DSGVO-konformen Newsletter rechtssicher versenden

Newsletter-Versand berührt zwei getrennte Regelwerke: die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen, das UWG regelt, ob du überhaupt werben darfst. Beide müssen erfüllt sein – eine wirksame DSGVO-Einwilligung nützt nichts, wenn § 7 UWG verletzt ist, und umgekehrt. Diese Seite geht beide Ebenen der Reihe nach durch, mit den einschlägigen Fundstellen.

1. Die Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Beim Newsletter ist das in aller Regel die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Was sie erfüllen muss, steht in Art. 4 Nr. 11 DSGVO: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben – durch eine eindeutige bestätigende Handlung.

Daraus folgen vier konkrete Anforderungen an das Anmeldeformular:

• Nicht vorangekreuzt. Eine bereits gesetzte Checkbox ist keine bestätigende Handlung. Der Europäische Gerichtshof hat das für Cookies in der Entscheidung „Planet49" (C-673/17) festgestellt; die Begründung stützt sich auf den Einwilligungsbegriff der DSGVO und gilt hier gleichermaßen.
• Nicht gekoppelt. Nach Art. 7 Abs. 4 DSGVO ist zu berücksichtigen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für die Erfüllung nicht erforderlich ist. Die Newsletter-Anmeldung darf also nicht Bedingung für die Bestellung sein.
• Bestimmt. Wofür genau wird eingewilligt? Ein Text wie „Ich stimme der Verarbeitung meiner Daten zu" ist zu unbestimmt. Es muss erkennbar sein, wer versendet, was versendet wird und in welcher ungefähren Frequenz.
• Getrennt von anderen Erklärungen. Art. 7 Abs. 2 DSGVO verlangt bei schriftlichen Erklärungen, die auch andere Sachverhalte betreffen, eine klar unterscheidbare, verständliche Form. AGB-Zustimmung und Newsletter-Einwilligung gehören deshalb in getrennte Häkchen.

Ein tragfähiger Formulierungsansatz für den Text an der Checkbox: „Ich möchte den Newsletter von [Firma] mit Angeboten und Neuigkeiten zu [Thema] per E-Mail erhalten. Die Einwilligung kann ich jederzeit über den Abmeldelink in jeder E-Mail widerrufen. Hinweise zur Verarbeitung stehen in der Datenschutzerklärung."

2. Double-Opt-in: der Nachweis nach Art. 7 Abs. 1 DSGVO

Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche die Einwilligung nachweisen können muss. Das ist der eigentliche Grund für das Double-Opt-in: Nicht die Anmeldung selbst ist vorgeschrieben, sondern ihre Nachweisbarkeit – und ein einstufiges Verfahren kann nicht belegen, dass der Inhaber der Adresse sie auch wirklich selbst eingetragen hat.

Der Ablauf besteht aus drei Schritten: Anmeldung über das Formular, automatische Bestätigungsmail mit einem individuellen Link, Aktivierung erst nach dem Klick. Alle in unserem Test geprüften Tools bringen das Verfahren mit; die praktische Einrichtung beschreibt unsere Anleitung zum Double-Opt-in.

Wichtig ist, was dabei protokolliert wird. Als Nachweis brauchbar sind: Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse zum jeweiligen Zeitpunkt, der Wortlaut der Einwilligungserklärung in der damals gültigen Fassung und die Quelle (welches Formular auf welcher Seite). Der letzte Punkt wird regelmäßig vergessen und ist der wertvollste, sobald ein Empfänger widerspricht.

Zwei Fallstricke im Bestätigungsverfahren: Die Bestätigungsmail selbst darf keine Werbung enthalten – sonst ist sie bereits die Werbemail, für die die Einwilligung noch gar nicht vorliegt. Und ein nicht bestätigter Datensatz darf nicht dauerhaft liegen bleiben: Ohne Bestätigung fehlt die Rechtsgrundlage, der Datensatz gehört nach kurzer Frist gelöscht.

