Newsletter & DSGVO: Einwilligung, Double-Opt-in und Datenschutz richtig umsetzen
Beim Newsletter greifen in Deutschland mehrere Regeln ineinander: DSGVO, Wettbewerbsrecht, Auftragsverarbeitung, Informationspflichten, Einwilligungsnachweis, Abmeldung und gegebenenfalls Tracking.
Dieser Guide zeigt dir die wichtigsten Punkte für einen sauberen Newsletter-Prozess – von der Anmeldung bis zur Löschung. Er ersetzt keine individuelle Rechtsberatung, hilft dir aber, die technischen und organisatorischen Aufgaben strukturiert zu verstehen.
Newsletter-Recht: DSGVO und UWG erfüllen unterschiedliche Aufgaben
Für Newsletter reicht es nicht, nur auf die DSGVO zu schauen. Bei Werbe-E-Mails ist zusätzlich das Gesetz gegen den unlauteren Wettbewerb relevant.
UWG: Darf die Werbe-E-Mail gesendet werden?
§ 7 UWG regelt, wann Werbung per elektronischer Post als unzumutbare Belästigung gilt und wann eine Ausnahme für Bestandskunden greifen kann.
DSGVO: Dürfen Daten verarbeitet werden?
Die DSGVO verlangt eine Rechtsgrundlage, Transparenz, Datenminimierung, Betroffenenrechte und nachvollziehbare Verarbeitung.
TDDDG: Tracking kann zusätzliche Fragen auslösen
Werden Informationen auf einer Endeinrichtung gespeichert oder daraus ausgelesen, können zusätzlich die Regeln des TDDDG relevant werden.
| Bereich | Typische Frage | Praxisrelevanz |
|---|---|---|
| § 7 UWG | Darf ich Werbung per E-Mail senden? | Vorherige ausdrückliche Einwilligung ist grundsätzlich erforderlich; die Bestandskunden-Ausnahme hat enge Voraussetzungen. |
| Art. 6 DSGVO | Welche Rechtsgrundlage trägt die Datenverarbeitung? | Die Verarbeitung braucht eine gültige Rechtsgrundlage; bei Newsletter-Einwilligungen ist Art. 6 Abs. 1 lit. a DSGVO häufig relevant. |
| Art. 7 DSGVO | Wie muss eine Einwilligung gestaltet und nachgewiesen werden? | Einwilligung muss nachweisbar sein; Widerruf muss möglich und einfach sein. |
| Art. 13 DSGVO | Was muss ich bei Erhebung erklären? | Unter anderem Verantwortlicher, Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer und Betroffenenrechte. |
| Art. 28 DSGVO | Wie wird der Newsletter-Dienstleister eingebunden? | Bei Auftragsverarbeitung ist ein entsprechender Vertrag beziehungsweise Rechtsakt erforderlich. |
| Art. 44 ff. DSGVO | Was gilt bei Drittlandtransfers? | Übermittlungen in Drittländer brauchen die Voraussetzungen des Kapitels V der DSGVO. |
Keine Rechtsberatung: Dieser Ratgeber erklärt allgemeine Grundlagen. Ob ein konkreter Versand zulässig ist, hängt von Zweck, Empfänger, Datenquelle, Einwilligungstext, Geschäftsbeziehung und technischem Setup ab.
Werbe-Newsletter brauchen grundsätzlich eine vorherige ausdrückliche Einwilligung
Für Werbung mit elektronischer Post stellt § 7 Abs. 2 Nr. 2 UWG grundsätzlich auf die vorherige ausdrückliche Einwilligung des Adressaten ab.
Eine gute Einwilligung sollte klar machen
- wer den Newsletter sendet
- welche Inhalte zu erwarten sind
- für welchen Zweck die E-Mail-Adresse verwendet wird
- dass die Einwilligung freiwillig erfolgt
- dass sie widerrufen werden kann
- wo weitere Datenschutzinformationen zu finden sind
Problematisch sind unter anderem
- vorangekreuzte Checkboxen
- unklare Sammelzustimmungen
- Newsletter ohne erkennbare Absenderidentität
- Einwilligung für völlig unbestimmte Zwecke
- Einwilligung versteckt in langen AGB
- Widerruf, der deutlich schwerer ist als die Anmeldung
Einwilligungstext verständlich formulieren
„Ich möchte per E-Mail Informationen zu [Themen/Angeboten] von [Unternehmen] erhalten. Ich kann meine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder E-Mail. Weitere Informationen finde ich in der Datenschutzerklärung.“
Wichtig: Der konkrete Text muss zu deinem tatsächlichen Versand, deinen Inhalten und deiner Datenverarbeitung passen.
