Czy cold mailing jest legalny w DACH? TKG, UWG, DSG i BDSG łącznie

Zgodność cold outreachu z prawem w regionie DACH oznacza przestrzeganie krajowych przepisów dotyczących pozyskiwania klientów B2B na zimno przez e-mail, telefon i LinkedIn w Austrii, Niemczech i Szwajcarii. Kluczowe są UWG (niedopuszczalne nękanie), TKG (Austria) lub § 7 UWG (Niemcy) w zakresie e-maili i telefonów oraz RODO w powiązaniu z DSG, BDSG i revDSG w zakresie przetwarzania danych, które się za tym kryje. Kto pracuje z procesami sprzedaży outbound wspieranymi przez AI, łączy więc jednocześnie dwa reżimy prawne: prawo reklamy i prawo ochrony danych.

Na początek trzy szybkie odpowiedzi:

• E-mail do firm wymaga w AT i DE uprzedniej zgody, również w B2B (§ 174 TKG 2021, § 7 UWG). „Domniemana zgoda” w przypadku e-maili nie wystarcza. Bez zgody można kontaktować się tylko z dotychczasowymi klientami, pod ściśle określonymi warunkami (§ 174 ust. 4 TKG 2021, § 7 ust. 3 UWG). W CH obowiązuje opt-in dla reklamy masowej.
• Telefoniczna akwizycja na zimno wobec firm jest w Niemczech dopuszczalna przy domniemanej zgodzie, pod ściśle określonymi warunkami (§ 7 UWG). W Austrii jest zakazana bez uprzedniej zgody (§ 174 TKG 2021), w Szwajcarii liczą się gwiazdka w książce telefonicznej i wyświetlanie numeru (UWG).
• Przetwarzanie danych, które się za tym kryje (listy, wzbogacanie, personalizacja), wymaga w AT/DE własnej podstawy prawnej z RODO. W CH musi być zgodne z zasadami przetwarzania z revDSG. To druga, odrębna analiza obok prawa reklamy.

Dwa reżimy prawne, które obowiązują niezależnie od siebie

Najczęstszy błąd w outboundzie w DACH to założenie, że jedna podstawa prawna obejmuje wszystko. W rzeczywistości równolegle działają dwie warstwy:

1. Prawo reklamy i ochrony przed nękaniem reguluje, czy w ogóle możesz nawiązać kontakt i jak. To poziom UWG/TKG.
2. Prawo ochrony danych reguluje, czy możesz przetwarzać potrzebne do tego dane osobowe. To poziom RODO/DSG/BDSG/revDSG.

Oba muszą być spełnione. E-mail dopuszczalny w świetle prawa reklamy pozostaje niezgodny z prawem, jeśli przetwarzanie danych jest niedopuszczalne w świetle ochrony danych. I odwrotnie: prawidłowe podstawy przetwarzania danych nie sprawiają, że niedozwolony e-mail reklamowy staje się dozwolony. Personalizacja oparta na zgodzie jest w regionie DACH strukturalnie bardziej ograniczona niż we wzorcu amerykańskim, co wyraźnie zawęża zastosowania personalizacji generatywnej.

Podstawa ePrivacy: jedna dyrektywa, dwa wdrożenia, jedna szwajcarska reguła własna

Reklama e-mailowa i telekomunikacyjna ma w UE swoje źródło w dyrektywie 2002/58/WE (dyrektywa ePrivacy); niezamówioną reklamę reguluje jej art. 13. Planowane jako jej następca rozporządzenie ePrivacy Komisja Europejska wycofała w 2025 r. Miarodajna pozostaje więc dyrektywa w jej krajowym wdrożeniu. Szwajcaria nie jest członkiem UE i reguluje tę kwestię samodzielnie. W skrócie:

• Niemcy: art. 13 wdrożono w § 7 ust. 2 i 3 UWG. § 25 TDDDG (dawniej TTDSG) reguluje natomiast przechowywanie i odczytywanie informacji na urządzeniach końcowych, np. plików cookie, i nie jest przepisem dotyczącym e-maili reklamowych.
• Austria: wdrożenie w § 174 TKG 2021.
• Szwajcaria: brak prawa UE. E-maile reklamowe reguluje art. 3 ust. 1 lit. o UWG (zgoda na reklamę masową, wyjątek dla własnych klientów), połączenia reklamowe regulują lit. u i v (respektować gwiazdkę w książce telefonicznej, wyświetlać numer).

