Eine öffentliche E-Mail-Adresse gilt nicht als Einwilligung, und eine B2B-Beziehung schließt PKE nicht aus. Wir erläutern, wie die Kundengewinnung nach Inkrafttreten des UODO-Inspektionsplans 2026, der auch Marketingunternehmen umfasst, durchgeführt werden kann.
Im Jahr 2026 sollten Vertriebs- und Marketingabteilungen ihre Outbound-Strategien überprüfen. Der Präsident des Amtes für den Schutz personenbezogener Daten (UODO) hat „Marketingunternehmen“ in den Branchenprüfungsplan 2026 aufgenommen und eine Untersuchung der Rechtsgrundlage für die Datenverarbeitung im Marketing angekündigt. Dies bedeutet jedoch nicht das Ende des Outbound-Vertriebs. Es bedeutet vielmehr, dass eine im Zentralen Unternehmensregister (CEIDG), im Nationalen Gerichtsregister (KRS), auf einer Website oder in einem Social-Media-Konto gefundene Telefonnummer oder E-Mail-Adresse nicht automatisch als Zustimmung zu einem Angebot gilt.
Welche Vorschriften müssen gleichzeitig eingehalten werden?
Die Rechtmäßigkeit einer Kampagne wird auf zwei Ebenen geprüft: dem Gesetz über elektronische Kommunikation (ECA) und der DSGVO. Die Einhaltung nur einer dieser Bestimmungen ist nicht ausreichend.
Artikel 398 des französischen Datenschutzgesetzes verbietet die Nutzung automatisierter Anrufsysteme oder Telekommunikationsendgeräte zum Versand kommerzieller Informationen, einschließlich Direktmarketing, ohne vorherige Einwilligung des Abonnenten oder Endnutzers. Diese Bestimmung umfasst unter anderem E-Mail, Telefon, SMS und Instant Messaging. Sie gilt auch für Geschäftsbeziehungen zwischen Unternehmen (B2B). Das Versenden eines Angebots an eine Adresse wie biuro@spolka.pl fällt grundsätzlich nicht unter die DSGVO, wenn die Adresse keine natürliche Person identifiziert, unterliegt aber dennoch den Anforderungen des Datenschutzgesetzes.
Die DSGVO regelt die Frage, ob die Daten einer bestimmten Person verarbeitet werden dürfen. Eine Adresse wie vorname.nachname@firma.pl, eine direkte Telefonnummer oder ein berufliches Profil gelten im Allgemeinen als personenbezogene Daten. Rechtsgrundlage hierfür kann die Einwilligung oder, in geeigneten Fällen, das berechtigte Interesse des Verantwortlichen gemäß Art. 6 Abs. 1 lit. f DSGVO sein. Dieses Interesse erfordert eine dokumentierte Interessenabwägung. Es ist wichtig zu beachten, dass selbst ein positives Testergebnis die nach dem Europäischen Datenschutzgesetz (EPG) erforderliche Einwilligung zur Nutzung von E-Mail oder Telefon nicht ersetzt.
Mehr zu den Grenzen des berechtigten Interesses im Marketing schreiben wir im Artikel „Marketing auf Basis berechtigter Interessen – wann funktioniert das nicht?“.
Kann man vorher um Zustimmung bitten?
Die bloße Veröffentlichung von Kontaktdaten stellt keine Einwilligung zu Marketingzwecken dar. Eine erste, scheinbar neutrale E-Mail oder ein Anruf birgt Risiken, wenn tatsächlich ein Angebot unterbreitet oder Interesse geweckt werden soll.
Zusammenfassend lässt sich sagen: Im nicht rechtskräftigen Urteil des Verwaltungsgerichts Warschau vom 17. Juni 2025 (Aktenzeichen II SA/Wa 1971/24) entschied die Mehrheit des Spruchkörpers, dass die einmalige Kontaktaufnahme mit einem Unternehmer, dessen Daten im Zentralen Unternehmensregister (CEIDG) öffentlich zugänglich waren, ausschließlich zum Zweck der Einholung einer Einwilligung, kein Direktmarketing darstellt. Das Urteil bezog sich jedoch auf einen konkreten Sachverhalt und den inzwischen aufgehobenen Artikel 172 des Telekommunikationsgesetzes (ersetzt durch das Telekommunikationsgesetz); es wurde auch eine abweichende Meinung abgegeben. Daher stellt dies keine generelle Einwilligung zur Übermittlung eines Angebots in der ersten Nachricht dar. Eine detailliertere Erörterung dieses Urteils finden Sie in der separaten Analyse unserer Kanzlei.