Art. 7 DSGVO verlangt bei einer auf Einwilligung gestützten Verarbeitung, dass der Verantwortliche die Einwilligung nachweisen kann. Außerdem muss ein Widerruf jederzeit möglich sein und so einfach wie die Erteilung der Einwilligung.
Bestandskundenwerbung ohne neue Einwilligung: nur bei engen Voraussetzungen
§ 7 Abs. 3 UWG enthält eine Ausnahme, bei der Werbung per E-Mail an Bestandskunden unter bestimmten Voraussetzungen möglich sein kann. Alle gesetzlichen Bedingungen müssen zusammen erfüllt sein.
Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten.
Die Adresse wird für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet.
Der Kunde hat der Verwendung seiner Adresse nicht widersprochen.
Bereits bei Erhebung muss klar auf die Widerspruchsmöglichkeit hingewiesen werden.
Auch bei jeder weiteren Verwendung muss der einfache Widerspruch klar und deutlich möglich sein.
Nicht pauschal anwenden: „Die Person hat schon einmal gekauft“ reicht allein nicht. Fehlt nur eine der gesetzlichen Voraussetzungen, greift die Ausnahme des § 7 Abs. 3 UWG nicht. Gerade die Frage, ob ein Angebot „ähnlich“ ist, kann im Einzelfall auslegungsbedürftig sein.
Double-Opt-in: wichtiges Verfahren für Bestätigung und Nachweis
Beim Double-Opt-in wird eine Anmeldung erst nach einem zusätzlichen Klick in einer Bestätigungs-E-Mail aktiviert. Das hilft, fremde oder falsch eingegebene Adressen auszusortieren und den Anmeldeprozess zu dokumentieren.
Person trägt ihre E-Mail-Adresse in das Anmeldeformular ein.
System sendet eine E-Mail mit einem individuellen Bestätigungslink.
Erst der Klick bestätigt, dass Zugriff auf diese E-Mail-Adresse besteht.
Zeitpunkt, Einwilligungstext und technische Nachweisdaten werden dokumentiert.
Erst danach wird der Kontakt für den regulären Newsletter-Versand aktiviert.
Rechtlich sauber formuliert: Die DSGVO schreibt das Double-Opt-in nicht als ausdrücklich benanntes technisches Verfahren vor. Sie verlangt aber unter anderem, dass eine auf Einwilligung beruhende Verarbeitung nachweisbar ist. Double-Opt-in ist deshalb in der Praxis ein wichtiges Verfahren zur Bestätigung und Dokumentation.
Datenschutzhinweise müssen erklären, was mit den Newsletter-Daten passiert
Art. 13 DSGVO verlangt bei der direkten Datenerhebung transparente Informationen über die Verarbeitung. Für Newsletter sollte die Datenschutzerklärung deshalb nicht nur allgemein „E-Mail-Kommunikation“ erwähnen.
Name und Kontaktdaten des Verantwortlichen.
Warum werden die Daten für den Newsletter verarbeitet?
Auf welcher Grundlage erfolgt die konkrete Verarbeitung?
Welche Dienstleister oder Kategorien von Empfängern sind beteiligt?
Werden Daten außerhalb von EU/EWR verarbeitet oder zugänglich?
Wie lange bleiben aktive und abgemeldete Daten gespeichert?
Wie kann eine Einwilligung mit Wirkung für die Zukunft widerrufen werden?
Auskunft, Berichtigung, Löschung und weitere Rechte erklären.
Wenn Öffnungen, Klicks oder Profile gemessen werden, transparent erklären.
Formular und Datenschutzerklärung müssen zusammenpassen. Wenn das Formular „Tipps zu Thema A“ verspricht, die Daten später aber zusätzlich für umfangreiche Profilbildung oder fremde Angebote verwendet werden, entsteht ein Transparenzproblem.
Newsletter-Dienstleister: AV-Vertrag und Subprozessoren prüfen
Wenn ein Newsletter-Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist Art. 28 DSGVO zentral. Der Vertrag sollte nicht erst gesucht werden, wenn eine Datenschutzanfrage eintrifft.