Dla outboundu oznacza to: podstawowa zasada „niezamówiona reklama elektroniczna wymaga z reguły uprzedniej zgody” jest zakorzeniona we wszystkich trzech krajach, ale konkretne przepisy i ich kształt się różnią.

E-mail, telefon, LinkedIn: co wolno agentom, a czego nie

Akwizycja na zimno przez e-mail

W Austrii i Niemczech e-maile reklamowe do firm wymagają uprzedniej zgody. § 174 ust. 3 TKG 2021 nie przewiduje wyjątku dla B2B, a § 7 ust. 2 pkt 2 UWG wymaga wręcz uprzedniej wyraźnej zgody. „Domniemana zgoda”, chętnie wykorzystywana w B2B jako furtka, obowiązuje w Niemczech tylko przy połączeniach telefonicznych; w przypadku e-maili się nie sprawdza. Z obowiązku uzyskania zgody zwolnieni są tylko dotychczasowi klienci: kto otrzymał adres przy sprzedaży towaru lub usługi, może reklamować własne podobne oferty. Warunkiem jest m.in., aby klient został poinformowany o prawie do sprzeciwu przy zbieraniu danych i w każdej wiadomości oraz aby nie wniósł sprzeciwu (§ 174 ust. 4 TKG 2021, § 7 ust. 3 UWG). W Szwajcarii art. 3 ust. 1 lit. o UWG wymaga uprzedniej zgody na reklamę masową, z podobnym wyjątkiem dla własnych klientów. W praktyce oznacza to: zimne e-maile bez zgody są w AT i DE niedozwolone, a nie tylko ryzykowne. Do tego dochodzi obserwacja operacyjna z praktyki: skrzynki pocztowe B2B w DACH szybko rozpoznają szablonowe e-maile generowane przez AI, a dostarczalność gwałtownie spada. Uderza to w reputację nadawcy, oprócz ryzyka prawnego.

Telefoniczna akwizycja na zimno

Telefoniczna akwizycja na zimno wobec firm jest w Niemczech dopuszczalna na podstawie § 7 ust. 2 pkt 1 UWG, jeśli istnieje co najmniej domniemana zgoda. Domniemana zgoda wymaga konkretnych przesłanek, że firma, do której się dzwoni, ma rzeczowy interes właśnie w tej ofercie (BGH, wyrok z 20.9.2007, I ZR 88/05). Sam zimny telefon bez takiego związku z reguły nie wystarcza. W Austrii połączenia reklamowe bez uprzedniej zgody są niedozwolone na podstawie § 174 ust. 1 TKG 2021, również wobec firm. W Szwajcarii połączenie reklamowe jest nieuczciwe, jeśli między dzwoniącym a odbiorcą nie istnieje relacja biznesowa, a odbiorca ma w książce telefonicznej gwiazdkę lub w ogóle nie jest w niej wpisany, albo jeśli nie jest wyświetlany zarejestrowany numer (art. 3 ust. 1 lit. u i v UWG). Outbound głosowy prowadzony przez agentów głosowych AI prawie nigdy nie sprawdza się w B2B w DACH, ze względu na te przepisy chroniące przed niechcianymi połączeniami, formalną kulturę komunikacji i zakupy sterowane zapytaniami ofertowymi (RFP). Kanał głosowy pozostaje tam marginalny, co najwyżej do kwalifikacji połączeń przychodzących. Nie jest wyjaśnione, czy autonomicznie dzwoniący agent głosowy AI jest w Niemczech „automatycznym urządzeniem wywołującym”, dla którego § 7 ust. 2 pkt 2 UWG również w B2B wymaga uprzedniej wyraźnej zgody. Domniemana zgoda nie jest w przypadku takich połączeń pewnym gruntem. Od 2 sierpnia 2026 r. systemy AI, które bezpośrednio wchodzą w interakcję z ludźmi, np. agenci głosowi, muszą zgodnie z art. 50 ust. 1 i 5 AI Act być zaprojektowane tak, aby osoby, do których się dzwoni, najpóźniej przy pierwszej interakcji dowiedziały się, że rozmawiają z AI, chyba że jest to oczywiste.

LinkedIn

LinkedIn jest dominującym kanałem w B2B w DACH, ale masowa automatyzacja grozi blokadą konta. LinkedIn zakazuje botów i oprogramowania, które automatyzują aktywność na platformie; kto z nich korzysta, ryzykuje ograniczenie lub zablokowanie konta. Na początku marca 2025 r. strony firmowe Apollo.io i Seamless.ai zniknęły z LinkedIn, a LinkedIn nie podał uzasadnienia. Według stanu na październik 2026 r. strona Apollo.io jest znów dostępna. Poza przepisami prawa obowiązują tu więc warunki korzystania z LinkedIn jako odrębne, umowne ograniczenie.

