Cold email légal en zone DACH : TKG, UWG, DSG et BDSG combinés

La conformité de la prospection à froid en zone DACH désigne le respect des règles nationales encadrant le démarchage B2B à froid par e-mail, téléphone et LinkedIn en Autriche, en Allemagne et en Suisse. Les textes déterminants sont l'UWG (sollicitations importunes inacceptables), la TKG (Autriche) ou le § 7 UWG (Allemagne) pour l'e-mail et le téléphone, ainsi que le RGPD combiné à la DSG, la BDSG et la revDSG pour le traitement de données sous-jacent. Quiconque travaille avec des workflows outbound assistés par l'IA combine donc deux régimes juridiques en même temps : le droit de la publicité et le droit de la protection des données.

Trois réponses rapides pour commencer :

• L'e-mail aux entreprises exige en AT et en DE un consentement préalable, y compris en B2B (§ 174 TKG 2021, § 7 UWG). Un « consentement présumé » ne suffit pas pour l'e-mail. Sans consentement, seuls les clients existants peuvent être sollicités, sous des conditions strictes (§ 174 al. 4 TKG 2021, § 7 al. 3 UWG). En CH, l'opt-in s'applique à la publicité de masse.
• La prospection téléphonique à froid auprès d'entreprises est autorisée en Allemagne sous des conditions strictes avec un consentement présumé (§ 7 UWG). En Autriche, elle est interdite sans consentement préalable (§ 174 TKG 2021) ; en Suisse, ce sont l'astérisque dans l'annuaire et l'affichage du numéro qui comptent (UWG).
• Le traitement de données sous-jacent (listes, enrichissement, personnalisation) exige en AT/DE sa propre base légale au sens du RGPD. En CH, il doit respecter les principes de traitement de la revDSG. C'est un second examen, distinct du droit de la publicité.

Deux régimes juridiques qui s'appliquent indépendamment l'un de l'autre

L'erreur la plus fréquente dans l'outbound en zone DACH consiste à croire qu'une seule base légale couvre tout. En réalité, deux couches s'appliquent en parallèle :

1. Le droit de la publicité et des sollicitations importunes détermine si tu as le droit de contacter quelqu'un et comment. C'est le niveau UWG/TKG.
2. Le droit de la protection des données détermine si tu peux traiter les données personnelles nécessaires à cet effet. C'est le niveau RGPD/DSG/BDSG/revDSG.

Les deux doivent être respectés. Un e-mail admissible au regard du droit de la publicité reste illicite si le traitement des données n'est pas licite au regard de la protection des données. À l'inverse, des données traitées en toute conformité ne rendent pas licite un e-mail publicitaire illicite. La personnalisation fondée sur le consentement est structurellement plus restreinte dans la zone DACH que dans le modèle américain, ce qui limite sensiblement les cas d'usage de personnalisation générative.

Le socle ePrivacy : une directive, deux transpositions, une règle suisse à part

Dans l'UE, la publicité par e-mail et par télécommunications trouve son origine dans la directive 2002/58/CE (directive ePrivacy), dont l'art. 13 régit la publicité non sollicitée. Le règlement ePrivacy prévu pour lui succéder a été retiré par la Commission européenne en 2025. La directive reste donc déterminante, dans sa transposition nationale. La Suisse n'est pas membre de l'UE et règle la question de manière autonome. En résumé :

• Allemagne : l'art. 13 est transposé au § 7 al. 2 et 3 UWG. Le § 25 TDDDG (anciennement TTDSG) régit en revanche le stockage et la lecture d'informations sur les équipements terminaux, par exemple les cookies, et n'est pas une norme applicable aux e-mails publicitaires.
• Autriche : transposition au § 174 TKG 2021.
• Suisse : pas de droit de l'UE. Les e-mails publicitaires sont régis par l'art. 3 al. 1 let. o UWG (consentement pour la publicité de masse, exception pour ses propres clients), les appels publicitaires par les let. u et v (respecter l'astérisque dans l'annuaire, afficher le numéro).