Beim AV-Vertrag prüfen
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- betroffene Datenarten
- Kategorien betroffener Personen
- Weisungsbindung
- technische und organisatorische Maßnahmen
- Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten
Nicht nur den Hauptanbieter anschauen
- Hosting
- Supportsysteme
- Analyse- und Monitoringdienste
- Versandinfrastruktur
- CRM- oder Shop-Integrationen
- KI-Funktionen
- externe Formulare
- weitere Subprozessoren
Ein Anbieter mit Sitz in Deutschland oder der EU bedeutet nicht automatisch, dass sämtliche beteiligten Subprozessoren ausschließlich innerhalb Deutschlands oder der EU verarbeiten. Prüfe die gesamte Verarbeitungskette.
Drittlandtransfer: Serverstandort allein reicht nicht als Prüfung
Kapitel V der DSGVO regelt Übermittlungen personenbezogener Daten in Drittländer. Für deine Toolprüfung ist deshalb relevant, welche Unternehmen und Standorte tatsächlich an der Verarbeitung beteiligt sind.
Verarbeitungskette erfassen
Hauptanbieter, Hosting, Support, Subprozessoren und Integrationen dokumentieren.
Land und Rechtsgrundlage prüfen
Nicht nur fragen, wo „die Server“ stehen, sondern wohin Daten tatsächlich übermittelt werden können.
Transfermechanismus prüfen
Je nach Land können Angemessenheitsbeschluss, geeignete Garantien oder andere Regeln relevant sein.
Marketingaussagen wie „EU-Server“ nicht überinterpretieren. Ein EU-Rechenzentrum kann positiv sein, beantwortet aber nicht automatisch, ob Support, Analyse oder Subprozessoren auf Daten aus Drittländern zugreifen können.
Öffnungs- und Klicktracking getrennt vom reinen Versand betrachten
Ein Newsletter kann technisch mehr tun, als nur eine Nachricht zuzustellen. Trackingpixel, Linktracking, Interessenprofile und Webtracking erweitern die Datenverarbeitung deutlich.
Typische Trackingfunktionen
- Öffnung einer E-Mail
- Klick auf einen Link
- Endgerät oder technische Metadaten
- Interessen aus Klickverhalten
- Website-Besuche nach dem Klick
- Scoring oder Segmentierung
- Käufe oder Conversion
Vor Aktivierung prüfen
- welche Daten tatsächlich erhoben werden
- welche Rechtsgrundlage verwendet wird
- ob eine zusätzliche Einwilligung erforderlich ist
- ob TDDDG-Regeln berührt werden
- ob Profilbildung stattfindet
- wie lange Trackingdaten gespeichert werden
- wie Widerspruch oder Widerruf umgesetzt wird
Tracking nicht automatisch aktiv lassen. Welche Einwilligung oder Rechtsgrundlage für ein konkretes Trackingverfahren erforderlich ist, hängt von der technischen Umsetzung ab. Besonders bei Zugriff auf Informationen einer Endeinrichtung können zusätzlich die Regeln des TDDDG relevant werden.
Newsletter-Abmeldung muss praktisch funktionieren – nicht nur im Text stehen
Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf einer Einwilligung so einfach wie ihre Erteilung sein muss. Für Newsletter ist ein funktionierender Abmeldelink deshalb zentral.
Nicht in kaum lesbarer Schrift verstecken.
Eine einfache Newsletter-Abmeldung sollte nicht an ein Kundenkonto gekoppelt werden.
Der Link muss im echten Versand korrekt funktionieren.
Abgemeldete Kontakte dürfen nicht versehentlich erneut beworben werden.
Ein Newsletter-Widerruf bedeutet nicht automatisch Löschung jedes Kundendatensatzes.
Eine Sperrinformation kann nötig sein, um erneuten unzulässigen Versand zu verhindern.
Widerruf und Löschung sind nicht dasselbe. Nach einer Newsletter-Abmeldung können andere Daten aus einem Kundenverhältnis aus anderen zulässigen Gründen weiter gespeichert werden. Gleichzeitig muss sichergestellt sein, dass der Kontakt nicht erneut in den Werbeverteiler gelangt.
