DSGVO und berechtigtes Interesse bei signalbasierter Akquise: Was Recruiter dürfen und was nicht (2026)

TL;DR

Keine Rechtsberatung. Dieser Artikel ist eine praktische Orientierung für Inhaber von Personalberatungen und BD-Consultants, kein Rechtsgutachten. Lass dein Setup von einer Datenschutzjuristin oder einem Datenschutzjuristen prüfen.

Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) kann eine tragfähige Rechtsgrundlage für B2B-Akquise sein, und die britische Aufsicht ICO nennt Direktwerbung ausdrücklich als mögliches berechtigtes Interesse [1]. Aber die Rechtsgrundlage ist nur eine von drei Ebenen. Dazu kommt die Regel für den Kanal (in Deutschland § 7 UWG, in UK die PECR) sowie Informations- und Widerspruchspflichten [8] [9]. In Deutschland braucht E-Mail-Werbung eine vorherige ausdrückliche Einwilligung, B2B-Telefonwerbung mindestens eine mutmaßliche Einwilligung [10] [12]. In UK dürfen Unternehmen (corporate subscribers) ohne Einwilligung angemailt werden, Einzelunternehmer und manche Partnerschaften zählen aber als Privatpersonen [3]. Signalbasierte BD hilft, weil Unternehmenssignale (Funding, Stellenaufbau, Expansion) meist keine personenbezogenen Daten sind und ein Consultant, der jede Nachricht prüft und selbst versendet, die Ansprache relevant und belegbar hält. Genau darauf ist boilr gebaut.

Warum Recruiter bei der DSGVO in der BD oft danebenliegen

Recruiter verarbeiten den ganzen Tag personenbezogene Daten, doch die Neukundenakquise läuft oft nach Bauchgefühl. Vier Missverständnisse tauchen immer wieder auf:

• "B2B fällt nicht unter die DSGVO" - falsch. Die ICO stellt klar: Sobald du eine Person identifizieren kannst, sind es personenbezogene Daten, auch in ihrer geschäftlichen Rolle [2].
• "Berechtigtes Interesse erlaubt alles" - falsch. Es ist ein Test, den du bestehen und dokumentieren musst, kein Freifahrtschein [1].
• "Eine Rechtsgrundlage deckt die ganze Kampagne" - falsch. Datenschutz und Wettbewerbsrecht gelten nebeneinander. Wer die eine Hürde nimmt, hat die andere noch nicht genommen [1].
• "Was in UK geht, geht auch in Deutschland" - falsch. § 7 UWG ist bei E-Mail strenger als die britische Regel für Unternehmen [10].

Die drei Ebenen: Rechtsgrundlage, Kanalregel, Transparenz

Stell dir jede Nachricht als Weg durch drei Tore vor. Scheitert sie an einem, ist sie ein Problem, egal wie gut das Signal dahinter war.

Ebene	Frage	Deutschland / EU	UK
1. Rechtsgrundlage	Dürfen wir die Daten überhaupt verarbeiten?	Art. 6 Abs. 1 lit. f DSGVO [6]	UK GDPR Art. 6(1)(f) [1]
2. Kanalregel	Dürfen wir diese E-Mail senden oder diesen Anruf tätigen?	§ 7 UWG [10]	PECR [3]
3. Transparenz und Rechte	Haben wir informiert, und kann die Person widersprechen?	Art. 14 und 21 DSGVO [8] [9]	Art. 14 und 21 [8] [9]

Ebene 1: Berechtigtes Interesse und der Drei-Stufen-Test

Die ICO gliedert Art. 6 Abs. 1 lit. f in einen Drei-Stufen-Test, und alle drei Stufen müssen erfüllt sein, bevor du mit den Daten arbeitest [1]. Der Europäische Datenschutzausschuss (EDSA bzw. EDPB) beschreibt für die EU dieselben drei kumulativen Voraussetzungen [6].

