Vorname.nachname@, v.nachname@, nachname.vorname@: Wie viele Varianten probiert ein Prospecting-Tool durch, bis eine Adresse antwortet? Weiß die betroffene Person davon? Auf Absenderseite ist das Symptom bekannt: Kampagnen landen im Spam, ohne dass jemand weiß, warum, und die Hard-Bounce-Rate steigt bei Kontakten, die „gefunden“ statt erhoben wurden.
Eine vorherige Einwilligung ist nicht grundsätzlich vorgeschrieben. In ihrem Merkblatt vom 16. Oktober 2026 lässt die CNIL das berechtigte Interesse zu, um eine berufliche Adresse zu rekonstruieren, und zwar im Einzelfall: Die Person muss damit rechnen können, und die Adresse wird nur gespeichert, wenn innerhalb einer angemessenen Frist tatsächlich ein Erstkontakt stattfindet. Ein Widerspruch schließt die Tür endgültig. Sind diese Bedingungen nicht erfüllt, bleiben nur die Einwilligung oder der Verzicht.
Die Rekonstruktion von Adressen nach der CNIL
Zwei öffentliche Adressen desselben Unternehmens folgen dem Schema „vorname.nachname@unternehmen.de“; der dritte Mitarbeiter des Teams hat keine Adresse veröffentlicht. Wer das Schema auf seinen Namen anwendet, betreibt Adressrekonstruktion. Die CNIL beschreibt sie als das Ableiten einer Adresse aus dem Namen einer Person und ihrem Arbeitgeber.
Das Merkblatt trägt den Titel „Rekonstruktion beruflicher E-Mail-Adressen: In welchem Rahmen ist das zulässig?“ und nennt zwei Verwendungen: eine Prospecting-Datenbank oder einen punktuellen Kontakt im Rahmen institutioneller Beziehungen. Ein Name in Verbindung mit einem Arbeitgeber identifiziert eine Person, daher gilt die DSGVO (anwendbar seit dem 25. Mai 2018).
Warum ist nicht von vornherein eine Einwilligung nötig?
Die naheliegendste Rechtsgrundlage ist das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f der Verordnung (EU) 2016/679, der DSGVO. Die Rekonstruktion dient einer Hauptverarbeitung, oft dem B2B-Prospecting, und kann sich auf dieselbe Grundlage stützen. Die CNIL setzt eine Grenze in einer Formel:
„weder automatisch noch systematisch“ (CNIL, Merkblatt vom 16. Oktober 2026)
Die Prüfung wägt das tatsächliche Interesse der Organisation gegen den Eingriff in die Rechte der Person ab und fragt zusätzlich, womit diese vernünftigerweise rechnen darf. Die Abwägung erfolgt im Einzelfall, und die Organisation muss sie begründen können.
Das Merkblatt liefert eine Prüfmethode, keine Richtwerte. Die Analyse von Growth Hacker zum B2B-Prospecting behandelt Kaltakquise per Telefon und erratene E-Mails aus Sicht des Prospectings; dieser Artikel beschränkt sich auf die Rekonstruktion selbst.
Wenn die Person nicht damit rechnet, auf diesem Weg kontaktiert zu werden
Ein Kontaktformular anstelle einer Adresse. Ein Profil, dessen Datenschutzeinstellungen verschärft wurden.
Die CNIL liest darin Signale der Ablehnung. Eine Person ohne erkennbare Online-Präsenz oder mit geschützten Kontaktdaten, die auf ein Formular verweist, kann vernünftigerweise nicht damit rechnen, dass ihre Adresse rekonstruiert wird. Sie fällt grundsätzlich aus dem Anwendungsbereich. Diese Signale werden geprüft, bevor die Adresse erzeugt wird, also vor jedem Versand.
Bleibt eine Grauzone: ein halb ausgefülltes Profil, eine 2019 veröffentlichte und nie aktualisierte Adresse. Kein mechanischer Schwellenwert entscheidet diese Fälle.
Speicherung, Information und Widerspruch
Die Adresse wird nur gespeichert, wenn innerhalb einer angemessenen Frist ein „tatsächlicher Erstkontakt“ stattfindet. Das Merkblatt vom 16. Oktober 2026 beziffert diese Frist nicht. Die Organisation, die Prospecting betreibt, legt daher selbst eine Löschfrist für unbeantwortete Adressen fest und dokumentiert sie.
