Cold Outreach Compliance DACH: TKG, UWG, DSG und BDSG kombiniert

Cold Outreach Compliance DACH bezeichnet die Einhaltung der nationalen Regeln für B2B-Kaltakquise per E-Mail, Telefon und LinkedIn in Österreich, Deutschland und der Schweiz. Maßgeblich sind das UWG (unzumutbare Belästigung), das TKG (Österreich) beziehungsweise § 7 UWG (Deutschland) für E-Mail und Telefon sowie die DSGVO in Verbindung mit DSG, BDSG und revDSG für die zugrunde liegende Datenverarbeitung. Wer mit KI-gestützten Outbound-Workflows arbeitet, kombiniert damit zwei Rechtsregime gleichzeitig: Werberecht und Datenschutzrecht.

Drei Schnellantworten vorab:

• E-Mail an Firmen ist in AT, DE und CH grundsätzlich einwilligungspflichtig. Die im B2B oft bemühte „mutmaßliche Einwilligung" ist eng und umstritten - kein verlässlicher Freibrief.
• Telefon-Kaltakquise gegenüber Unternehmen ist in Deutschland über § 7 UWG (mutmaßliche Einwilligung) geregelt, in Österreich über das TKG, in der Schweiz über das UWG.
• Die Datenverarbeitung dahinter - Listen, Anreicherung, Personalisierung - braucht in AT/DE eine eigene DSGVO-Rechtsgrundlage und in CH eine Rechtfertigung nach revDSG. Das ist eine zweite, separate Prüfung neben dem Werberecht.

Zwei Rechtsregime, die unabhängig voneinander gelten

Der häufigste Fehler im DACH-Outbound ist die Annahme, eine einzige Rechtsgrundlage decke alles ab. Tatsächlich greifen zwei Schichten parallel:

1. Werbe- und Belästigungsrecht regelt, ob und wie ob du überhaupt kontaktieren darfst - das ist die UWG/TKG-Ebene.
2. Datenschutzrecht regelt, ob ob du die dafür nötigen personenbezogenen Daten verarbeiten darfst - das ist die DSGVO-/DSG-/BDSG-/revDSG-Ebene.

Beide müssen erfüllt sein. Eine werblich zulässige E-Mail bleibt rechtswidrig, wenn die Datenverarbeitung keine tragfähige Grundlage hat - und umgekehrt. Einwilligungsbasierte Personalisierung ist im DACH-Raum strukturell enger als im US-Vorbild, was generative Personalisierungs-Use-Cases spürbar einschränkt.

Die ePrivacy-Grundlage: eine Richtlinie, drei Umsetzungen

E-Mail- und Telekommunikationswerbung wurzeln europaweit in der Richtlinie 2002/58/EG (ePrivacy-Richtlinie). Ihr Nachfolger, die geplante ePrivacy-Verordnung, steckt seit 2017 im Trilog fest; bis zu deren Inkrafttreten gilt die Richtlinie in ihrer jeweiligen nationalen Umsetzung. Diese Umsetzung unterscheidet sich pro Land - und genau hier setzen TKG und UWG an:

• Deutschland: § 25 TDDDG (vormals TTDSG) setzt die ePrivacy-Vorgaben um; die zentrale Belästigungsnorm für Werbung bleibt § 7 UWG.
• Österreich: Umsetzung über das TKG 2021.
• Schweiz: Umsetzung über das FMG (Fernmeldegesetz), die werbliche Belästigung über das UWG.

Für Outbound heißt das: Die Grundidee „unerbetene elektronische Werbung braucht in der Regel vorherige Einwilligung" ist in allen drei Ländern verankert, die konkrete Norm und Ausgestaltung weichen aber ab.

E-Mail, Telefon, LinkedIn: was Agents dürfen und was nicht

E-Mail-Kaltakquise

In allen drei Ländern ist unaufgeforderte Werbe-E-Mail an Unternehmen grundsätzlich einwilligungspflichtig. Die „mutmaßliche Einwilligung" (presumed consent) wird im B2B gerne als Brücke benutzt - sie gilt jedoch als eng und umstritten. Praktisch bedeutet das: Massen-Outbound ohne dokumentierte Einwilligung oder ohne eng begrenzte Bestandskunden-Konstellation ist riskant. Hinzu kommt ein operativer Befund aus der Praxis: DACH-B2B-Postfächer erkennen templated AI-Mails schnell, was die Zustellbarkeit kollabieren lässt - ein Reputations- und nicht nur ein Rechtsproblem.

