Cold-E-Mail-Compliance 2026: DSGVO, CAN-SPAM und CASL erklärt

CAN-SPAM verlangt keine vorherige Einwilligung für B2B-Cold-E-Mail

Der CAN-SPAM Act von 2003 ist das maßgebende Gesetz für kommerzielle E-Mail in den Vereinigten Staaten. Entscheidend: Er verlangt keine vorherige Einwilligung (Opt-in) vor dem Versand einer kommerziellen E-Mail. Das macht ihn zum freizügigsten der drei großen Rahmen. Was er verlangt, ist ein klarer Satz von Offenlegungen und ein sofortiger, funktionierender Opt-out-Mechanismus.

Die sechs Kernanforderungen von CAN-SPAM sind: (1) Ihre Von-/Antwort-an-Adressen müssen genau angeben, wer sendet; (2) Betreffzeilen dürfen nicht über den Inhalt der E-Mail täuschen; (3) wenn die Nachricht eine Werbung ist, muss sie als solche gekennzeichnet sein – wobei das Gesetz Ihnen Flexibilität lässt, wie Sie das tun; (4) Ihre physische Postanschrift muss in der E-Mail erscheinen; (5) Sie müssen einen klaren und auffälligen Opt-out-Mechanismus einbeziehen; und (6) Sie müssen Opt-out-Anfragen innerhalb von zehn Werktagen erfüllen.

Für praktisches B2B-Cold-Outreach ist CAN-SPAM-Compliance mit minimaler Reibung erreichbar. Ihre Cold E-Mails bestehen den Test der täuschenden Betreffzeile fast immer, wenn Sie ehrliche, interessentenfokussierte Nachrichten schreiben. Fügen Sie die physische Adresse Ihres Unternehmens in die Signatur ein (eine eingetragene Geschäftsadresse oder ein Postfach genügt). Fügen Sie einen Ein-Klick-Abmeldelink oder eine Klartext-Opt-out-Anweisung hinzu. Bearbeiten Sie Entfernungen innerhalb von 10 Werktagen und fügen Sie niemals jemanden wieder hinzu, der sich abgemeldet hat.

DSGVO: Der strengere Standard der Europäischen Union

Die DSGVO verlangt eine Rechtsgrundlage – und „berechtigtes Interesse“ ist die beste Verteidigung der Cold E-Mail

Die Datenschutz-Grundverordnung (DSGVO) der EU, in Kraft seit Mai 2018, gilt immer dann, wenn Sie personenbezogene Daten von EU-Bürgern verarbeiten – unabhängig davon, wo Ihr Unternehmen ansässig ist. Für Cold E-Mail bedeutet das: Wenn Sie jemandem mit einer .de-, .fr-, .nl- oder ähnlichen E-Mail-Adresse eines EU-Bürgers schreiben, gilt die DSGVO für Sie. Das Höchstbußgeld beträgt 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Meta zahlte 2023 1,2 Milliarden Euro. Selbst mittelständische Unternehmen sahen sich siebenstelligen Strafen gegenüber.

Die DSGVO verbietet Cold E-Mail nicht kategorisch. Was sie verlangt, ist eine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten des Empfängers (E-Mail-Adresse, Name, Unternehmen). Für B2B-Cold-E-Mail ist die am besten verteidigbare Rechtsgrundlage das berechtigte Interesse – Artikel 6 Abs. 1 lit. f. Dies gilt, wenn Sie einen echten geschäftlichen Grund haben, jemanden zu kontaktieren, Ihr Grund verhältnismäßig ist und die Rechte der Person nicht überwiegt. Der praktische Test heißt Legitimate Interest Assessment (LIA).

