GDPR Kapsamında Cold Email Yasal mı? 2026 Operatör Rehberi

Evet, cold email GDPR kapsamında yasaldır. Doğru rolleri hedefleyen ve gerçek bir opt-out sunan B2B outbound, consent yerine legitimate interest’e dayanır. Zor kısım hukuki dayanak değil. Kimi neden hedeflediğini, opt-out taleplerine uyduğunu ve kayıt tuttuğunu kanıtlamaktır. Avrupa’daki müşterilerimiz için kullandığımız çerçeve bu.

Kısa Cevap: Consent Değil, Legitimate Interest

GDPR kişisel veri işlemek için 6 hukuki dayanak verir. B2B cold email için önemli olan legitimate interest’tir (Article 6(1)(f) of the GDPR regulation).

İlgili bir iş problemi hakkında doğru decision-maker’a e-posta atmak için önceden consent alman gerekmez. Savunabileceğin bir neden, minimum veri ve kolay bir çıkış yeterlidir.

Legitimate interest’i ayakta tutan 3 koşul:

• Purpose: Bu kişiye ulaşmak için gerçek bir ticari nedenin vardır.
• Necessity: Bu kişiye doğrudan ulaşmak, amacın için makul bir yöntemdir.
• Balance: Ticari çıkarın, alıcının haklarından ve makul beklentilerinden daha ağır basmaz.

Bir founder’ın CFO’ya satış kapanış süresini kısaltan bir araç sunması bu çerçeveye uyar. 50,000 kişisel Gmail adresine crypto mesajı göndermek uymaz. Sınırı hacim değil, relevance belirler.

Her teklif için bir kez Legitimate Interest Assessment, yani LIA, hazırla. Kimi neden hedeflediğini ve olası zararı nasıl sınırladığını yaz. Bir sayfa yeter. Regülatör sorarsa sunarsın. Çoğu ekip bu adımı atlıyor. Oysa maliyeti en düşük önlemlerden biri.

LIA bir sayfa. Onu atlamanın bedeli bir sayfadan çok daha fazla.

GDPR ve ePrivacy Directive: Tek Kanun Değil, İki Kanun

“Cold email legal mi?” sorusundaki karışıklığın çoğu, iki farklı kuralı birbirine karıştırmaktan gelir.

GDPR, kişisel verileri nasıl işlediğini düzenler. ePrivacy Directive ise elektronik pazarlama mesajlarını kapsar ve her AB ülkesi tarafından farklı uygulanır. Cold email her iki düzenlemeye de tabidir.

Boyut	GDPR	ePrivacy (ulusal hukuk)
Ne kapsar	Kişisel veri işleme	Marketing mesajları gönderimi
B2B email varsayılanı	Legitimate interest izinli	Çoğu yerde izinli, ülkeye göre değişir
B2C email varsayılanı	Daha sıkı, consent’e yaslan	Consent genelde gerekir
Detayı kim belirler	AB çapında regülasyon	Her üye ülke
Opt-out kuralı	İtiraz hakkı	Unsubscribe’a uyulmalı

Pratikte GDPR, AB genelinde büyük ölçüde tutarlıdır. ePrivacy uygulaması ise ülkeye göre değişir. Hukuki dayanağın sağlam olsa bile her ülkenin gönderim kurallarını ayrıca kontrol etmelisin.

Oyunu Değiştiren Ülke Kuralları

Beş dilde gönderim yapıyoruz: English, Dutch, German, Arabic ve Turkish. Kurallar her pazarda aynı değil. Dikkat edilmesi gereken ülkeler şunlar:

• Germany (UWG): Bizim için en sıkı pazar. Alman mahkemeleri, istenmeyen B2B e-postaları önceden consent veya çok dar kapsamlı bir existing interest gerekçesi arayacak şekilde yorumlamıştır. Bu pazarda targeting’i daraltır, warm signal’lara ağırlık veririz. Almanya’yı Netherlands gibi ele alma.
• Netherlands: B2B iletişime daha açık. Doğru targeting ve net bir opt-out ile legitimate interest iyi çalışır. Deliverability’nin en yüksek olduğu pazarlarımızdan biridir.
• France (CNIL): Mesaj alıcının mesleğiyle ilgiliyse B2B cold email göndermek mümkündür. Role relevance testi açık olduğu için toplu ve alakasız gönderimler cezalandırılır.
• Austria: Almanya’ya yakındır. Consent’e daha yakın bir pazar gibi davran.
• UK (UK GDPR plus PECR): Brexit sonrasında da pratik büyük ölçüde benzer. Corporate subscribers, yani şirketler ve LLP’ler, legitimate interest kapsamında e-posta alabilir. Sole trader ve partnership’ler B2C benzeri korumaya tabidir.

Genel tablo net. Kuzey ve Batı Avrupa’daki B2B pazarları legitimate interest’i kabul eder. Almanca konuşulan pazarlar daha güçlü kanıt ve daha sıkı relevance ister. Bu farkı e-postanın altındaki disclaimer’a değil, segmentation’a yansıt.

”Compliant Cold Email” Gerçekte Ne Gerektirir?

Hukuki dayanak şartlardan yalnızca biri. Aşağıdakiler de her kampanyada uygulanır.