Zweck-Test

• Sei konkret - "Wir haben ein berechtigtes Interesse an der Nutzung von Interessentendaten" ist zu vage. Formuliere etwa: "Ansprache von Entscheidern in Unternehmen mit Hiring-Signal, um Personaldienstleistungen anzubieten" [1].
• Wirtschaftlich ist erlaubt - der EuGH hat in der Rechtssache C-621/22 bestätigt, dass auch ein rein wirtschaftliches Interesse ein berechtigtes Interesse sein kann. Es muss aber rechtmäßig, klar benannt und real sein [7].

Erforderlichkeits-Test

• Gezielt und verhältnismäßig - geht es auch mit weniger Daten? Den einen Hiring Manager mit offener Vakanz anzusprechen ist besser vertretbar, als jede Mitarbeiterin des Unternehmens zu scrapen.
• Datenminimierung - Name, Jobtitel, geschäftliche E-Mail und das auslösende Signal reichen meist. Privatadresse oder private Social-Profile brauchst du nicht.

Abwägungs-Test

• Vernünftige Erwartungen - rechnet die Person nicht mit deiner Nutzung, können ihre Interessen überwiegen [1]. Eine relevante Nachricht an die Head of Talent zu einer gerade eröffneten Rolle liegt im Rahmen. Wer über private Kanäle verfolgt wird, nicht.
• Eingriffstiefe - die ICO nennt ein "ernstes Missverhältnis" zwischen deinen Interessen und den Rechten der Person als Punkt, an dem die Interessen überwiegen [1]. B2B-Ansprache mit einfachem Opt-out liegt am unteren Ende.

Die Interessenabwägung dokumentieren (LIA)

Mit einer kurzen schriftlichen Legitimate Interests Assessment (LIA) belegst du, dass du nachgedacht hast. Eine Seite pro Akquise-Use-Case reicht:

1. Zweck - was willst du erreichen, und warum ist das für die Agentur wichtig?
2. Daten - welche Felder, aus welchen Quellen, wie lange gespeichert?
3. Erforderlichkeit - wozu brauchst du jedes Feld, und was erhebst du bewusst nicht?
4. Abwägung - Erwartungen, Auswirkungen, Schutzmaßnahmen (Opt-out, Sperrliste, Prüfung).
5. Ergebnis - freigegeben, mit Auflagen freigegeben oder abgelehnt, mit Wiedervorlage-Datum.

Ebene 2: Die Kanalregeln

Deutschland: § 7 UWG

Nach § 7 Abs. 2 UWG braucht E-Mail-Werbung eine vorherige ausdrückliche Einwilligung, egal ob der Empfänger Verbraucher oder Unternehmer ist [10] [12]. Bei Telefonwerbung gegenüber Gewerbetreibenden reicht dagegen eine mutmaßliche Einwilligung. Dafür müssen konkrete Umstände nahelegen, dass der Angerufene den Anruf erwartet oder positiv aufnimmt [12].

• Double-Opt-in - das ist eine Praxis zum Nachweis der E-Mail-Einwilligung, kein Begriff im Gesetzestext. Du solltest belegen können, wer wann wozu eingewilligt hat.
• Bestandskunden-Ausnahme - § 7 Abs. 3 UWG regelt eng begrenzt die E-Mail-Werbung an eigene Kunden. Kalte Interessenten fallen nicht darunter [10].
• Praktische Folge - Kalt-E-Mail an deutsche Hiring Manager ist ein Hochrisiko-Kanal. Sicherer sind Telefon mit dokumentiertem, signalbasiertem Anlass oder ein warmer Weg wie eine Empfehlung.

Großbritannien: PECR

Die ICO sagt: Du darfst Unternehmen (Company, Scottish Partnership, LLP, Behörden) ohne vorherige Einwilligung anmailen. Einzelunternehmer und manche Partnerschaften gelten jedoch als Privatpersonen und brauchen eine ausdrückliche Einwilligung [3]. Die "Soft Opt-in" hilft nicht weiter: Sie gilt für eigene Kunden und nicht für Interessenten oder neue Kontakte [3]. Für Live-B2B-Anrufe darfst du keine bei CTPS oder TPS registrierten Nummern anrufen, außer das Unternehmen hat eingewilligt [2].

Was der Data (Use and Access) Act 2025 geändert hat

• Höhere PECR-Bußgelder - seit dem 5. Februar 2026 liegt das Maximum bei 17,5 Mio. GBP oder 4 % des weltweiten Jahresumsatzes, statt vorher 500.000 GBP [5]. Ziel laut ICO: PECR-Durchsetzung an die UK GDPR angleichen [4].
• Definition von Direktwerbung - die PECR enthält nun eine Definition: Werbung, die an bestimmte Personen gerichtet ist [4].
• Direktwerbung als berechtigtes Interesse - das Gesetz stellt in Art. 6 UK GDPR klar, dass Direktwerbung ein berechtigtes Interesse sein kann [11]. Die Abwägung und die PECR-Pflichten bleiben bestehen.
• "Recognised legitimate interests" gelten nicht für BD - die neue Kategorie betrifft etwa nationale Sicherheit, Kriminalitätsprävention und Schutz gefährdeter Personen [5]. Vertriebsansprache braucht weiter den vollen Drei-Stufen-Test.

Kanalvergleich

Kanal	Deutschland (UWG)	UK (PECR)
E-Mail an eine GmbH / Limited	Vorherige ausdrückliche Einwilligung [12]	Keine vorherige Einwilligung nötig; UK GDPR gilt für namentlich genannte Personen [2]
E-Mail an Einzelunternehmer	Vorherige ausdrückliche Einwilligung [12]	Gilt als Privatperson: Einwilligung nötig [3]
Live-B2B-Anruf	Mindestens mutmaßliche Einwilligung [12]	Abgleich mit CTPS und TPS [2]
Soft Opt-in / Bestandskunden	§ 7 Abs. 3 UWG, eng [10]	Nur eigene Kunden [3]

Unternehmenssignale vs. personenbezogene Daten: der Vorteil signalbasierter BD

Das stärkste Datenschutzargument für signalbasierte BD ist Datenminimierung per Design. Die meisten Trigger betreffen das Unternehmen, nicht eine Person. So sortieren sich typische Recruiting-Signale:

Signal	Überwiegend Unternehmensebene?	Datenschutzrisiko
Funding-Runde angekündigt	Ja	Gering, bis du einen namentlichen Kontakt wählst
Stellenaufbau (zehn neue Engineering-Rollen)	Ja	Gering; die Anzeige nennt eine Rolle, keine Person
Neuer Standort oder Markteintritt	Ja	Gering, bis ein namentlicher Kontakt dazukommt
Neue CFO oder neuer Head of Talent	Nein	Höher: bezieht sich auf eine identifizierbare Person
Geschäftsführer-Eintrag in einem öffentlichen Register	Teilweise	Öffentlich heißt nicht beliebig nutzbar; Zweck und Erwartungen prüfen

Eine generische Adresse wie info@ oder eine Zentrale identifiziert niemanden. Eine namentliche Geschäfts-E-Mail schon. Die ICO betont, dass eine solche Adresse personenbezogen bleibt, auch wenn die PECR den Anschlussinhaber als Unternehmen einordnet [2].

Ebene 3: Information, Widerspruch und Sperrliste

Informationspflicht nach Art. 14

Erhebst du Daten nicht bei der Person selbst, gilt Art. 14. Du musst innerhalb einer angemessenen Frist informieren, spätestens nach einem Monat, oder bei der ersten Kontaktaufnahme, falls diese früher liegt. Zu nennen sind unter anderem die verfolgten berechtigten Interessen und die Quelle der Daten [8].

• Fußzeile in der ersten Nachricht - eine kurze Zeile mit Agentur, Anlass (ein beobachtetes Hiring-Signal), Art der Quelle und Link zur Datenschutzerklärung.
• Abschnitt in der Datenschutzerklärung - ein verständlicher Teil zu "Geschäftskontakten und Interessenten" mit Kategorien, Quellen, Speicherdauer und Rechten.
• Nicht auf die Ausnahme verlassen - Art. 14 Abs. 5 lit. b lässt bei unverhältnismäßigem Aufwand eine Ausnahme zu, sie ist aber auf Archiv-, Forschungs- und Statistikzwecke zugeschnitten [8]. Gehe nicht davon aus, dass Akquise darunter fällt.

Das Widerspruchsrecht

• Absolut bei Direktwerbung - die Person kann jederzeit widersprechen, danach darfst du ihre Daten nicht mehr zu diesem Zweck verarbeiten [9].
• Klar benennen - das Recht muss spätestens bei der ersten Kommunikation ausdrücklich und getrennt von anderen Informationen mitgeteilt werden [9].
• Sperren statt löschen - behalte einen minimalen Eintrag (E-Mail, Unternehmen, Datum), damit die Person nicht über die nächste Datenquelle wieder auftaucht. Die ICO empfiehlt genau dafür eine Do-not-contact-Liste [3].

Was Recruiter dürfen und was nicht

Das darfst du	Das darfst du nicht
Ein deutsches Unternehmen anrufen, wenn konkrete Umstände eine mutmaßliche Einwilligung stützen [12]	Kalt-E-Mail an deutsche Hiring Manager ohne vorherige ausdrückliche Einwilligung [12]
Einen namentlichen Hiring Manager einer UK Limited nach dokumentiertem Stellen-Signal anmailen, mit Opt-out und Art.-14-Information	Einen UK-Einzelunternehmer oder eine als Privatperson geltende Partnerschaft ohne Einwilligung anmailen [3]
Ein UK-Unternehmen nach CTPS-/TPS-Abgleich anrufen [2]	Eine bei CTPS registrierte Nummer ohne Einwilligung anrufen [2]
B2B-Daten auf berechtigtes Interesse stützen, mit schriftlicher LIA	Berechtigtes Interesse als Freibrief für die Kanalregeln behandeln [1]
Nach einem Widerspruch einen minimalen Sperreintrag behalten	Weiter Nachrichten an jemanden senden, der der Direktwerbung widersprochen hat [9]

Ein sauberer Workflow mit Mensch in der Schleife

Diesen Ablauf kann eine Agentur in acht konkreten Schritten übernehmen:

1. Use-Case und LIA festlegen - zum Beispiel "Tech-Desk spricht Hiring-Verantwortliche bei Scale-ups mit offenen Engineering-Rollen an".
2. ICP und Signale definieren - reagiere nur auf Signale mit echtem, aktuellem Personalbedarf.
3. Rechtsform prüfen - GmbH, Limited oder LLP gegenüber Einzelunternehmer. Unklare Fälle gehen in die Prüfung statt in den Versand.
4. Marktregel anwenden - UK-E-Mail an Unternehmen ist möglich, in Deutschland braucht E-Mail eine Einwilligung, UK-Anrufe brauchen den CTPS-/TPS-Abgleich.
5. Gegen die Sperrliste abgleichen - bevor ein Entwurf beim Consultant landet.
6. Consultant prüft - liest das Signal, bestätigt Relevanz, kontrolliert den Kontakt und überarbeitet den Entwurf.
7. Senden mit Art.-14-Hinweis und Opt-out - klarer Absender, klarer Anlass, einfache Abmeldung.
8. Widersprüche protokollieren und beachten - Opt-out am selben Tag im CRM erfassen, die LIA mindestens jährlich prüfen.

Wo boilr ins Bild passt

boilr ist dein AI Sales Employee für Recruiting. Er findet und reichert Kundenunternehmen an, erkennt Hiring-Signale wie Funding, Führungswechsel und Einstellungsaktivität und bereitet fertige Tasks mit Kontakt, Ansprache-Winkel und Entwurf vor. Der Consultant prüft und sendet, das dauert Minuten am Tag statt Stunden. So unterstützt jeder Baustein den Workflow:

• Signals - Signale auf Unternehmensebene liefern für jeden Kontakt einen dokumentierten, konkreten Anlass. Das ist der Kern des Zweck-Tests.
• ICP-Scoring - nur gut passende Unternehmen anzusprechen stützt Erforderlichkeit und Verhältnismäßigkeit.
• Tasks mit menschlicher Prüfung - jede Nachricht wird von einem Consultant geprüft und versendet, nichts geht ungesehen raus.
• Company Brain - das gemeinsame Agentur-Gedächtnis kann deinen ICP, Märkte mit und ohne Ansprache und Learnings aus Widersprüchen halten, sodass die Regeln einen Consultant-Wechsel überleben.
• Integrationen - boilr verbindet sich mit Bullhorn, RecruiterFlow und Spott. Dort sollten Sperrliste und Einwilligungsnachweise liegen.

Ehrlich bleiben: Software macht dich nicht automatisch konform. Deine Agentur bleibt Verantwortliche für die Akquise, also liegen LIA, Datenschutzerklärung, Einwilligungsnachweise für Deutschland und der Umgang mit Widersprüchen bei dir. Menschlich bleiben: die finale Versandentscheidung, die Einordnung von Einzelunternehmern und unklaren Fällen sowie jeder Widerspruch.

Häufige Fehler

• Liste kaufen und anschreiben - die Soft Opt-in gilt laut ICO nicht für Interessenten oder neue Kontakte, etwa aus gekauften Listen [3].
• Einzelunternehmer übersehen - ein kleiner Kunde mit Freelancer-Struktur kann als Privatperson gelten.
• Keine schriftliche LIA - fragt die Aufsicht nach, ist "wir haben darüber nachgedacht" kein Nachweis.
• Deutschland wie UK behandeln - eine UK-typische Kalt-E-Mail-Sequenz in den DACH-Raum ist ein UWG-Risiko [12].
• Keine Sperrlisten-Disziplin - wer einen Widersprechenden erneut anschreibt, kassiert schnell eine Beschwerde.
• Die neuen UK-Bußgelder ignorieren - PECR-Verstöße haben jetzt UK-GDPR-Maximalbeträge [5].

KPIs für eine regelkonforme BD

KPI	Was sie zeigt	Gutes Zeichen
Anteil Kontakte mit dokumentiertem Signal	Zweck-Test ist real	Nahe 100 %
Zeit von Widerspruch bis Sperrung	Umgang mit Betroffenenrechten	Am selben Werktag
Vor Versand eingeordnete Rechtsformen	Disziplin bei der Kanalregel	100 %
Von Consultants angepasste oder verworfene Entwürfe	Menschliche Prüfung ist real	Ein sichtbarer Anteil, nicht null
LIA in den letzten 12 Monaten geprüft	Governance	Ja

Ein 30-Tage-Plan

• Woche 1 - LIA entwerfen, Datenschutzerklärung um den Abschnitt zu Interessenten ergänzen.
• Woche 2 - Sperrliste im CRM aufbauen, Rechtsform-Einordnung und Markt-Routing einrichten.
• Woche 3 - Art.-14-Zeile und Opt-out in die Vorlagen, Consultants auf die Prüfschritte schulen.
• Woche 4 - Pilot auf einem Desk, Widersprüche und Anpassungen auswerten, dann ausrollen.

Du willst signalbasierte BD, bei der jede Nachricht vor dem Versand von einem Consultant geprüft wird? Teste boilr kostenlos unter app.boilr.ai oder buche eine Demo.

Häufige Fragen

Dürfen Recruiter sich bei B2B-Kaltakquise auf berechtigtes Interesse stützen?

Für die Datenverarbeitung oft ja, wenn du Zweck-, Erforderlichkeits- und Abwägungstest bestehst und dokumentierst [1]. Die Kanalregel ist davon getrennt: In Deutschland braucht Kalt-E-Mail zusätzlich eine vorherige ausdrückliche Einwilligung [12].

Brauche ich eine Einwilligung, um einen britischen Hiring Manager anzumailen?

Nicht, wenn der Empfänger ein Unternehmen wie eine Limited oder LLP ist [3]. Für Einzelunternehmer und manche Partnerschaften brauchst du eine Einwilligung. Die UK GDPR gilt weiterhin für die namentlich genannte Person [2].

Was hat der Data (Use and Access) Act 2025 für die Akquise geändert?

Er hat die PECR-Bußgelder ab dem 5. Februar 2026 auf UK-GDPR-Niveau angehoben [5], eine Definition von Direktwerbung in die PECR aufgenommen [4] und klargestellt, dass Direktwerbung ein berechtigtes Interesse sein kann [11]. Abwägung und Einwilligungsregeln für Privatpersonen bleiben.

Ist Double-Opt-in in Deutschland Pflicht?

Das Gesetz verlangt eine vorherige ausdrückliche Einwilligung für E-Mail-Werbung [10]. Double-Opt-in ist der übliche Weg, diese Einwilligung nachzuweisen, keine benannte gesetzliche Pflicht. Halte fest, wer wann wozu zugestimmt hat.

Sind Funding-Meldungen eines Unternehmens personenbezogene Daten?

In der Regel nicht, weil sie das Unternehmen betreffen. Personenbezogen werden sie, sobald du sie mit einer identifizierbaren Person verknüpfst, etwa einem namentlich genannten Gründer oder einer neuen Führungskraft [2].

Muss ich jedem Interessenten eine Art.-14-Information schicken?

Grundsätzlich ja. Du musst innerhalb einer angemessenen Frist, spätestens nach einem Monat, oder bei der ersten Kontaktaufnahme informieren, falls diese früher liegt [8]. Die meisten Agenturen lösen das mit einer kurzen Zeile in der ersten Nachricht und einem Link zur Datenschutzerklärung.

Was passiert, wenn jemand widerspricht?

Bei Direktwerbung ist das Widerspruchsrecht absolut, du musst die Verarbeitung zu diesem Zweck beenden [9]. Behalte einen minimalen Sperreintrag, damit die Person nicht erneut aufgenommen wird.

Ändert der Einsatz von KI etwas daran?

Rechtsgrundlage, Kanalregel und Transparenz gelten unabhängig davon, welches Tool den Entwurf vorbereitet. Ein Mensch, der jede Nachricht prüft und die Widerspruchsliste führt, hält die Verantwortung klar. Die KI-spezifischen Regeln sind ein eigenes Thema, mehr dazu in unserem Beitrag zum EU AI Act.

Quellen

Informationen aus öffentlichen Behördenhinweisen, Gesetzestexten und Kanzlei-Analysen, Stand Oktober 2026. Keine Rechtsberatung.

1. ICO - What is the legitimate interests basis?
2. ICO - Business-to-business marketing
3. ICO - Electronic mail marketing (PECR)
4. ICO - DUAA 2025: privacy and electronic communications
5. Clifford Chance - Key aspects of the Data (Use and Access) Act take effect
6. EDSA/EDPB - Leitlinien 1/2024 zu Art. 6 Abs. 1 lit. f DSGVO (englisch)
7. EU Law Analysis - EuGH C-621/22 und die EDPB-Leitlinien
8. DSGVO Art. 14 - Informationspflicht bei Erhebung nicht bei der betroffenen Person
9. DSGVO Art. 21 - Widerspruchsrecht
10. gesetze-im-internet.de - § 7 UWG (Unzumutbare Belästigungen)
11. legislation.gov.uk - Data (Use and Access) Act 2025 (c. 18)
12. IHK Nord Westfalen - Werbung per Telefon, Telefax oder E-Mail