Newsletter-Tool & DSGVO: 8 Anbieter für den DACH-Raum eingeordnet
Bei Newsletter-Software reicht es nicht, nur auf Funktionen, Preise oder den Serverstandort zu schauen. Für ein sauberes Datenschutz-Setup spielen mehrere Ebenen zusammen: Auftragsverarbeitung, Datenstandort, Subprozessoren, Drittlandtransfers, Einwilligungen, Double-Opt-in, Tracking und Löschprozesse.
Auf dieser Seite ordnen wir unsere acht Kernanbieter anhand ihrer dokumentierten Datenschutz-Strukturen ein. Wichtig: Ein Newsletter-Tool kann dir viele technische Voraussetzungen liefern – die rechtlich korrekte Nutzung bleibt trotzdem Aufgabe des verantwortlichen Unternehmens.
Was macht ein Newsletter-Tool datenschutzfreundlich?
Für die Auswahl eines Newsletter-Tools sind mehrere Kriterien wichtig. Keines davon sollte isoliert betrachtet werden.
AV-Vertrag / DPA
Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du in typischen SaaS-Konstellationen eine passende Vereinbarung zur Auftragsverarbeitung.
Datenstandort
Wo Kontaktdaten primär gespeichert werden, ist relevant – aber nicht die einzige Frage. Auch Backups, Support-Systeme und weitere Dienste können Daten verarbeiten.
Drittlandtransfers
Datenübermittlungen außerhalb EU/EWR sind nicht automatisch verboten, erfordern aber eine tragfähige Rechtsgrundlage und gegebenenfalls zusätzliche Schutzmechanismen.
Einwilligungsnachweis
Das System sollte Anmeldungen, Einwilligungstexte und Bestätigungen so dokumentieren können, dass du im Streitfall nachvollziehen kannst, wie ein Kontakt in die Liste gelangt ist.
Tracking-Kontrolle
Öffnungs- und Klicktracking können personenbezogene Nutzungsprofile erzeugen. Prüfe, ob Tracking deaktiviert, reduziert oder sauber über Einwilligungen gesteuert werden kann.
Löschen & Abmelden
Abmeldungen, Löschanfragen und Sperrlisten sollten nachvollziehbar verwaltet werden können, ohne versehentlich erneut Marketing an abgemeldete Kontakte zu senden.
Wichtige rechtliche Einordnung
Die DSGVO allein schreibt nicht pauschal vor, dass jede Newsletter-Anmeldung zwingend per Double-Opt-in erfolgen muss. In der Praxis ist Double-Opt-in im DACH-Raum jedoch ein sehr wichtiger Weg, um eine Einwilligung und die Kontrolle der verwendeten E-Mail-Adresse besser dokumentieren zu können.
Ob und auf welcher Rechtsgrundlage du einen bestimmten Newsletter, Tracking oder eine konkrete Kampagne versenden darfst, hängt vom Einzelfall ab. Diese Seite ist eine redaktionelle Orientierung und keine Rechtsberatung.
Newsletter-Tools und ihre Datenschutz-Strukturen im Überblick
Die Tabelle bewertet nicht „rechtssicher“ oder „nicht rechtssicher“. Sie zeigt die dokumentierten Rahmenbedingungen, die für deine eigene Prüfung besonders relevant sind.