Pour l'outbound, cela signifie : l'idée de base selon laquelle « la publicité électronique non sollicitée exige en règle générale un consentement préalable » est ancrée dans les trois pays, mais la norme concrète et ses modalités diffèrent.

E-mail, téléphone, LinkedIn : ce que les agents peuvent faire et ce qu'ils ne peuvent pas faire

Prospection à froid par e-mail

En Autriche et en Allemagne, les e-mails publicitaires adressés aux entreprises exigent un consentement préalable. Le § 174 al. 3 TKG 2021 ne prévoit aucune exception B2B, et le § 7 al. 2 n° 2 UWG exige même un consentement préalable exprès. Le « consentement présumé », souvent utilisé comme passerelle en B2B, ne vaut en Allemagne que pour les appels téléphoniques ; il ne tient pas pour l'e-mail. Seuls les clients existants sont dispensés de l'obligation de consentement : qui a obtenu l'adresse lors de la vente d'un produit ou d'un service peut faire la promotion de ses propres offres similaires. Il faut notamment que le client ait été informé de son droit d'opposition lors de la collecte et dans chaque message, et qu'il ne s'y soit pas opposé (§ 174 al. 4 TKG 2021, § 7 al. 3 UWG). En Suisse, l'art. 3 al. 1 let. o UWG exige le consentement préalable pour la publicité de masse, avec une exception comparable pour ses propres clients. En pratique : les e-mails à froid sans consentement sont illicites en AT et en DE, et pas seulement risqués. S'y ajoute un constat opérationnel tiré de la pratique : les boîtes de réception B2B de la zone DACH repèrent vite les e-mails IA générés à partir de modèles, et la délivrabilité s'effondre. Cela nuit à la réputation de l'expéditeur, en plus du risque juridique.

Prospection téléphonique à froid

La prospection téléphonique à froid auprès d'entreprises est autorisée en Allemagne selon le § 7 al. 2 n° 1 UWG s'il existe au moins un consentement présumé. Le consentement présumé suppose des indices concrets montrant que l'entreprise appelée a un intérêt objectif pour précisément cette offre (BGH, arrêt du 20.9.2007, I ZR 88/05). Un simple appel à froid sans ce lien ne suffit généralement pas. En Autriche, les appels publicitaires sans consentement préalable sont illicites selon le § 174 al. 1 TKG 2021, y compris envers les entreprises. En Suisse, un appel publicitaire est déloyal s'il n'existe aucune relation commerciale entre l'appelant et la personne appelée et que celle-ci a un astérisque dans l'annuaire ou n'y figure pas du tout, ou si aucun numéro enregistré n'est affiché (art. 3 al. 1 let. u et v UWG). L'outbound vocal par des agents vocaux IA ne fonctionne quasiment jamais dans le B2B en zone DACH, en raison de ces normes de protection contre les appels, d'une culture de communication formelle et d'achats pilotés par les appels d'offres. La voix y reste un canal marginal, tout au plus pour la qualification entrante. La question de savoir si un agent vocal IA qui appelle de manière autonome constitue en Allemagne un « automate d'appel », pour lequel le § 7 al. 2 n° 2 UWG exige aussi en B2B un consentement préalable exprès, n'est pas tranchée. Le consentement présumé n'offre pas une base sûre pour ce type d'appels. Depuis le 2 août 2026, les systèmes d'IA qui interagissent directement avec des personnes, comme les agents vocaux, doivent être conçus conformément à l'art. 50, par. 1 et 5, du règlement sur l'IA de sorte que les personnes appelées apprennent, au plus tard lors de la première interaction, qu'elles parlent à une IA, sauf si cela est évident.

LinkedIn

LinkedIn est le canal dominant du B2B en zone DACH, mais l'automatisation de masse expose à des suspensions de compte. LinkedIn interdit les bots et les logiciels qui automatisent des activités sur la plateforme ; quiconque les utilise risque la restriction ou la suspension de son compte. Début mars 2025, les pages entreprise d'Apollo.io et de Seamless.ai ont disparu de LinkedIn, et LinkedIn n'a publié aucune justification. En octobre 2026, la page d'Apollo.io est de nouveau accessible. Au-delà de la loi, les conditions d'utilisation de LinkedIn constituent donc ici une limite contractuelle à part entière.

