Vereinigtes Königreich und Irland: B2B-Kalt-E-Mails nach PECR und SI 336/2011

Das Vereinigte Königreich und Irland haben bei der Umsetzung der EU-ePrivacy-Regeln beide den Weg „Opt-out für Unternehmen“ gewählt, und das Vereinigte Königreich hat seine Fassung nach dem EU-Austritt beibehalten. Für einen Hersteller sind sie damit die unkompliziertesten Märkte Westeuropas für eine erste E-Mail an einen Distributor – mit einigen Fallen für alle, die meinen, „B2B heißt, alles ist erlaubt“.

Einfach gesagt: Sie dürfen einer Kapitalgesellschaft im Vereinigten Königreich oder in Irland eine unverlangte Werbe-E-Mail schicken. Sie dürfen nicht verbergen, wer Sie sind, müssen eine gültige Adresse für die Abmeldung angeben und aufhören, wenn man Sie darum bittet. Im Vereinigten Königreich gelten Einzelunternehmer und die meisten Personengesellschaften als Einzelpersonen und müssen einwilligen; in Irland darf die geschäftliche Adresse eines Einzelunternehmers oder Mitarbeiters ohne Einwilligung genutzt werden, wenn sich die Nachricht ausschließlich auf seine geschäftliche Tätigkeit bezieht. Namentlich genannte Mitarbeiter sind nach der DSGVO weiterhin Personen, sodass die Informationspflicht und das Widerspruchsrecht für sie gelten.

Vereinigtes Königreich: PECR, Regulations 22 und 23

Maßgeblich sind die Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR), durchgesetzt vom Information Commissioner's Office (ICO).

Regulation 22 bestimmt, dass sie „applies to the transmission of unsolicited communications by means of electronic mail to individual subscribers“ (für unverlangte Mitteilungen per elektronischer Post an Teilnehmer gilt, die Einzelpersonen sind). Bei diesen Empfängern ist eine Einwilligung erforderlich, es sei denn, das „Soft Opt-in“ greift (Daten aus einem Verkauf oder aus Vertragsverhandlungen, ähnliche Produkte, einfache Ablehnungsmöglichkeit bei der Erhebung und in jeder Nachricht). Regulation 22 gilt nicht für „corporate subscribers“ (Teilnehmer, die Körperschaften sind).

Regulation 2 definiert einen „corporate subscriber“ als eine Gesellschaft (company), eine durch königliche Charta gegründete Gesellschaft, eine Personengesellschaft in Schottland, eine „corporation sole“ oder „any other body corporate or entity which is a legal person distinct from its members“ (jede andere Körperschaft oder Einheit, die eine von ihren Mitgliedern verschiedene juristische Person ist). Eine Einzelperson ist „a living individual and includes an unincorporated body of such individuals“ (eine lebende natürliche Person, einschließlich eines nicht rechtsfähigen Zusammenschlusses solcher Personen) – deshalb gelten Einzelunternehmer und gewöhnliche (nicht schottische) Personengesellschaften im Sinne der PECR als Einzelpersonen.

Der Leitfaden des ICO sagt dasselbe in einfachen Worten: „You can email or text any corporate body (a company, Scottish partnership, limited liability partnership or government body)“ (Sie dürfen jeder Körperschaft – einer Gesellschaft, einer schottischen Personengesellschaft, einer LLP oder einer Behörde – E-Mails oder SMS schicken), während „sole traders and some partnerships are treated as individuals, so you can only email or text them if they have specifically consented, or if they bought a similar product from you in the past and didn't opt out“ (Einzelunternehmer und manche Personengesellschaften als Einzelpersonen behandelt werden, sodass Sie ihnen nur schreiben dürfen, wenn sie ausdrücklich eingewilligt haben oder früher ein ähnliches Produkt bei Ihnen gekauft und nicht widersprochen haben).