Um ein LIA für Cold E-Mail zu bestehen, müssen Sie dokumentieren: (1) den Zweck der Verarbeitung (Prospecting für ein relevantes Geschäftsangebot), (2) die Notwendigkeit (Sie können dasselbe Ziel nicht ohne die Daten erreichen) und (3) einen Abwägungstest, der zeigt, dass die Interessen des Interessenten Ihre nicht überwiegen. Relevanz ist hier entscheidend. Einen VP of Engineering über Entwickler-Tools zu kontaktieren, ist verteidigbar. Einen Zahnarzt über Enterprise-HR-Software zu kontaktieren, ist es nicht.

Unter der DSGVO müssen Sie außerdem einen Datenschutzhinweis oder einen Link dazu in Ihre Cold E-Mails aufnehmen, Löschanfragen erfüllen (Recht auf Vergessenwerden) und Aufzeichnungen darüber führen, wie Sie die Daten des Interessenten erhalten haben. Viele Vertriebsteams begegnen dem, indem sie eine kurze Zeile in der E-Mail-Fußzeile einfügen: „Diese E-Mail wurde Ihnen gesendet, weil [Grund]. Zum Abmelden antworten Sie mit ENTFERNEN oder klicken Sie hier.“ Dieser Ansatz deckt Identifikation, Relevanzkontext und Opt-out gleichzeitig ab.

CASL: Kanadas einwilligungsorientierter Rahmen

CASL ist der strengste große Rahmen – konkludente Einwilligung rettet die meisten B2B-Cold-E-Mails

Kanadas Anti-Spam-Gesetzgebung (CASL), in Kraft seit 2014, ist die restriktivste der drei großen Rahmen. Sie verlangt ausdrückliche oder konkludente Einwilligung vor dem Versand einer Commercial Electronic Message (CEM). Ausdrückliche Einwilligung bedeutet, dass die Person ausdrücklich zugestimmt hat, Ihre E-Mails zu erhalten. Konkludente Einwilligung deckt Geschäftsbeziehungen, veröffentlichte Kontaktinformationen und bestimmte Empfehlungsszenarien ab.

Die Bestimmung zur konkludenten Einwilligung ist der Schlüssel zu legaler B2B-Cold-E-Mail unter CASL. Wenn eine Person ihre E-Mail-Adresse auf einer Website, einem LinkedIn-Profil oder einem Geschäftsverzeichnis veröffentlicht hat und Sie sie zu Angelegenheiten kontaktieren, die für ihre geschäftliche Rolle relevant sind, gilt konkludente Einwilligung. Das ist die Ausnahme, die Prospecting erlaubt. Die E-Mail-Adresse muss für ihre Rolle relevant sein, keine private Adresse. Und Ihr Angebot muss für ihre berufliche Funktion relevant sein.

CASL verlangt dieselben Anforderungen an Absenderidentifikation und Abmeldung wie CAN-SPAM – Ihr Name oder Firmenname, eine physische Adresse und ein Opt-out, das innerhalb von 10 Werktagen bearbeitet wird. Worin CASL sich unterscheidet: Die Bußgelder sind auf Organisationsebene, bis zu 10 Millionen CAD pro Verstoß, und einzelne Führungskräfte oder Direktoren können persönlich haftbar sein, wenn sie den Verstoß angeordnet haben. Kanada vollstreckte 2019 seine erste große CASL-Strafe gegen Compu-Finder: 1,1 Millionen CAD.

Länderspezifische Regeln, die man kennen sollte

Weitere Rechtsordnungen mit bedeutsamen Cold-E-Mail-Regelungen

Über DSGVO, CAN-SPAM und CASL hinaus haben mehrere andere Rechtsordnungen spezifische Regeln, die B2B-Cold-E-Mail betreffen. Die britische PECR (Privacy and Electronic Communications Regulations) gilt nach dem Brexit und spiegelt DSGVO-Standards wider. Australiens Spam Act 2003 verlangt Einwilligung (ausdrücklich oder abgeleitet) und bearbeitet Opt-outs innerhalb von 5 Werktagen – strenger als CAN-SPAM auf der Zeitseite. Brasiliens LGPD, wirksam seit 2020, spiegelt den Rahmen des berechtigten Interesses der DSGVO eng wider.

