Is koude B2B-mail legaal? Regels per land (2026)

Koude B2B-e-mail is in sommige Europese landen legaal en in andere illegaal, en het is niet de AVG die dat bepaalt. De AVG regelt hoe je de contactgegevens verwerkt, meestal op basis van gerechtvaardigd belang volgens artikel 6, lid 1, sub f, met een gedocumenteerde belangenafweging. Of je de e-mail überhaupt mag versturen, bepaalt de ePrivacy-wetgeving van elk land, die artikel 13 van Richtlijn 2002/58/EG omzet. In Oostenrijk, Denemarken, Duitsland, Italië, Nederland, Polen en Spanje vereist die wetgeving voorafgaande toestemming, ook als de ontvanger een bedrijf is.

Gecontroleerd op 15 oktober 2026 aan de hand van de wetteksten en de richtsnoeren van de toezichthouders. Dit is geen juridisch advies.

Deze gids vergelijkt 20 landen: 17 in Europa plus de VS, Canada en Australië. Duitsland heeft een eigen pagina: koude e-mail in Duitsland (UWG §7). Revexa bouwt Leo, een koopsignaal-agent voor outreach via LinkedIn en e-mail; in het laatste deel lees je hoe Leo deze regels toepast.

De drie modellen in Europa

De ePrivacy-richtlijn vereist voor ongevraagde commerciële e-mail alleen toestemming van "abonnees die natuurlijke personen zijn". Voor alle anderen bepaalt elke lidstaat hoe hun "rechtmatige belangen" worden beschermd (artikel 13, lid 5). Daarom vallen de antwoorden in drie groepen uiteen:

1. Toestemming voor elke ontvanger, ook voor bedrijven: Oostenrijk, Denemarken, Duitsland, Italië, Nederland, Polen en Spanje. Zwitserland vereist toestemming voor geautomatiseerde "massareclame"; of één met de hand geschreven e-mail daaronder valt, is onduidelijk.
2. Toestemming alleen voor natuurlijke personen: België en Noorwegen. Je mag een algemeen bedrijfsadres op opt-outbasis mailen, maar voornaam.achternaam@bedrijf is het adres van een persoon en vereist toestemming, volgens het verslag aan de Koning bij het Belgische koninklijk besluit van 4 april 2003 en volgens de Noorse consumentenautoriteit. Luxemburg en Portugal trekken in hun wetgeving dezelfde grens, maar geen enkele toezichthouder heeft gezegd aan welke kant een medewerker op naam valt; onze voorzichtige lezing is toestemming.
3. Opt-out voor bedrijven, ook voor medewerkers op naam, in sommige landen alleen als het bericht bij hun functie past: het Verenigd Koninkrijk, waar het zakelijke e-mailadres van een medewerker toebehoort aan een "corporate subscriber" (zakelijke abonnee) (ICO); Frankrijk, op grond van de richtsnoeren van de CNIL en niet van de wettekst (CNIL); Finland, alleen als het aanbod in wezen betrekking heeft op de taken van de persoon, wat je vooraf controleert en documenteert (Ombudsman voor gegevensbescherming); Ierland, op grond van regulation 13(2), die in de richtsnoeren van de toezichthouder nergens wordt genoemd (S.I. 336/2011); en Zweden, waar alleen de ethische regels van de branche dat zeggen (SWEDMA).

Eenmanszaken zijn natuurlijke personen en hebben daarom in bijna elk land toestemming nodig; voor Frankrijk en Ierland is dat onduidelijk. En de richtlijn verbiedt marketingmail die de afzender verhult of die wordt verzonden "zonder dat een geldig adres wordt vermeld waaraan de ontvanger een verzoek tot beëindiging van dergelijke communicatie kan richten" (artikel 13, lid 4).

De Poolse regel geldt sinds 10 november 2024: artikel 398 van de Poolse wet op de elektronische communicatie beschermt bedrijven en eenmanszaken op gelijke voet (ministerie van Digitale Zaken). Oudere gidsen die Poolse B2B-e-mail als opt-out beschrijven, gaan uit van de ingetrokken wet.

Welke nationale regels gelden?

Ga uit van die van de ontvanger. De Europese richtlijn inzake elektronische handel laat onlinediensten de regels van hun land van oorsprong volgen, maar zondert "de toelaatbaarheid van ongevraagde commerciële communicatie per elektronische post" uit (Richtlijn 2000/31/EG, bijlage). Oostenrijk beschouwt een overtreding vanuit het buitenland als gepleegd waar het bericht aankomt, en Canada en Australië passen hun wetten toe op berichten die daar worden gelezen. In onze lezing volgt een Zweeds bedrijf dat een Deense prospect mailt de Deense regels.