3. Informationspflichten bei der Anmeldung (Art. 13 DSGVO)

Bei der Erhebung der Daten musst du nach Art. 13 DSGVO informieren – erreichbar über einen Link auf die Datenschutzerklärung direkt am Formular. Erforderlich sind unter anderem:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten (Art. 13 Abs. 1 lit. a, b)
• Zwecke der Verarbeitung und Rechtsgrundlage (lit. c) – hier: Newsletter-Versand auf Grundlage der Einwilligung
• Empfänger der Daten (lit. e) – also der Newsletter-Dienstleister als Auftragsverarbeiter, namentlich benannt
• Bei Drittlandübermittlung: das Drittland und die Grundlage der Übermittlung (lit. f)
• Speicherdauer oder Kriterien für ihre Festlegung (Art. 13 Abs. 2 lit. a)
• Betroffenenrechte einschließlich des Rechts, die Einwilligung jederzeit zu widerrufen (Art. 13 Abs. 2 lit. b, c), und das Beschwerderecht bei einer Aufsichtsbehörde (lit. d)

In der Praxis erledigt ein eigener Abschnitt „Newsletter" in der Datenschutzerklärung den größten Teil. Er muss den konkreten Anbieter nennen – nicht „ein Newsletter-Tool", sondern den Namen. Wechselst du das Tool, ist dieser Abschnitt anzupassen.

4. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Der Newsletter-Anbieter verarbeitet die Daten in deinem Auftrag. Damit braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien und die Pflichten des Auftragsverarbeiters festlegt. Ohne diesen Vertrag ist die Verarbeitung formell rechtswidrig – auch dann, wenn die Einwilligungen sauber dokumentiert sind.

Bei allen von uns getesteten Anbietern liegt der Vertrag im Konto zum Abschluss bereit. Zwei Punkte lohnen den Blick hinein: die Liste der Unterauftragsverarbeiter (wen zieht der Anbieter seinerseits hinzu, und wo sitzen diese Dienstleister?) und die Regelung zu Weisungen und Löschung nach Vertragsende.

Zusätzlich gehört der Vertrag ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO – für den Newsletter genügt ein Eintrag mit Zweck, Betroffenenkategorien, Datenkategorien, Empfängern und Löschfristen.

5. Server-Standort und Drittlandtransfer

Liegt die Verarbeitung außerhalb des EWR, greifen zusätzlich die Regeln aus Kapitel V der DSGVO (Art. 44 ff.). Der Europäische Gerichtshof hat mit dem Urteil vom 16. Juli 2020 (C-311/18, „Schrems II") den damaligen Datenschutzschild für ungültig erklärt und für Standardvertragsklauseln nach Art. 46 DSGVO eine Einzelfallprüfung des Schutzniveaus im Zielland verlangt. Seit dem 10. Juli 2023 besteht mit dem EU-US Data Privacy Framework wieder ein Angemessenheitsbeschluss nach Art. 45 DSGVO für zertifizierte US-Unternehmen.

Praktisch heißt das: US-Tools sind nutzbar, aber begründungspflichtig – du musst die Zertifizierung des konkreten Anbieters prüfen, die Übermittlung in der Datenschutzerklärung benennen und die Entwicklung im Auge behalten. Wer diesen Aufwand vermeiden will, wählt einen Anbieter innerhalb der EU. Wo die acht getesteten Tools ihre Server betreiben:

Mailerlite, Omnisend und ActiveCampaign rechnen in US-Dollar ab; wir rechnen die Beträge nicht um. Alle Werte samt Quell-URL und Prüfdatum stehen im offenen Datensatz. Die Tools sortiert nach Datenschutz-Kriterien finden sich unter DSGVO-konforme Newsletter-Tools.

6. Werbung per E-Mail: § 7 UWG

Die DSGVO beantwortet nur die Frage, ob du die Daten verarbeiten darfst. Ob du werben darfst, steht im Gesetz gegen den unlauteren Wettbewerb. § 7 Abs. 2 Nr. 2 UWG stuft Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten als unzumutbare Belästigung ein. Das gilt gegenüber Verbrauchern und gegenüber Unternehmen – eine allgemeine B2B-Ausnahme existiert nicht.