Definiere, was nach Abmeldung, Widerruf oder Inaktivität passiert
„Wir speichern Newsletter-Daten für immer“ ist kein sinnvolles Datenschutzkonzept. Gleichzeitig kann vollständiges sofortiges Löschen problematisch sein, wenn dadurch ein früherer Widerspruch verloren geht.
Aktive Abonnenten
Solange der Versand zulässig ist, werden die für den Newsletter erforderlichen Daten verarbeitet.
Werbesperre
Nach Abmeldung muss technisch verhindert werden, dass der Kontakt wieder unbeabsichtigt beworben wird.
Inaktive Daten
Prüfe regelmäßig, ob alte Daten noch einen Zweck und eine tragfähige Rechtsgrundlage haben.
Ein Löschkonzept sollte unterscheiden zwischen Versanddaten, Einwilligungsnachweis, Werbesperre, Kundenstammdaten und gesetzlichen Aufbewahrungspflichten. Diese Datenkategorien können unterschiedliche Zwecke und Speicherdauern haben.
Alte Listen, Visitenkarten und gekaufte Adressen nicht ungeprüft importieren
Eine CSV-Datei lässt sich technisch schnell importieren. Rechtlich musst du aber für jeden Empfängerkreis erklären können, warum die Nutzung zulässig ist.
Alte Newsletter-Liste
Prüfe Herkunft, damaligen Einwilligungstext, Dokumentation und bisherigen Nutzungszweck.
Visitenkarten
Der Austausch einer Visitenkarte ist nicht automatisch gleichbedeutend mit einer Newsletter-Einwilligung.
Kundenliste
Prüfe Einwilligung oder die engen Voraussetzungen der Bestandskunden-Ausnahme.
Leadmagnet
Wenn der Download an Newsletter-Einwilligung gekoppelt wird, müssen Freiwilligkeit, Transparenz und konkrete Ausgestaltung geprüft werden.
Partnerdaten
Eine Einwilligung für Unternehmen A erlaubt nicht automatisch Werbung durch Unternehmen B.
Adresslisten kaufen
Gekaufte Adresslisten sind für seriöses Newsletter-Marketing rechtlich und qualitativ besonders riskant.
Newsletter-DSGVO-Checkliste: 18 Punkte
Ist klar dokumentiert, warum die Person Werbung erhalten darf?
Ist Absender, Zweck und Inhalt ausreichend konkret?
Einwilligung wird aktiv und freiwillig erteilt?
Wird die Adresse zusätzlich bestätigt?
Kann Einwilligung samt Text und Zeitpunkt nachvollzogen werden?
Newsletter-Verarbeitung konkret beschrieben?
Identität und Kontaktdaten transparent?
Passt sie zur tatsächlichen Verarbeitung?
Auftragsverarbeitung mit dem Anbieter geregelt?
Wichtige Unterauftragnehmer geprüft?
Datenflüsse außerhalb EU/EWR bewertet?
Öffnungs-, Klick- und Webtracking separat geprüft?
Werden nur wirklich benötigte Formularfelder erhoben?
Einfach, sichtbar und technisch funktionsfähig?
Abgemeldete Kontakte bleiben zuverlässig vom Versand ausgeschlossen?
Speicherdauern nach Datenkategorie definiert?
Alte und externe Listen werden vor Nutzung rechtlich geprüft?
Änderungen bei Anbieter, Tracking und Integrationen werden nachgezogen?
Was ein Newsletter-Tool für datenschutzbewusste Unternehmen erleichtern sollte
Das Tool entscheidet nicht allein, ob dein Newsletter rechtskonform ist. Gute Funktionen können dir aber helfen, Prozesse sauberer umzusetzen und zu dokumentieren.
AV-Vertrag leicht zugänglich
Idealerweise direkt im Account digital abschließbar und dokumentierbar.
Double-Opt-in integriert
Anmeldung, Bestätigung und Nachweisdaten sollten technisch sauber zusammenpassen.
Einwilligungsdaten dokumentieren
Zeitpunkt, Quelle, Formular und Status sollten nachvollziehbar sein.
Tracking steuerbar
Öffnungs- und Klicktracking sollte transparent konfigurierbar sein.
Export und Löschung
Betroffenenanfragen sollten nicht durch technische Hürden erschwert werden.