| Anbieter | Vertragspartner / Fokus | AVV / DPA | Dokumentierter Daten-/Serverstandort | Double-Opt-in | Wichtiger Prüfpunkt |
|---|---|---|---|---|---|
| CleverReach | Deutschland | digital im Account abschließbar | Daten laut Anbieter auf Servern in Deutschland und EU | bei Anmeldeformularen als Standard vorgesehen | Anbieter positioniert Speicherung ohne unsicheres Drittland; konkrete Integrationen trotzdem separat prüfen |
| rapidmail | Deutschland | digital im Kundenkonto | Newsletter-System laut Anbieter ausschließlich auf Servern in Deutschland | automatisches DOI verfügbar | deutscher Serverstandort vereinfacht viele Prüfungen, ersetzt aber nicht die eigene Einwilligungs- und Trackingprüfung |
| Brevo | EU-Fokus | DPA Bestandteil der Vertragsunterlagen | Datenbanken laut Anbieter in EU: Frankreich, Deutschland und Belgien | in Brevo-Formularen aktivierbar | EU-Datenbankhosting ist positiv; verwendete Zusatzdienste und Subprozessoren trotzdem separat prüfen |
| MailerLite | EU-Vertragspartner | DPA verfügbar | neue Plattform: Niederlande; Classic: Deutschland | verfügbar | DPA nennt Google Cloud EMEA und Vercom als Subprozessoren; Subprozessorenliste mitprüfen |
| GetResponse | Polen / EU | DPA Bestandteil des Vertrags | MAX EU: Polen; bei SMB-Konten Backups laut Anbieter auch USA/Kanada | verfügbar und vom Anbieter empfohlen | Datenresidenz hängt stärker vom Kontotyp und genutzten Funktionen ab |
| ActiveCampaign | International | DPA im Account ausführbar | Datenzentren in USA, EU und Australien; Kontakt-Datenhosting regional möglich | über Formulare/Automationen abbildbar | SCCs, Data Privacy Framework und regionale Datenhaltung mit konkretem Account prüfen |
| KlickTipp | EU-Verarbeitung | AVV laut Anbieter Bestandteil des Datenschutz-Setups | Mailserver in Deutschland; Anbieter wirbt mit Auftragsverarbeitung in der EU | integrierte Datenschutz-Workflows | Anbieter macht starke Compliance-Aussagen; eigenes Setup und angebundene Dienste dennoch separat prüfen |
| Quentn | Deutschland | im Kundenkonto verfügbar | E-Mail-Server in Deutschland; Verarbeitung grundsätzlich EU/EWR | bei Quentn verpflichtend | Datenschutzerklärung erlaubt zulässige Drittlandtransfers unter DSGVO-Schutzmechanismen |
Serverstandort ist nicht gleich vollständiger Datenfluss: Ein Anbieter kann Kontaktdaten in Deutschland oder der EU hosten und trotzdem für Support, Analyse, Kommunikation, KI-Funktionen oder andere Dienste zusätzliche Subprozessoren einsetzen. Entscheidend ist deshalb immer die Kombination aus DPA, Subprozessorenliste und deinem konkreten Funktionsumfang.
Welche Datenschutz-Struktur bringen die 8 Tools mit?
CleverReach
Deutschland / EUCleverReach ist ein deutscher Anbieter und dokumentiert Datenhaltung auf Servern in Deutschland und der EU. Ein AV-Vertrag lässt sich digital im Account abschließen.
- AV-Vertrag direkt im Account
- Serverstandorte Deutschland und EU laut Anbieter
- Double-Opt-in bei Anmeldeformularen
- automatisches Abmeldemanagement
- ISO-zertifizierte Rechenzentren laut Anbieter
- anonymisierbare Tracking-Optionen dokumentiert
rapidmail
Deutschlandrapidmail dokumentiert für sein Newsletter-System einen ausschließlich deutschen Serverstandort und bietet einen elektronischen AV-Vertrag im Kundenkonto.
- Server ausschließlich in Deutschland laut Anbieter
- ISO-27001-zertifiziertes Rechenzentrum laut rapidmail
- AV-Vertrag elektronisch abschließbar
- automatisches Double-Opt-in
- Abmeldelink in Newslettern
- DSGVO-orientierte Löschfunktionen
Brevo
EU-DatenbankenBrevo dokumentiert seine Datenbanken innerhalb der EU. Als primäre Hosting-Standorte nennt der Anbieter Frankreich und Deutschland bei OVH sowie Belgien in der Google Cloud.
- DPA in den Vertragsunterlagen
- Datenbankhosting innerhalb der EU
- Frankreich und Deutschland als primäre OVH-Standorte
- Google-Cloud-Speicherung in Belgien
- DSGVO-Felder in Formularen
- Double-Opt-in in Brevo-Formularen aktivierbar
MailerLite
EU-HostingMailerLite dokumentiert für die neue Plattform ein Rechenzentrum in den Niederlanden. Die klassische Legacy-Plattform liegt laut DPA in Deutschland.
