In einer am 16. Oktober 2026 veröffentlichten Analyse hat die französische Datenschutzbehörde CNIL dargelegt, unter welchen Voraussetzungen ein Unternehmen eine berufliche E-Mail-Adresse aus frei zugänglichen Online-Informationen ableiten darf. Unternehmen, die auf diese Weise Akquise betreiben, müssen ihre Analyse künftig dokumentieren, ihre Informationspraxis überprüfen und sicherstellen, dass Widersprüche ordnungsgemäß bearbeitet werden.
Eine rekonstruierte Berufsadresse bleibt ein personenbezogenes Datum
Bei der Rekonstruktion wird eine E-Mail-Adresse aus dem Vor- und Nachnamen einer Person, ihrem Arbeitgeber und dem im Unternehmen üblichen Format abgeleitet, etwa vorname.nachname@unternehmen.fr. Die Adresse muss nie veröffentlicht worden sein, damit der Datenschutz greift.
Die CNIL stellt klar, dass die bloße öffentliche Zugänglichkeit der verwendeten Informationen im Internet deren freie Weiterverwendung nicht erlaubt. Die Rekonstruktion muss der DSGVO entsprechen, und wenn die so gewonnene Adresse für Werbebotschaften genutzt wird, gelten zusätzlich die besonderen Vorschriften für elektronische Direktwerbung.
Nach Jahren einzelfallbezogener Sanktionen geht die Aufsichtsbehörde damit einen Schritt weiter: Sie stellt den Unternehmen ein strukturiertes Prüfraster zur Verfügung, mit dem sie die Rechtmäßigkeit ihrer Praxis selbst beurteilen können.
Berechtigtes Interesse setzt eine konkrete Abwägung voraus
Die CNIL räumt ein, dass die Rekonstruktion in bestimmten Fällen auf ein berechtigtes Interesse gestützt werden kann, vorausgesetzt, das Unternehmen weist ein echtes Interesse an der Kontaktaufnahme nach, etwa die Entwicklung seiner Geschäftstätigkeit oder die Anbahnung beruflicher Kontakte.
Diese Rechtsgrundlage eröffnet jedoch keinen Automatismus. Sie verlangt eine Einzelfallprüfung: Welcher Zweck wird verfolgt? Wie aufdringlich ist die Kontaktaufnahme? Wie sichtbar sind die verwendeten Daten? Und was durfte die betroffene Person vernünftigerweise erwarten?
In ihrer Analyse misst die Behörde besonderes Gewicht der Frage bei, inwieweit die Person selbst die Kontrolle über ihre Daten ausübt. Fehlt eine erkennbare Online-Präsenz, hat die Person strenge Datenschutzeinstellungen gewählt oder nutzt sie ein Kontaktformular statt einer direkten E-Mail-Adresse, kann dies darauf hindeuten, dass sie ihre Erreichbarkeit bewusst einschränken möchte. In einem solchen Fall darf das Unternehmen nicht davon ausgehen, die Person habe mit einer Kontaktaufnahme gerechnet.
Schließlich kommt es für die Wahl der Rechtsgrundlage auf den Gesamtzweck der Verarbeitung an. Die Rekonstruktion ist in der Regel ein technischer Zwischenschritt im Dienst eines übergeordneten Ziels, sei es eine B2B-Akquise oder eine institutionelle Kontaktaufnahme. Sie kann derselben Rechtsgrundlage folgen wie die Hauptverarbeitung, sofern die Logik durchgängig stimmig ist.
Für Direktwerbung gelten zusätzliche Anforderungen
Artikel L. 34-5 des französischen Post- und Telekommunikationsgesetzbuchs untersagt grundsätzlich die elektronische Direktwerbung unter Verwendung der Kontaktdaten einer natürlichen Person, die dem Erhalt solcher Nachrichten nicht zuvor zugestimmt hat.
Die CNIL unterscheidet allerdings zwischen Werbung, die sich an Berufstätige in ihrer beruflichen Eigenschaft richtet – hier genügt es, die Person zu informieren und ihr eine einfache Widerspruchsmöglichkeit zu bieten –, und Werbung, die sich an Privatpersonen wendet und grundsätzlich eine vorherige Einwilligung voraussetzt.
Maßgeblich ist auch, wie eng die Nachricht mit der beruflichen Funktion des Empfängers zusammenhängt. In ihrem Beschluss SAN-2020-018 vom 8. Dezember 2020 hatte die CNIL einem Unternehmen untersagt, sich auf ein berechtigtes Interesse zu berufen, um Essensangebote an Personen zu versenden, deren Adressen aus einem beruflichen Netzwerk rekonstruiert worden waren. Die Nachrichten wiesen einen zu schwachen Bezug zur beruflichen Tätigkeit der Empfänger auf. Die CNIL entschied, dass eine vorherige Einwilligung erforderlich war.
Der französische Kassationsgerichtshof hatte bereits in seinem Urteil vom 14. März 2006 (Az. 05-83.423) den Grundsatz aufgestellt, dass es unlauter ist, eine im Internet aufgefundene E-Mail-Adresse für einen Zweck zu verwenden, der in keinem Zusammenhang mit dem Kontext steht, in dem sie veröffentlicht wurde. Diese noch vor Inkrafttreten der DSGVO ergangene Entscheidung ist nach wie vor uneingeschränkt übertragbar.
Was Unternehmen vor jeder Kampagne beachten sollten
Ein Unternehmen, das diese Methode einsetzt, sollte vor jeder Kampagne Folgendes dokumentieren:
- woher der verwendete Vor- und Nachname stammt und wie die Adresse abgeleitet wurde;
- welchen Zweck die Kontaktaufnahme verfolgt und welchen Bezug sie zur beruflichen Funktion der Person hat;
- die Analyse der berechtigten Erwartungen der betroffenen Person und des Grades der Aufdringlichkeit;
- die für die Rekonstruktion und den Versand der Nachricht jeweils gewählte Rechtsgrundlage;
- welche Informationen beim Erstkontakt mitgeteilt werden, insbesondere zur Herkunft der Adresse und zu den Rechten der betroffenen Person.
Die CNIL empfiehlt außerdem, die Speicherdauer rekonstruierter Adressen zu begrenzen. Eine Adresse sollte nur dann in der Datenbank verbleiben, wenn innerhalb einer angemessenen Frist ein tatsächlicher Erstkontakt zustande kommt. Jeder Widerspruch sollte dazu führen, dass die betroffene Person umgehend von künftigen Rekonstruktionsverarbeitungen ausgeschlossen wird, auch dann, wenn der Zweck nicht werblicher Natur ist.
Die am meisten gefürchtete Sanktion ist übrigens nicht unbedingt das Bußgeld. In dem bereits erwähnten Beschluss von 2020 hatte die CNIL das Unternehmen angewiesen, seine gesamte ohne Einwilligung aufgebaute Interessentendatenbank zu löschen. Monate an Akquisearbeit – mit einem Schlag zunichtegemacht.