Zur Information: Die Adresse wurde nicht bei der Person selbst erhoben, daher verlangt Artikel 14 Absatz 3 Buchstabe b DSGVO, ihr spätestens bei der ersten Kommunikation mitzuteilen, woher die Daten stammen und wie sie widersprechen kann. Die erste E-Mail der Sequenz ist der letztmögliche Zeitpunkt; Artikel 14 Absatz 3 Buchstabe a setzt ohnehin eine Obergrenze von einem Monat. Ein Satz wie „Ihre Adresse wurde aus dem Format der Adressen Ihres Unternehmens abgeleitet“ genügt, um die Herkunft zu benennen; er muss zusammen mit der Möglichkeit zum Widerspruch erscheinen.
Der Widerspruch, den Artikel 21 DSGVO für die Direktwerbung vorsieht, schließt die Person von jeder künftigen Rekonstruktion aus, ohne dass sie sich rechtfertigen muss. Die Adresse zu löschen reicht daher nicht, denn dasselbe Schema würde sie beim nächsten Import neu erzeugen. Ein Schwestermerkblatt der CNIL, „Rekonstruktion beruflicher E-Mail-Adressen: Welche Rechte haben Sie?“, richtet sich an die betroffenen Personen; am besten liest man beide Texte zusammen. Eine dauerhafte Widerspruchsliste, beschränkt auf das Nötigste, um die Person wiederzuerkennen, ist die praktische Voraussetzung dieser Garantie. Behörden verfügen über eine eigene Grundlage, die „Wahrnehmung einer Aufgabe im öffentlichen Interesse“ (Artikel 6 Absatz 1 Buchstabe e), mit denselben Garantien.
Die anschließend versendete Nachricht
Der Versand unterliegt den Regeln der Direktwerbung: Für Berufsträger regelt Artikel L.34-5 des französischen Post- und Telekommunikationsgesetzbuchs (CPCE) den Versand, und die CNIL verlangt keine vorherige Einwilligung, wenn die Nachricht einen Bezug zur beruflichen Funktion hat, sofern die Person informiert wird und sich einfach abmelden kann. Unser Artikel zur DSGVO im E-Mail-Marketing erläutert Nachweis und Abmeldung im Detail.
In Deutschland gilt für den Versand eine strengere Regel. Nach § 7 Abs. 2 Nr. 3 UWG ist E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung unzulässig, nach den Merkblättern der IHK auch gegenüber Unternehmen. Die Ausnahme für Bestandskunden in § 7 Abs. 3 UWG gilt nur unter engen Voraussetzungen. Die Fiche der CNIL äußert sich zur DSGVO-Grundlage der Adressermittlung, nicht zur Frage, ob der Versand nach deutschem Wettbewerbsrecht eine Einwilligung braucht.
Ein Herkunftshinweis passt in eine Zeile, zum Beispiel: „Ihre Adresse wurde aus dem Format der öffentlichen Adressen Ihres Unternehmens abgeleitet; antworten Sie STOP, wenn Sie nicht mehr kontaktiert werden möchten.“ Wenn die Sequenz zusätzlich Öffnungen per Pixel misst, stellt die Empfehlung der CNIL zu Tracking-Pixeln zur Öffnungsmessung eigene Bedingungen auf, die von denen der Rekonstruktion getrennt sind.
Der Fall LinkedIn Sales Navigator
Sales Navigator zeigt den Namen einer Person und ihre Position in einem Unternehmen an, ohne E-Mail-Adresse. Das Tool allein rekonstruiert nichts. Die daran angedockten Erweiterungen extrahieren die Profile und erraten die Adresse.