Telefon-Kaltakquise

Telefonische Kaltakquise gegenüber Unternehmen ist in Deutschland über § 7 UWG geregelt und an die mutmaßliche Einwilligung gebunden, in Österreich über das TKG, in der Schweiz über das UWG. Sprach-Outbound durch KI-Voice-Agents funktioniert im DACH-B2B nahezu nie - wegen Anruf-Schutznormen, formaler Sprachkultur und der RFP-getriebenen Beschaffung; Voice bleibt dort ein Randkanal, allenfalls für eingehende Qualifizierung.

LinkedIn

LinkedIn ist im DACH-B2B der dominierende Kanal - aber Massen-Automatisierung riskiert Account-Sperren. LinkedIn geht hart gegen Automatisierungs-Tools vor: Ende 2025 wurden mehrere Accounts eines bekannten Outbound-Anbieters einschließlich der Gründer eingeschränkt. Über das Gesetz hinaus gelten hier also die LinkedIn-Nutzungsbedingungen als eigene, vertragliche Schranke.

Was AI Agents dürfen - und was Menschen verantworten müssen

Die belastbare Empfehlung lautet: rep-in-the-loop statt vollautonom. Autonome Outbound-SDR-Agents (z. B. Artisan Ava, 11x Alice, AiSDR, Rox.com, Regie.ai - Stand 2026) haben hohe Vendor-Marketing-Präsenz, aber sehr gemischte Ergebnisse; der Gründer eines Anbieters räumte für die erste Generation „extrem schlechte Halluzinationen" und „relativ hohe Churn" selbst ein.

Kurz: Der Agent ist Recherche-, Anreicherungs- und Schreibmaschine. Den rechtlich heiklen Moment - das tatsächliche Ansprechen ohne Einwilligung - muss ein Mensch verantworten, der Einwilligungsstatus, Widersprüche und Transparenzpflichten kennt. Vor jedem produktiven Autonomie-Schritt steht ein Compliance-/Legal-Sign-off zu § 7 UWG (DE), TKG (AT), revDSG/UWG (CH) plus LinkedIn-ToS-Review.

Vergleichstabelle: E-Mail, Telefon, Datengrundlage in AT/DE/CH

Hinweis: Dies ist eine fachredaktionelle Einordnung und ersetzt keine Rechtsberatung. Statut-Namen und Artikel-/Paragrafennennungen folgen der Quellenlage; die konkrete Zulässigkeit ist immer einzelfallabhängig zu prüfen.

Ein Schweizer Sonderpunkt mit hoher Praxisrelevanz: Das revDSG kennt keine Unternehmensbußen, dafür strafrechtliche Sanktionen gegen natürliche Personen bis CHF 250.000 für vorsätzliche Verstöße gegen bestimmte Pflichten (Art. 60-63 revDSG). Das Risiko verlagert sich damit auf Geschäftsführung und Datenschutzverantwortliche persönlich.

Die Datenschutz-Ebene im Detail: Art. 6 Abs. 1 lit. f und der dreistufige Test

Für AT/DE ist die Akquise-Liste fast immer eine DSGVO-Verarbeitung. Die typische Grundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, das nach den EDPB-Leitlinien 1/2024 einen dokumentierten dreistufigen Test verlangt:

1. Zwecktest: Das Interesse muss rechtmäßig, real, gegenwärtig und spezifisch benannt sein - „Vertrieb verbessern" reicht nicht, „qualifizierte B2B-Erstansprache passender Zielkunden im Segment X" schon eher.
2. Erforderlichkeitstest: Geht es mit weniger oder pseudonymisierten Daten? Für angereicherte Profile heißt das: nur die wirklich benötigten Felder.
3. Abwägungstest: Gegen die vernünftigen Erwartungen der Betroffenen. „Öffentlich verfügbar" bedeutet ausdrücklich nicht „frei verwendbar" - der Maßstab aus Meta v Bundeskartellamt (C-252/21) gilt.

