Symbolbild zur beruflichen Kommunikation: Hände an einer Laptop-Tastatur. Pexels / Foto-ID 4174742 / CC0-Lizenz.

Ein Name auf der Firmenwebsite, die Domain des Arbeitgebers und ein bekanntes Adressmuster reichen oft aus, um eine geschäftliche E-Mail-Adresse zu erraten. Für den Vertrieb ist das verlockend, wenn direkte Kontaktdaten fehlen. Die französische Datenschutzaufsicht CNIL hat am 16. Oktober 2026 erläutert, unter welchen Bedingungen Unternehmen solche Adressen rekonstruieren dürfen. Ihre neue Einordnung betrifft bereits das Zusammenstellen der Kontaktdaten. Ob anschließend eine Werbemail verschickt werden darf, verlangt eine weitere Prüfung.

Eine berufliche Adresse verrät, wie eine bestimmte Person bei ihrem Arbeitgeber erreichbar ist. Für solche Angaben greift die Datenschutz-Grundverordnung (DSGVO) auch im Geschäftsverkehr. Für deutsche Unternehmen kommen bei E-Mail-Werbung die Anforderungen des Gesetzes gegen den unlauteren Wettbewerb (UWG) hinzu.

Was öffentlich sichtbar ist, entscheidet mit

Die CNIL beschreibt eine verbreitete Methode: Aus Vorname, Nachname und Arbeitgeber wird anhand des üblichen Firmenmusters eine Adresse abgeleitet, obwohl die betreffende Person diese Adresse selbst nie veröffentlicht hat. Das kann beim Aufbau einer Kontaktdatenbank ebenso vorkommen wie bei einer einzelnen beruflichen Kontaktaufnahme. Öffentlich zugängliche Ausgangsdaten machen diese Verarbeitung nicht automatisch zulässig.

Nach Auffassung der Behörde kann im Einzelfall ein berechtigtes Interesse als Rechtsgrundlage infrage kommen. Ein Unternehmen muss dafür einen tatsächlichen legitimen Zweck verfolgen und prüfen, ob die Rechte und Interessen der betroffenen Person überwiegen. Die CNIL betont den Zusammenhang mit der geplanten Verwendung. Wer Adressen für eine Werbekampagne ergänzt, muss diese Kampagne bereits bei der Bewertung berücksichtigen. Die Rekonstruktion lässt sich nicht als vermeintlich neutrale technische Vorarbeit aus der Prüfung herausnehmen.

Besonders genau sollen Unternehmen darauf schauen, was die Person vernünftigerweise erwarten konnte. Hat sie ihre beruflichen Angaben breit veröffentlicht? Oder hat sie den Zugang eingeschränkt und statt einer direkten Adresse ein Kontaktformular vorgesehen? Nach der CNIL sprechen fehlende erkennbare Onlinepräsenz und aktive Schutzmaßnahmen zunächst dagegen, dass jemand mit einer Rekonstruktion rechnen muss. Ein geschäftlicher Anlass allein ersetzt diese Prüfung nicht.

Widersprüche dürfen beim nächsten Import nicht verschwinden

Als Schutzmaßnahme empfiehlt die CNIL eine eng begrenzte Speicherung rekonstruierter Adressen. Ein Unternehmen könnte eine Adresse beispielsweise nur weiter aufbewahren, wenn innerhalb einer angemessenen Zeit tatsächlich ein erster Kontakt zustande kommt. Eine feste allgemeine Zahl von Tagen nennt die Behörde dafür nicht.

Außerdem empfiehlt sie, nach einem Widerspruch die Daten unmittelbar von jeder weiteren Adressrekonstruktion auszuschließen, ohne eine besondere persönliche Begründung zu verlangen. Diese Empfehlung reicht über Werbezwecke hinaus. Für Direktwerbung sieht die DSGVO das entsprechende Widerspruchsrecht bereits vor. Im betrieblichen Ablauf bedeutet das: Eine gelöschte Adresse darf beim nächsten Datenimport nicht einfach wieder auftauchen. Wie eine dafür nötige Sperrinformation datensparsam gespeichert wird, gehört in das Lösch- und Berechtigungskonzept.

In ihrer ergänzenden Information für Betroffene verlangt die CNIL klare Angaben zum Verwendungszweck und dazu, wie die Adresse beschafft wurde. Auch die Rechte und die Wege zu ihrer Ausübung müssen erklärt werden. Eine rekonstruierte Adresse als „öffentlich gefunden“ zu kennzeichnen, wäre ungenau, wenn lediglich Name und Arbeitgeber öffentlich waren.

Für deutsche Werbemails bleibt die Einwilligung der Regelfall

Die französische Behördeneinordnung ist keine allgemeine Versandfreigabe für deutsche Vertriebsabteilungen. Nach § 7 Absatz 2 Nummer 2 UWG setzt Werbung per elektronischer Post grundsätzlich eine vorherige ausdrückliche Einwilligung voraus. Das gilt auch bei beruflichen Empfängern. Die für bestimmte geschäftliche Telefonanrufe relevante mutmaßliche Einwilligung lässt sich nicht auf E-Mails übertragen.

Die Bestandskundenausnahme in Absatz 3 verlangt vier Voraussetzungen zugleich: Die Adresse wurde im Zusammenhang mit einem Verkauf vom Kunden erhalten, die Werbung betrifft eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen und er wurde bei Erhebung sowie bei jeder Verwendung klar auf seine kostenfreie Widerspruchsmöglichkeit hingewiesen; nur die Übermittlungskosten nach Basistarif dürfen anfallen. Eine aus einem Namensmuster errechnete Adresse erfüllt durch ihre bloße Existenz diese Ausnahme nicht.

Unternehmen sollten deshalb im System für Kundenkontakte getrennt festhalten, woher eine Adresse stammt, welche Rechtsgrundlage für ihre Verarbeitung geprüft wurde und ob Werbung über diesen Kanal zulässig ist. Für einen externen Adresslieferanten gehört die Frage nach rekonstruierten Kontaktdaten in die Prüfung vor dem Import. Wer keine nachvollziehbare Herkunft und keine tragfähige Versandgrundlage belegen kann, sollte diese Kontakte nicht in eine E-Mail-Kampagne übernehmen.

Stand: 16.10.2026. Anlass ist eine neue Einordnung der CNIL, kein neues Gesetz und keine neue Sanktion.