Sie stoßen auf zwei Hindernisse. Die Nutzungsbedingungen von LinkedIn verbieten die automatisierte Extraktion. Die Kriterien des Merkblatts gelten für jede einzelne extrahierte Person. Die CNIL hat das Unternehmen Kaspr am 5. Dezember 2024 sanktioniert (240.000 Euro, Entscheidung am 19. Dezember veröffentlicht), weil es Kontaktdaten von LinkedIn-Mitgliedern erhoben hatte, die deren Sichtbarkeit eingeschränkt hatten. Laut CNIL überschritt diese Erhebung, womit die Mitglieder eines beruflichen Netzwerks vernünftigerweise rechnen können: dieselbe Logik der vernünftigen Erwartung wie im Merkblatt. Der rechtliche Rahmen für das Scraping von Social-Media-Daten wird in einem eigenen Artikel behandelt.
Die Verantwortung ist geteilt. Der Anbieter einer Erweiterung oder eines Dienstes zur Adresssuche entscheidet selbst, die Kontaktdaten der anvisierten Personen zu erheben und zu speichern. In der Kaspr-Entscheidung behandelt die CNIL ihn als Verantwortlichen für diesen Datenbestand und wirft ihm das Fehlen einer gültigen Rechtsgrundlage und eine verspätete Information der Personen vor; die Speicherung der Daten wurde als übermäßig bewertet. Das Vertriebsteam, das das Tool nutzt, bleibt für seine eigenen Sendungen verantwortlich: Es begründet sein berechtigtes Interesse und informiert die Person ab der ersten Nachricht. Der mit dem Tool geschlossene Vertrag verschiebt keine dieser Pflichten. Die Kaspr-Entscheidung ist die einzige hier zitierte Sanktion der CNIL, und sie richtet sich gegen den Anbieter des Tools. Das vertragliche Risiko kommt von anderer Seite: LinkedIn hat Extraktionsdienstleister gerichtlich verklagt. Proxycurl musste die erlangten Daten löschen und den Zugriff darauf unter einer dauerhaften Unterlassungsverfügung einstellen; ProAPIs wurde im Oktober 2025 beschuldigt, Millionen gefälschter Konten angelegt zu haben, um Profile abzusaugen.
Tools, die Adressen rekonstruieren oder extrahieren, sind nicht gleichwertig. Die Tabelle gibt wieder, was jeder Anbieter auf seinen eigenen Seiten zu seiner Methode sagt (Stand: 21. Oktober 2026), außer bei Kaspr, Proxycurl und ProAPIs, die weiter oben dokumentiert sind. Keines ist von Natur aus illegal: Die Angreifbarkeit hängt von der Herkunft der Daten und von der Verwendung durch den Absender ab. Das Merkblatt der CNIL nennt keines dieser Tools.
| Tool | So wird die Adresse gewonnen | Schwachpunkt |
|---|---|---|
| Hunter | Leitet die Adresse aus dem Format des Unternehmens und aus Adressen im öffentlichen Web ab; gibt an, keine Drittdatenbank zu nutzen. | Führt nach eigener Aussage eine Unterdrückungsliste: Eine entfernte Adresse kehrt weder durch Erhebung noch durch Ableitung zurück. Der Nutzer bleibt für seine Verwendung verantwortlich. |
| Dropcontact | Erzeugt und testet Adressen mit eigenen Algorithmen, laut Anbieter ohne Drittdatenbank. | Compliance-Argument des Anbieters, nicht überprüft. Die Kriterien des Merkblatts gelten für den, der das Tool einsetzt. |
| lemlist | Sucht die Adresse in einer Kaskade bei mehreren Anbietern. Die Chrome-Erweiterung schickt die Profile einer Sales-Navigator-Suche in eine Kampagne. | Die Herkunft der Daten verliert sich in der Kaskade. Die Erweiterung berührt die Nutzungsbedingungen von LinkedIn. |
| Snov.io | Chrome-Erweiterung auf Profilen und Sales-Navigator-Suchen, Ableitung über das Adressformat und anschließende Verifizierung, Datenbank laut Anbieter mit 500 Millionen Adressen. | Extraktion von LinkedIn: Nutzungsbedingungen von LinkedIn und Kriterium der vernünftigen Erwartung. |