- DPA verfügbar und Bestandteil des Datenschutz-Setups
- neue MailerLite-Plattform: Niederlande
- Legacy / Classic: Deutschland
- Google Cloud EMEA als Hosting-Subprozessor
- Vercom S.A. in Polen als weiterer Subprozessor
- Subprozessorenliste im DPA dokumentiert
GetResponse
Polen / EUGetResponse S.A. hat seinen Sitz in Polen und stellt ein DPA für die Datenverarbeitung bereit. Die Datenresidenz unterscheidet sich jedoch nach Kontotyp und teilweise nach verwendeter Funktion.
- EU-Vertragspartner GetResponse S.A.
- DPA Bestandteil des Vertrags
- MAX-EU-Konfiguration: Verarbeitung in Polen
- SMB-Konten: Backups laut Anbieter auch USA und Kanada
- Webinar-Daten in Frankreich, Deutschland und Polen dokumentiert
- Double-Opt-in verfügbar und empfohlen
ActiveCampaign
InternationalActiveCampaign ist ein US-Anbieter mit regionalen Datenhosting-Standorten in den USA, der EU und Australien. Ein DPA lässt sich im Account rechtsverbindlich ausführen.
- DPA im Account ausführbar
- Datenzentren in USA, EU und Australien
- Kontakt-Datenhosting regional möglich
- Standardvertragsklauseln dokumentiert
- EU-US Data Privacy Framework als weiterer Transfermechanismus
- konkrete Hosting-Region des Accounts kann beim Anbieter erfragt werden
KlickTipp
EU / deutsche MailserverKlickTipp positioniert seine Marketing-Suite stark über Datenschutzfunktionen für den DACH-Markt und garantiert für den Mailversand Server in Deutschland.
- Mailserver-Standort Deutschland
- Auftragsverarbeitung laut Anbieter in der EU
- AVV Bestandteil des Datenschutz-Setups
- Datenschutz-Textbausteine
- automatisierte Datenschutz-Workflows
- deutschsprachiger Support
Quentn
DeutschlandQuentn.com GmbH sitzt in Potsdam und dokumentiert E-Mail-Server in einem Datacenter innerhalb Deutschlands. Der AV-Vertrag steht nach Login im Kundenkonto bereit.
- deutsches Unternehmen
- E-Mail-Server in Deutschland
- AV-Vertrag im Kundenkonto
- Double-Opt-in bei Quentn Pflicht
- Datenschutz-Zustimmungen über Formularfelder dokumentierbar
- Drittlandtransfers laut Datenschutzerklärung unter DSGVO-Voraussetzungen möglich
Warum Double-Opt-in für Newsletter so wichtig ist
Beim Double-Opt-in bestätigt eine Person ihre Anmeldung nach dem Ausfüllen des Formulars nochmals über einen Link per E-Mail. Dadurch entsteht ein zusätzlicher Nachweis, dass die angegebene Adresse tatsächlich kontrolliert wird und die Anmeldung bestätigt wurde.
Die Person trägt ihre E-Mail-Adresse ein und erklärt die gewünschte Einwilligung.
Das Newsletter-System verschickt automatisch eine Nachricht mit Bestätigungslink.
Erst nach dem Klick wird die Anmeldung als bestätigt dokumentiert.
Zeitpunkt und weitere Nachweisdaten können im System dokumentiert werden.
Wichtig: Double-Opt-in macht einen Newsletter nicht automatisch rechtmäßig. Entscheidend bleiben unter anderem der konkrete Einwilligungstext, die Information der betroffenen Person, der tatsächliche Verwendungszweck und deine Dokumentation.
Tracking ist ein eigener Datenschutz-Prüfpunkt
Viele Newsletter-Tools erfassen, ob eine E-Mail geöffnet und welcher Link angeklickt wurde. Diese Daten können für Statistiken, Segmentierung oder personalisierte Automationen genutzt werden. Genau deshalb sollte Tracking separat bewertet werden.
Was du technisch prüfen solltest
- Kann Öffnungstracking deaktiviert werden?
- Kann Klicktracking deaktiviert oder reduziert werden?
- Ist anonymisiertes beziehungsweise eingeschränktes Tracking möglich?
- Welche Daten landen im Kontaktprofil?
- Werden Daten für Automationen oder Scoring weiterverwendet?
Was du organisatorisch prüfen solltest
- Ist Tracking in deiner Datenschutzerklärung beschrieben?
