E-Mail-Adressen erraten: CNIL zieht Grenzen für die B2B-Akquise

Viele Vertriebswerkzeuge erzeugen geschäftliche E-Mail-Adressen automatisch aus Vor- und Nachname und dem bekannten Adressschema eines Unternehmens, etwa vorname.nachname@firma.de. Die französische Datenschutzaufsicht CNIL hat am 16.10.2026 Hinweise zur „Rekonstruktion“ beruflicher E-Mail-Adressen veröffentlicht. Ihr Ergebnis: Das Verfahren ist nicht per se unzulässig, aber nur unter Garantien.

Die CNIL stellt zunächst klar, dass auch frei zugängliche Angaben wie Name und Arbeitgeber personenbezogene Daten bleiben. Wer daraus eine E-Mail-Adresse ableitet, verarbeitet personenbezogene Daten und benötigt eine Rechtsgrundlage nach Art. 6 DS-GVO. In Betracht kommt nach Auffassung der Behörde das berechtigte Interesse (Art. 6 Abs. 1 lit. f DS-GVO), etwa für berufliche Kontaktaufnahmen oder die Geschäftsanbahnung. Erforderlich ist jedoch eine Interessenabwägung im Einzelfall. Dabei kommt es auch darauf an, ob die Betroffenen mit einer solchen Nutzung vernünftigerweise rechnen müssen. Wer online kaum präsent ist oder seine Kontaktdaten bewusst schützt, muss das nach Einschätzung der CNIL eher nicht.

Zwei Garantien als Voraussetzung

Die CNIL knüpft die Zulässigkeit an zwei Garantien. Erstens soll die rekonstruierte Adresse nur dann gespeichert bleiben, wenn tatsächlich ein erster Kontakt zustande kommt. Zweitens muss jeder Widerspruch der betroffenen Person zum sofortigen Ausschluss ihrer Daten führen, ohne dass eine Begründung verlangt wird (Art. 21 DS-GVO). Lassen sich diese Garantien nicht gewährleisten, ist auf die Rekonstruktion zu verzichten, es sei denn, die Person willigt ein. Öffentliche Stellen können sich bei Kontaktaufnahmen im Rahmen ihrer Aufgaben auf Art. 6 Abs. 1 lit. e DS-GVO stützen; die CNIL empfiehlt auch ihnen dieselben Garantien.

Dient die Rekonstruktion einer B2B-Akquise, die ihrerseits auf berechtigtem Interesse beruht, kann sie grundsätzlich auf derselben Grundlage erfolgen. Das gilt laut CNIL aber weder automatisch noch in jedem Fall. Unabhängig von der Rechtsgrundlage bleiben die Pflichten zur Information der Betroffenen (Art. 14 DS-GVO), zur Festlegung von Speicherfristen, zur Wahrung der Betroffenenrechte und zur Datensicherheit bestehen. Für Betroffene hat die CNIL eine eigene Seite zu ihren Rechten bei der Rekonstruktion eingerichtet.

Was bedeutet das für deutsche Unternehmen?

Die Hinweise der CNIL binden deutsche Aufsichtsbehörden nicht, zeigen aber, wie die Interessenabwägung bei „E-Mail-Findern“ ausfallen kann. Vertrieb und Marketing sollten Lead-Tools mit solchen Funktionen prüfen: Ist die Interessenabwägung dokumentiert, werden ungenutzte Adressen gelöscht, und führt eine Sperrliste dazu, dass widersprechende Personen nicht erneut erfasst werden? In Deutschland kommt eine zusätzliche Hürde hinzu: Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung grundsätzlich unzulässig, auch gegenüber Geschäftskunden. Die Ausnahme für Bestandskunden nach § 7 Abs. 3 UWG hilft bei Erstkontakten nicht. Ein datenschutzrechtlich tragfähiges berechtigtes Interesse macht eine werbliche Kalt-Akquise per E-Mail daher noch nicht zulässig.

(Foto: momius – stock.adobe.com)