AVG of ePrivacy: welke beslist?

Beide gelden, maar voor verschillende dingen.

• De AVG gaat over de gegevens. Een naam en een zakelijk e-mailadres zijn persoonsgegevens. Volgens overweging 47 kan verwerking voor direct marketing "worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang", dus B2B-outreach kan steunen op artikel 6, lid 1, sub f als je toetsing in drie stappen standhoudt: belang, noodzakelijkheid, afweging. Vermeld waar je de gegevens vandaan hebt, "uiterlijk op het moment van het eerste contact" (artikel 14, lid 3, sub b); een bezwaar is definitief (artikel 21, lid 3) (AVG). Meer in AVG en B2B-e-mail op basis van gerechtvaardigd belang.
• ePrivacy gaat over het kanaal. Waar de nationale regel toestemming vereist, kan gerechtvaardigd belang die niet vervangen. De Britse toezichthouder zegt dat gerechtvaardigd belang van toepassing kan zijn "only where the Privacy and Electronic Communication Regulations (PECR) don't require consent" (alleen waar PECR geen toestemming vereist) (ICO). De Duitse toezichthouders voor gegevensbescherming stellen dat als de UWG een kanaal verbiedt, "er bij voorbaat geen gerechtvaardigd belang bestaat" (DSK, onze vertaling), en de Italiaanse Garante zegt dat marketingmail helemaal niet op gerechtvaardigd belang kan steunen (Garante, 2026).

Een info@-adres zonder persoon erachter valt vaak buiten de AVG, maar de ePrivacy-regel geldt nog steeds. De veelgehoorde bewering dat gerechtvaardigd belang koude B2B-e-mail in de hele EU legaal maakt, beantwoordt dus alleen de vraag over de gegevens, en lijstjes die Denemarken, Nederland, Spanje of Italië bij de soepele landen indelen, zien over het hoofd dat hun wetten zelfs voor bedrijven toestemming vereisen.

Regels voor koude e-mail per land

"Toestemming" betekent voorafgaande toestemming vóór de eerste salesmail. "Opt-out" betekent dat je zonder toestemming mag mailen als je jezelf bekendmaakt, een werkende afmeldmogelijkheid biedt en stopt zodra iemand daarom vraagt. "Geen standpunt gevonden" betekent dat we geen standpunt van een toezichthouder of rechter hebben gevonden.

Controleer de rechtsvorm in het handelsregister; voor de Noordse landen, zie B2B-klanten vinden in de Noordse landen.

Vallen LinkedIn-berichten eronder?

Vijf toezichthouders en rechters hebben uitdrukkelijk gezegd dat privéberichten op sociale platforms onder de e-mailregel vallen:

• Denemarken. De Consumentenombudsman: "Privatbeskeder er elektronisk post" (privéberichten zijn elektronische post) (richtsnoeren, 2021). Zelfs een chatbericht met de vraag of iemand marketing wil ontvangen, is niet toegestaan (Consumentenombudsman).
• Verenigd Koninkrijk. De ICO rekent "direct messaging on social media (ie private messages)" (direct messaging op sociale media, dus privéberichten) tot elektronische post (ICO) en stelt dat berichten aan iemand die een professioneel netwerk "in their personal, albeit professional, capacity" (in persoonlijke, zij het professionele hoedanigheid) gebruikt, "not considered B2B marketing" zijn (niet als B2B-marketing worden beschouwd). LinkedIn wordt niet genoemd.
• Canada. De CRTC rekent "LinkedIn messaging" (berichten via LinkedIn) tot het versturen van berichten naar "electronic addresses" (elektronische adressen) onder CASL (CRTC).
• Duitsland. Het Oberlandesgericht Hamm noemde LinkedIn bij de socialemediadiensten waarvan de berichten elektronische post zijn (OLG Hamm, 3 mei 2023), in een zaak over particuliere ontvangers die zonder definitieve uitspraak eindigde.
• Italië. De richtsnoeren van 2013 van de Garante brengen marketingberichten aan gebruikers van sociale netwerken onder de toestemmingsregel. In 2021 en opnieuw in april 2026 stelde de Garante dat van LinkedIn-gebruikers niet wordt verwacht dat ze het platform gebruiken "om producten of diensten te verkopen" (onze vertaling; La Prima, Aesir).