Co wolno agentom AI, a za co muszą odpowiadać ludzie

Solidna rekomendacja brzmi: rep-in-the-loop zamiast pełnej autonomii. Autonomiczni agenci SDR do outboundu (np. Artisan Ava, 11x Alice, AiSDR, Rox.com, Regie.ai; stan na 2026 r.) są bardzo obecni w marketingu dostawców, ale dają bardzo zróżnicowane wyniki; założyciel jednego z dostawców sam przyznał, że pierwsza generacja miała „wyjątkowo złe halucynacje” i „stosunkowo wysoki churn”.

W skrócie: agent jest maszyną do zbierania informacji, wzbogacania danych i pisania. Za prawnie newralgiczny moment, czyli faktyczne nawiązanie kontaktu, musi odpowiadać człowiek, który zna status zgód, sprzeciwy i obowiązki w zakresie przejrzystości. Przed każdym produkcyjnym krokiem w stronę autonomii potrzebna jest akceptacja działu compliance/prawnego w zakresie § 7 UWG (DE), TKG (AT), revDSG/UWG (CH) oraz przegląd ToS LinkedIn.

Tabela porównawcza: e-mail, telefon i ochrona danych w AT/DE/CH

Uwaga: to merytoryczne omówienie redakcyjne, które nie zastępuje porady prawnej. Nazwy ustaw oraz numery artykułów i paragrafów są zgodne ze źródłami; konkretną dopuszczalność zawsze trzeba ocenić indywidualnie.

Szwajcarska specyfika o dużym znaczeniu praktycznym: revDSG karze w pierwszej kolejności osoby fizyczne, grzywnami do 250 000 CHF za umyślne naruszenia określonych obowiązków, np. obowiązku informacyjnego (art. 60–63 revDSG). Wobec samej firmy możliwa jest jedynie zastępczo grzywna do 50 000 CHF, jeśli ustalenie osób odpowiedzialnych byłoby nieproporcjonalne (art. 64). Ryzyko spoczywa więc osobiście na zarządzie i osobach odpowiedzialnych za ochronę danych.

Poziom ochrony danych w szczegółach: art. 6 ust. 1 lit. f i trzyetapowy test

W AT/DE lista akwizycyjna jest niemal zawsze przetwarzaniem w rozumieniu RODO. Typową podstawą jest prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO, który zgodnie z wytycznymi EROD 1/2024 wymaga udokumentowanego trzyetapowego testu:

1. Test celu: interes musi być zgodny z prawem, rzeczywisty, aktualny i konkretnie określony. „Poprawa sprzedaży” nie wystarcza, „kwalifikowany pierwszy kontakt B2B z odpowiednimi klientami docelowymi w segmencie X” jest już bliżej.
2. Test niezbędności: czy da się to osiągnąć przy mniejszej ilości danych lub danych spseudonimizowanych? Dla wzbogaconych profili oznacza to: tylko naprawdę potrzebne pola.
3. Test równowagi: względem rozsądnych oczekiwań osób, których dane dotyczą. „Publicznie dostępne” wyraźnie nie oznacza „do swobodnego wykorzystania”; obowiązuje standard z wyroku Meta v Bundeskartellamt (C-252/21).

Dodatkowo istotne dla outboundu:

• Obowiązki informacyjne (art. 13/14 RODO): kto pozyskuje dane kontaktowe nie od samej osoby, której dane dotyczą, lecz od brokerów danych B2B lub z narzędzi do wzbogacania danych, podlega art. 14. Wyjątek „niewspółmiernie dużego wysiłku” (art. 14 ust. 5 lit. b) jest węższy, niż często się zakłada.
• Prawo do sprzeciwu (art. 21 RODO): osoba, której dane dotyczą, może w dowolnym momencie wnieść sprzeciw wobec marketingu bezpośredniego, bez uzasadnienia i bez ważenia interesów (art. 21 ust. 2). Po wniesieniu sprzeciwu jej danych nie wolno już przetwarzać do celów marketingu bezpośredniego (ust. 3). Lista sprzeciwów musi więc być sprawdzana przed każdą wysyłką.
• Powierzenie przetwarzania (art. 28 RODO): każde narzędzie do wzbogacania danych i każdy endpoint MCP lub API, który przetwarza dane kontaktowe, wymaga solidnej umowy powierzenia przetwarzania danych. To jedna z najczęstszych luk w stackach outboundowych wspieranych przez AI.