Ce que les agents IA peuvent faire et ce dont les humains doivent répondre

La recommandation solide est la suivante : rep-in-the-loop plutôt qu'autonomie totale. Les agents SDR autonomes pour l'outbound (par ex. Artisan Ava, 11x Alice, AiSDR, Rox.com, Regie.ai ; état 2026) sont très présents dans le marketing des éditeurs, mais leurs résultats sont très inégaux ; le fondateur de l'un de ces éditeurs a lui-même reconnu, pour la première génération, des « hallucinations extrêmement mauvaises » et un « churn relativement élevé ».

En bref : l'agent est une machine à rechercher, enrichir et rédiger. Le moment juridiquement délicat, la prise de contact effective, doit relever d'un humain qui connaît le statut du consentement, les oppositions et les obligations de transparence. Avant toute étape productive vers l'autonomie, il faut une validation compliance/juridique sur le § 7 UWG (DE), la TKG (AT), la revDSG/UWG (CH) ainsi qu'une revue des CGU de LinkedIn.

Tableau comparatif : e-mail, téléphone et protection des données en AT/DE/CH

Remarque : il s'agit d'une analyse éditoriale spécialisée qui ne remplace pas un conseil juridique. Les noms des lois et les références aux articles et paragraphes suivent les sources ; la licéité concrète doit toujours être examinée au cas par cas.

Une particularité suisse très importante en pratique : la revDSG sanctionne en premier lieu les personnes physiques, avec des amendes pouvant atteindre 250 000 CHF pour les violations intentionnelles de certaines obligations, par exemple le devoir d'information (art. 60 à 63 revDSG). Contre l'entreprise elle-même, seule une amende subsidiaire de 50 000 CHF au maximum est possible, lorsque l'identification des personnes responsables serait disproportionnée (art. 64). Le risque pèse donc personnellement sur la direction et les responsables de la protection des données.

Le volet protection des données en détail : l'art. 6, par. 1, point f), et le test en trois étapes

En AT/DE, la liste de prospection est presque toujours un traitement au sens du RGPD. La base habituelle est l'intérêt légitime au sens de l'art. 6, par. 1, point f), du RGPD, qui, selon les lignes directrices 1/2024 du CEPD, exige un test documenté en trois étapes :

1. Test de finalité : l'intérêt doit être licite, réel, actuel et formulé de manière précise. « Améliorer les ventes » ne suffit pas ; « premier contact B2B qualifié avec des clients cibles pertinents dans le segment X » s'en rapproche davantage.
2. Test de nécessité : peut-on y parvenir avec moins de données ou avec des données pseudonymisées ? Pour les profils enrichis, cela signifie : uniquement les champs réellement nécessaires.
3. Test de mise en balance : face aux attentes raisonnables des personnes concernées. « Accessible au public » ne signifie expressément pas « librement utilisable » ; le critère posé par Meta v Bundeskartellamt (C-252/21) s'applique.

Également pertinents pour l'outbound :

• Obligations de transparence (art. 13/14 RGPD) : quiconque collecte des données de contact non pas auprès de la personne concernée elle-même, mais via des courtiers en données B2B ou des outils d'enrichissement, est soumis à l'art. 14. L'exception des « efforts disproportionnés » (art. 14, par. 5, point b) est plus étroite qu'on ne le croit souvent.
• Droit d'opposition (art. 21 RGPD) : la personne concernée peut s'opposer à tout moment à la prospection, sans motivation et sans mise en balance des intérêts (art. 21, par. 2). Après une opposition, ses données ne peuvent plus être traitées à des fins de prospection (par. 3). La liste d'opposition doit donc précéder chaque envoi.
• Sous-traitance (art. 28 RGPD) : chaque outil d'enrichissement et chaque endpoint MCP ou API qui traite des données de contact nécessite un contrat de sous-traitance solide. C'est l'une des lacunes les plus fréquentes dans les stacks outbound assistés par l'IA.