Die sicherste Methode zur Einholung einer Einwilligung sind die von Unternehmen genutzten Inbound-Kanäle: Formulare, Anmeldungen zu Webinaren oder Newslettern, Branchenveranstaltungen oder die Beantwortung konkreter Kundenanfragen. Gemäß Artikel 398 Absatz 2 des französischen Datenschutzgesetzes gilt die Angabe einer E-Mail-Adresse als Einwilligung, jedoch nur, wenn diese ausdrücklich zum Erhalt von Werbeinformationen und nicht für die regelmäßige Kontaktaufnahme angegeben wurde.
Welche Folgen hat die Entscheidung des Präsidenten des Amtes für den Schutz personenbezogener Daten?
Bis zum 4. August 2026 wurde in der öffentlichen Datenbank keine Entscheidung des Präsidenten des Amtes für den Schutz personenbezogener Daten (UODO) veröffentlicht, die eine direkte Strafe für einen Verstoß gegen Artikel 398 des Gesetzes zum Schutz personenbezogener Daten (PKE) in Bezug auf Kaltakquise per Post oder Telefon verhängt. Sanktionen für Verstöße gegen diese Bestimmung werden vom Präsidenten des Amtes für elektronische Kommunikation (UKE) verhängt. Das UODO prüft jedoch die Rechtmäßigkeit der Datenverarbeitung, und sein Inspektionsplan für 2026 bestätigt, dass Marketing ein Bereich von erhöhtem Interesse für die Behörde ist. Weitere Informationen zum Umfang der angekündigten Prüfungen finden Sie in unserer Übersicht zum UODO-Plan.
Die jüngste Entscheidung der UODO (Union für Wirtschaftskriminalität) mit Bezug zur Prospektion ist die vorläufige Entscheidung des Präsidenten der UODO vom 16. Februar 2026, Aktenzeichen DS.523.1901.2022. Sie betraf ein Unternehmen, das eine Datenbank mit Informationen über Unternehmer aus öffentlichen Quellen, darunter CEIDG, KRS und GUS, erstellte. Auslöser des Verfahrens war die Beschwerde einer Person über die rechtswidrige Verarbeitung ihrer personenbezogenen Daten durch das Unternehmen, insbesondere die Nichterfüllung der Informationspflicht gemäß Artikel 14 DSGVO. Der Präsident der UODO wies die Beschwerde zurück, da der Verantwortliche die Einhaltung der Informationspflicht nach Artikel 14 DSGVO nachgewiesen hatte, insbesondere die Bereitstellung von Informationen über die Datenquelle, die Empfänger, das berechtigte Interesse und die Rechte der betroffenen Person.
Diese Entscheidung legalisiert nicht automatisch den Versand von Angeboten für Daten aus öffentlichen Registern. Der Datenbankanbieter selbst gab an, dass er seinen Kunden keine Rechtsgrundlage für die Nutzung der Daten zu Marketingzwecken bietet. Daher muss der Datenbankkäufer die Rechtsgrundlage für die DSGVO-konforme Nutzung selbstständig prüfen, die Offenlegungspflicht beim ersten Kontakt erfüllen und – unabhängig davon – die von PKE geforderte Einwilligung einholen.
Im Gegenzug wurde in der endgültigen Entscheidung des Präsidenten des Amtes für den Schutz personenbezogener Daten vom 16. Oktober 2019, Aktenzeichen ZSPR.421.7.2019, gegen den Unternehmer eine Geldbuße in Höhe von 201.559,50 PLN verhängt, weil er den Widerruf der Einwilligung und die weitere Verarbeitung von Daten von Personen behindert hatte, die die Einstellung der Verarbeitung verlangten.
Die praktische Schlussfolgerung bleibt gültig: Die Antwort „Bitte schreiben Sie mir nicht wieder“ sollte eine einfache Blockade weiterer Marketingmaßnahmen in allen Systemen und bei allen Kampagnenverantwortlichen auslösen.
Wie bereitet man eine Kampagne auf eine Prüfung vor?
Vor dem Start einer Kampagne sollte ein Unternehmen den gesamten Datenlebenszyklus und die Einwilligung nachweisen können. Die pauschale Zusicherung eines Anbieters, die Datenbank sei „DSGVO-konform“, reicht nicht aus. Wenn Sie eine Datenbank gekauft oder selbst erstellt haben und sich fragen, ob Sie diese für Direktmarketing nutzen können:
- dokumentieren Sie den Inhalt, das Datum und die Quelle der Einwilligung, die abgedeckten Kanäle und die Stelle, der sie erteilt wurde;
- Prüfen Sie die Formulare des Datenbankanbieters, die Historie der Klauseländerungen und die Möglichkeit, die Einwilligung für einen bestimmten Werbetreibenden nachzuweisen;
- Eine Klausel aus Artikel 14 der DSGVO für indirekt erhobene Daten und eine Prüfung des berechtigten Interesses vorbereiten;
- Führen eines einzigen Registers für Zustimmungen, Widerrufe und Einwände sowie einer Sperrliste, um zu verhindern, dass eine Person erneut zur Kampagne hinzugefügt wird;
- Sicherstellen der sofortigen Übertragung von Stornierungen zwischen CRM, Callcenter, Agentur und Anbieter des Mailing-Tools;
- Die Rollen aller Kampagnenteilnehmer festlegen und die Datenweitergabe bzw. gemeinsame Datenverwaltung entsprechend regeln.