W Szwajcarii działa to inaczej. Ustawa revDSG nie wymaga podstawy prawnej dla każdego przetwarzania: przetwarzanie jest dopuszczalne, dopóki przestrzega zasad przetwarzania z art. 6 revDSG, czyli odbywa się zgodnie z prawem, w dobrej wierze, proporcjonalnie i w rozpoznawalnym celu. Uzasadnienie na podstawie art. 31 revDSG (zgoda, przeważający interes lub ustawa) jest potrzebne dopiero w razie naruszenia dóbr osobistych, np. przy przetwarzaniu wbrew wyraźnej woli osoby (art. 30 ust. 2). Jeśli osoba sama udostępniła publicznie swoje służbowe dane kontaktowe i nie zastrzegła wyraźnie zakazu przetwarzania, z reguły nie dochodzi do naruszenia dóbr osobistych (art. 30 ust. 3). Przy listach akwizycyjnych w Szwajcarii liczą się więc przede wszystkim dwa obowiązki: rzetelne prowadzenie ewidencji sprzeciwów i blokad oraz spełnienie obowiązku informacyjnego z art. 19 revDSG. Jeśli dane nie pochodzą od samej osoby, np. od brokera danych, trzeba ją poinformować najpóźniej miesiąc po otrzymaniu danych (art. 19 ust. 5). Wyjątki, np. w przypadku nieproporcjonalnego nakładu pracy, określa art. 20. Kto umyślnie zaniecha przekazania informacji, może na wniosek zostać ukarany grzywną do 250 000 CHF (art. 60 ust. 1 lit. b revDSG).

Przykład z praktyki: prawidłowo przygotowana kampania do 5000 kontaktów

Wiedeńska agencja B2B planuje dla klienta kampanię outbound skierowaną do 5000 decydentów w AT (3000), DE (1500) i CH (500). Prawidłowo przygotowany proces wygląda tak (pseudokod):

```text
dla każdego kontaktu:
kraj = ustal_kraj(kontakt)
# 1. Bramka ochrony danych (przed wszystkim innym)
jeśli nie ochrona_danych_ok(kontakt, kraj):
odrzuć # AT/DE: LIA art. 6(1)(f) | CH: zasady art. 6, informacja art. 19 revDSG, brak sprzeciwu
jeśli na_liscie_sprzeciwow(kontakt):
odrzuć
# 2. Bramka prawa reklamy dla każdego kanału
jeśli kanal == "email" i nie zgoda_lub_dotychczasowy_klient(kontakt, kraj):
kanal = "linkedin_spersonalizowany" # żadnej masowej wysyłki bez podstawy
# 3. Agent AI: zbieranie informacji + wzbogacanie + szkic (bez wysyłki)
szkic = agent.utworz_spersonalizowany_szkic(kontakt)
# 4. Człowiek: akceptacja + uruchomienie wysyłki
do_kolejki_akceptacji(szkic, odpowiedzialny_czlowiek)
```

Bramka ochrony danych stoi przed bramką prawa reklamy, ponieważ w AT i DE bez podstawy prawnej w ogóle nie wolno przetwarzać danych. Agent zajmuje się zbieraniem informacji, wzbogacaniem danych i szkicem; wysyłka pozostaje w kolejce akceptacji przez człowieka. Dla kontaktów z CH: jeśli ktoś umyślnie narusza określone obowiązki, np. obowiązek informacyjny, karane są w pierwszej kolejności odpowiedzialne osoby, zwykle tylko na wniosek (art. 60–63 revDSG). Na firmę można nałożyć jedynie zastępczo grzywnę do 50 000 CHF (art. 64 revDSG).

Dla agencji i zespołów B2B

Dla agencji zgodność cold outreachu z prawem w DACH jest wyróżnikiem: kto dostarcza kampanie outbound z udokumentowaną analizą ochrony danych dla każdego kraju, uporządkowanym zestawem umów powierzenia i architekturą rep-in-the-loop, chroni klienta przed wezwaniami do zaprzestania naruszeń, blokadami kont i załamaniem dostarczalności. Dla zespołów B2B: traktuj agentów AI jako narzędzia do zbierania informacji, wzbogacania danych i pisania, a prawnie istotne uruchomienie wysyłki zostaw w gestii człowieka. Przed każdym krokiem w stronę autonomii uzyskaj akceptację compliance w zakresie UWG/TKG/revDSG i ToS LinkedIn. Dokumentuj podstawę prawną, test równowagi interesów i logikę sprzeciwów tak, aby wytrzymały kontrolę.