Regulation 23 gilt für jede Werbe-E-Mail, gleich wer sie erhält. Sie dürfen keine senden, bei der „the identity of the person on whose behalf the communication has been sent has been disguised or concealed“ (die Identität der Person, in deren Auftrag die Mitteilung gesendet wurde, verschleiert oder verheimlicht wurde) oder bei der „a valid address to which the recipient of the communication may send a request that such communications cease has not been provided“ (keine gültige Adresse angegeben wurde, an die der Empfänger die Aufforderung senden kann, solche Mitteilungen einzustellen).

Namentliche Adressen und UK GDPR

Einem „corporate subscriber“ darf nach den PECR geschrieben werden, aber vorname.nachname@company.co.uk gehört einer Person. Das ICO weist darauf hin, dass „you may also need to consider data protection implications if you are emailing employees at a corporate body who have personal corporate email addresses“ (Sie möglicherweise auch datenschutzrechtliche Folgen bedenken müssen, wenn Sie Mitarbeitern einer Körperschaft an persönliche Unternehmensadressen schreiben). Die UK GDPR spiegelt den EU-Text: berechtigtes Interesse als Rechtsgrundlage, Datenschutzinformationen beim ersten Kontakt, wenn die Adresse nicht bei der Person erhoben wurde, und ein absolutes Recht, der Direktwerbung zu widersprechen. Eine kurze Fußzeile mit Ihrer Identität, der Herkunft der Adresse und einer Abmeldung in einem Schritt deckt PECR und UK GDPR zugleich ab.

Was sich 2025 geändert hat

Der Data (Use and Access) Act 2025 hat die PECR geändert. Laut der Zusammenfassung des ICO bringt das Gesetz „the enforcement powers under PECR into line with UK GDPR, so that enforcement mechanisms and penalties are the same in most cases“ (die Durchsetzungsbefugnisse nach den PECR in Einklang mit der UK GDPR, sodass Durchsetzungsmechanismen und Sanktionen in den meisten Fällen gleich sind), erweitert die Definition einer Mitteilung auf alles, was „transmitted“ (übermittelt) wird, ob es ankommt oder nicht, und führt ein Soft Opt-in für gemeinnützige Organisationen ein. Die Lage bei „corporate subscribers“ ist unverändert. Das ICO gibt an, dass seine PECR-Leitlinien überarbeitet werden; prüfen Sie die aktuellen Seiten.

Irland: SI 336/2011, Regulation 13

Irland hat die ePrivacy-Richtlinie mit den European Communities (Electronic Communications Networks and Services) (Privacy and Electronic Communications) Regulations 2011, S.I. No. 336 of 2011, umgesetzt. Die Data Protection Commission (DPC) setzt sie durch und verfolgt Verstöße – ungewöhnlich für Europa – vor den Strafgerichten.

Regulation 13 verlangt eine Einwilligung für unverlangte Werbe-E-Mails an einen Teilnehmer, der eine natürliche Person ist. Bei anderen Teilnehmern, also Unternehmen, ist E-Mail erlaubt, wird aber zur Straftat, sobald das Unternehmen Ihnen mitgeteilt hat, dass es nicht einwilligt. Die Strafverfolgung der Viking Direct (Ireland) Limited durch die DPC zeigt, wie das in der Praxis funktioniert: Ein Unternehmer erhielt Werbung an eine geschäftliche E-Mail-Adresse, nachdem er drei Abmeldeaufforderungen geschickt hatte, und das Unternehmen wurde nach Regulation 13(4) wegen „sending an unsolicited marketing email to a business email address“ (Versands einer unverlangten Werbe-E-Mail an eine geschäftliche E-Mail-Adresse) angeklagt. Die Fallzusammenfassung der DPC hält fest, dass die Fehler aus dem internen Sperrprozess des Unternehmens stammten – genau dem System, das ein Hersteller richtig aufsetzen muss.

Regulation 13 enthält auch die allgemeinen Regeln: den Absender nicht verschleiern und eine gültige Adresse angeben, an die der Empfänger die Aufforderung senden kann, die Mitteilungen einzustellen.

Die Strafen gelten pro Nachricht. Die Leitlinien der DPC halten fest, dass eine Straftat nach Regulation 13 „on summary conviction ... a fine of up to €5,000 for each unsolicited marketing email“ (bei Verurteilung im summarischen Verfahren eine Geldstrafe von bis zu 5.000 € für jede unverlangte Werbe-E-Mail) nach sich zieht, und bei Anklageerhebung (on indictment) eine Geldstrafe von bis zu 50.000 € für eine natürliche Person oder 250.000 € für eine Körperschaft. Die Gerichte haben häufig den Probation Act angewendet oder stattdessen Spenden angeordnet, aber die DPC veröffentlicht jeden Fall.

Für natürliche Personen, einschließlich Einzelunternehmern, nimmt Regulation 13(2) geschäftliche Adressen aus: Eine E-Mail an eine Adresse, die bei vernünftiger Betrachtung hauptsächlich für die geschäftliche oder dienstliche Tätigkeit der Person genutzt wird und sich ausschließlich auf diese Tätigkeit bezieht, ist keine einwilligungsbedürftige Werbung. Die geschäftliche Adresse eines Einzelunternehmers oder Mitarbeiters darf also genutzt werden, wenn es in der Nachricht strikt um seine geschäftliche Tätigkeit geht; eine private Adresse erfordert eine Einwilligung.

Der praktische Standard in beiden Ländern

• Identität: Firmenname, Postanschrift, eine echte Antwortadresse.
• Abmeldung: Eine Zeile „Antworten Sie, um keine weiteren Nachrichten zu erhalten“ genügt; ein Abmeldelink ist ebenfalls in Ordnung. Die Abmeldung muss funktionieren und umgehend umgesetzt werden.
• Sperrliste: eine Liste für alle Werkzeuge und Kollegen. Bei den irischen Strafverfahren geht es überwiegend um Abmeldungen, die eingegangen sind und ignoriert wurden.
• Relevanz: Schreiben Sie an die Funktion, die Ihre Kategorie einkauft. Die UK GDPR und die in Irland geltende EU-DSGVO stützen sich beide auf das berechtigte Interesse, das davon abhängt, dass der Empfänger die Nachricht vernünftigerweise erwarten kann.
• Volumen: kleine, gezielte Versandrunden an Unternehmen mit Nachweisen, dass sie Ihre Kategorie verkaufen. Massenkampagnen lösen die Beschwerden aus, die ICO und DPC auf den Plan rufen.

Beide Länder erlauben unter den oben genannten Bedingungen eine erste E-Mail an Unternehmensadressen. In Cresques ist Irland ein Markt mit Zuschlagsnachweisen: Die Marktansicht listet die Unternehmen mit Nachweisen, dass sie Ihre Kategorie verkaufen, und Cresques entwirft die erste E-Mail mit Abmeldemöglichkeit, die Sie aus Ihrem eigenen Postfach versenden, sodass hinter jeder E-Mail ein Anlass steht. Das Vereinigte Königreich ist nur durch einen Länderleitfaden abgedeckt, ohne Zuschlagsnachweise.

Was das für einen Hersteller bedeutet

• Eine erste E-Mail an eine Kapitalgesellschaft im Vereinigten Königreich oder in Irland ist rechtmäßig. Halten Sie sie ehrlich, mit klarem Absender und leicht abzulehnen.
• Prüfen Sie vor dem Versand die Rechtsform. Hinter einem Handelsnamen auf einer Website kann sich ein Einzelunternehmer verbergen; achten Sie auf „Ltd“, „Limited“, „LLP“, „plc“ oder eine Handelsregisternummer (company registration number).
• Behandeln Sie namentliche Kontakte als Personen: Sagen Sie ihnen, woher Sie die Adresse haben und dass sie widersprechen können.
• Bauen Sie die Sperrliste vor dem ersten Versand auf, nicht nach der ersten Beschwerde.
• Rechnen Sie damit, dass das ICO die britischen Regeln infolge des Data (Use and Access) Act in den Jahren 2026 und 2027 in seinen Leitlinien neu darlegt; für Unternehmen wird keine Änderung erwartet, aber lesen Sie die aktuellen Leitlinien.