Welche Strafen drohen bei fehlender Einwilligung?
Bei einem Verstoß gegen Artikel 398 EPÜ kann der Präsident der UKE eine Geldbuße von bis zu 3 % des im vorangegangenen Kalenderjahr erzielten Umsatzes oder bis zu 1 Million PLN, je nachdem, welcher Betrag höher ist, verhängen. Ungeachtet dessen kann eine rechtswidrige Datenverarbeitung zur Einleitung eines Verfahrens durch den Präsidenten der UODO und folglich zur Verhängung von Sanktionen gemäß DSGVO führen. Ein Verstoß gegen die Vorschriften zum Schutz von Geschäftsinformationen kann zudem einen unlauteren Wettbewerb und eine Ordnungswidrigkeit darstellen.
Häufig gestellte Fragen: Kaltakquise per Post und Telefonmarketing im Jahr 2026.
Gilt eine E-Mail-Adresse von CEIDG oder der Unternehmenswebsite als Einwilligung?
Nein. Die öffentliche Verfügbarkeit einer Adresse stellt keine Einwilligung zur Zusendung von Werbeinformationen dar. Die Rechtsgrundlage für die Datenverarbeitung gemäß DSGVO und die Einwilligung zur Kontaktaufnahme gemäß Artikel 398 des Datenschutzgesetzes müssen gesondert geprüft werden.
Gilt Artikel 398 des PKE auch für B2B-Verträge?
Ja. Die Verordnung schützt alle Abonnenten und Endnutzer, nicht nur die Verbraucher. Daher müssen auch die E-Mail-Adresse, die geschäftliche Telefonnummer und die allgemeine Adresse des Unternehmens gemäß EPC geprüft werden.
Ersetzt das berechtigte Interesse die Einwilligung zur Kontaktaufnahme per E-Mail oder Telefon?
Nein. Artikel 6(1)(f) der DSGVO kann die Verarbeitung personenbezogener Daten unter bestimmten Bedingungen legalisieren, ersetzt aber nicht die von PKE für die Nutzung eines bestimmten Marketingkanals benötigte Einwilligung.
Kann eine gekaufte Kundendatenbank legal sein?
Das ist möglich, aber der Käufer sollte die Datenquelle, den Inhalt und Umfang der Einwilligungen, deren Nachweisbarkeit sowie die Einhaltung der Offenlegungspflicht überprüfen. Eine vertragliche Erklärung des Brokers zur „DSGVO-Konformität“ allein überträgt keine Haftung auf den Datenbankverkäufer.
Was ist zu tun, nachdem man Widerspruch eingelegt oder die Einwilligung widerrufen hat?
Die Marketingaktivitäten müssen im entsprechenden Umfang unverzüglich eingestellt und die Daten auf eine Sperrliste gesetzt werden. Callcenter, Agenturen und andere an der Kampagne beteiligte Dienstleister müssen ebenfalls über die Möglichkeit zum Widerspruch informiert werden.
Lohnt sich eine Kampagnenprüfung?
Ja. Unsere Kanzlei kann Leadquellen, Interessenprüfungen, Informationsklauseln, Einwilligungserklärungen, Datenbroker-Vereinbarungen und die Bearbeitung von Einwänden prüfen. Wenn Ihr Unternehmen gekaufte Datenbanken, Vertriebsautomatisierung oder ein externes Callcenter nutzt, empfiehlt es sich, diese Prozesse vor dem Audit zu überprüfen. Kontaktieren Sie uns und vereinbaren Sie ein Audit Ihrer Kaltakquise oder Ihres Telefonmarketings.
Grundlagen und Quellen
- Sektorinspektionsplan der UODO für 2026, 8. Januar 2026.
- Beschluss des Präsidenten des Amtes für den Schutz personenbezogener Daten vom 16. Februar 2026, DS.523.1901.2022 (noch nicht endgültig).
- Beschluss des Präsidenten des Amtes für den Schutz personenbezogener Daten vom 16. Oktober 2019, ZSPR.421.7.2019 (final).
- Urteil des Provinzverwaltungsgerichts Warschau vom 17. Juni 2025, Aktenzeichen II SA/Wa 1971/24 (noch nicht rechtskräftig).
- Gesetz vom 12. Juli 2024 – Gesetz über elektronische Kommunikation, konsolidierter Text vom 7. Juli 2026; Artikel 398, 400, 446 Absätze 5 und 448.
- Verordnung (EU) 2016/679 (DSGVO); Artikel 6, 7, 13-14 und 21.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar
Rechtsstatus ab dem 4. August 2026
Autor:
Herausgeber der Reihe:
