Eine Liste kaufen kauft keine Einwilligung: zwei Verfügungen des Garante und die Regeln des Telemarketings

Am 14. Mai 2026 erließ der Garante in derselben Sitzung zwei beinahe identische Verfügungen: die Nr. 349 gegen Ventive S.r.l. und die Nr. 350 gegen FeGi M&A Services S.r.l. Zwei kleine Unternehmen, zwei unterschiedliche Branchen, der gleiche Fehler: Sie kauften Kontakte von einer Online-Plattform und nutzten sie für Werbezwecke. Im ersten Fall per E-Mail, im zweiten Fall telefonisch. Und der zweite Fall verdient mehr Aufmerksamkeit, denn dort legt der Garante schriftlich fest, was vor dem Start einer Telefonkampagne erforderlich ist.

Zwei Fälle, dieselbe Plattform

Ventive ist ein römisches Unternehmen, das seit drei Jahren aktiv ist und Start-ups und KMU berät. Im Februar 2025 akzeptiert ein Fachmann auf LinkedIn die Verbindungsanfrage eines Mitarbeiters und erhält unmittelbar danach eine Werbe-E-Mail an seine Arbeitsadresse. Diese Adresse war auf LinkedIn nicht veröffentlicht. Er fragt, woher sein Kontakt stammt, und erhält als Antwort den Namen einer Plattform: Lusha. Er fordert die Einsicht in die Einwilligung und erhält keine Antwort. Er reicht eine Beschwerde ein.

Die Untersuchung rekonstruiert den Rest: ein Abonnement von 239,70 Dollar pro Monat, etwa 500 heruntergeladene Kontakte, 132 tatsächlich für den Versand kommerzieller E-Mails verwendet. Die Plattform, so stellte sich heraus, stellte diese Daten auf der Grundlage ihres eigenen berechtigten Interesses zur Verfügung, nicht auf der Grundlage einer Einwilligung zur Weitergabe an Dritte zu Werbezwecken. Das Unternehmen bemerkte dies, nach eigener Aussage, erst nachdem die Behörde angeklopft hatte.

Wie bereits seinerzeit behandelt, war der Fall Ventive noch am selben Tag der Verfügung gemeldet worden: das Dossier befindet sich im Archiv der Verfügungen. Hier ist die dahinterliegende Argumentation interessant, denn sie gilt auch für diejenigen, die nie in ein Verfahren geraten sind.

FeGi M&A Services ist noch kleiner: nur ein Mitarbeiter, null Umsatz, Beratung bei Fusionen und Übernahmen. Im April 2025 meldet eine Person, einen kommerziellen Anruf auf einer Nummer erhalten zu haben, die auf LinkedIn nicht öffentlich war. Das Unternehmen gibt zu, diese über das auf der Plattform installierte Lusha-Plugin erhalten zu haben. Der Gesamtkauf: etwa 700 Telefonnummern und 400 E-Mail-Adressen. Auf den Einwand hat es nicht einmal reagiert, und das Verfahren wurde trotzdem fortgesetzt.

Für elektronisches Marketing existiert kein berechtigtes Interesse

Dies ist der Teil, der B2B-Marketingspezialisten überrascht, da das berechtigte Interesse als universeller Passepartout verwendet wird. Der Garante beendet dies in einer Zeile: Die Berufung auf das berechtigte Interesse «ist ausgeschlossen, da die nationale Rechtsordnung eine spezifische Rechtsgrundlage für die Verarbeitung personenbezogener Daten zum Versand von Werbematerial per E-Mail vorgesehen hat».

Die Argumentation betrifft die Normenhierarchie, nicht die Zweckmäßigkeit. Elektronische Werbemitteilungen werden durch die Richtlinie 2002/58/EG geregelt, die in Titel X des Codice Privacy umgesetzt wurde: eine spezielle Regelung, die der DSGVO in allem, was sie direkt regelt, vorgeht. Und Art. 130, Absatz 2 des Codice erlaubt nur eine einzige Grundlage: die Einwilligung. Die einzige Ausnahme ist die von Absatz 4, der sogenannte Soft-Spam, und sie hat enge Grenzen — sie gilt, wenn die E-Mail-Adresse, und nur diese, von der betroffenen Person im Rahmen des Verkaufs einer ähnlichen Ware oder Dienstleistung angegeben wurde. Sie deckt weder eine gekaufte Liste noch einen online gefundenen Kontakt ab.

Übersetzt: Auf diesem Kanal gibt es keine Abwägung zu treffen. Entweder es liegt eine Einwilligung vor, oder die Kampagne wird nicht durchgeführt.

Eine Kontaktanfrage auf LinkedIn anzunehmen ist keine Einwilligung

Ventive hatte seine Verteidigung auf einer weit verbreiteten Annahme aufgebaut: Wer die Kontaktanfrage eines Fachmanns annimmt, erwartet, beruflich kontaktiert zu werden. Der Garante zerlegt diese ohne Nuancen. Der Annahme einer Kontaktanfrage «kann keine andere Bedeutung beigemessen werden als die, die sich aus den gewöhnlichen Funktionsweisen der genannten Plattform ergibt», und nichts — weder die Nutzungsregeln, noch die Vertragsbedingungen, noch irgendeine Norm — erlaubt es, sie als eine «qualifizierte Erwartung beruflicher Interaktion» zu interpretieren.

Auch das Argument der Relevanz entfällt. Die Tatsache, über ein für die Tätigkeit des Empfängers relevantes Thema geschrieben zu haben, so die Behörde, «beweist nicht die Erwartung des Empfängers, solche E-Mail-Mitteilungen zu erhalten, […] sondern lediglich das wirtschaftliche Interesse des Unternehmens daran, diese durchzuführen». Dass die Nachricht gezielt, einmalig und nicht wiederholt war, macht sie nicht rechtmäßig: es macht sie zu einer gut gemachten Werbebotschaft.

Telemarketing hat eine zusätzliche Regel

Hier gehen wir auf die zweite Verfügung ein, und dies ist der nützlichste Teil, den man kennen sollte. Auch Werbeanrufe fallen unter Titel X des Codice Privacy, aber Art. 130 hat einen speziellen Absatz, den 3-bis, der eine enge Tür öffnet: Telemarketing kann mit Einwilligung oder, als einzige zulässige Alternative, unter Verwendung von Nummern durchgeführt werden, die in öffentlichen Telefonverzeichnissen stehen und nicht im öffentlichen Widerspruchsregister eingetragen sind.

Dies sind zwei kumulative Bedingungen, und es lohnt sich, sie genau zu lesen: Sie schließen von vornherein fast alles aus, was online gekauft wird. Eine Durchwahl oder eine geschäftliche Mobilfunknummer, die von einer Lead-Generierungsplattform stammt, ist nicht «in den Telefonverzeichnissen vorhanden», daher findet die Ausnahme keine Anwendung, und es bleibt nur der Weg der Einwilligung.

Der Garante bekräftigt sodann einen seit 2013 geltenden festen Standpunkt aus den Leitlinien zu Werbetätigkeiten und Spam-Bekämpfung (Verf. Nr. 330 vom 4. Juli 2013): Die Einwilligung ist auch dann erforderlich, wenn die Daten «aus öffentlichen Registern, Verzeichnissen, Websites, digitalen Plattformen, allgemein bekannten oder zugänglichen Akten oder Dokumenten» stammen. Öffentlich bedeutet nicht für Marketingzwecke verfügbar – eine Verwechslung, die ich in Unternehmen immer wieder feststelle.

Das Widerspruchsregister ist eine Vorbedingung, keine abschließende Kontrolle

Hinsichtlich des RPO verwendet die Verfügung eine Formulierung, die es wert ist, vollständig zitiert zu werden, da sie den Zeitpunkt der Überprüfung verschiebt: Der Abgleich mit dem Register «muss als Vorbedingung für die korrekte Durchführung von Telemarketing-Aktivitäten betrachtet werden, und die unterlassene Konsultation kann nur dazu führen, dass jede Werbekampagne, für die der Einsatz telefonischer Mittel vorgesehen ist, nicht gestartet werden kann».

Es ist kein Häkchen, das nachträglich gesetzt wird, wenn die Liste bereits im Callcenter ist: Es ist die Voraussetzung für den Beginn. Ohne diese dokumentierte Überprüfung startet die Kampagne nicht. Und die Pflicht liegt bei dem, der die Kampagne in Auftrag gibt, nicht bei dem, der tatsächlich telefoniert.

Der Verhaltenskodex sagt bereits, was zu tun ist

Der Garante verweist auf den Verhaltenskodex für Telemarketing- und Teleselling-Aktivitäten, genehmigt mit Verfügung Nr. 148 vom 7. März 2024, der die Anforderungen so detailliert auflistet, dass darauf eine interne Prozedur aufgebaut werden kann:

• Verantwortlicher für die Verarbeitung ist derjenige, der die Telefonkampagne durchführt oder in Auftrag gibt, unabhängig von der Herkunft der Daten und auch ohne sie materiell zu berühren;
• Der Verantwortliche muss angemessene technische und organisatorische Maßnahmen umsetzen und in der Lage sein, dies zu demonstrieren, nicht nur zu behaupten;
• Bei der Auswahl der Geschäftspartner ist denjenigen, die dem Verhaltenskodex beitreten, der Vorzug zu geben, mit Verträgen gemäß Art. 28 DSGVO;
• Vor dem Start der Kampagne müssen die Listen dem Widerspruchsregister unterzogen werden, wobei das Ergebnis der Überprüfung zu dokumentieren ist;
• Die zum Zeitpunkt der Erhebung gegebenen Informationen und die Art und Weise, wie die Einwilligung eingeholt wurde, müssen geprüft werden: klare, nicht an Bedingungen geknüpfte, leicht widerrufbare Anfragen;
• Die Erreichbarkeit des Anbieters und, falls dieser seinen Sitz außerhalb der Union hat, das Bestehen einer EU-Niederlassung oder eines Vertreters gemäß Art. 27 müssen überprüft werden.

Nichts wird auf den Anbieter abgewälzt

Beide Unternehmen hatten sich auf die Konformitätserklärungen der Plattform verlassen. Eines hatte sogar die auf der Website des Anbieters angegebenen ISO-Zertifizierungen überprüft. Das reichte nicht aus, und die Begründung erklärt, warum: Das Prinzip der Rechenschaftspflicht wird nicht durch einen Vertrag übertragen. «Die Kontrolle der Lieferkette bei der Durchführung von Werbeaktivitäten», schreibt der Garante, «ist die Maßnahme, bei der vom Verantwortlichen die größten Anstrengungen gefordert werden, da dies einer der anfälligsten Punkte der Verarbeitung bei Marketingaktivitäten ist».

Es gibt dann einen identischen Passus in beiden Verfügungen, der wie eine Warnung an den Markt wirkt: Die Behörde stellt fest, dass es eine Zunahme von Plattformen gibt, die kostenpflichtig Kontaktdaten zur Verfügung stellen, «ohne angemessene und substanzielle Garantien oder Dokumentation zur Rechtmäßigkeit der Erhebung zu bieten», und dass Käufer sich ihnen unkritisch anvertrauen, «manchmal nur aufgrund ihres Rufs in der Branche», wodurch sie direkt für die Verstöße verantwortlich werden. Zu beachten ist: Sanktionen wurden gegen die beiden Unternehmen verhängt, die gekauft haben, nicht gegen die Plattform, die verkauft hat.

Guter Glaube ist keine Entschuldigung

Ventive spielte die Karte der Unerfahrenheit und des gutgläubigen Irrtums aus. Der Garante antwortet mit der Rechtsprechung des Kassationsgerichts: Der Entschuldigungsgrund gilt nur, wenn der Irrtum unvermeidbar ist, das heißt, wenn ein externes Element die Überzeugung von der Rechtmäßigkeit hervorgerufen hat und der Übertreter alles Mögliche getan hat, um dem Gesetz zu entsprechen (Cass. civ., sez. II, 29. November 2023, Nr. 33121). Die Lektüre der Anbieterinformation war möglich. Der angefochtene erschwerende Umstand ist genau dieser: Die Regelung hat sich mit der DSGVO nicht geändert, und es gibt Leitlinien seit 2013, daher kann die Neuheit des Themas nicht geltend gemacht werden.

Wie viel es gekostet hat, und warum der Betrag nicht die Nachricht ist

Die Sanktionen sind gering: 4.000 Euro für Ventive, 0,03 % des maximalen Strafrahmens, und 1.000 Euro für FeGi, 0,01 %. Das geringe Ausmaß, das Fehlen von Vorstrafen und, im Falle von Ventive, die sofortige Beendigung mit der Reorganisation der Prozesse auf Opt-in-Basis, spielten eine Rolle.

Aber sich nur auf den Betrag zu konzentrieren, lässt die zwei wirklich wichtigen Konsequenzen außer Acht. Die erste: FeGi, das weder Abhilfe geschaffen noch geantwortet hatte, wurde vom Garante ein Verarbeitungsverbot und die Löschung der gesammelten Daten auferlegt. Eintausendeinhundert bezahlte Kontakte, die dann vernichtet werden müssen – für ein Unternehmen mit einem Mitarbeiter ist das der wahre Preis. Die zweite: Beide Verfügungen werden als zusätzliche Sanktion vollständig auf der Website des Garante veröffentlicht, mit Namen, Sitz und Steuernummer. Sie bleiben dort, sind indexiert, und jeder, der diese Unternehmen überprüft, findet sie.

Was ich morgen früh tun würde, wenn Sie Listen kaufen würden

Die praktische Botschaft dieser beiden Entscheidungen ist, dass die gekaufte Lead-Generierung an sich nicht verboten ist, aber sie bringt keine Einwilligung mit sich, und die Einwilligung ist das Einzige, was zählt. Also:

• Prüfen Sie, wie der Anbieter angibt, zu arbeiten: Wenn seine Rechtsgrundlage das berechtigte Interesse ist, sind diese Kontakte für Werbe-E-Mails oder Telefonanrufe nicht nutzbar, so bekannt die Plattform auch sein mag;
• Lassen Sie sich den Nachweis der Einwilligung zur Übermittlung zu Marketingzwecken Dritter aushändigen, nicht eine allgemeine Konformitätserklärung;
• Wenn der Kanal telefonisch ist, überprüfen Sie das Widerspruchsregister vor dem Start und bewahren Sie das Ergebnis auf;
• Senden Sie die Information gemäß Art. 14 spätestens beim ersten Kontakt: Beide Unternehmen wurden auch dafür sanktioniert, und das ist der einfachste Teil, der behoben werden kann;
• Dokumentieren Sie schriftlich die Überprüfungen, die Sie beim Anbieter durchgeführt haben: In einem Verfahren ist dies das Einzige, was Sorgfalt von blindem Vertrauen unterscheidet.

Und vor allem: Hören Sie auf, die Annahme einer Kontaktanfrage in einem professionellen sozialen Netzwerk als Offenheit für Marketing zu interpretieren. Es ist eine Höflichkeit, keine Einwilligung, und nun gibt es eine Verfügung, die dies klar besagt.