GDPR'da B2B Cold Email için Opt-In mi Opt-Out mu: Kanun Aslında Ne İstiyor

Birçok founder ve sales team, cold email’den önce izin gerekip gerekmediğinden emin değil. Yanıt hedef pazara, alıcıya, veri kaynağına ve kampanya ayrıntılarına bağlıdır.

Kısa cevap şu: Bazı B2B kampanyalarında önceden consent yerine legitimate interest kullanılabilir; ancak GDPR ve yerel ePrivacy kuralları vaka bazlı değerlendirme ister. Bu kararı vermek ve belgelemek için pratik çerçeve aşağıda.

B2B Cold Email’i Kapsayan Lawful Basis

GDPR Article 6, personal data işlemenin altı lawful basis’ini listeler. Cold outreach için ilgili olan legitimate interest’tir, yani Article 6(1)(f).

Legitimate interest, eğer şu şartlar sağlanıyorsa birinin professional contact details’ını işlemeni ve ona email göndermeni sağlar:

1. Gerçek bir business reason’ın vardır, örneğin prospecting, partnership ya da ilgili bir teklif.
2. Contact’ın rolü outreach’i onun açısından professional olarak relevant kılar.
3. Senin interest’in, contact’ın privacy hakkı tarafından ezilmez.

En çok hata üçüncü maddede yapılır. Legitimate interest boş çek değildir. Binlerce rastgele contact’a alakasız bulk email atmak balancing test’ini kaybettirebilir; hedefli bir email’in uygun olup olmadığı da pazara, alıcının beklentisine ve kampanya ayrıntılarına bağlıdır. Testi geçtiğini varsaymak yerine değerlendirmeyi belgele.

Opt-in ve legitimate interest farklı dayanaklardır; kampanyan için hangisinin geçerli olduğunu kontrol et.

Consent, yani opt-in, ayrı bir lawful basis’tir. Daha sıkıdır, contact’tan aktif bir action ister ve vermek kadar kolay geri alınabilmelidir. Bazı B2B bağlamlarında legitimate interest mümkün olabilir; ancak uygulanacak ePrivacy ve data-protection kuralları pazar, alıcı, kaynak ve kampanyaya göre değişir. Consent’i evrensel olarak gereksiz sayma; değerlendirmeyi belgele ve gerektiğinde nitelikli hukuk incelemesi al.

Uyumlu Bir Cold Email’de Neler Olmalı

Legitimate interest ya da başka bir basis kullanıyor olman fark etmez, gönderdiğin her email şunları içermeli:

• Gerçek kimliğin. Company adı, website ve sana ulaşılacak bir yol. Belirsiz sender name’ler ya da saklanmış domain’ler yok.
• Temasın nedeni. Tek cümle yeter. “Recently expanded into the German market olduğunuzu gördüm” gibi bir giriş, generic pitch opener’dan iyidir çünkü email’in specifically onlara relevant olduğunu gösterir.
• Opt-out mekanizması. Bu alt kısımda basit bir satır olabilir: “Relevant değilse ‘unsubscribe’ diye reply ver, seni çıkarayım.” Resmi bir unsubscribe link’i de olur. Format’tan çok, kullanımı kolay olması ve gerçekten uygulaman önemlidir.
• Hızlı suppression. Bir kişi opt-out yaptığında durman gerekir. Bir follow-up daha değil. Hemen. Opt-out’u logla ve gelecekte hiçbir sequence’in o adrese ulaşamadığından emin ol.

GDPR-compliant cold email altyapısı kuran ajanslar, suppression list’leri sonradan düşünülmüş bir şey değil, ana sistem olarak ele alır.

ePrivacy Directive Bir Katman Daha Ekler

GDPR data processing’i yönetir. ePrivacy Directive, bazen Cookie Law diye de anılır ama çok daha fazlasını kapsar, elektronik iletişimi özel olarak yönetir.

ePrivacy altında çoğu AB üyesi ülke, bireylere, sole trader’lar dahil, istenmeyen commercial email için önceden consent ister. Ancak corporate address’lere, yani registered company’lerdeki role-based ya da named contact’lara giden email’ler genelde B2B communication sayılır ve bireysel consent şartının dışında kalır.

Pratik kural tek cümlelik değildir: email adresi bir şirkette professional capacity ile hareket eden bir kişiye aitse GDPR altında legitimate interest ilgili olabilir; ancak hedef pazarın ePrivacy ve gönderim kuralları ayrıca değerlendirilmelidir. Kişisel consumer adreslerinde opt-in sıkça gerekir; göndermeden önce uygulanacak kuralı doğrula.

Bu yüzden doğrulanmış business contact’ları relevant şirketlerde hedefleyen signal-based outreach hem daha etkili hem de geniş liste blasting’den daha savunulabilirdir.

Opt-Out Gerçekte Ne Demek

Opt-out, sessiz kalmanın devam etmek için consent verdiği anlamına gelmez. Şu anlama gelir:

• İlk email’i ve makul bir follow-up sequence’i önceden izin almadan gönderme hakkın vardır.
• Recipient dur derse durursun. İstisna yok, “bir tane daha” yok.
• Opt-out olmuş bir contact’ı altı ay sonra yeni bir campaign’e geri ekleyip opt-out’un süresi dolmuş gibi davranamazsın.

Campaign’ler ve tool’lar arasında kalıcı bir suppression list zorunludur, opsiyonel değil.

Asphia’da kurduğumuz ya da yürüttüğümüz her sequence, tool’lar arasında uzanan bir suppression layer içerir. Bir contact bir campaign’den opt-out olursa, o client için gelecekteki tüm gönderimlerden çıkarılır. Bu, gerçekten GDPR-native olan done-for-you cold email yürütmenin parçası, sonradan yamalanmış compliance değil.

Legitimate Interest Assessment, yani LIA

Bir Avrupa pazarı için outbound fonksiyonu kuruyorsan, legitimate interest assessment’ını belgelemen gerekir. Bu, içinde şu bilgileri tutan kısa bir internal record’dur:

• Hangi data sende var, örneğin name, email, job title, company.
• Neden elinde tutuyorsun, örneğin teklifinle alakalı contact’ları prospect etmek için.
• Nasıl topladın, örneğin Apollo, LinkedIn, public sources’tan Clay enrichment.
• Neden contact’ın interest’lerinin seninkini aşmadığını düşünüyorsun, örneğin email rolüyle alakalı, intrusive değil ve opt-out kolay.

Bunu bir regülatöre göndermezsin. Bir complaint ya da audit için saklarsın. Birleşik Krallık’taki ICO ve AB seviyesindeki EDPB, balancing test karşılandığında legitimate interest’in B2B marketing’e uygulanabileceğini zaten açıkladı.

Eğer Almanya, Hollanda ya da aktif DPA’ları olan diğer pazarlara outbound yapıyorsan, belgelenmiş bir LIA teori değil, pratik korumadır.

Sonuç

GDPR, B2B cold email’e blanket bir yasak değildir; ama blanket bir izin de değildir. Relevant ve hedefli outreach için pazar, alıcı, veri kaynağı ve kampanya özelinde değerlendirme gerekir. Opt-out haklarına anında saygı duy; her email seni tanımlamalı ve durdurmak için net bir yol vermeli.

Bu framework ile outbound for European markets kuran takımlar, compliance’ı engel gibi görenlere göre daha temiz ve daha etkili campaign’ler yürütür. Kanun ve iyi outbound pratiği aynı yöne işaret ediyor: relevance, transparency ve contact’ın zamanına saygı.