastautor · Geschäftsführer Teloro GmbH / Betreiber von Legalano
Deniss Danilciks ist Geschäftsführer der Teloro GmbH und Betreiber von Legalano, einem digitalen Workflow-Produkt für wiederkehrende Rechtsvorgänge rund um unerwünschte Werbe-E-Mails. Er beschäftigt sich insbesondere mit den praktischen Schnittstellen zwischen automatisiertem B2B-Outreach, digitalen Prozessen, UWG und Datenschutz.