Double-Opt-in für Newsletter einrichten

Was Double-Opt-in rechtlich leistet – und was nicht

Beim Double-Opt-in (DOI) erhält jeder, der sich anmeldet, zuerst eine E-Mail mit einem Bestätigungslink. Erst der Klick darauf macht ihn zum Empfänger. Der Zweck ist kein technischer, sondern ein beweisrechtlicher: Werbung per E-Mail setzt nach § 7 Abs. 2 Nr. 2 UWG eine vorherige ausdrückliche Einwilligung voraus, und nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass sie vorliegt. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt dasselbe noch einmal allgemein. Der bestätigte Klick aus dem Postfach des Adressinhabers ist der praktikabelste Nachweis, den es gibt.

Genauso wichtig ist, was das Verfahren nicht leistet: Es heilt keinen fehlerhaften Einwilligungstext. Wer am Formular nicht sagt, wofür die Adresse verwendet wird, hat auch nach zehn Bestätigungsklicks keine wirksame Einwilligung – er hat nur den Beweis, dass jemand auf einen Link geklickt hat. Die Substanz entsteht am Formular, der Nachweis in der Bestätigungsmail.

Der Ablauf in fünf Stationen

1. Formular abgeschickt. Das Tool legt den Kontakt mit dem Status „ausstehend“ an. Er darf zu diesem Zeitpunkt keine Kampagne erhalten.
2. Bestätigungsmail geht raus. Sie enthält genau einen Handlungsaufruf: den Bestätigungslink.
3. Hinweisseite nach dem Absenden. „Bitte sieh in dein Postfach – wir haben dir eine E-Mail zur Bestätigung geschickt. Falls sie nicht ankommt, prüfe bitte den Spam-Ordner.“ Ohne diesen Hinweis geht ein Teil der Anmeldungen schlicht verloren, weil niemand auf eine Mail wartet.
4. Klick auf den Bestätigungslink. Status wechselt auf „aktiv“, Zeitpunkt und IP-Adresse werden protokolliert.
5. Zielseite und Willkommensmail. Erst jetzt darf inhaltlich gesendet werden – hier gehört der versprochene Lead-Magnet hin, nicht in die Bestätigungsmail.

Der Einwilligungstext am Formular

Die DSGVO stellt an die Einwilligung selbst mehrere Anforderungen, die sich direkt in Formularvorgaben übersetzen lassen:

• Verständlich und abgegrenzt (Art. 7 Abs. 2 DSGVO): Die Einwilligung darf nicht in AGB oder Datenschutzerklärung versteckt werden. Sie steht als eigener Satz am Formular.
• Aktive Handlung: keine vorangekreuzten Kästchen, kein „mit dem Absenden stimmst du automatisch zu“, wenn die Anmeldung nicht selbst der Zweck des Formulars ist.
• Zweck benennen: Was wird versendet, wie oft, von wem. „Newsletter“ allein ist zu unbestimmt, wenn auch Angebote und Produktneuheiten mitgeschickt werden sollen.
• Widerrufshinweis vor der Abgabe (Art. 7 Abs. 3 Satz 3 DSGVO): Der Hinweis, dass die Einwilligung jederzeit widerrufen werden kann, muss vor dem Klick stehen, nicht erst in der ersten Mail.
• Freiwilligkeit (Art. 7 Abs. 4 DSGVO): Bei der Beurteilung ist zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die dafür nicht erforderlich ist. Praktisch heißt das: Wer ein Whitepaper anbietet, sollte den Newsletter als getrennte, abwählbare Option führen.
• Tracking mit ansprechen: Wenn Öffnungen und Klicks personenbezogen ausgewertet werden, gehört das in denselben Satz.

Die Bestätigungsmail

Sie ist die einzige E-Mail, die vor der Einwilligung verschickt werden darf – und genau deshalb darf sie nichts anderes tun als bestätigen. Kein Rabattcode, keine Produktempfehlung, kein Hinweis auf das laufende Angebot. Solange die Einwilligung nicht vorliegt, wäre jeder werbliche Inhalt selbst unerlaubte Werbung.

Schritt für Schritt im Tool

1. Double-Opt-in im Listen- oder Formularbereich aktivieren. Bei Anbietern mit deutschem Firmensitz ist es meist voreingestellt; internationale Tools bieten oft beides an. Deaktiviere es nicht, auch nicht „nur für diesen einen Import“.
2. Anmeldeformular anlegen und die Felder auf das Nötige beschränken. Jedes zusätzliche Pflichtfeld kostet Anmeldungen; der Vorname ist meist die einzige sinnvolle Ergänzung zur Adresse.
3. Einwilligungstext einsetzen – als Text neben der Checkbox oder direkt über dem Absende-Button, nicht als Link auf eine andere Seite.
4. Bestätigungsmail anpassen. Absendername und Absenderadresse müssen zu dem passen, was der Nutzer erwartet: Wer sich bei „Musterfirma“ anmeldet, darf keine Mail von „noreply@tool-anbieter.com“ bekommen.
5. Zielseiten festlegen: eine Hinweisseite nach dem Absenden, eine Bestätigungsseite nach dem Klick, optional eine Fehlerseite für abgelaufene Links.
6. Gültigkeitsdauer des Bestätigungslinks setzen. Sieben bis vierzehn Tage sind ein sinnvoller Rahmen. Danach sollte der Link ins Leere laufen – und der unbestätigte Datensatz gelöscht werden, denn für eine dauerhafte Speicherung ohne Einwilligung fehlt der Grund.
7. Ende zu Ende testen, und zwar mit einer Adresse bei einem Freemail-Anbieter, nicht mit der eigenen Firmenadresse. Prüfen: Kommt die Mail an? Im Posteingang oder im Spam? Funktioniert der Link? Steht der Zeitstempel danach im Kontaktdatensatz?