Zusätzlich relevant für Outbound:

• Transparenzpflichten (Art. 13/14 DSGVO): Wer Kontaktdaten nicht beim Betroffenen selbst, sondern über B2B-Datenbroker oder Enrichment-Tools erhebt, unterliegt Art. 14 - die „unverhältnismäßiger Aufwand"-Ausnahme (Art. 14 Abs. 5 lit. b) ist enger als oft angenommen.
• Widerspruchsrecht (Art. 21 DSGVO): Bei lit.-f-Verarbeitung muss der Widerspruch leicht, prominent und wirksam möglich sein. Die CJEU-Linie in den SCHUFA-Begleitverfahren liest Art. 21 in diesen Fällen als generelles Recht.
• Auftragsverarbeitung (Art. 28 DSGVO): Jedes Enrichment-Tool und jeder MCP-/API-Endpunkt, der Kontaktdaten verarbeitet, braucht einen tragfähigen AVV - eine der häufigsten Lücken in KI-gestützten Outbound-Stacks.

In der Schweiz tritt an die Stelle von lit. f die Rechtfertigung nach Art. 31 revDSG mit einer in der Formulierung engeren Interessenabwägung - die Dokumentation muss also enger gefasst sein als ein DSGVO-LIA.

Praxisbeispiel: 5.000-Kontakte-Kampagne, korrekt aufgesetzt

Eine Wiener B2B-Agentur plant für einen Mandanten eine Outbound-Kampagne an 5.000 Entscheider in AT (3.000), DE (1.500) und CH (500). Sauber aufgesetzt sieht der Workflow so aus (Pseudocode):

```text
für jeden Kontakt:
land = bestimme_land(kontakt)
# 1. Datenschutz-Gate (vor allem anderen)
wenn nicht rechtsgrundlage_dokumentiert(kontakt, land):
verwerfen # AT/DE: Art. 6(1)(f)-LIA | CH: Art. 31 revDSG
wenn auf_widerspruchsliste(kontakt):
verwerfen
# 2. Werberecht-Gate je Kanal
wenn kanal == "email" und nicht einwilligung_oder_eng_begründet(kontakt, land):
kanal = "linkedin_personalisiert" # kein Massen-Mailing ohne Basis
# 3. AI Agent: Recherche + Anreicherung + Draft (kein Versand)
draft = agent.erzeuge_personalisierten_entwurf(kontakt)
# 4. Mensch: Freigabe + Versand-Trigger
in_freigabe_queue(draft, verantwortlicher_mensch)
```

Das Datenschutz-Gate steht vor dem Werberecht-Gate, weil ohne Rechtsgrundlage gar nicht erst verarbeitet werden darf. Der Agent erledigt Recherche, Anreicherung und Entwurf; der Versand bleibt in einer menschlichen Freigabe-Queue. Für CH-Kontakte ist zu bedenken, dass im Fehlerfall nicht das Unternehmen, sondern verantwortliche Personen strafrechtlich exponiert sind.

Für Agenturen und B2B-Teams

Für Agenturen ist Cold Outreach Compliance DACH ein Differenzierungsmerkmal: Wer Outbound-Kampagnen mit dokumentierter Rechtsgrundlage je Land, sauberem AVV-Stack und rep-in-the-loop-Architektur ausliefert, schützt den Mandanten vor Abmahnungen, Account-Sperren und Zustellbarkeits-Kollaps. Für B2B-Teams gilt: Behandle KI-Agents als Recherche-, Anreicherungs- und Schreibwerkzeuge und halte den rechtlich relevanten Versand-Trigger in menschlicher Verantwortung. Hol vor jedem Autonomie-Schritt ein Compliance-Sign-off zu UWG/TKG/revDSG und LinkedIn-ToS ein - und dokumentiere Rechtsgrundlage, Interessenabwägung und Widerspruchslogik so, dass sie einer Prüfung standhalten.