Die Bestandskundenausnahme nach § 7 Abs. 3 UWG

Es gibt eine eng gefasste Ausnahme. Nach § 7 Abs. 3 UWG liegt keine unzumutbare Belästigung vor, wenn alle vier Voraussetzungen zugleich erfüllt sind:

1

Adresse aus einem Verkauf

Der Unternehmer hat die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten. Eine Adresse aus einem Anfrageformular, einem Gewinnspiel oder einem Messekontakt reicht dafür nicht.

2

Werbung nur für ähnliche Waren oder Dienstleistungen

Beworben werden dürfen eigene ähnliche Produkte. Wer Laufschuhe verkauft hat, darf Laufbekleidung bewerben – nicht das gesamte Sortiment und schon gar nicht Angebote Dritter.

3

Kein Widerspruch des Kunden

Der Kunde hat der Verwendung nicht widersprochen. Ein Widerspruch wirkt sofort und muss technisch zuverlässig umgesetzt werden.

4

Hinweis bei Erhebung und in jeder Mail

Der Kunde wird bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Fehlt auch nur eine der vier Voraussetzungen, ist die Ausnahme nicht anwendbar – dann braucht es die Einwilligung. Weil der Nachweis aller vier Punkte in der Praxis aufwendig ist, fahren die meisten Versender besser damit, auch Bestandskunden über ein dokumentiertes Double-Opt-in aufzunehmen. Was das im Shop-Alltag bedeutet, steht auf unserer Seite zu Newsletter-Tools für Online-Shops.

7. Widerruf und Abmeldung

Nach Art. 7 Abs. 3 DSGVO kann die Einwilligung jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung. Praktisch heißt das: ein Abmeldelink in jeder E-Mail, der ohne Login, ohne Passwortabfrage und ohne Begründung funktioniert. Ein Formular, das erst nach Eingabe von Kundennummer und Geburtsdatum abmeldet, erfüllt diese Anforderung nicht. Details zur Umsetzung stehen unter Abmeldelink richtig einbauen.

Die Abmeldung muss unverzüglich wirken. Ein „kann bis zu 30 Tage dauern" ist beim heutigen Stand der Technik nicht haltbar – bei allen getesteten Tools greift die Abmeldung sofort.

8. Betroffenenrechte und Löschkonzept

Neben dem Widerruf gelten die allgemeinen Betroffenenrechte, und für sie gilt die Frist aus Art. 12 Abs. 3 DSGVO: Antwort unverzüglich, in jedem Fall innerhalb eines Monats.

• Auskunft (Art. 15): Welche Daten sind gespeichert, woher stammen sie, an wen wurden sie weitergegeben, wie lange werden sie gespeichert? Ein Export aus dem Newsletter-Tool deckt das meist ab.
• Berichtigung (Art. 16): Unrichtige Daten korrigieren – in der Regel per Self-Service-Profillink im Newsletter erledigt.
• Löschung (Art. 17): Nach Widerruf entfällt die Rechtsgrundlage, die Daten sind zu löschen.
• Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) vervollständigen den Katalog.

Ein Sonderfall verdient Aufmerksamkeit: Nach einer Abmeldung darf die Adresse in einer Sperrliste verbleiben – gerade damit sie nicht versehentlich erneut angeschrieben wird. Das ist keine Umgehung der Löschpflicht, sondern ihre technische Voraussetzung; die Verarbeitung beschränkt sich dabei auf das Minimum, das der Sperre dient. Verlangt jemand ausdrücklich die vollständige Löschung, ist ihm zu erklären, dass die Adresse dann bei einer künftigen Anmeldung nicht mehr automatisch blockiert wird.

Für die Speicherdauer empfiehlt sich eine schriftlich festgehaltene Regel, etwa: Nachweise der Einwilligung, solange der Newsletter bezogen wird und für die Dauer der Verjährungsfristen darüber hinaus; nicht bestätigte Anmeldungen nach wenigen Tagen; dauerhaft unzustellbare Adressen nach der Bounce-Auswertung.

Die Kurz-Checkliste

Welches Tool welche dieser Punkte am besten unterstützt, zeigt der große Vergleich; wer eine Empfehlung für den eigenen Fall sucht, kommt über den Tool-Finder schneller ans Ziel.

Häufige Fragen