Subprozessoren und Datenstandorte
Anbieter sollte nachvollziehbar erklären, welche Unternehmen und Standorte beteiligt sind.
Prüfe deinen gesamten Newsletter-Prozess – nicht nur das Anmeldeformular
Gehe Anmeldung, Double-Opt-in, Datenschutzhinweise, Dienstleister, Tracking, Abmeldung und Löschung einmal vollständig durch. Ein sauberer Prozess entsteht nicht durch einen einzigen Checkbox-Text, sondern durch das Zusammenspiel aller Schritte.
FAQ zu Newsletter und DSGVO
Ist ein Newsletter ohne Einwilligung erlaubt?
Für Werbung per elektronischer Post verlangt § 7 Abs. 2 Nr. 2 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Eine eng begrenzte Ausnahme kann für bestimmte Bestandskundenfälle nach § 7 Abs. 3 UWG gelten, wenn alle Voraussetzungen erfüllt sind.
Ist Double-Opt-in nach DSGVO Pflicht?
Die DSGVO nennt Double-Opt-in nicht ausdrücklich als vorgeschriebenes technisches Verfahren. Sie verlangt jedoch, dass eine auf Einwilligung beruhende Verarbeitung nachweisbar ist. Double-Opt-in ist deshalb in der Praxis ein wichtiges Bestätigungs- und Nachweisverfahren.
Was muss bei einer Newsletter-Einwilligung stehen?
Die Person sollte klar erkennen können, wer den Newsletter sendet, für welche Inhalte beziehungsweise Zwecke die Adresse verwendet wird und dass die Einwilligung mit Wirkung für die Zukunft widerrufen werden kann. Die konkrete Formulierung muss zum tatsächlichen Versand passen.
Darf ich Newsletter an bestehende Kunden senden?
Unter bestimmten Voraussetzungen kann § 7 Abs. 3 UWG Direktwerbung per E-Mail an Bestandskunden ohne neue Einwilligung ermöglichen. Dafür müssen sämtliche gesetzlichen Voraussetzungen erfüllt sein, darunter eigene ähnliche Angebote, kein Widerspruch und klare Hinweise auf die Widerspruchsmöglichkeit.
Brauche ich mit meinem Newsletter-Anbieter einen AV-Vertrag?
Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist Art. 28 DSGVO relevant. Dann ist die Auftragsverarbeitung durch einen Vertrag oder anderen entsprechenden Rechtsakt zu regeln.
Sind EU-Server automatisch DSGVO-konform?
Nein. Der Serverstandort ist nur ein Teil der Prüfung. Zusätzlich sind unter anderem Subprozessoren, Supportzugriffe, weitere Datenflüsse, Rechtsgrundlage und technische Maßnahmen relevant.
Darf ich Öffnungen und Klicks im Newsletter tracken?
Tracking erweitert die Datenverarbeitung und sollte separat rechtlich bewertet werden. Abhängig von der technischen Umsetzung können neben der DSGVO auch Regelungen des TDDDG relevant sein. Prüfe deshalb Zweck, Rechtsgrundlage, Transparenz und gegebenenfalls Einwilligung.
Muss jeder Newsletter einen Abmeldelink enthalten?
Bei einem auf Einwilligung gestützten Newsletter muss der Widerruf praktisch möglich sein. Ein sichtbarer und funktionierender Abmeldelink ist dafür der übliche und sinnvolle Weg. Auch bei Bestandskundenwerbung verlangt § 7 Abs. 3 UWG klare Hinweise auf die Widerspruchsmöglichkeit.
Darf ich gekaufte E-Mail-Adressen für Newsletter verwenden?
Gekaufte Listen sind rechtlich und qualitativ besonders riskant. Du müsstest für die konkrete Werbung eine tragfähige Versand- und Verarbeitungsgrundlage nachweisen können. Für seriösen Listenaufbau sind eigene, transparent gewonnene Kontakte deutlich sinnvoller.
Muss ich nach einer Abmeldung alle Daten sofort löschen?
Nicht zwingend jeden Datensatz. Newsletter-Versand, Werbesperre, Einwilligungsnachweis, Kundenstammdaten und gesetzliche Aufbewahrungspflichten können unterschiedlichen Zwecken und Regeln unterliegen. Wichtig ist, dass nach dem Widerruf kein unzulässiger weiterer Werbeversand erfolgt.