Nicht zwingend eine Einwilligung, aber eine belastbare Rechtsgrundlage. Für das Enrichment geschäftlicher Kontaktdaten kommt regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht, verbunden mit einer dokumentierten Interessenabwägung.
Praktisch hängen daran drei Punkte. Der Anbieter, der anreichert, ist in der Regel Auftragsverarbeiter, das verlangt einen Vertrag nach Art. 28 DSGVO. Bei Anbietern außerhalb der EU kommt die Frage des Drittlandtransfers dazu. Und die betroffene Person muss nach Art. 14 informiert werden. Achtung bei der Kontaktdatenbank des Anbieters: Ziehst du Kontakte daraus, wirst du für die weitere Verarbeitung selbst Verantwortlicher, und zwar für Daten, deren Herkunft du nicht kennst. Je sensibler das angereicherte Merkmal, desto schwerer wiegt die Abwägung: Firmengröße ist unkritischer als Verhaltensdaten. Das ist keine Rechtsberatung.