Das Nachweisprotokoll: was gespeichert sein muss

Im Streitfall entscheidet, was du vorlegen kannst. Diese Felder sollte jeder Kontaktdatensatz enthalten – sie stehen bei den meisten Tools im Kontaktprofil unter „Anmeldeverlauf“, „Opt-in-Daten“ oder „Historie“:

• Zeitstempel der Anmeldung und IP-Adresse, von der sie abgeschickt wurde
• Quelle: welches Formular, welche Seite
• Wortlaut des Einwilligungstextes zum Zeitpunkt der Anmeldung – das ist das Feld, das am häufigsten fehlt. Wer den Text später ändert, kann sonst nicht mehr belegen, wozu der Kontakt eingewilligt hat.
• Zeitstempel der Bestätigung und IP-Adresse des Klicks
• Zeitstempel einer späteren Abmeldung

Prüfe außerdem, ob sich diese Daten exportieren lassen. Ein Nachweis, den du nur in der Oberfläche eines Anbieters ansehen kannst, ist beim Anbieterwechsel verloren. Wie lange die Unterlagen aufzubewahren sind, sagt kein Gesetz ausdrücklich; der praktische Maßstab ist die Dauer des Versands zuzüglich des Zeitraums möglicher Ansprüche – die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre.

Sonderfälle, die regelmäßig übersehen werden

• Lead-Magnet und Newsletter sind zwei Zwecke. Wer eine Checkliste herunterlädt, hat nicht automatisch in den Newsletter eingewilligt. Zwei getrennte Kästchen oder eine klare Formulierung, dass der Download an das Abonnement gekoppelt ist – Letzteres im Licht von Art. 7 Abs. 4 DSGVO sorgfältig prüfen.
• Messe- und Papierlisten. Handschriftlich gesammelte Adressen brauchen denselben Nachweis. Sauber ist der Weg über eine nachgelagerte Bestätigungsmail; der unterschriebene Zettel sollte zusätzlich aufbewahrt werden.
• Bestandskunden. § 7 Abs. 3 UWG erlaubt Werbung für eigene ähnliche Waren an Kunden auch ohne Einwilligung – aber nur, wenn alle vier dort genannten Voraussetzungen erfüllt sind, unter anderem der Hinweis auf das Widerspruchsrecht bei Erhebung und bei jeder Verwendung. Diese Empfänger gehören in eine getrennte Liste, weil für sie andere Regeln gelten als für Einwilligungs-Abonnenten.
• Import einer alten Liste. Ein Import macht aus fehlenden Einwilligungen keine vorhandenen. Wo der Nachweis fehlt, hilft nur eine erneute Anmeldung – und die darf nicht per Werbemail an genau diese Adressen erbeten werden.

Fünf Fehler, die den Nachweis wertlos machen

• DOI für einen Import „einmalig“ abschalten. Genau die Adressen, bei denen es darauf ankäme, sind dann ungeprüft im Verteiler.
• Bestätigungsmail mit Werbung anreichern. Aus dem Nachweisinstrument wird damit selbst ein Verstoß.
• Erinnerungsmail an Unbestätigte. Eine zweite Mail an jemanden, der nicht bestätigt hat, ist rechtlich heikel – es liegt ja gerade keine Einwilligung vor.
• Unbestätigte Kontakte dauerhaft speichern. Ohne Einwilligung fehlt die Grundlage für die weitere Aufbewahrung; setze eine Löschfrist und lass sie automatisch laufen.
• Einwilligungstext ändern, ohne die Version zu protokollieren. Damit lässt sich für Altkontakte nicht mehr belegen, worauf sich ihre Zustimmung bezog.

Wie die acht getesteten Tools damit umgehen

Double-Opt-in beherrschen alle acht Tools in unserem Test. Der Unterschied liegt in der Voreinstellung und im Serverstandort – Anmeldedaten samt IP-Adresse sind personenbezogene Daten, ihre Verarbeitung unterliegt denselben Regeln wie der Versand selbst. Die Werte stammen aus unserer offenen Tool-Datenbank:

Mailerlite, Omnisend und ActiveCampaign rechnen in US-Dollar ab; die Beträge sind Original-Angaben der Anbieter. Für jeden Anbieter gilt: Für die Verarbeitung im Auftrag braucht es einen Vertrag nach Art. 28 DSGVO, den alle acht bereitstellen – er muss aber abgeschlossen und abgelegt werden, sonst fehlt er im Ernstfall.

Das Double-Opt-in ist der Anfang einer Kette, an deren Ende der jederzeit erreichbare Abmeldelink in jeder E-Mail steht – beides gehört zusammen und wird gemeinsam geprüft. Die vollständige rechtliche Einordnung inklusive Auftragsverarbeitung und Informationspflichten steht in unserem Leitfaden DSGVO-konformer Newsletter, und den kompletten Ablauf vom Tool-Setup bis zum ersten Versand beschreibt unsere Anleitung zum Newsletter erstellen.

Häufige Fragen