En Suisse, le fonctionnement est différent. La revDSG n'exige pas de base légale pour chaque traitement : un traitement est admissible tant qu'il respecte les principes de traitement de l'art. 6 revDSG, c'est-à-dire qu'il est licite, conforme à la bonne foi, proportionné et effectué dans un but reconnaissable. Une justification au sens de l'art. 31 revDSG (consentement, intérêt prépondérant ou loi) n'est nécessaire qu'en cas d'atteinte à la personnalité, par exemple pour un traitement contre la volonté expresse de la personne (art. 30 al. 2). Si la personne a elle-même rendu ses coordonnées professionnelles accessibles à tous et n'a pas expressément interdit le traitement, il n'y a en règle générale pas d'atteinte à la personnalité (art. 30 al. 3). Pour les listes de prospection en Suisse, deux obligations comptent donc surtout : tenir proprement les oppositions et les mentions de blocage, et remplir le devoir d'information prévu à l'art. 19 revDSG. Si les données ne proviennent pas de la personne elle-même, par exemple d'un courtier en données, celle-ci doit être informée au plus tard un mois après réception des données (art. 19 al. 5). L'art. 20 prévoit des exceptions, par exemple en cas d'efforts disproportionnés. Quiconque omet intentionnellement l'information peut, sur plainte, être puni d'une amende pouvant atteindre 250 000 CHF (art. 60 al. 1 let. b revDSG).

Cas pratique : une campagne de 5 000 contacts correctement mise en place

Une agence B2B viennoise prévoit pour un client une campagne outbound visant 5 000 décideurs en AT (3 000), en DE (1 500) et en CH (500). Correctement mis en place, le workflow se présente ainsi (pseudo-code) :

```text
pour chaque contact :
pays = determiner_pays(contact)
# 1. Contrôle protection des données (avant tout le reste)
si non protection_donnees_ok(contact, pays) :
rejeter # AT/DE : LIA art. 6(1)(f) | CH : principes art. 6, information art. 19 revDSG, pas d'opposition
si sur_liste_opposition(contact) :
rejeter
# 2. Contrôle droit de la publicité par canal
si canal == "email" et non consentement_ou_client_existant(contact, pays) :
canal = "linkedin_personnalise" # pas d'envoi de masse sans base
# 3. Agent IA : recherche + enrichissement + brouillon (pas d'envoi)
brouillon = agent.generer_brouillon_personnalise(contact)
# 4. Humain : validation + déclenchement de l'envoi
vers_file_validation(brouillon, humain_responsable)
```

Le contrôle protection des données se place avant le contrôle droit de la publicité, car en AT et en DE, sans base légale, il est interdit de traiter les données dès le départ. L'agent se charge de la recherche, de l'enrichissement et du brouillon ; l'envoi reste dans une file de validation humaine. Pour les contacts en CH : si quelqu'un viole intentionnellement certaines obligations, comme le devoir d'information, ce sont en premier lieu les personnes responsables qui sont sanctionnées, le plus souvent uniquement sur plainte (art. 60 à 63 revDSG). L'entreprise ne peut se voir infliger qu'à titre subsidiaire une amende de 50 000 CHF au maximum (art. 64 revDSG).

Pour les agences et les équipes B2B

Pour les agences, la conformité de la prospection à froid en zone DACH est un facteur de différenciation : une agence qui livre des campagnes outbound avec un examen documenté de la protection des données par pays, un ensemble propre de contrats de sous-traitance et une architecture rep-in-the-loop protège son client contre les mises en demeure, les suspensions de compte et l'effondrement de la délivrabilité. Pour les équipes B2B : traite les agents IA comme des outils de recherche, d'enrichissement et de rédaction, et garde le déclenchement de l'envoi juridiquement pertinent sous responsabilité humaine. Avant chaque étape vers l'autonomie, obtiens une validation compliance sur l'UWG, la TKG, la revDSG et les CGU de LinkedIn. Documente la base légale, la mise en balance des intérêts et la logique d'opposition de manière à ce qu'elles résistent à un contrôle.