• Vereinigtes Königreich: PECR + UK-DSGVO gelten. Grundlage des berechtigten Interesses funktioniert für B2B. Opt-out und Absender-ID einschließen.
• Australien: Spam Act 2003 verlangt abgeleitete oder ausdrückliche Einwilligung. Abgeleitete Einwilligung gilt für veröffentlichte Geschäftsadressen. 5-Tage-Opt-out-Bearbeitung erforderlich.
• Brasilien: LGPD spiegelt die DSGVO wider. Grundlage des berechtigten Interesses verfügbar. Datenschutzhinweis erforderlich.
• Deutschland: Strenger als die DSGVO-Grundlinie – Gerichte haben Einwilligungsanforderungen für kommerzielle E-Mail historisch eng ausgelegt. Dokumentieren Sie das LIA für deutsche Interessenten sorgfältig.
• Indien: Kein bundesweites Anti-Spam-Gesetz Stand 2026. Der PDPB-Rahmen (Personal Data Protection Bill) ist ausstehend – B2B-Cold-E-Mail ist derzeit weitgehend unreguliert.

Praktische Compliance-Checkliste für Cold-E-Mail-Kampagnen

Die 12-Punkte-Checkliste, die alle drei großen Rahmen abdeckt

1. Identifizieren Sie Ihre sendende Entität klar: Jede Cold E-Mail muss zeigen, wer sie sendet – Ihren Namen, Firmennamen und eine funktionierende Antwort-an-Adresse, die eine echte Person erreicht.
2. Fügen Sie eine physische Postanschrift ein: Von CAN-SPAM verlangt. Fügen Sie sie Ihrer E-Mail-Signatur hinzu. Eine eingetragene Geschäftsadresse oder ein Postfach qualifiziert sich.
3. Schreiben Sie ehrliche Betreffzeilen: Keine täuschenden Teaser-Betreffs. „Kurze Frage zu [Unternehmen]“ ist in Ordnung. „Ihr Konto wurde gesperrt“ ist es nicht.
4. Fügen Sie einen Ein-Klick-Abmeldemechanismus hinzu: Verwenden Sie einen Abmeldelink oder eine Klartext-Opt-out-Anweisung. Machen Sie es wirklich einfach – ein reibungsvoller Opt-out-Prozess bringt Ihnen stattdessen Spam-Beschwerden ein.
5. Bearbeiten Sie Opt-outs innerhalb von 10 Werktagen (CAN-SPAM/CASL) oder sofort (DSGVO): Bauen Sie eine Unterdrückungsliste auf. Fügen Sie abgemeldete Kontakte niemals wieder hinzu.
6. Dokumentieren Sie Ihre Rechtsgrundlage für EU-Kontakte: Erfassen Sie für jedes EU-Ländersegment Ihr Legitimate Interest Assessment schriftlich. Bewahren Sie es in Ihrer Compliance-Dokumentation auf.
7. Verifizieren Sie die konkludente Einwilligung für kanadische Kontakte: Bestätigen Sie, dass die E-Mail-Adresse jedes kanadischen Interessenten öffentlich veröffentlicht wurde und dass Ihr Angebot für seine Rolle relevant ist.
8. Vermeiden Sie den Kauf von Listen ohne Herkunftsnachweis: Wenn Sie nicht verifizieren können, wie ein Listenanbieter E-Mail-Adressen erhalten hat, verwenden Sie sie nicht für EU- oder kanadische Interessenten.
9. Fügen Sie einen Datenschutzhinweis-Verweis für DSGVO-Kontakte ein: Eine Fußzeilen-Zeile mit Link zu Ihrer Datenschutzrichtlinie erfüllt diese Anforderung für die meisten Aufsichtsbehörden.
10. Verwenden Sie niemals vorangekreuzte Einwilligungsfelder oder täuschende vorangekreuzte Opt-ins: Dies verstößt speziell gegen die Einwilligungsstandards der DSGVO.
11. Schulen Sie Ihr Vertriebsteam zu Opt-out-Pflichten: Die Person, die Antworten verwaltet, muss wissen, dass sie jeden, der um Entfernung bittet, sofort unterdrücken muss, unabhängig davon, wie er es formuliert.
12. Prüfen Sie Ihr Compliance-Setup vierteljährlich: Regelungen ändern sich. Setzen Sie eine Kalendererinnerung, um Ihre Opt-out-Mechanismen, Unterdrückungslisten und Dokumentation alle 90 Tage zu überprüfen.

