Newsletter und DSGVO: Double-Opt-In und Einwilligungspflicht

E-Mail-Marketing ist für viele kleine Unternehmen das effektivste Marketing-Tool. Es ist auch das, wo Deutschland besonders strenge Regeln hat. Das UWG und die DSGVO zusammen schaffen ein Regelwerk, das viele Unternehmen täglich verletzt — manchmal unwissentlich.

Zwei Rechtsgrundlagen, die beide gelten müssen

E-Mail-Marketing in Deutschland unterliegt:

§ 7 Abs. 2 Nr. 3 UWG (Gesetz gegen den unlauteren Wettbewerb): Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist eine unzumutbare Belästigung — abmahnbar durch Mitbewerber, Verbände und Verbraucher.

Art. 6 Abs. 1 lit. a und Art. 7 DSGVO: Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Sie muss nachweisbar sein. Sie muss jederzeit widerrufbar sein.

Beide Anforderungen müssen gleichzeitig erfüllt werden. DSGVO-konform allein reicht nicht, wenn die UWG-Anforderungen nicht erfüllt sind.

Warum Double-Opt-In faktisch Pflicht ist

Double-Opt-In läuft so:

1. Nutzer gibt seine E-Mail-Adresse im Anmeldeformular ein und klickt "Anmelden"
2. System sendet eine Bestätigungs-E-Mail mit einem Bestätigungslink
3. Nutzer klickt den Link — erst jetzt ist die Einwilligung gültig

Double-Opt-In ist nicht explizit im Gesetz verankert, aber aus zwei Gründen faktisch unvermeidbar:

Nachweis der Einwilligung: Art. 7 Abs. 1 DSGVO: "Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat." Bei Single-Opt-In können Sie nur belegen, dass jemand die E-Mail-Adresse eingetragen hat — nicht dass der Inhaber der E-Mail-Adresse das war. Jemand könnte eine fremde Adresse eingetragen haben.

UWG-Anforderungen: Schon die Bestätigungs-E-Mail im Double-Opt-In ist technisch Werbung. Ohne die vorherige Registrierungshandlung wäre sogar diese E-Mail potenziell unzulässig.

Die deutsche Rechtsprechung hat Single-Opt-In für werbliche E-Mails wiederholt als unzureichend bewertet (BGH I ZR 164/12 — E-Mail-Werbung II).

Was im Anmeldeformular stehen muss

Das Anmeldeformular muss informieren:

• Wer den Newsletter versendet (Ihr Unternehmen, vollständiger Name)
• Was der Newsletter enthält (Produkt-Neuigkeiten, Angebote, Brancheninfos — konkret)
• Wie oft er erscheint (wöchentlich, monatlich — ungefähr)
• Dass eine Abmeldung jederzeit möglich ist
• Rechtsgrundlage (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO)
• Verweis auf die Datenschutzerklärung

Ein Formular mit nur einem E-Mail-Feld und dem Button "Anmelden" ohne weitere Informationen genügt nicht.

Das Koppelungsverbot: Die Newsletter-Einwilligung darf nicht an eine andere Leistung gekoppelt werden ("Tragen Sie sich für den Newsletter ein und erhalten Sie 10 % Rabatt auf Ihre Bestellung"). Wenn die Einwilligung Bedingung für den Rabatt ist, ist sie nicht freiwillig nach DSGVO.

Zulässig: "Melden Sie sich für unseren Newsletter an" und separat "Verwenden Sie diesen Rabattcode bei Ihrer ersten Bestellung". Getrennte Handlungen, keine Kopplung.

Bestandskunden und § 7 Abs. 3 UWG

§ 7 Abs. 3 UWG lässt eine enge Ausnahme für Bestandskunden zu. E-Mail-Werbung an eigene Kunden für ähnliche Produkte ist ohne neue Einwilligung erlaubt, wenn:

1. Die E-Mail-Adresse beim Kauf erhoben wurde
2. Der Kunde klar und unmissverständlich über die Werbenutzung informiert wurde
3. Der Kunde die Möglichkeit hatte, zu widersprechen
4. Die Werbung sich auf ähnliche Waren oder Dienstleistungen bezieht

Vorsicht: Diese Ausnahme gilt für Transaktions-E-Mails und gezielte Produkthinweise, nicht für regelmäßige Newsletter-Abonnements. Und "ähnliche Produkte" ist eng definiert — ein Fahrradshop kann Kunden, die Fahrräder kaufen, nicht über Fitnesskleidung anschreiben.

Einwilligungsbelege: Was gespeichert werden muss

Für jeden Newsletter-Abonnenten sollten Sie folgendes dokumentieren:

• E-Mail-Adresse
• Datum und Uhrzeit der Anmeldung
• IP-Adresse bei der Anmeldung
• Datum und Uhrzeit der Bestätigung (Double-Opt-In-Klick)
• IP-Adresse bei der Bestätigung
• URL des Anmeldeformulars
• Textversion des Formulars zum Zeitpunkt der Anmeldung

Das klingt nach viel — gute Newsletter-Plattformen (Mailchimp, MailerLite, CleverReach, Brevo) speichern das automatisch. Überprüfen Sie, ob Ihre Plattform diese Daten vorhält und wie lange.

Abmelde-Link und Abmeldeprozess

Jede Newsletter-E-Mail braucht einen funktionierenden Abmelde-Link. Die Anforderungen:

• Jede E-Mail: Nicht nur in der Willkommens-Mail
• Kostenlos: Kein Abo-Modell, keine Premium-Kündigung
• Ein Klick: Nicht mehrere Schritte, kein Passwort-Login
• Sofort wirksam: Max. ein bis zwei Werktage bis zur tatsächlichen Abmeldung

"Um sich abzumelden, antworten Sie auf diese E-Mail" ist nicht ausreichend. Ein direkter Link ist erforderlich.

Was nach dem Widerruf passiert

Widerruft jemand seine Einwilligung, müssen Sie:

• Keine weiteren Werbemails senden
• Die Einwilligungs-Dokumentation noch eine Zeit lang aufbewahren (für eventuelle Rechtsstreitigkeiten)
• Transaktions-E-Mails (Bestellbestätigungen, Rechnungen) dürfen weiter gesendet werden — die sind keine Werbung

Empfehlung: Führen Sie eine getrennte "Abgemeldet"-Liste statt die E-Mail komplett zu löschen. So können Sie im Streitfall belegen, dass jemand abgemeldet wurde.

Drittanbieter: Was bei Mailchimp & Co. zu beachten ist

Newsletter-Plattformen wie Mailchimp (USA), MailerLite, Brevo oder CleverReach (EU) verarbeiten Abonnentendaten im Auftrag — das ist Auftragsverarbeitung nach Art. 28 DSGVO.

Pflicht:

• Auftragsverarbeitungsvertrag (AVV) mit der Plattform abschließen (die meisten bieten das selbst an)
• Datenschutzerklärung: Plattform und möglichen US-Transfer erwähnen
• Bei US-Plattformen (Mailchimp): Rechtsgrundlage für Transfer (EU-US Data Privacy Framework, falls zutreffend)

Prüfen Sie Ihre Website jetzt auf DSGVO-Compliance — kostenloser DSGVO-Scanner.