Zwakkere signalen: de Noorse consumentenautoriteit zegt dat bij sociale media "dezelfde overwegingen" spelen als bij e-mail (onze vertaling); de Belgische FOD Economie, de Nederlandse ACM en de Spaanse AEPD passen hun e-mailregels toe op chat of WhatsApp; en een blogpost van de FTC uit 2015 verwijst naar Amerikaanse districtsrechtbanken. In de andere tien landen vonden we geen standpunt, en nergens iets over connectieverzoeken met een salesboodschap.

De veilige lezing: een sales-DM op LinkedIn valt onder dezelfde regel als een e-mail aan die persoon in dat land. Voor de eigen limieten van LinkedIn, zie LinkedIn-outreach zonder beperkingen.

Echte sancties voor B2B-e-mail

Sancties groeien mee met het volume: Ierland telt elke e-mail als een afzonderlijk strafbaar feit, en een Deense rechter ging uit van DKK 100 per e-mail. Dit zijn de B2B-zaken die we uit primaire bronnen konden documenteren, allemaal per e-mail behalve de sms-berichten in Finland:

Duitsland heeft geen toezichthouder die boetes oplegt voor B2B-e-mail; de handhaving is civielrechtelijk, via formele waarschuwingen (Abmahnung) en verboden die concurrenten, verenigingen of de ontvanger vorderen. We vonden geen boete voor B2B-e-mail in Australië, België, Frankrijk, Luxemburg, Noorwegen, Portugal, Zweden, Zwitserland of het VK; waar wel zaken zijn, gaan ze over consumenten, gegevensverzameling of telefoontjes.

Het VK in 2026: nieuwe toezichthouder, hogere boetes

• Nieuwe naam. Op 30 september 2026 nam de Information Commission de plaats in van het Information Commissioner's Office, met dezelfde "role, responsibilities, or powers" (rol, verantwoordelijkheden of bevoegdheden) (gov.uk). De website is nog steeds ico.org.uk.
• Hogere boetes. Voor PECR-overtredingen op of na 5 februari 2026 is het maximum £17,5 miljoen of, als dat hoger is, 4% van de wereldwijde jaaromzet (DPA 2018 s. 157 zoals toegepast op PECR; overgangsrecht in SI 2026/82). Voor eerdere overtredingen blijft het oude maximum van £500.000 gelden, dat nog steeds staat op de eigen pagina What are PECR? van de toezichthouder, die als in herziening is gemarkeerd. We vonden geen besluit onder het nieuwe maximum.
• De B2B-regel is ongewijzigd. E-mail aan zakelijke abonnees (corporate subscribers) vereist geen toestemming; eenmanszaken en gewone partnerships (ordinary partnerships) wel. Artikel 6, lid 11 van de UK GDPR noemt direct marketing nu als voorbeeld van een gerechtvaardigd belang; de belangenafweging blijft gelden.

De VS, Canada en Australië

• Verenigde Staten: opt-out. CAN-SPAM verbiedt koude e-mail niet, en "the law makes no exception for business-to-business email" (de wet maakt geen uitzondering voor B2B-e-mail) (FTC). Elk bericht heeft eerlijke headers en een eerlijke onderwerpregel nodig, een vermelding dat het om reclame gaat, een fysiek postadres en een opt-out die binnen 10 werkdagen wordt verwerkt. Boetes lopen op tot $53.088 per e-mail.
• Canada: toestemming. CASL vereist uitdrukkelijke of impliciete toestemming. Toestemming kan impliciet zijn als de persoon zijn adres duidelijk zichtbaar heeft gepubliceerd, of het aan jou heeft gegeven, zonder vermelding dat hij geen ongevraagde berichten wil, en het bericht bij zijn functie past. Een e-mail waarin je om toestemming vraagt, is zelf al een commercieel bericht. Bedrijven riskeren tot CAD 10 miljoen per overtreding.
• Australië: toestemming. Onder de Spam Act geldt dat toestemming "may not be inferred from the mere fact that the relevant electronic address has been published" (niet mag worden afgeleid uit het enkele feit dat het betreffende elektronische adres is gepubliceerd), maar een duidelijk zichtbaar gepubliceerd zakelijk adres kan afgeleide toestemming opleveren voor berichten over het werk van de persoon. De ACMA zegt: "You cannot send an electronic message to ask for consent" (je mag geen elektronisch bericht sturen om toestemming te vragen) (ACMA).