Savunabileceğin Targeting

• ICP’ne uyan şirketlerde, teklifinle doğrudan ilgili rollere e-posta at.
• Scrape edilmiş kişisel adresler yerine business email kullan. 200 kişilik bir firmadaki CFO’ya ulaşabilirsin. Kişisel Gmail adresine ulaşma.
• Relevance ilk satırdan belli olsun. Neden özellikle bu kişiye yazdığını açıklayamıyorsan gönderme.

Kimlik ve Şeffaflık

• Gerçek bir domain, isim ve signature kullan. Spoofing ve sahte alias kullanma.
• Kim olduğunu ve neden ulaştığını açıkla. Tek cümle yeter.
• Veriyi nereden aldığını ve legitimate interest dayanağını açıklayan bir privacy notice’a link ver.

Opt-out ve Suppression

• Her e-postada açık ve çalışan bir opt-out bulunsun. Düz bir cümle, 6 piksellik “unsubscribe” butonundan iyidir.
• İtirazları hemen ve kalıcı olarak uygula. Tüm tool ve inbox’lar tek bir global suppression listesi kullansın.
• Smartlead’deki bir opt-out, Heyreach’te de o kişiyi bloklamalı. Silolar complaint üretir.

Data Minimization ve Retention

• Yalnızca gereken verileri tut: isim, rol, şirket, business email ve personalizasyon sinyali.
• Veri biriktirme. Hiç engagement göstermeyen kişileri ve opt-out veren herkesi sil. Opt-out kayıtlarını yalnızca do-not-contact işareti olarak sakla.
• Access ve deletion taleplerini karşılayabilmelisin. Yapamıyorsan compliant değil, yalnızca şanslısın.

Asphia’da GDPR-Native Outbound Nasıl Çalışıyor?

Compliance, en sonda işaretlediğimiz bir checkbox değil. Sistemin içine kurduğumuz bir katman. Kullandığımız stack ve akış şöyle:

1. Source and enrich işlemlerini Clay ve Apollo’da yapıyoruz. Rol, şirket ve personalizasyon sinyalini alıyoruz. Kişisel adresleri scrape etmiyoruz.
2. Country bazında segment ediyoruz. Bunu ilk e-posta çıkmadan önce yapıyoruz. Germany ve Austria için daha sıkı kurallar ve daha sıcak sinyaller kullanıyoruz. Netherlands ve France ise standart legitimate interest ile ilerliyor.
3. Send sürecinde e-posta için Sendkit ve Manyreach, rotation ve warmup için Smartlead ve Instantly kullanıyoruz. LinkedIn tarafı GetSales ve Heyreach üzerinden ilerliyor.
4. Globally suppress ediyoruz. Tek opt-out listesi tüm tool’lara aktarılıyor. Bir kez itiraz eden kişi her kanaldan çıkarılıyor.
5. Her şeyi logluyoruz: veri kaynağı, hukuki dayanak, gönderim zamanları ve opt-out event’leri. Bir DPA sorarsa dakikalar içinde kayıtları sunabiliyoruz.

Gerçek client campaign’lerinde “blast and pray” yaklaşımını tight targeting ile karşılaştırdık. Tight targeting hem reply rate’te hem complaint rate’te daha iyi sonuç verdi. Compliance ile performance arasında tradeoff yok. Daha az complaint, daha iyi deliverability ve daha fazla booked meeting getiriyor.

Bir de iş modelinin etkisi var. Client’larımız activity için değil, booked meeting için ödeme yapıyor. Bu model, incentive ile compliance’ı aynı yönde tutuyor. Spam, ciddi buyer’lardan meeting getirmez. Domain’e ve brand’e zarar verir. Yalnızca outcome üzerinden ücret aldığında hedefi daraltırsın. GDPR’ın istediği de budur. Süreci uçtan uca yönetmek isteyen ekipler, GDPR-compliant cold email agency modelinde bu şartları nasıl operasyona çevirdiğimizi görebilir.

Seni Gerçekten Sıkıntıya Sokacak 5 Hata

Sender reputation’ı düşüren ve complaint üreten beş hata var.

• AB’nin tamamını tek pazar sanmak. Germany, Netherlands değildir. Segment et ya da bedelini öde.
• Tek tool suppression. Birisi e-postadan çıkar ama sonra LinkedIn request alır. Bu doğrudan complaint üretir.
• Kağıt izi olmaması. Hukuki dayanağını ve data source’unu gösteremiyorsan, “bana güven” savunma değildir.
• Kişisel inbox’lar ve alakasız kontaklar. Scrape edilmiş Gmail listeleri regülatör dikkatini çekmenin en kısa yoludur.
• Gizli veya bozuk opt-out. Tek tık yap. Hemen uymak, her türlü cezadan ucuzdur.

GDPR kapsamında cold email göndermek için ilgili business rolleri legitimate interest ile hedefle, country bazında segment et, global suppression uygula ve kayıt tut. Böylece hem compliant kalır hem de daha sağlam bir outbound sistemi işletirsin. B2B cold email agency in the UK ve Netherlands ekiplerimiz de bu çerçevede çalışır.