- Welche Rechtsgrundlage verwendest du?
- Ist gegebenenfalls eine Einwilligung erforderlich?
- Wie funktioniert ein Widerruf?
- Werden Trackingdaten nach Löschung eines Kontakts entfernt?
Praxis-Tipp: Wenn du Öffnungs- und Klickdaten gar nicht für Segmentierung, Scoring oder Automation brauchst, kann ein datensparsameres Tracking-Setup die Komplexität reduzieren.
EU-Server, EU-Anbieter und „keine Drittlandübermittlung“ sind drei verschiedene Dinge
Diese Begriffe werden im Marketing häufig vermischt. Für deine Prüfung solltest du sie voneinander trennen.
Wo liegen die Kern-Daten?
Zum Beispiel Newsletter-Kontakte in Deutschland, Frankreich, Belgien oder den Niederlanden. Das ist die Datenresidenz des jeweiligen Kernsystems.
Wer verarbeitet zusätzlich?
Hosting, Support, Analytics, Zahlungsdienste, KI-Funktionen und weitere Subprozessoren können zusätzliche Daten erhalten.
Gehen Daten in Drittländer?
Dann ist zu prüfen, auf welchem Übermittlungsmechanismus die Verarbeitung beruht – beispielsweise Angemessenheitsbeschluss oder Standardvertragsklauseln.
Beispiel: ActiveCampaign kann Kontaktdaten in der EU hosten und gleichzeitig ein global operierender Anbieter bleiben. GetResponse ist ein polnisches EU-Unternehmen, dokumentiert für bestimmte Kontotypen aber Backup-Verarbeitung in USA und Kanada. Entscheidend ist der konkrete Datenfluss, nicht nur der Firmensitz.
DSGVO-Checkliste für dein Newsletter-Tool
Mit dieser Checkliste kannst du die wichtigsten Punkte vor dem produktiven Versand systematisch durchgehen.
AVV abschließen
Prüfe, ob ein aktueller Vertrag zur Auftragsverarbeitung beziehungsweise ein DPA verfügbar und für deinen Account wirksam ist.
Subprozessoren lesen
Nicht nur den Hauptanbieter betrachten, sondern auch Hosting, Support, Kommunikations- und weitere Dienstleister.
Anmeldeformular prüfen
Einwilligungstext, Datenschutzhinweis, Pflichtfelder und Zweck der Anmeldung müssen zusammenpassen.
DOI dokumentieren
Sorge dafür, dass Anmeldung und Bestätigung für jeden Kontakt nachvollziehbar dokumentiert werden.
Tracking entscheiden
Aktiviere nicht automatisch jedes Tracking-Feature, sondern entscheide bewusst, was du wirklich brauchst.
Datenschutzerklärung ergänzen
Beschreibe den eingesetzten Dienst, Zwecke, Rechtsgrundlagen und relevante Datenflüsse passend zu deinem tatsächlichen Setup.
Abmeldung testen
Prüfe selbst, ob der Abmeldelink funktioniert und Kontakte danach zuverlässig vom Marketingversand ausgeschlossen sind.
Löschprozess definieren
Lege fest, wie du Auskunfts-, Berichtigungs- und Löschanfragen praktisch bearbeitest.
Integrationen mitprüfen
WordPress-Formulare, Shops, CRM, Zapier, Make und andere Systeme können eigene Datenflüsse erzeugen.
Welches Newsletter-Tool solltest du bei hohem Datenschutz-Fokus genauer prüfen?
Es gibt keinen pauschalen DSGVO-Gewinner. Die sinnvollere Auswahl hängt davon ab, welche Datenschutz-Anforderung für dein Unternehmen am wichtigsten ist.