FAQ: Cold-E-Mail-Compliance

F: Ist es legal, Cold E-Mails an EU-Geschäfts-E-Mail-Adressen zu senden?

A: Ja, sofern Sie eine gültige Rechtsgrundlage haben. Für B2B-Prospecting ist das berechtigte Interesse nach DSGVO-Artikel 6 Abs. 1 lit. f die am häufigsten genutzte Grundlage. Dokumentieren Sie Ihr Legitimate Interest Assessment, fügen Sie einen Datenschutzhinweis-Verweis ein und stellen Sie ein klares Opt-out bereit. Relevanz zwischen Ihrem Angebot und der Rolle des Empfängers stärkt Ihr LIA erheblich.

F: Was ist der Unterschied zwischen CAN-SPAM und DSGVO bei Cold E-Mail?

A: CAN-SPAM verlangt keine vorherige Einwilligung – Sie können jedem eine Cold E-Mail senden, solange Sie ehrlich sind und ein Opt-out bereitstellen. Die DSGVO verlangt eine dokumentierte Rechtsgrundlage (typischerweise berechtigtes Interesse für B2B), einen Datenschutzhinweis und sofortige Opt-out-Bearbeitung. Die DSGVO ist bei Dokumentations- und Einwilligungsstandards deutlich strenger.

F: Kann ich gekaufte Lead-Listen für Cold E-Mail verwenden?

A: In den USA sind gekaufte Listen unter CAN-SPAM legal. Für EU- und kanadische Interessenten müssen Sie verifizieren, dass der Listenanbieter einen konformen Datenerfassungsprozess hat und dass konkludente oder ausdrückliche Einwilligung gilt. Viele seriöse Datenanbieter (ZoomInfo, Apollo, Lusha) haben Compliance-Dokumentation für ihre Datenquellen. Verlangen Sie sie, bevor Sie eine Liste für EU- oder kanadischen Outreach verwenden.

F: Was passiert, wenn sich jemand abmeldet und ich ihm erneut schreibe?

A: Unter CAN-SPAM ist das erneute Schreiben an einen abgemeldeten Kontakt ein Verstoß, der Strafen von 53.088 Dollar pro E-Mail unterliegt. Unter der DSGVO stellt es unrechtmäßige Verarbeitung dar und kann Beschwerden bei der zuständigen Datenschutzbehörde auslösen. Unter CASL verstößt es gegen den ausdrücklichen Widerruf der Einwilligung und kann zu Bußgeldern von bis zu 1 Million Dollar für Einzelpersonen oder 10 Millionen Dollar für Organisationen führen. In allen Fällen: Pflegen und prüfen Sie Ihre Unterdrückungsliste vor jedem Kampagnenversand.

F: Brauche ich einen Anwalt, um ein konformes Cold-E-Mail-Programm einzurichten?

A: Für grundlegende CAN-SPAM-Compliance können die meisten Vertriebsteams mit der obigen Checkliste selbst implementieren. Für DSGVO und CASL, besonders wenn Sie signifikantes Volumen an EU- oder kanadische Interessenten senden, lohnt sich eine einmalige Überprüfung mit einem Datenschutzanwalt. Legitimate Interest Assessments profitieren von rechtlicher Überprüfung, besonders für deutsche oder niederländische Interessenten, wo die Vollstreckungshistorie strenger ist.