| Evaboot | Exportiert Sales-Navigator-Suchen mit einem Klick und sucht dann die Adresse. Gibt an, keine Datenbank zu nutzen und die Exporte pro Tag zu begrenzen. | Automatisierte Extraktion aus Sales Navigator, genau der Fall, auf den die Nutzungsbedingungen von LinkedIn zielen. |
| PhantomBuster | Automatisiert Aktionen und Extraktionen auf LinkedIn mit der Sitzung des Nutzers. | Der eigene Blog spricht von einer Grauzone und überlässt die Verantwortung für die Verwendung dem Nutzer. |
| Waalaxy | Kaskade von Anbietern (BetterContact, FullEnrich, dann Dropcontact laut eigenem Artikel vom Januar 2026). | Der Person muss mitgeteilt werden können, woher die Adresse stammt (Art. 14), was die Kaskade erschwert. |
| Lusha | Community von Nutzern, die ihre E-Mail-Signaturen teilen, lizenzierte Verzeichnisse, öffentliche Quellen. Gibt an, keine sozialen Netzwerke zu extrahieren. | Stützt sich auf das berechtigte Interesse, mit Entfernungsformular und Unterdrückungsliste. |
| Apollo | Netzwerk von Beitragenden, Durchsuchen des öffentlichen Webs und Drittanbieter. | Stützt sich auf das berechtigte Interesse. Bereits exportierte Daten liegen laut Anbieter in der Verantwortung des Kunden. |
| Kaspr | Erweiterung, die die Kontaktdaten von LinkedIn-Profilen anzeigt. | Geldbuße der CNIL von 240.000 Euro (5. Dezember 2024) für die Erhebung von Profilen mit eingeschränkter Sichtbarkeit. |
| Proxycurl, ProAPIs | Dienste zur Extraktion von LinkedIn-Profilen. | Von LinkedIn auf vertraglicher Grundlage verklagt (Proxycurl im Januar 2025, ProAPIs im Oktober 2025). |
In der Praxis sind einige gezielt ausgewählte öffentliche Profile, die schnell und mit Herkunftshinweis kontaktiert werden, im Licht des Merkblatts von 2026 vertretbar, zu beurteilen im Einzelfall. Ganze Listen, die extrahiert und in einer automatischen Sequenz versendet werden, sind angreifbar: Nichts prüft dort die Signale der Ablehnung. Die Speicherung ohne Erstkontakt wird dort zur Regel.
Löst die Adressverifizierung das Problem?
Nein. Ein SMTP-Test versendet keine E-Mail. Die Adresse wurde aber bereits aus personenbezogenen Daten erzeugt, daher müssen Rechtsgrundlage und Information der Person zuvor geklärt werden. Die Verifizierung begrenzt Bounces und sagt nichts über die Rechtskonformität aus.
Technisch gesehen kommt eine erratene Adresse auf einer Domain, die dieses Postfach nicht hat, mit dem Fehler 550 5.1.1 zurück (Empfänger unbekannt, Code definiert in RFC 3463), gemeldet durch einen Unzustellbarkeitsbericht: Das ist ein Hard Bounce. Vervielfachte Versuche über Varianten erzeugen sie am Fließband. Gmail und Outlook beziehen wie die übrigen Mailbox-Provider diese Bounces in die Sender Reputation der Absenderdomain ein; die Auswirkungen lassen sich anschließend in den Google Postmaster Tools ablesen. Der übliche Einwand „Können wir nicht einfach hinterher filtern?“ geht ins Leere: Der Bounce ist bereits gezählt, wenn man ihn bemerkt.
Eine weitere Falle sind Catch-all-Domains: Sie nehmen jede an die Domain adressierte Nachricht an. Eine erratene Adresse wirkt dort im Test gültig, ohne dass garantiert ist, dass ein Mensch sie liest. Die Funktionsweise von Catch-all-Adressen erklärt, warum diese Adressen in einer soliden List Hygiene gesondert behandelt werden. E-Mail-Finder vs. E-Mail-Verifizierer erläutert den Unterschied zwischen dem Finden und dem Verifizieren einer Adresse.
Bevor Sie die nächste Kampagne auf einer rekonstruierten Datenbasis starten, lassen Sie eine Stichprobe von 200 Adressen verifizieren und vergleichen Sie deren Hard-Bounce-Rate mit der Ihrer Adressen, die Sie direkt bei den Personen erhoben haben.
Eine erratene Adresse bleibt der Name eines Menschen.