Möglichst klarer deutscher Infrastrukturbezug
- CleverReach: deutscher Anbieter, Server Deutschland/EU
- rapidmail: Newsletter-System laut Anbieter ausschließlich Deutschland
- Quentn: deutscher Anbieter, E-Mail-Server Deutschland
- KlickTipp: Mailserver Deutschland, EU-Verarbeitung laut Anbieter
EU-Hosting mit breiterem internationalen Produktansatz
- Brevo: Datenbanken in Frankreich, Deutschland und Belgien
- MailerLite: neue Plattform in den Niederlanden
- GetResponse: EU-Unternehmen, Datenresidenz je Kontotyp prüfen
- ActiveCampaign: EU-Datenhosting verfügbar, globale Infrastruktur mitprüfen
Die wichtigste Entscheidung ist nicht „EU oder USA?“ allein. Ein deutscher Anbieter mit mehreren Integrationen kann mehr externe Datenflüsse erzeugen als ein internationaler Anbieter, den du sehr reduziert nutzt. Bewerte deshalb immer deinen tatsächlichen technischen Stack.
Vergleiche Datenschutz und Funktionen gemeinsam
Datenschutz ist ein wichtiges Auswahlkriterium, aber dein Tool muss zugleich zu Kontaktzahl, Versand, Automation, Support und Budget passen. Nutze deshalb die Anbieterprofile für die zweite Prüfungsebene.
FAQ zu Newsletter-Tools und DSGVO
Welches Newsletter-Tool ist DSGVO-konform?
Eine pauschale Aussage ist problematisch, weil DSGVO-Konformität nicht nur vom Tool, sondern von deinem konkreten Einsatz abhängt. Wichtig sind unter anderem AV-Vertrag, Datenflüsse, Einwilligungen, Tracking, Subprozessoren und Löschprozesse.
Welche Newsletter-Tools haben Server in Deutschland?
CleverReach dokumentiert Server in Deutschland und der EU. rapidmail gibt an, sein Newsletter-System ausschließlich auf Servern in Deutschland zu betreiben. KlickTipp versendet laut Anbieter über Mailserver in Deutschland. Quentn dokumentiert E-Mail-Server in einem deutschen Datacenter.
Reicht ein Serverstandort in Deutschland für die DSGVO?
Nein. Der Serverstandort ist nur ein Teil der Prüfung. Relevant sind außerdem Auftragsverarbeitung, Einwilligungen, Tracking, Subprozessoren, Integrationen, Löschprozesse und mögliche Drittlandtransfers.
Brauche ich für mein Newsletter-Tool einen AV-Vertrag?
Wenn ein externer Newsletter-Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, ist in typischen SaaS-Konstellationen ein Vertrag zur Auftragsverarbeitung ein zentraler Bestandteil des Datenschutz-Setups.
Ist Double-Opt-in durch die DSGVO vorgeschrieben?
Die DSGVO schreibt Double-Opt-in nicht pauschal als einziges zulässiges Anmeldeverfahren vor. Double-Opt-in ist jedoch ein wichtiger Weg, eine Anmeldung und die Kontrolle der verwendeten E-Mail-Adresse nachvollziehbar zu dokumentieren.
Ist Brevo für DSGVO-orientiertes E-Mail-Marketing geeignet?
Brevo dokumentiert seine Datenbanken innerhalb der EU und bietet ein DPA sowie DSGVO- und Double-Opt-in-Funktionen. Wie bei jedem Anbieter solltest du zusätzlich die konkret verwendeten Module und Subprozessoren prüfen.
Wo speichert MailerLite die Daten?
Laut aktuellem DPA liegt das Rechenzentrum der neuen MailerLite-Plattform in den Niederlanden. Die Legacy- beziehungsweise Classic-Plattform wird in Deutschland gehostet.
Wo speichert ActiveCampaign Kontaktdaten?
ActiveCampaign betreibt Datenzentren in den USA, der Europäischen Union und Australien. Der konkrete Standort für Kontaktdaten eines Accounts kann beim Anbieter erfragt werden.
Wo verarbeitet GetResponse Daten?
GetResponse ist ein polnischer EU-Anbieter. Die Datenresidenz hängt vom Kontotyp ab: Für MAX EU nennt der Anbieter Polen; bei regulären SMB-Konten werden Backups laut Anbieter auch in den USA und Kanada verarbeitet.
Muss ich Newsletter-Tracking in der Datenschutzerklärung nennen?
Wenn du Öffnungs-, Klick- oder andere personenbezogene Trackingdaten verarbeitest, sollte dein Datenschutz-Setup die tatsächliche Verarbeitung transparent abbilden. Welche Rechtsgrundlage im Einzelfall erforderlich ist, solltest du rechtlich prüfen lassen.