Checklist voor B2B-e-mail in Europa

1. Bepaal het land en de rechtsvorm van de ontvanger. Een bv en een eenmanszaak vallen in de meeste landen onder verschillende regels.
2. Leg het adres naast de tabel. Waar toestemming vereist is, verstuur je niets en mail je ook niet om toestemming te vragen: Denemarken, Oostenrijk en Italië zien ook dat als marketing.
3. Schrijf over hun werk. Frankrijk, Finland, Ierland en de Zweedse brancheregels maken relevantie voor de functie tot voorwaarde, en in onze lezing weegt die ook mee in de belangenafweging onder de AVG.
4. Documenteer je afweging van het gerechtvaardigd belang vóór de eerste verzending: doel, noodzakelijkheid, afweging.
5. Maak de afzender bekend en voeg een werkende opt-out toe aan elk bericht, en vermeld uiterlijk in het eerste bericht waar je de gegevens vandaan hebt.
6. Respecteer bezwaren direct, in elk kanaal, en houd een suppressielijst bij, zodat iemand die nee heeft gezegd nooit terugkomt.
7. Raadpleeg opt-outregisters: de Oostenrijkse ECG-lijst (RTR) en de Portugese lijst van bedrijven die marketing weigeren (DGC).
8. Behandel LinkedIn-berichten als e-mail in het land van de ontvanger.
9. Bewaar bewijs van waar en wanneer je elk adres hebt gevonden en waarom het bericht bij de functie paste; de Finse toezichthouder verwacht dat.

Hoe Leo hiermee omgaat

• Duitsland wordt automatisch geblokkeerd. Leo stuurt geen koude berichten naar leads in Duitsland (UWG §7). Het is het enige land dat Leo automatisch blokkeert.
• Overal elders beslis jij. De reviewmodus staat standaard aan: je leest elk concept en keurt het goed voordat het wordt verzonden. Een lead in Denemarken, Polen of Spanje wordt niet automatisch tegengehouden, dus het oordeel aan de hand van deze tabel ligt bij jou. De autonome modus kun je per kanaal inschakelen; staan er landen op je lijst die toestemming vereisen, laat de reviewmodus dan aan.
• Stop is stop. Een afmelding in één kanaal blokkeert de persoon in alle kanalen.
• Taal. Leo schrijft elke lead in diens eigen taal als je website in die taal bestaat, bijvoorbeeld Duits, Frans, Spaans of Nederlands, en anders in het Engels.

Leo is niet de juiste keuze als je software nodig hebt die de toestemmingsregels van elk land voor je afdwingt. De geverifieerde feiten over Leo, waaronder de compliance-regels, staan op onze feitenpagina.

Veelgestelde vragen

Is koude B2B-e-mail legaal in Europa?

Dat hangt af van het land van de ontvanger. Oostenrijk, Denemarken, Duitsland, Italië, Nederland, Polen en Spanje vereisen voorafgaande toestemming, ook voor bedrijven. Het VK, Frankrijk, Zweden, Finland en Ierland staan e-mail aan bedrijven op opt-outbasis toe, België en Noorwegen alleen aan algemene adressen.

Maakt gerechtvaardigd belang onder de AVG koude e-mail legaal?

Niet op zichzelf. Gerechtvaardigd belang volgens artikel 6, lid 1, sub f kan de verwerking van de contactgegevens dekken, maar waar een nationale ePrivacy-wet toestemming voor e-mail vereist, kan het die toestemming niet vervangen. De Britse toezichthouder zegt dat gerechtvaardigd belang van toepassing is "only where" (alleen waar) PECR geen toestemming vereist.

Welke Europese landen vereisen toestemming voor koude B2B-e-mail?

Voor elke ontvanger: Oostenrijk, Denemarken, Duitsland, Italië, Nederland, Polen en Spanje, plus Zwitserland voor geautomatiseerde verzending. Voor medewerkers op naam ook België en Noorwegen, en in onze voorzichtige lezing Luxemburg en Portugal. Eenmanszaken hebben in bijna elk land toestemming nodig.

Mag ik koude LinkedIn-berichten sturen naar Europese prospects?

Behandel ze als e-mail. Denemarken en het VK rekenen privéberichten op sociale media tot elektronische post, zoals een Duits hof van beroep deed voor LinkedIn; de Canadese CRTC brengt LinkedIn-berichten onder zijn antispamwet, en de Italiaanse Garante zegt dat LinkedIn niet bedoeld is om te verkopen. De meeste andere landen hebben geen richtsnoeren.

Gelden de regels van mijn land of die van de ontvanger?

Ga uit van die van de ontvanger. De Europese richtlijn inzake elektronische handel zondert ongevraagde commerciële e-mail uit van het land-van-oorsprongbeginsel, en Oostenrijk, Canada en Australië passen hun wetten toe op berichten die ontvangers daar bereiken.